A avaliação interna de risco em PLD/FT, conhecida como AIR, identifica a exposição da instituição à lavagem de dinheiro e ao financiamento do terrorismo. Ela relaciona o modelo de negócio, clientes, produtos, canais e demais fatores relevantes aos controles adotados. Para elaborar uma AIR útil, é preciso definir o escopo, reunir evidências e justificar como cada risco será tratado.
O documento deve ajudar a decidir onde aprofundar diligência, reforçar monitoramento, ajustar processos e direcionar recursos. Uma descrição genérica do setor não mostra a exposição da própria operação. O ponto de partida é o que a instituição faz hoje, incluindo diferenças entre unidades, produtos e canais.
AIR e matriz de risco de clientes: qual é a diferença?
A matriz de risco de clientes classifica relacionamentos com critérios definidos. A AIR tem alcance institucional: examina como o negócio e sua operação estão expostos. A carteira de clientes alimenta a AIR, mas não substitui o diagnóstico de produtos, canais, processos e outras dimensões.
Uma instituição pode ter clientes majoritariamente de risco baixo e, ao mesmo tempo, um canal com fragilidade de identificação. A classificação da carteira não resolve essa fragilidade. A AIR precisa mostrar a exposição do canal, o controle esperado e a resposta operacional para a deficiência identificada.
Também convém distinguir risco inerente, exposição antes de considerar controles, de risco residual, exposição remanescente após os controles considerados. Se o controle não foi verificado, evite atribuir-lhe capacidade de mitigação apenas porque está descrito em uma política.
Defina escopo, responsáveis e critérios de análise
Delimite entidades, unidades, atividades e período de referência. Registre o que está incluído, o que ficou fora e por quê. Para grupos com operações distintas, uma visão consolidada deve preservar as diferenças que influenciam risco, responsabilidade e desenho dos controles.
Envolva negócio, cadastro, tecnologia, monitoramento e compliance. Cada área deve fornecer informações rastreáveis e explicar suas limitações. Nomeie quem coordena a avaliação, quem revisa os critérios e quem aprova os resultados segundo a governança e a norma aplicável.
- Critérios: quais fatores alteram a probabilidade e o impacto?
- Escalas: o que caracteriza cada faixa de risco?
- Evidências: que dados sustentam a classificação?
- Limites: quais informações estão incompletas ou desatualizadas?
- Decisão: quem aceita, reduz, acompanha ou escala a exposição?
Mapeie a exposição real em PLD/FT
Levante produtos e serviços efetivamente oferecidos, canais de contratação e distribuição, características das operações e segmentos atendidos. Compare a descrição formal do negócio com a operação observada. Um fluxo novo pode estar em produção antes de aparecer nos procedimentos internos.
Dados agregados ajudam a encontrar concentrações e mudanças: composição da carteira, utilização de canais, volumes por produto e distribuição geográfica pertinente. Totais isolados dizem pouco. Examine também populações pequenas com exposição relevante, evitando confundir baixo volume com baixo risco.
Registre a origem de cada informação, o período e o responsável. Se um relatório não permite separar segmentos, declare a limitação e defina como corrigi-la. Tratar uma estimativa como dado confirmado pode distorcer a priorização de controles e a leitura dos resultados.
Relacione risco, controle e evidência
Para cada cenário, descreva a exposição, o controle que responde a ela e a evidência de execução. Por exemplo: uma contratação remota depende de procedimentos de identificação; a existência do procedimento precisa ser acompanhada de evidência de sua aplicação nos casos relevantes.
Avalie desenho e funcionamento separadamente. Um controle pode estar bem concebido e falhar por cobertura incompleta, dados deficientes ou execução inconsistente. Outro pode funcionar como foi desenhado, mas não cobrir o risco que surgiu com uma mudança do produto.
- Cenário: qual exposição é relevante para a instituição?
- Controle: como a exposição é prevenida, detectada ou tratada?
- Cobertura: quais operações e populações estão alcançadas?
- Evidência: como verificar a execução e suas exceções?
- Resposta: qual ação é necessária para a exposição remanescente?
Uma pontuação sem justificativa não permite reconstruir a análise. Guarde a fundamentação de cada avaliação relevante, principalmente quando uma exceção muda o resultado. A administração precisa compreender a exposição aceita e a consequência da escolha, não apenas receber uma tabela colorida.
Exemplo de AIR: expansão de um canal digital
Considere uma instituição fictícia que passa a contratar clientes por um novo canal digital. A AIR anterior descrevia uma operação com atendimento assistido. O novo fluxo aumenta escala e reduz a interação direta, exigindo reexaminar os procedimentos de identificação e a qualidade dos dados recebidos.
O diagnóstico reúne o fluxo real, os segmentos atendidos, as verificações existentes e as exceções. A equipe percebe que alguns documentos seguem para revisão manual sem um acompanhamento consistente. A resposta proposta define responsabilidade, evidência de conclusão e tratamento da fila pendente.
A revisão da AIR documenta a mudança e o plano aprovado. A avaliação posterior precisa verificar se a resposta funciona. Concluir a atualização do documento, sem confirmar a execução do controle, não demonstra que a exposição foi reduzida.
Exemplo preenchido de avaliação interna de risco
Para aprofundar o cenário de expansão do canal digital, o quadro abaixo apresenta um registro inteiramente fictício. É uma forma de documentar o raciocínio, não um modelo oficial, uma AIR completa ou uma classificação pronta para copiar. Critérios, evidências e categorias devem refletir a instituição.
| Campo | Preenchimento fictício |
|---|---|
| Escopo e mudança | Entrada de pessoas jurídicas por canal remoto; análise da identificação e da representação no novo fluxo. |
| Exposição identificada | Possibilidade de aceitar cadastro com representação não comprovada quando uma exceção é encerrada sem evidência suficiente. |
| Probabilidade e impacto | A equipe identifica recorrência de exceções no teste do fluxo e descreve possíveis impactos jurídicos e reputacionais. A categoria depende da metodologia aprovada; não há nota numérica presumida. |
| Controles e evidências | Validação de representação, aprovação de exceções e registro do motivo. Evidências: procedimento vigente, casos testados e histórico de aprovação. |
| Limitação e conclusão | Parte dos testes não permite reconstruir a aprovação. A equipe não considera o controle comprovadamente suficiente até concluir a verificação adicional. |
| Ação, responsável e acompanhamento | A área responsável pelo cadastro corrige o fluxo; compliance acompanha evidências de conclusão e reteste. Prazos e instâncias de aprovação são definidos internamente. |
| Gatilho de revisão | Reavaliar a exposição quando o fluxo corrigido for testado ou ocorrer mudança relevante no canal, sem substituir o calendário aplicável. |
O exemplo cobre apenas uma exposição. A AIR precisa examinar o conjunto de perfis e fatores pertinentes à operação. A existência de um controle escrito não demonstra seu funcionamento: a conclusão deve distinguir o que está previsto, o que foi observado e o que continua sem evidência.
Como transformar o exemplo em um roteiro de elaboração da AIR
- Delimite o período, a operação e as mudanças relevantes para o diagnóstico.
- Reúna dados e descreva as exposições antes de atribuir categorias.
- Avalie probabilidade e impactos segundo critérios documentados.
- Relacione os controles às exposições e identifique as evidências disponíveis.
- Registre limitações, decisões, responsáveis e ações de acompanhamento.
- Encaminhe o documento pela governança aplicável e acompanhe as condições de revisão.
Para as instituições abrangidas pela Circular BCB nº 3.978, os arts. 10 a 12 são a referência para escopo e governança da AIR. Use o exemplo como apoio de organização, sem substituir os requisitos da norma nem transportar regras desse âmbito automaticamente para outros setores.
Quando revisar e como usar o resultado
Além do calendário formal, estabeleça gatilhos: novo produto, novo canal, alteração relevante da carteira, mudança tecnológica ou deficiência material identificada. A atualização deve explicar o que mudou em relação à versão anterior e quais decisões foram afetadas.
Conecte o diagnóstico às prioridades do programa e aos indicadores de maturidade em PLD/FT. A quantidade de documentos atualizados não mede, sozinha, a resposta ao risco. Acompanhe implementação, cobertura, exceções e capacidade de demonstrar o funcionamento dos controles.
Mantenha o plano de ação associado aos riscos: medida, responsável, prazo, dependência e critério de conclusão. Se uma ação atrasar, registre a exposição durante o atraso e a decisão de governança. O acompanhamento deve permitir distinguir pendência aceita de pendência esquecida.
Os riscos e controles identificados alimentam o escopo da avaliação de efetividade em PLD/FT. Os testes desse trabalho ajudam a verificar o funcionamento das respostas previstas na AIR e podem revelar exposições que exigem nova avaliação.
Referência regulatória e aplicação ao seu setor
Nas instituições abrangidas pela Circular BCB nº 3.978, os arts. 10 a 12 disciplinam a AIR; a revisão ocorre a cada dois anos e em alterações significativas. Esse prazo não deve ser generalizado para outros setores. Confirme a norma do seu supervisor e o enquadramento da instituição.
O roteiro e o caso fictício acima apoiam a organização da avaliação; não substituem a análise técnica das obrigações aplicáveis. A governança deve garantir que a versão aprovada corresponda à exposição e aos controles que existem na operação.
Perguntas frequentes
O que é avaliação interna de risco em PLD/FT?
É o diagnóstico da exposição da instituição à lavagem de dinheiro e ao financiamento do terrorismo. Ele considera o negócio e a operação para orientar controles, prioridades e decisões de governança.
AIR é a mesma coisa que matriz de risco de clientes?
Não. A matriz classifica relacionamentos; a AIR examina a exposição institucional. Informações da carteira contribuem para a AIR, junto com produtos, serviços, canais e outros fatores relevantes.
A AIR precisa ser revisada todos os anos?
Depende da norma aplicável. A Circular BCB nº 3.978 prevê revisão a cada dois anos e em alterações significativas para instituições abrangidas. Não confunda esse prazo com o da avaliação de efetividade.
Como demonstrar que a AIR orienta os controles?
Relacione cada exposição relevante aos controles, à evidência disponível e às ações necessárias. Mantenha responsáveis, decisões e acompanhamento do plano, incluindo limitações dos dados e exceções.