Fale com especialista

Categoria: Governança e Controles

Controles internos, responsabilidades, rastreabilidade e sustentação de programas regulatórios.

  • Avaliação de efetividade em PLD/FT: testes, indicadores e plano de ação

    Avaliação de efetividade em PLD/FT: testes, indicadores e plano de ação

    A avaliação de efetividade em PLD/FT verifica se os controles do programa funcionam na prática e respondem aos riscos identificados. Para produzir uma conclusão defensável, ela precisa combinar metodologia, testes, amostras justificadas e evidências. O resultado deve mostrar deficiências, suas consequências e o acompanhamento das medidas corretivas.

    Um procedimento aprovado demonstra intenção. A avaliação procura saber se ele foi aplicado, se alcançou a população esperada e se produziu a resposta prevista. Essa diferença importa quando a operação cresce, os dados mudam ou uma etapa depende de execução manual.

    O que avaliar: desenho e funcionamento dos controles

    Comece pelas exposições relevantes e pelos controles destinados a tratá-las. Defina a pergunta de cada teste. Em identificação de clientes, por exemplo, a pergunta pode ser se os registros examinados contêm verificações suficientes e se as exceções seguiram o tratamento previsto.

    O teste de desenho verifica se o controle, como concebido, responde ao risco. O teste de funcionamento procura evidências da sua execução. Um fluxo pode ter aprovações formalmente corretas e, ainda assim, não abranger um canal importante ou uma população que exige tratamento diferenciado.

    Os sinais de maturidade do programa de PLD/FT ajudam a organizar a discussão, mas não substituem os testes. Treinamentos realizados, políticas revisadas e reuniões ocorridas precisam ser relacionados à aplicação dos controles e ao risco que se pretende tratar.

    Como planejar os testes de efetividade

    Construa uma matriz de testes com objetivo, população, período, responsável, critério de aprovação e evidência esperada. A metodologia deve permitir que outra pessoa compreenda o procedimento executado e a razão da conclusão, inclusive quando o resultado apresenta ressalvas.

    • Objetivo: qual requisito ou risco o teste examina?
    • População: quais casos, operações ou registros poderiam ser selecionados?
    • Procedimento: o que será conferido e por qual método?
    • Critério: que condição caracteriza aprovação, exceção ou falha?
    • Evidência: o que deve ser preservado para reproduzir a verificação?

    Separe o responsável pelo controle de quem avalia seu resultado, sempre que o desenho de governança permitir. Onde a estrutura for menor, documente as salvaguardas de revisão. A participação da área operacional é importante para explicar o fluxo, mas não deve substituir a análise crítica do avaliador.

    Como definir uma amostra sem criar falsa segurança

    Uma amostra precisa de justificativa. Defina a população, a forma de seleção e os limites de inferência. Selecionar os primeiros registros disponíveis pode deixar de fora exceções, casos de maior risco ou períodos com alteração do processo.

    Considere estratos relevantes: canais, categorias de risco, unidades, novos clientes e casos escalados. A combinação de seleção aleatória e dirigida pode ser útil para objetivos distintos, desde que cada parte esteja identificada. Uma seleção dirigida a falhas conhecidas não representa automaticamente toda a população.

    Não existe um tamanho único de amostra que torne qualquer avaliação adequada. Complexidade, frequência do controle, variabilidade dos casos e objetivo do teste afetam a escolha. Registre o motivo da seleção e evite apresentar uma taxa observada em poucos casos como certeza sobre a operação inteira.

    Indicadores úteis e suas limitações

    Indicadores apoiam a leitura dos testes quando têm definição estável. Informe numerador, denominador, período, fonte e exclusões. Uma melhora percentual pode decorrer de mudança na população ou no registro dos casos, não necessariamente de um controle mais eficaz.

    • Cobertura: proporção da população prevista efetivamente alcançada pelo controle.
    • Execução: etapas realizadas conforme o procedimento e exceções justificadas.
    • Qualidade: suficiência das evidências e consistência das conclusões.
    • Prazo: casos concluídos no prazo aplicável, separando atrasos e seus motivos.
    • Correção: ações encerradas com evidência e resultado do reteste.

    Use indicadores por segmento quando uma média esconder diferenças relevantes. Se um canal concentra pendências, o desempenho global pode parecer satisfatório enquanto a exposição local permanece. Preserve as regras de cálculo para permitir comparação entre períodos.

    Exemplo de teste: encerramento de alertas em PLD

    Em um exemplo fictício, a equipe avalia alertas encerrados em determinado trimestre. A população inclui segmentos de risco distintos. O teste procura confirmar se o parecer explica a análise, cita evidências pertinentes e registra a aprovação exigida pelo procedimento.

    Na amostra, aparecem encerramentos com justificativa padronizada e sem referência às operações examinadas. O achado não prova, sozinho, que todos os alertas foram mal tratados. Ele demonstra uma deficiência na evidência dos casos testados e justifica avaliar sua extensão, causa e impacto.

    A correção combina revisão dos casos afetados, orientação dos responsáveis e verificação posterior. A trilha de auditoria deve preservar o teste original e o reteste. Substituir o parecer antigo por um texto novo, sem histórico, compromete a explicação do que ocorreu.

    Como registrar achados e acompanhar o plano de ação

    Descreva condição observada, critério esperado, evidência, alcance conhecido e consequência potencial. Diferencie falta de informação para concluir de falha confirmada. Quando houver indício de um problema mais amplo, indique o procedimento necessário para verificar a extensão.

    Classifique a relevância segundo critérios internos claros e vincule a resposta à causa identificada. Um treinamento pode ajudar quando existe dúvida de execução; ele não corrige um sistema que deixa parte da população fora do controle. A ação precisa responder ao problema demonstrado.

    • Ação corretiva específica e responsável com autoridade para executá-la.
    • Prazo, dependências e medidas durante a exposição remanescente.
    • Evidência exigida para comprovar implementação.
    • Reteste ou verificação para confirmar o funcionamento.
    • Decisão documentada para atrasos, exceções e risco aceito.

    A entrega de um arquivo ou de uma tela não deve encerrar automaticamente a pendência. Confira se a medida entrou em operação e respondeu ao achado. Se o reteste identificar a mesma deficiência, registre o resultado e reavalie o plano antes de declarar o assunto resolvido.

    O planejamento dos testes deve considerar a avaliação interna de risco, ou AIR. Esse diagnóstico orienta quais exposições merecem atenção; os achados dos testes, por sua vez, podem indicar que a avaliação de risco ou o desenho do controle precisa ser revisto.

    Referência regulatória e relação com a AIR

    Os arts. 62 a 65 da Circular BCB nº 3.978 disciplinam a avaliação de efetividade, anual, nas instituições abrangidas. Consulte a norma para o calendário e a governança exigidos. AIR e efetividade têm funções e ciclos distintos; não trate a atualização de um documento como execução do outro.

    A AIR aponta exposições e orienta controles; a avaliação de efetividade examina suas respostas. Os exemplos, indicadores e critérios deste artigo são sugestões metodológicas, a adaptar à operação e ao supervisor competente. O relatório deve deixar claras as limitações dos testes realizados.

    Perguntas frequentes

    O que é avaliação de efetividade em PLD/FT?

    É a verificação de que os controles do programa funcionam e respondem aos riscos. A conclusão deve ser sustentada por metodologia, testes e evidências, com tratamento das deficiências encontradas.

    Avaliação de efetividade e AIR são iguais?

    Não. A AIR identifica a exposição institucional; a avaliação de efetividade verifica a resposta dos controles. Os resultados se complementam, mas um trabalho não substitui o outro.

    Existe um tamanho obrigatório de amostra para qualquer teste?

    Não há um tamanho universal adequado a todos os testes. A seleção deve considerar população, objetivo, risco, variabilidade e regras aplicáveis. Registre a metodologia e os limites da conclusão.

    Quando um achado pode ser considerado resolvido?

    Quando houver evidência de implementação e verificação suficiente de que a ação respondeu à deficiência. A conclusão deve seguir os critérios de governança; a entrega de um documento, sozinha, pode ser insuficiente.

  • Avaliação interna de risco (AIR) em PLD/FT: como elaborar e revisar

    Avaliação interna de risco (AIR) em PLD/FT: como elaborar e revisar

    A avaliação interna de risco em PLD/FT, conhecida como AIR, identifica a exposição da instituição à lavagem de dinheiro e ao financiamento do terrorismo. Ela relaciona o modelo de negócio, clientes, produtos, canais e demais fatores relevantes aos controles adotados. Para elaborar uma AIR útil, é preciso definir o escopo, reunir evidências e justificar como cada risco será tratado.

    O documento deve ajudar a decidir onde aprofundar diligência, reforçar monitoramento, ajustar processos e direcionar recursos. Uma descrição genérica do setor não mostra a exposição da própria operação. O ponto de partida é o que a instituição faz hoje, incluindo diferenças entre unidades, produtos e canais.

    AIR e matriz de risco de clientes: qual é a diferença?

    A matriz de risco de clientes classifica relacionamentos com critérios definidos. A AIR tem alcance institucional: examina como o negócio e sua operação estão expostos. A carteira de clientes alimenta a AIR, mas não substitui o diagnóstico de produtos, canais, processos e outras dimensões.

    Uma instituição pode ter clientes majoritariamente de risco baixo e, ao mesmo tempo, um canal com fragilidade de identificação. A classificação da carteira não resolve essa fragilidade. A AIR precisa mostrar a exposição do canal, o controle esperado e a resposta operacional para a deficiência identificada.

    Também convém distinguir risco inerente, exposição antes de considerar controles, de risco residual, exposição remanescente após os controles considerados. Se o controle não foi verificado, evite atribuir-lhe capacidade de mitigação apenas porque está descrito em uma política.

    Defina escopo, responsáveis e critérios de análise

    Delimite entidades, unidades, atividades e período de referência. Registre o que está incluído, o que ficou fora e por quê. Para grupos com operações distintas, uma visão consolidada deve preservar as diferenças que influenciam risco, responsabilidade e desenho dos controles.

    Envolva negócio, cadastro, tecnologia, monitoramento e compliance. Cada área deve fornecer informações rastreáveis e explicar suas limitações. Nomeie quem coordena a avaliação, quem revisa os critérios e quem aprova os resultados segundo a governança e a norma aplicável.

    • Critérios: quais fatores alteram a probabilidade e o impacto?
    • Escalas: o que caracteriza cada faixa de risco?
    • Evidências: que dados sustentam a classificação?
    • Limites: quais informações estão incompletas ou desatualizadas?
    • Decisão: quem aceita, reduz, acompanha ou escala a exposição?

    Mapeie a exposição real em PLD/FT

    Levante produtos e serviços efetivamente oferecidos, canais de contratação e distribuição, características das operações e segmentos atendidos. Compare a descrição formal do negócio com a operação observada. Um fluxo novo pode estar em produção antes de aparecer nos procedimentos internos.

    Dados agregados ajudam a encontrar concentrações e mudanças: composição da carteira, utilização de canais, volumes por produto e distribuição geográfica pertinente. Totais isolados dizem pouco. Examine também populações pequenas com exposição relevante, evitando confundir baixo volume com baixo risco.

    Registre a origem de cada informação, o período e o responsável. Se um relatório não permite separar segmentos, declare a limitação e defina como corrigi-la. Tratar uma estimativa como dado confirmado pode distorcer a priorização de controles e a leitura dos resultados.

    Relacione risco, controle e evidência

    Para cada cenário, descreva a exposição, o controle que responde a ela e a evidência de execução. Por exemplo: uma contratação remota depende de procedimentos de identificação; a existência do procedimento precisa ser acompanhada de evidência de sua aplicação nos casos relevantes.

    Avalie desenho e funcionamento separadamente. Um controle pode estar bem concebido e falhar por cobertura incompleta, dados deficientes ou execução inconsistente. Outro pode funcionar como foi desenhado, mas não cobrir o risco que surgiu com uma mudança do produto.

    • Cenário: qual exposição é relevante para a instituição?
    • Controle: como a exposição é prevenida, detectada ou tratada?
    • Cobertura: quais operações e populações estão alcançadas?
    • Evidência: como verificar a execução e suas exceções?
    • Resposta: qual ação é necessária para a exposição remanescente?

    Uma pontuação sem justificativa não permite reconstruir a análise. Guarde a fundamentação de cada avaliação relevante, principalmente quando uma exceção muda o resultado. A administração precisa compreender a exposição aceita e a consequência da escolha, não apenas receber uma tabela colorida.

    Exemplo de AIR: expansão de um canal digital

    Considere uma instituição fictícia que passa a contratar clientes por um novo canal digital. A AIR anterior descrevia uma operação com atendimento assistido. O novo fluxo aumenta escala e reduz a interação direta, exigindo reexaminar os procedimentos de identificação e a qualidade dos dados recebidos.

    O diagnóstico reúne o fluxo real, os segmentos atendidos, as verificações existentes e as exceções. A equipe percebe que alguns documentos seguem para revisão manual sem um acompanhamento consistente. A resposta proposta define responsabilidade, evidência de conclusão e tratamento da fila pendente.

    A revisão da AIR documenta a mudança e o plano aprovado. A avaliação posterior precisa verificar se a resposta funciona. Concluir a atualização do documento, sem confirmar a execução do controle, não demonstra que a exposição foi reduzida.

    Exemplo preenchido de avaliação interna de risco

    Para aprofundar o cenário de expansão do canal digital, o quadro abaixo apresenta um registro inteiramente fictício. É uma forma de documentar o raciocínio, não um modelo oficial, uma AIR completa ou uma classificação pronta para copiar. Critérios, evidências e categorias devem refletir a instituição.

    AIR: registro ilustrativo de uma exposição no canal digital
    CampoPreenchimento fictício
    Escopo e mudançaEntrada de pessoas jurídicas por canal remoto; análise da identificação e da representação no novo fluxo.
    Exposição identificadaPossibilidade de aceitar cadastro com representação não comprovada quando uma exceção é encerrada sem evidência suficiente.
    Probabilidade e impactoA equipe identifica recorrência de exceções no teste do fluxo e descreve possíveis impactos jurídicos e reputacionais. A categoria depende da metodologia aprovada; não há nota numérica presumida.
    Controles e evidênciasValidação de representação, aprovação de exceções e registro do motivo. Evidências: procedimento vigente, casos testados e histórico de aprovação.
    Limitação e conclusãoParte dos testes não permite reconstruir a aprovação. A equipe não considera o controle comprovadamente suficiente até concluir a verificação adicional.
    Ação, responsável e acompanhamentoA área responsável pelo cadastro corrige o fluxo; compliance acompanha evidências de conclusão e reteste. Prazos e instâncias de aprovação são definidos internamente.
    Gatilho de revisãoReavaliar a exposição quando o fluxo corrigido for testado ou ocorrer mudança relevante no canal, sem substituir o calendário aplicável.

    O exemplo cobre apenas uma exposição. A AIR precisa examinar o conjunto de perfis e fatores pertinentes à operação. A existência de um controle escrito não demonstra seu funcionamento: a conclusão deve distinguir o que está previsto, o que foi observado e o que continua sem evidência.

    Como transformar o exemplo em um roteiro de elaboração da AIR

    • Delimite o período, a operação e as mudanças relevantes para o diagnóstico.
    • Reúna dados e descreva as exposições antes de atribuir categorias.
    • Avalie probabilidade e impactos segundo critérios documentados.
    • Relacione os controles às exposições e identifique as evidências disponíveis.
    • Registre limitações, decisões, responsáveis e ações de acompanhamento.
    • Encaminhe o documento pela governança aplicável e acompanhe as condições de revisão.

    Para as instituições abrangidas pela Circular BCB nº 3.978, os arts. 10 a 12 são a referência para escopo e governança da AIR. Use o exemplo como apoio de organização, sem substituir os requisitos da norma nem transportar regras desse âmbito automaticamente para outros setores.

    Quando revisar e como usar o resultado

    Além do calendário formal, estabeleça gatilhos: novo produto, novo canal, alteração relevante da carteira, mudança tecnológica ou deficiência material identificada. A atualização deve explicar o que mudou em relação à versão anterior e quais decisões foram afetadas.

    Conecte o diagnóstico às prioridades do programa e aos indicadores de maturidade em PLD/FT. A quantidade de documentos atualizados não mede, sozinha, a resposta ao risco. Acompanhe implementação, cobertura, exceções e capacidade de demonstrar o funcionamento dos controles.

    Mantenha o plano de ação associado aos riscos: medida, responsável, prazo, dependência e critério de conclusão. Se uma ação atrasar, registre a exposição durante o atraso e a decisão de governança. O acompanhamento deve permitir distinguir pendência aceita de pendência esquecida.

    Os riscos e controles identificados alimentam o escopo da avaliação de efetividade em PLD/FT. Os testes desse trabalho ajudam a verificar o funcionamento das respostas previstas na AIR e podem revelar exposições que exigem nova avaliação.

    Referência regulatória e aplicação ao seu setor

    Nas instituições abrangidas pela Circular BCB nº 3.978, os arts. 10 a 12 disciplinam a AIR; a revisão ocorre a cada dois anos e em alterações significativas. Esse prazo não deve ser generalizado para outros setores. Confirme a norma do seu supervisor e o enquadramento da instituição.

    O roteiro e o caso fictício acima apoiam a organização da avaliação; não substituem a análise técnica das obrigações aplicáveis. A governança deve garantir que a versão aprovada corresponda à exposição e aos controles que existem na operação.

    Perguntas frequentes

    O que é avaliação interna de risco em PLD/FT?

    É o diagnóstico da exposição da instituição à lavagem de dinheiro e ao financiamento do terrorismo. Ele considera o negócio e a operação para orientar controles, prioridades e decisões de governança.

    AIR é a mesma coisa que matriz de risco de clientes?

    Não. A matriz classifica relacionamentos; a AIR examina a exposição institucional. Informações da carteira contribuem para a AIR, junto com produtos, serviços, canais e outros fatores relevantes.

    A AIR precisa ser revisada todos os anos?

    Depende da norma aplicável. A Circular BCB nº 3.978 prevê revisão a cada dois anos e em alterações significativas para instituições abrangidas. Não confunda esse prazo com o da avaliação de efetividade.

    Como demonstrar que a AIR orienta os controles?

    Relacione cada exposição relevante aos controles, à evidência disponível e às ações necessárias. Mantenha responsáveis, decisões e acompanhamento do plano, incluindo limitações dos dados e exceções.

  • Matriz de risco em PLD/FT: como estruturar critérios e revisões

    Matriz de risco em PLD/FT: como estruturar critérios e revisões

    A matriz de risco em PLD/FT organiza critérios para classificar exposições, definir controles proporcionais e sustentar decisões de governança. Ela conecta avaliação interna de risco, abordagem baseada em risco, dados cadastrais, comportamento operacional, revisão periódica e evidências.

    Quando a matriz é frágil, a instituição tende a tratar riscos diferentes do mesmo jeito, aplicar diligência sem critério claro ou depender de justificativas difíceis de reconstruir depois. Uma matriz bem estruturada deixa explícito por que um cliente, produto, canal ou operação recebeu determinada classificação.

    Este conteúdo tem intenção metodológica e se conecta à consultoria em PLD da FusionX, porque a definição de critérios, pesos e revisões exige alinhamento entre regulação, operação, dados e governança.

    O papel da matriz na abordagem baseada em risco

    A abordagem baseada em risco exige que controles sejam proporcionais à exposição identificada. A matriz ajuda a transformar essa orientação em uma rotina operacional: quais fatores serão avaliados, como cada fator pesa, quais faixas de risco existem e que tratamento cada faixa aciona.

    Esse ponto complementa o artigo sobre PLD/FT e automação regulatória, porque tecnologia só gera valor quando os critérios de risco estão claros o suficiente para orientar alertas, diligência e revisão.

    • Avaliação interna de risco: identifica exposições relevantes da instituição, considerando perfil de clientes, produtos, serviços, canais, geografias e operação.
    • Critérios de classificação: traduzem essas exposições em fatores avaliáveis e revisáveis.
    • Abordagem baseada em risco: aplica controles, diligência e monitoramento de forma proporcional à classificação.
    • Governança: define responsáveis, revisão, aprovação, exceções e evidências da metodologia.

    Critérios que normalmente compõem uma matriz

    Não existe uma matriz universal que sirva para qualquer instituição. Os critérios precisam refletir modelo de negócio, produtos, canais, perfil de clientes, jurisdições, histórico de alertas, capacidade operacional e exigências regulatórias aplicáveis.

    Mesmo assim, alguns grupos de fatores aparecem com frequência em estruturas de PLD/FT e ajudam a orientar o desenho inicial da metodologia.

    • Perfil cadastral: natureza jurídica, atividade econômica, estrutura societária, beneficiário final, PEP e informações de identificação.
    • Geografia: domicílio, origem ou destino de recursos, jurisdições sensíveis e regiões de maior exposição.
    • Produto ou serviço: complexidade, possibilidade de movimentação, liquidez, anonimização, velocidade e finalidade.
    • Canal de relacionamento: onboarding digital, presencial, intermediado, parceiros, correspondentes ou canais de autosserviço.
    • Comportamento transacional: compatibilidade com perfil, recorrência, volume, fragmentação, atipicidade e histórico de alertas.
    • Relacionamento: tempo de vínculo, qualidade documental, revisões anteriores, exceções e ocorrências relevantes.

    Como pontuar sem criar falsa precisão

    Uma matriz pode usar pesos, faixas, notas e regras de combinação. O cuidado é evitar que a matemática pareça mais precisa do que a própria qualidade dos dados permite. Pontuação ajuda a padronizar, mas precisa ser acompanhada de justificativa metodológica.

    O desenho deve deixar claro quais fatores são determinantes, quais são complementares e quais exigem revisão humana. Um único fator crítico pode justificar classificação mais alta, mesmo que a soma geral pareça moderada.

    • Definir cada fator com linguagem objetiva e aplicável pela operação.
    • Separar critérios automáticos de critérios que exigem julgamento técnico.
    • Registrar pesos e faixas com justificativa de risco.
    • Evitar excesso de campos que não mudam a decisão final.
    • Tratar exceções de forma documentada, com responsável e motivo.
    • Testar a matriz com casos reais antes de considerar a metodologia estável.

    Revisão periódica e gatilhos de atualização

    A matriz não deve ficar congelada. Mudanças no portfólio, nas tipologias, nas regras internas, nos canais, nos dados ou no apetite de risco podem tornar a classificação antiga insuficiente.

    Além da revisão periódica, a instituição deve definir gatilhos para reavaliar critérios. Esses gatilhos ajudam a demonstrar que a matriz acompanha a evolução da operação e não existe apenas como documento estático.

    • Lançamento de produto, serviço, canal ou parceria relevante.
    • Mudança no perfil da base de clientes ou no volume operacional.
    • Aumento de alertas, falsos positivos ou casos escalados.
    • Identificação de novas tipologias ou padrões de comportamento.
    • Achados de auditoria, controles internos ou fiscalização.
    • Alteração regulatória ou revisão da avaliação interna de risco.
    • Evidência de que a classificação não está orientando controles adequados.

    Da metodologia para a operação

    A matriz só sustenta o programa de PLD/FT quando se conecta ao dia a dia. A classificação de risco precisa orientar diligência, atualização cadastral, monitoramento, fila de alertas, revisão gerencial e documentação das decisões.

    Essa conexão também aparece no conteúdo sobre critérios para escolher uma ferramenta de PLD. Uma solução tecnológica precisa conseguir refletir a metodologia da instituição, e não impor uma classificação opaca.

    • Risco baixo pode ter revisão e diligência proporcionais, sem abandonar controles mínimos.
    • Risco médio pode exigir campos adicionais, acompanhamento mais frequente e regras específicas.
    • Risco alto pode acionar diligência reforçada, aprovação superior e monitoramento mais próximo.
    • Mudanças de classificação precisam gerar histórico e, quando necessário, revisão de casos em aberto.
    • Indicadores de efetividade devem mostrar se a matriz melhora priorização e qualidade das análises.

    Evidências e governança da matriz

    Auditoria e supervisão não avaliam apenas o resultado da classificação. Elas também podem questionar como a matriz foi desenhada, aprovada, aplicada, revisada e registrada. Por isso, a documentação da metodologia é parte do controle.

    A instituição precisa preservar a trilha entre decisão metodológica e aplicação operacional. Isso inclui versões da matriz, histórico de mudanças, critérios de exceção, responsáveis e impactos das revisões.

    • Documento metodológico com critérios, pesos, faixas e racional.
    • Aprovação por instância responsável e registro de responsáveis técnicos.
    • Data de implantação, revisão e versão vigente.
    • Evidências usadas para calibrar ou revisar critérios.
    • Registro de exceções e tratamentos diferenciados.
    • Indicadores que mostrem impacto em diligência, alertas e monitoramento.

    Como a FusionX apoia essa estruturação

    A consultoria em PLD da FusionX pode apoiar diagnóstico de maturidade, revisão de avaliação interna de risco, desenho de critérios, documentação metodológica e conexão entre matriz, processos e tecnologia.

    Quando a matriz precisa sair do documento e entrar em rotina operacional, o Eagle pode apoiar a aplicação dos critérios em alertas, evidências, dossiês e decisões rastreáveis.

    Referências técnicas

    A classificação de relacionamentos deve ser conectada à avaliação interna de risco em PLD/FT, que examina a exposição institucional além da matriz de clientes.

    A classificação de maior risco precisa orientar medidas concretas. O roteiro de diligência reforçada de clientes aprofunda perguntas, evidências e governança da decisão.

    Perguntas frequentes

    O que é matriz de risco em PLD/FT?

    Matriz de risco em PLD/FT é uma metodologia para classificar clientes, produtos, canais, operações ou relações conforme critérios de exposição a lavagem de dinheiro e financiamento do terrorismo. Ela ajuda a aplicar controles proporcionais ao risco.

    Qual é a relação entre matriz de risco, AIR e ABR?

    A avaliação interna de risco identifica exposições relevantes da instituição. A abordagem baseada em risco orienta controles proporcionais a essas exposições. A matriz transforma essa lógica em critérios, pesos, faixas e revisões operacionais.

    Com que frequência revisar a matriz de risco?

    A revisão deve ocorrer periodicamente e também quando houver mudança relevante em produtos, canais, base de clientes, tipologias, regras internas, exigências regulatórias, dados ou apetite de risco.

    A matriz de risco pode ser automatizada?

    Pode, desde que os critérios sejam documentados, revisáveis e compreendidos pela governança. A automação deve apoiar consistência e rastreabilidade, não substituir a responsabilidade técnica pela metodologia.

    Quais evidências precisam ficar registradas na matriz?

    Devem ficar registrados critérios usados, pesos, fontes de dados, justificativa metodológica, data de revisão, responsáveis, aprovações, exceções e impactos operacionais da classificação de risco.

  • Trilha de auditoria em PLD: quais evidências precisam ficar registradas

    Trilha de auditoria em PLD: quais evidências precisam ficar registradas

    A trilha de auditoria em PLD é o registro que permite reconstruir como uma análise foi conduzida: qual alerta originou o caso, quais dados foram consultados, quais evidências sustentaram o parecer, quem revisou e qual decisão foi tomada.

    Em programas de PLD/FT, a qualidade da decisão depende também da capacidade de demonstrar o caminho percorrido. Uma análise pode ser tecnicamente correta e ainda assim ficar frágil se a instituição não conseguir mostrar o racional, as fontes e os responsáveis por cada etapa.

    Esse tema complementa o artigo sobre reporte ao COAF com rastreabilidade e reforça a importância de manter evidências organizadas antes de qualquer decisão crítica.

    O que a trilha precisa demonstrar

    A trilha de auditoria deve mostrar a sequência do tratamento do caso. Ela não se limita ao arquivo final ou ao parecer. O registro precisa permitir que um revisor entenda como o alerta entrou na fila, por que recebeu determinada prioridade e como chegou ao encerramento, escalonamento ou comunicação.

    • Origem do alerta, regra ou evento que iniciou a análise.
    • Data de abertura, responsável e unidade ou área envolvida.
    • Dados cadastrais, transacionais e relacionais considerados.
    • Fontes internas e externas consultadas.
    • Critérios de risco, severidade, materialidade e prioridade aplicados.
    • Evidências anexadas e justificativa do parecer.
    • Histórico de revisão, aprovação, alteração de status e decisão final.

    Evidências do alerta e do contexto

    O primeiro bloco de evidências deve explicar por que o caso existe. Isso inclui a regra que gerou o alerta, o comportamento observado, o período analisado, valores envolvidos, produtos, canais e eventuais reincidências.

    Quando a análise nasce de monitoramento contínuo, vale conectar o caso ao processo descrito no artigo sobre sinais, alertas e evidências em PLD. O alerta deve carregar contexto suficiente para não depender da memória do analista.

    • Regra, parâmetro ou tipologia relacionada ao alerta.
    • Período analisado e janela de comportamento.
    • Compatibilidade entre movimentação, perfil e atividade declarada.
    • Histórico de alertas anteriores, encerramentos ou escalonamentos.
    • Relações com contrapartes, grupo econômico, beneficiário final ou vínculos relevantes.

    Fontes, critérios e parecer técnico

    A trilha precisa separar o que foi observado, o que foi usado como critério e qual conclusão foi extraída. Essa distinção reduz ambiguidade e melhora a qualidade da revisão.

    • Fonte: de onde veio a informação analisada.
    • Critério: regra, política, parâmetro ou racional aplicado.
    • Evidência: documento, dado, consulta ou registro que sustenta a análise.
    • Parecer: interpretação técnica dos elementos disponíveis.
    • Decisão: encaminhamento final e justificativa associada.

    Uma trilha auditável deve permitir que outra pessoa entenda o caso sem reconstruir conversas, planilhas e anexos dispersos.

    Revisão, aprovação e histórico de alterações

    A trilha também deve preservar alterações de status, responsáveis, revisões e aprovações. Em estruturas mais maduras, a segregação de funções ajuda a demonstrar que análise, revisão e decisão seguiram alçadas definidas.

    Esse controle é especialmente relevante quando a decisão envolve encerramento de caso sensível, escalonamento interno, diligência adicional ou comunicação. Alterações posteriores precisam ficar registradas com data, responsável e motivo.

    • Mudança de responsável ou fila de análise.
    • Inclusão, substituição ou remoção de evidências.
    • Revisão de parecer ou mudança de conclusão.
    • Aprovação por liderança ou comitê quando aplicável.
    • Reabertura de caso e vínculo com decisões anteriores.

    Linha do tempo, logs e campos mínimos

    Para não competir com um dossiê de análise, a trilha de auditoria deve deixar claro o percurso operacional do caso. O foco está no encadeamento: entrada do alerta, fila de tratamento, mudanças de status, responsáveis, revisões, anexos, pareceres e decisão final.

    Uma forma prática de avaliar a qualidade da trilha é verificar se outra pessoa conseguiria reconstruir a linha do tempo sem perguntar ao analista. Se a resposta depender de memória, conversa paralela ou planilha auxiliar, a trilha ainda está frágil.

    • Abertura: data, regra, origem do alerta, responsável inicial e severidade atribuída.
    • Tratamento: evidências adicionadas, fontes consultadas, comentários técnicos e mudança de prioridade.
    • Revisão: quem revisou, qual ajuste foi solicitado e qual versão do parecer foi aprovada.
    • Decisão: encerramento, escalonamento, monitoramento, diligência adicional ou comunicação, sempre com justificativa.
    • Alterações posteriores: reabertura, substituição de evidência, correção de dado ou vínculo com novo alerta.

    Esse nível de registro diferencia trilha de auditoria de acervo documental. O dossiê mostra o caso organizado; a trilha mostra como o caso foi conduzido, quem atuou em cada ponto e por que a decisão mudou ou permaneceu igual.

    Na prática, esse controle também ajuda a identificar gargalos: casos que ficam tempo demais em uma fila, evidências adicionadas tarde, revisões recorrentes pelo mesmo motivo ou decisões reabertas por falta de contexto. A trilha deixa de ser apenas defesa para auditoria e passa a orientar melhoria operacional.

    Como tecnologia reduz fragilidade operacional

    O uso de software de PLD/FT ajuda a consolidar alerta, evidências, status, comentários, responsáveis e decisão no mesmo fluxo. Isso reduz o risco de dados ficarem espalhados entre planilhas, e-mails, pastas e mensagens paralelas.

    No ecossistema FusionX, o Eagle apoia alertas, evidências, dossiês e decisões rastreáveis, conectando a análise operacional à governança do programa de PLD/FT.

    Referências técnicas

    Essa organização das evidências também sustenta os testes de efetividade dos controles, permitindo reconstruir a verificação original e o resultado dos retestes.

    Perguntas frequentes

    O que é trilha de auditoria em PLD?

    É o conjunto de registros que permite reconstruir o caminho entre alerta, dados analisados, evidências, parecer, revisão e decisão. A trilha mostra quem fez cada etapa, quando fez e com qual justificativa.

    Quais evidências precisam ficar registradas?

    Devem ficar registrados origem do alerta, dados cadastrais e transacionais, fontes consultadas, critérios aplicados, anexos, parecer técnico, revisões, aprovações, decisão final e histórico de alterações.

    Trilha de auditoria é a mesma coisa que dossiê?

    Não exatamente. O dossiê organiza o caso e suas evidências. A trilha de auditoria registra o percurso de tratamento do caso, incluindo alterações, responsáveis, datas, status, revisões e aprovações.

    Por que a trilha de auditoria é importante em PLD/FT?

    Porque decisões de PLD podem ser revisadas por auditoria, controles internos, governança ou supervisão. Sem trilha, a instituição pode ter dificuldade para demonstrar o racional da análise.

    Planilhas sustentam uma boa trilha de auditoria?

    Planilhas podem apoiar controles iniciais, mas costumam limitar histórico, segregação de funções, anexos, revisão, controle de acesso e recuperação estruturada das evidências.

  • Maturidade do programa de PLD/FT: sinais de que a estrutura precisa evoluir

    Maturidade do programa de PLD/FT: sinais de que a estrutura precisa evoluir

    A maturidade de um programa de PLD/FT aparece na capacidade de transformar política, metodologia, dados, tecnologia e governança em uma rotina consistente. O programa precisa funcionar no dia a dia, produzir evidências e demonstrar por que suas decisões são proporcionais ao risco.

    Quando a estrutura depende de controles manuais, conhecimento informal e decisões pouco documentadas, a instituição pode até cumprir tarefas, mas terá dificuldade para demonstrar efetividade. A maturidade está na sustentação operacional do programa, não apenas na existência de documentos.

    Esse diagnóstico se conecta diretamente à consultoria em PLD da FusionX, especialmente quando a instituição precisa revisar governança, matriz de risco, evidências ou preparação para auditoria.

    Dimensões de maturidade em PLD/FT

    Um programa maduro combina governança, processos, pessoas, dados, tecnologia, indicadores e melhoria contínua. Avaliar apenas um desses componentes costuma gerar diagnóstico incompleto.

    • Governança: responsabilidades claras, alçadas, aprovação, revisão e reporte.
    • Processos: fluxos definidos para diligência, monitoramento, alertas, dossiês e comunicação.
    • Pessoas: capacitação, segregação de funções e capacidade operacional compatível.
    • Dados: qualidade, atualização, integração e rastreabilidade das fontes usadas.
    • Tecnologia: suporte a escala, evidências, controles, alertas e histórico.
    • Indicadores: leitura sobre fila, prazo, qualidade, efetividade e recorrência.

    Níveis de maturidade para orientar o diagnóstico

    Para diferenciar maturidade de matriz de risco, vale olhar o programa como uma jornada operacional. A matriz é uma peça da metodologia. A maturidade mostra se governança, dados, pessoas, tecnologia e evidências sustentam a rotina de PLD/FT de forma recorrente.

    • Inicial: controles dependem de pessoas específicas, planilhas e decisões pouco padronizadas.
    • Padronizado: políticas e procedimentos existem, mas a execução ainda tem lacunas de evidência e indicadores.
    • Gerenciado: responsabilidades, filas, revisões, matriz de risco e registros já orientam a rotina.
    • Mensurado: indicadores mostram prazo, backlog, qualidade, reincidência, efetividade e pontos de melhoria.
    • Evolutivo: o programa usa achados, auditorias, mudanças regulatórias e dados operacionais para revisar controles continuamente.

    Esse recorte ajuda a priorizar. Uma instituição pode ter boa política e baixa maturidade de dados; pode ter tecnologia, mas pouco treinamento; ou pode ter matriz de risco sem indicadores para saber se os controles estão funcionando.

    O diagnóstico deve terminar com uma ordem de evolução. Corrigir tudo ao mesmo tempo tende a dispersar esforço. Em geral, a prioridade deve recair sobre lacunas que afetam decisão, rastreabilidade, exposição regulatória, capacidade de revisão ou continuidade operacional.

    Sinais de baixa maturidade operacional

    Alguns sinais indicam que a estrutura precisa evoluir. Eles costumam aparecer antes de uma falha formal: retrabalho, demora em análises, dificuldade para recuperar evidências, excesso de planilhas ou baixa clareza sobre prioridades.

    • Alertas são tratados sem critério consistente de severidade ou prioridade.
    • Evidências ficam espalhadas em pastas, e-mails, planilhas e mensagens.
    • A matriz de risco existe, mas não orienta diligência, monitoramento ou revisão.
    • Regras e parâmetros são mantidos sem histórico de revisão.
    • Indicadores gerenciais dependem de consolidação manual.
    • Auditoria exige reconstrução posterior do caso.
    • Decisões dependem da memória de analistas ou líderes específicos.
    • Treinamentos existem, mas não se conectam aos riscos reais da operação.

    AIR, ABR e matriz de risco na prática

    A avaliação interna de risco identifica exposições relevantes. A abordagem baseada em risco define controles proporcionais. A matriz transforma essa lógica em critérios operacionais. A maturidade aparece quando esses elementos conversam entre si.

    Esse ponto se conecta ao artigo sobre matriz de risco em PLD/FT, porque uma matriz só gera valor quando orienta decisões, controles e revisões de forma demonstrável.

    • A AIR deve refletir o negócio, os produtos, canais, clientes e exposições reais.
    • A ABR deve orientar diligência, monitoramento e priorização de casos.
    • A matriz deve ter critérios, pesos, faixas, exceções e revisão documentada.
    • Os controles devem ser testados contra evidências e indicadores de efetividade.

    Como evoluir sem transformar tudo em projeto infinito

    A evolução do programa pode ser organizada em etapas. O primeiro passo é identificar lacunas que aumentam risco ou reduzem rastreabilidade. Depois, priorizar ajustes que tenham impacto direto em governança, evidências e decisões.

    • Mapear fluxos reais de diligência, monitoramento, alertas e decisão.
    • Revisar responsabilidades, alçadas e pontos de aprovação.
    • Avaliar se dados e fontes sustentam a análise exigida.
    • Padronizar dossiês, pareceres e evidências mínimas.
    • Criar indicadores de fila, prazo, qualidade e efetividade.
    • Definir plano de revisão de regras, matriz e parâmetros.
    • Conectar treinamento às fragilidades identificadas no diagnóstico.

    A evolução também precisa produzir evidências de melhoria. Um plano de ação sem indicadores pode resolver problemas pontuais, mas não demonstra se a estrutura passou a operar melhor. Por isso, cada frente deve ter responsável, prazo, critério de conclusão e evidência esperada.

    • Redução de retrabalho em análises e dossiês.
    • Melhoria na recuperação de evidências para auditoria.
    • Maior clareza sobre backlog, prazo e severidade de alertas.
    • Revisões documentadas de regras, matriz e parâmetros.
    • Treinamentos conectados aos achados do diagnóstico.

    Tecnologia, consultoria e treinamento

    A evolução pode exigir diferentes frentes. A consultoria em PLD apoia diagnóstico, metodologia, governança e plano de ação. O treinamento em PLD fortalece aplicação prática, responsabilidades e capacidade do time.

    Quando o gap está em escala, rastreabilidade e gestão operacional, o Eagle apoia alertas, evidências, dossiês e decisões auditáveis.

    Referências técnicas

    O diagnóstico de maturidade pode ser aprofundado pela elaboração e revisão da AIR, relacionando exposição, controles e prioridades da operação.

    Para verificar o funcionamento dos controles, a avaliação de efetividade em PLD/FT organiza testes, evidências, indicadores e acompanhamento das ações corretivas.

    Perguntas frequentes

    O que é maturidade de um programa de PLD/FT?

    É o grau de estruturação do programa em governança, processos, pessoas, dados, tecnologia, evidências, controles, indicadores e capacidade de demonstrar efetividade.

    Como saber se a estrutura de PLD precisa evoluir?

    Sinais comuns incluem decisões pouco documentadas, excesso de controles manuais, falta de indicadores, regras sem revisão, evidências dispersas, dependência de pessoas-chave e baixa rastreabilidade.

    Maturidade em PLD depende apenas de tecnologia?

    Não. Tecnologia ajuda a ganhar escala e rastreabilidade, mas a maturidade depende também de política, metodologia, governança, treinamento, dados confiáveis e processo operacional.

    Qual a relação entre maturidade, AIR e ABR?

    A avaliação interna de risco orienta exposições relevantes. A abordagem baseada em risco define controles proporcionais. A maturidade mostra se essa lógica está operando de forma consistente no dia a dia.

    Quando contratar uma consultoria de PLD?

    Quando a instituição precisa revisar governança, matriz de risco, políticas, procedimentos, evidências, indicadores, preparação para auditoria ou plano de evolução regulatória.