Diligência reforçada (EDD): quando aplicá-la e o que exige

A maioria dos clientes que um banco ou uma SACCO (cooperativa de poupança e crédito) aceita nunca precisa de mais do que as verificações normais. Confirma-se quem são, percebe-se o que tencionam fazer com a conta e segue-se em frente. Mas uma minoria de relações comporta um risco que as verificações normais não conseguem conter — um administrador politicamente exposto, uma empresa cuja estrutura de propriedade se dilui numa cadeia de veículos offshore, um cliente cujas transacções em nada se parecem com o perfil que declarou. Nessas relações, fazer o habitual não basta. A diligência reforçada é o escrutínio acrescido que se aplica quando o risco é suficientemente elevado para ser preciso saber mais antes de a instituição se sentir confortável em manter a relação.

A diligência reforçada é também o ponto em que os programas de prevenção e combate ao branqueamento de capitais e financiamento do terrorismo (BC/FT) mais vezes falham numa inspecção. Não porque as instituições nunca façam o trabalho mais aprofundado, mas porque esse trabalho é incoerente, não está documentado ou é feito tão tarde que o inspector percebe que foi reactivo e não planeado. Este guia explica o que distingue o dever de diligência da diligência reforçada, as situações que devem levar uma relação para a diligência reforçada, as medidas que esta efectivamente exige e — a parte que decide se o seu esforço resiste a uma inspecção — como documentá-la. Trata-se de uma capacidade dentro do programa mais amplo descrito no guia completo da plataforma BC/FT, e depende de os controlos que a rodeiam funcionarem em conjunto.

CDD versus EDD: uma diferença de grau, aplicada em função do risco

O dever de diligência (CDD) é o patamar mínimo aplicado a todos os clientes. Identifica-se o cliente e verifica-se essa identidade a partir de fontes fiáveis, identifica-se qualquer beneficiário efectivo e tomam-se medidas razoáveis para verificar a sua identidade, compreende-se a natureza e a finalidade pretendidas da relação e, depois, monitoriza-se a relação ao longo de toda a sua vigência. O dever de diligência não é facultativo nem ligeiro — é o patamar abaixo do qual nenhuma relação pode estar.

A diligência reforçada (EDD) é a mesma ideia levada mais longe. Não é tanto uma categoria diferente de verificação como uma intensidade acrescida das mesmas verificações, aplicada quando o dever de diligência normal não dá garantias suficientes. Enquanto o dever de diligência pergunta quem é este cliente e o que tenciona fazer, a diligência reforçada pergunta de onde vem realmente o seu dinheiro, quem está verdadeiramente por detrás dele e se a sua actividade corresponde à história que nos contou — e faz essas perguntas com mais provas, com aprovação a um nível hierárquico mais elevado e com uma atenção contínua mais próxima do que aquela que uma relação normal recebe.

É a abordagem baseada no risco que liga as duas. A diligência reforçada não se aplica a todos — isso desperdiçaria o escrutínio de que as relações de alto risco precisam e soterraria os seus analistas em trabalho de pouco valor. Aplica-se onde o risco é genuinamente elevado. A disciplina é, portanto, dupla: saber com precisão quando uma relação entra no território da diligência reforçada e aplicar, a partir desse momento, um conjunto de medidas coerente e documentado. Se o critério de desencadeamento estiver errado, ou se aplica escrutínio em excesso ou, o que é muito mais perigoso, deixam-se escapar as relações que precisavam de uma análise mais aprofundada.

O que desencadeia a diligência reforçada

A diligência reforçada nunca deve depender da disposição de um analista num determinado dia. Os critérios de desencadeamento devem estar definidos, escritos e ser aplicados da mesma forma a todos os clientes. Na prática, inserem-se num pequeno número de categorias reconhecíveis.

Uma classificação de risco do cliente elevada

O critério mais sistemático é a própria pontuação de risco do cliente. Uma avaliação do risco do cliente bem construída combina várias dimensões de risco num único escalão, e um escalão alto é o sinal mais claro e mais defensável de que uma relação justifica um escrutínio reforçado. Em vez de pedir a cada analista que decida caso a caso se um cliente «parece» de alto risco, deixa-se o modelo decidir quem entra em diligência reforçada — de forma coerente e com base em provas reproduzíveis. A forma como essa pontuação é construída, ponderada e distribuída por escalões é tratada no artigo sobre a pontuação de risco que decide quem entra em diligência reforçada; para efeitos da diligência reforçada, o escalão alto é simplesmente o critério de desencadeamento.

Geografia de alto risco

Uma ligação a uma jurisdição de alto risco — um país sob escrutínio do FATF (Grupo de Acção Financeira, GAFI) ou do ESAAMLG, um território sujeito a sanções ou um corredor que a sua própria instituição considera de risco elevado — é um critério de desencadeamento da diligência reforçada há muito estabelecido. Aplica-se ao local onde o cliente está estabelecido, onde nasceu ou foi constituído, e de onde vêm e para onde vão os seus fundos. Um cliente cujo dinheiro passa por um corredor de alto risco justifica uma análise mais aprofundada, mesmo que tudo o resto a seu respeito pareça normal.

Pessoas politicamente expostas

Uma pessoa politicamente exposta (PPE) — alguém a quem foi confiada uma função pública proeminente, bem como os seus familiares próximos e as pessoas reconhecidamente associadas — é um critério de desencadeamento da diligência reforçada praticamente em todo o lado. A preocupação não é que uma PPE seja presumida culpada, mas sim que a sua posição cria um risco acrescido de suborno, de corrupção e de branqueamento dos proveitos daí resultantes, e que as consequências de um erro são graves. O estatuto de PPE leva, de forma fiável, uma relação para a diligência reforçada e traz consigo o requisito de aprovação da alta direcção, abordado mais abaixo.

Estrutura de propriedade complexa ou opaca

Quando não é possível ver com facilidade quem detém ou controla, em última instância, um cliente — estruturas societárias em várias camadas, acordos fiduciários (nominee), cadeias de propriedade que atravessam várias jurisdições —, essa opacidade é, em si mesma, um sinal de risco. Aqui, o objectivo da diligência reforçada é precisamente atravessar a estrutura e determinar o verdadeiro beneficiário efectivo, porque o branqueamento de capitais se esconde frequentemente por detrás deste tipo de complexidade. Fazê-lo bem é uma disciplina por si só; é ao desembaraçar estruturas de propriedade complexas durante a diligência reforçada que a resolução de entidades e um grafo de beneficiários efectivos justificam o seu lugar.

Comportamento invulgar ou inesperado

Por fim, o comportamento pode desencadear a diligência reforçada depois da adesão. Um cliente cujas transacções não correspondem ao perfil que declarou, uma alteração súbita no volume ou no padrão da actividade, ou um alerta de monitorização de transacções que não se resolve de forma clara podem, todos eles, justificar o escalamento de uma relação existente para um escrutínio reforçado. A diligência reforçada não é apenas uma decisão tomada na adesão — é algo em que uma relação activa pode cair quando o seu comportamento deixa de fazer sentido.

O que exige a diligência reforçada

Identificar que uma relação precisa de diligência reforçada é apenas o começo. São as próprias medidas que os reguladores esperam ver, e há quatro que se repetem de jurisdição para jurisdição.

Origem dos fundos e origem do património

A pedra angular da diligência reforçada é determinar de onde vem o dinheiro. Há aqui duas perguntas distintas, e ambas importam:

• Origem dos fundos — a proveniência do dinheiro concreto que passa pela conta ou que financia uma determinada transacção. De onde veio este dinheiro?
• Origem do património — a proveniência da situação financeira global do cliente. Como é que o cliente chegou a ter, à partida, os activos que detém?

Para um cliente de alto risco, não basta declarar estas origens; espera-se que a instituição as corrobore com provas — recibos de vencimento, contratos de compra e venda, registos de dividendos ou da actividade empresarial, contas auditadas — proporcionais ao risco e aos montantes envolvidos. É esta a lacuna mais frequente que um inspector encontra: um processo que regista o que o cliente disse ser a origem do seu património, sem nada que demonstre que alguém o verificou.

Aprovação da alta direcção

Nas relações de risco mais elevado, e nas PPE em particular, a decisão de estabelecer ou manter a relação não deve caber apenas ao analista responsável pela adesão. A aprovação da alta direcção é um requisito habitual da diligência reforçada: uma pessoa identificada e responsável aprova a aceitação do cliente, depois de ter tomado conhecimento do risco e das conclusões da diligência reforçada. Isto tem dois efeitos. Coloca a decisão num nível da organização que assume uma responsabilização real, e deixa registado que a instituição fez uma escolha consciente e informada, em vez de deixar passar uma relação de alto risco em piloto automático.

Monitorização contínua reforçada

A diligência reforçada não termina na adesão. Uma relação de alto risco justifica uma monitorização contínua mais sensível e mais frequente do que uma relação normal — limiares de monitorização de transacções mais apertados, maior atenção à actividade face ao perfil esperado e um seguimento mais rápido quando algo parece não estar bem. A relação que justificou um escrutínio reforçado no início continua a justificá-lo enquanto o risco persistir.

Revisões periódicas mais frequentes

Como o risco muda ao longo do tempo, as relações sujeitas a diligência reforçada devem ser reexaminadas com mais frequência do que as relações normais. A periodicidade das revisões deve seguir o escalão de risco, e não um calendário único aplicado a todos, para que os clientes de alto risco voltem mais cedo a ser reavaliados. Cada revisão retoma a classificação de risco, o quadro da origem dos fundos, os resultados da filtragem e a questão de saber se a relação continua a comportar-se como esperado — e confirma a relação ou procede ao seu escalamento.

Documentação e quatro olhos: fazer a diligência reforçada resistir a uma inspecção

A verdade mais dura sobre a diligência reforçada é que fazê-la não é o mesmo que conseguir provar que foi feita. Um inspector não observa o seu trabalho; lê os seus processos. Se a análise de diligência reforçada estiver na cabeça de um analista, dispersa por vários e-mails ou num documento que ninguém consegue localizar dois anos depois, então, para efeitos de inspecção, é como se não existisse. Há dois princípios que transformam a diligência reforçada de esforço em prova.

O primeiro é a documentação centrada nas provas. Cada decisão de diligência reforçada com consequências deve ter as provas que a sustentam à distância de um clique — a corroboração da origem dos fundos, os resultados da filtragem que foram analisados, o quadro da estrutura de propriedade que foi apurado, o raciocínio que levou a aceitar a relação ou a proceder ao seu escalamento. O processo deve permitir a quem o revê reconstituir não só o que foi decidido, mas também porquê, a partir das mesmas provas que o decisor viu.

O segundo é a aprovação segundo o princípio dos quatro olhos nas etapas com consequências. Um único analista não deve poder aprovar sozinho uma relação de alto risco. Uma pessoa propõe, outra autoriza, e tanto a proposta como a aprovação ficam registadas com uma justificação. Aplicado à aprovação da alta direcção, a uma derrogação da pontuação de risco ou à decisão de pôr termo a uma relação, o princípio dos quatro olhos transforma uma apreciação individual numa decisão auditável e sujeita a duplo controlo — exactamente o que um inspector quer ver por detrás de um cliente de alto risco.

Por baixo de ambos está um registo de auditoria imutável, só de acréscimo (append-only). Quem recolheu que provas, quem aprovou o quê e quando, qual era o escalão de risco do cliente em cada momento — tudo registado num trilho que não pode ser alterado discretamente depois dos factos. É esse registo que lhe permite responder à pergunta decisiva do inspector sobre qualquer relação de alto risco: mostre-me como tratou isto, e prove-o.

Conduzir a diligência reforçada como um caso na Creodata

Na Plataforma BC/FT da Creodata, a diligência reforçada não é uma folha de cálculo à parte, acrescentada à margem do programa — é um fluxo de trabalho dentro da Gestão de Casos, alimentado pelo resto da plataforma. O serviço de avaliação do risco do cliente produz a pontuação de seis factores e o escalão; é um escalão alto que, à partida, encaminha a relação para o fluxo de diligência reforçada. Como se trata de serviços de uma única plataforma integrada, e não de ferramentas separadas, o escalão que desencadeia a diligência reforçada é o mesmo valor que a filtragem e a monitorização lêem, registado num único trilho de auditoria, em vez de ser copiado entre sistemas.

Dentro da Gestão de Casos, o fluxo de diligência reforçada oferece ao analista um espaço estruturado para reunir as provas da origem dos fundos e da origem do património, analisar os resultados da filtragem e as entidades ligadas que estão por detrás de um cliente, e registar a análise e a decisão. As ferramentas de resolução de entidades da plataforma — entidades resolvidas, ligações, agrupamentos e o grafo de beneficiários efectivos — estão integradas na interface do caso, pelo que o deslindar de uma estrutura de propriedade opaca acontece no mesmo sítio que o resto da investigação, e não num exercício à parte. As aprovações da alta direcção e as derrogações passam pelo princípio dos quatro olhos; cada decisão com consequências mostra as suas provas à distância de um clique; e toda a sequência fica no registo de auditoria imutável. O funcionamento integral desse ciclo de vida do caso — atribuição de alertas, ciclo de pedidos de informação, gestão de SLA, escalamento — é explicado em conduzir a diligência reforçada como um fluxo de trabalho de casos. Quando a diligência reforçada revela actividade que tem de ser comunicada, o caso passa para o ciclo de vida das comunicações e, daí, para a Plataforma de Comunicações goAML.

Perguntas frequentes

Qual é a diferença entre CDD e EDD?

O dever de diligência (CDD) é o patamar mínimo aplicado a todos os clientes: identificá-los e verificar a sua identidade, identificar qualquer beneficiário efectivo, compreender a finalidade da relação e monitorizá-la ao longo do tempo. A diligência reforçada (EDD) é o mesmo conjunto de verificações aplicado com maior intensidade — origem dos fundos e do património corroborada, aprovação da alta direcção e monitorização contínua mais próxima —, reservado às relações em que o dever de diligência normal não dá garantias suficientes. A diligência reforçada é uma diferença de grau, aplicada em função do risco, e não uma categoria de verificação à parte.

Quando devemos aplicar a diligência reforçada?

Aplique a diligência reforçada sempre que o risco seja genuinamente elevado. Os critérios de desencadeamento habituais são uma classificação de risco do cliente elevada, uma ligação a uma jurisdição ou a um corredor de alto risco, o estatuto de pessoa politicamente exposta (PPE), uma estrutura de propriedade complexa ou opaca que não se consegue desvendar facilmente e um comportamento invulgar ou inesperado numa relação activa. Os critérios devem estar definidos e escritos, para que sejam aplicados de forma coerente e não fiquem entregues à discrição de cada analista.

A origem dos fundos é o mesmo que a origem do património?

Não, e confundi-las é uma lacuna frequente. A origem dos fundos é a proveniência do dinheiro concreto que circula pela conta ou que financia uma transacção. A origem do património é a proveniência da situação financeira global do cliente — a forma como chegou a deter os seus activos. Para um cliente de alto risco, espera-se que a instituição corrobore ambas com provas proporcionais ao risco, e não que se limite a registar o que o cliente declarou.

Como provamos que fizemos a diligência reforçada se um regulador o pedir?

Documentando-a à medida que avança, num único local, com as provas anexadas. Cada decisão com consequências deve ter as provas que a sustentam à distância de um clique, as etapas de aprovação da alta direcção e de derrogação devem passar pelo princípio dos quatro olhos, para ficarem sujeitas a duplo controlo, e toda a sequência deve ficar num registo de auditoria só de acréscimo, que não possa ser alterado posteriormente. Na Creodata, o fluxo de diligência reforçada dentro da Gestão de Casos regista exactamente isto, pelo que o processo que um inspector lê reconstitui tanto o que foi decidido como a razão da decisão.

A diligência reforçada só protege a sua instituição quando o critério de desencadeamento, as medidas e a documentação se encontram todos num único sistema auditável, e não dispersos por folhas de cálculo e caixas de correio. Para ver como o software de conformidade BC/FT da Creodata conduz a diligência reforçada como um fluxo de trabalho de casos — alimentado pela pontuação de risco de seis factores, apoiado na resolução de entidades e protegido pelo princípio dos quatro olhos e por um registo de auditoria imutável —, marque uma demonstração. Se lhe for útil apoio para definir os critérios de desencadeamento e as medidas de diligência reforçada adequados ao perfil de risco da sua instituição, a nossa equipa de consultoria de conformidade em crime financeiro pode trabalhar consigo nessa definição.