Monitorização de transacções na prevenção do BC/FT: como funcionam a detecção por regras e a detecção comportamental

A avaliação do risco do cliente diz-lhe com quem está a lidar. A filtragem diz-lhe se essa pessoa consta de alguma lista. Nenhuma delas observa o que o cliente efectivamente faz depois de a conta estar aberta. Essa é a função da monitorização de transacções: a disciplina que observa pagamentos, transferências, depósitos e levantamentos à medida que ocorrem e gera um alerta quando o comportamento se assemelha a branqueamento de capitais, financiamento do terrorismo ou evasão a sanções, e não a uma actividade comercial normal.

É na monitorização de transacções que a detecção por regras e a detecção comportamental fazem o seu trabalho no âmbito da prevenção do branqueamento de capitais e do financiamento do terrorismo (BC/FT), e é a parte do programa que os reguladores examinam com mais rigor, porque é a que mais facilmente se revela negligentemente silenciosa ou irremediavelmente ruidosa. Se acertar na lógica, faz emergir risco real que os seus outros controlos não conseguem ver. Se errar, ou deixa escapar o branqueamento ou soterra os seus analistas em milhares de falsos positivos. Este artigo explica como funciona a monitorização de ponta a ponta — os dois estilos de detecção, a avaliação das transacções em lote e em tempo real, a forma como as regras são escritas e afinadas, e o modo como um alerta se transforma num caso investigado. É um capítulo da história mais ampla contada no guia completo da plataforma BC/FT.

O lugar da monitorização no programa de prevenção do BC/FT

A monitorização de transacções é a camada contínua — a do dever de diligência permanente — dos seus controlos de crime financeiro. A adesão e a filtragem são verificações pontuais, realizadas quando uma relação de negócio se inicia ou quando uma lista muda. A monitorização é permanente: incide sobre o fluxo de actividade durante toda a vida de cada conta, e é o controlo com mais probabilidades de detectar que um cliente que parecia de baixo risco na adesão começou a comportar-se como uma mula de dinheiro.

O seu resultado não é uma decisão; é um sinal. Uma regra de monitorização não congela uma conta nem submete uma comunicação — gera um alerta que uma pessoa investiga. Essa distinção define o padrão de uma boa monitorização: o objectivo não é disparar o mais vezes possível, nem o menos possível, mas sim disparar perante os padrões que um analista qualificado, com os mesmos dados, concordaria que merecem ser examinados. Tudo o que se segue — a concepção das regras, a afinação, os testes retrospectivos — existe para aproximar o sistema desse padrão. E tudo depende dos dados subjacentes, um ponto a que voltaremos no final.

Detecção por regras: limiares, fraccionamento, velocidade, grupos de pares

A detecção por regras é o núcleo consolidado da monitorização de transacções. Uma regra codifica um indicador conhecido de comportamento suspeito sob a forma de uma condição explícita e testável. Quando a condição se verifica, a regra dispara. Quatro famílias de regras cobrem a maior parte do terreno.

• As regras de limiar disparam quando uma única transacção, ou um agregado ao longo de uma janela temporal, ultrapassa um valor. Um depósito em numerário acima de um limiar de comunicação, ou um total de transferências recebidas superior ao volume de negócios mensal esperado de um cliente, são exemplos clássicos.
• As regras de fraccionamento (smurfing) procuram uma fragmentação deliberada — muitas transacções de montante ligeiramente inferior a um limiar de comunicação, distribuídas por vários dias, balcões ou canais, que somam um total elevado. Apanham o cliente que conhece o limite de comunicação e o contorna.
• As regras de velocidade observam o ritmo e o padrão da actividade, e não o montante: uma conta inactiva que de repente movimenta dezenas de transacções num só dia, um trânsito rápido de fundos em que o dinheiro que entra iguala o que sai em poucas horas, ou uma alteração brusca face ao perfil de referência já estabelecido de um cliente.
• As regras de grupo de pares comparam um cliente com outros que tenham o mesmo perfil de risco, tipo de actividade ou produto. Uma conta cujo comportamento é normal quando visto isoladamente, mas claramente atípico face ao seu grupo de pares, é exactamente o tipo de anomalia que um limiar fixo não detecta.

A força da detecção por regras está em ser explícita e explicável. Quando uma regra de fraccionamento dispara, pode mostrar ao inspector a condição exacta, as transacções que a preencheram e o limiar que foi definido. A fraqueza está em as regras só detectarem aquilo que já se sabe que se deve procurar. Um padrão de branqueamento novo, que nenhuma regra descreva, passa despercebido até alguém escrever uma regra para ele. É por isso que os programas maduros combinam as regras com a detecção comportamental.

Detecção comportamental e estatística

A detecção comportamental — ou estatística — parte do ponto oposto. Em vez de perguntar «esta transacção corresponde a um padrão ilícito conhecido?», pergunta «este comportamento é normal para este cliente, este segmento, este momento?». Constrói um perfil de referência da actividade esperada e assinala os desvios significativos em relação a ele: uma conta de ordenado que começa a receber avultadas transferências internacionais, um comerciante cujo perfil de depósitos já não corresponde à actividade declarada, uma alteração súbita e coordenada num agrupamento de contas ligadas.

O valor da abordagem comportamental está em fazer emergir actividade suspeita que nenhuma regra previu, porque é orientada por anomalias e não pela correspondência com padrões. O seu custo é a interpretabilidade: um analista — e, em última instância, um regulador — precisa de compreender porque é que algo foi assinalado. É aqui que a IA explicável faz a diferença. Os elementos de IA da Creodata apresentam uma etiqueta de modelo e versão, uma percentagem de confiança e as três principais razões, ao estilo SHAP, para cada pontuação, com um controlo humano para aceitar, modificar ou rejeitar (Accept / Modify / Reject) e cada decisão registada com a versão do modelo e os dados de entrada. A detecção comportamental deve alargar aquilo que consegue ver, e nunca tornar-se uma caixa negra que não consegue defender.

Na prática, os dois estilos são complementares, e não concorrentes. As regras asseguram uma cobertura defensável das tipologias conhecidas; a detecção comportamental permite chegar ao desconhecido. Um programa de monitorização sério utiliza ambos e deixa que cada um compense os ângulos mortos do outro.

Avaliação em lote versus avaliação em fluxo contínuo

A lógica de detecção tem de ser aplicada às transacções de alguma forma, e há dois modos de o fazer — não tanto alternativas, mas antes tarefas diferentes.

A avaliação em lote processa as transacções acumuladas segundo um calendário, normalmente no fecho do dia ou do período. É o modo adequado para as regras que, por natureza, precisam de uma janela de histórico: agregações, padrões de fraccionamento distribuídos por vários dias e comparações com grupos de pares que exigem uma população estabilizada. É também em lote que se reprocessam os dados históricos quando uma regra muda.

A avaliação em fluxo contínuo avalia as transacções à medida que chegam, em tempo real ou quase real. É indispensável quando a resposta tem de ser imediata — a interdição de operações ligadas a sanções, ou canais de grande velocidade, como o dinheiro móvel e os pagamentos instantâneos, em que um esquema de trânsito rápido consegue retirar os fundos antes de qualquer processamento nocturno em lote chegar a correr. Os fluxos de dinheiro móvel em tempo real, em particular, beneficiam da monitorização em fluxo contínuo, um padrão aprofundado na nossa nota sobre padrões de monitorização para os canais de dinheiro móvelEN.

O serviço de Monitorização de Transacções da Creodata suporta a avaliação em lote e em fluxo contínuo a partir das mesmas definições de regras, pelo que uma regra escrita e afinada uma única vez pode correr todas as noites sobre agregados ou reagir no momento, consoante o que a tipologia exigir.

Escrever regras: a DSL, o pacote inicial e a biblioteca de tipologias

Codificar a lógica de detecção em código que só os engenheiros podem alterar é receita certa para uma monitorização lenta e frágil. Em vez disso, o serviço de Monitorização de Transacções da Creodata disponibiliza uma DSL de regras — uma linguagem específica de domínio com um analisador (parser), um planeador (planner) e um executor — para que as equipas de conformidade possam exprimir a lógica de detecção sob a forma de regras legíveis e testáveis, e não como código aplicacional enterrado. O analisador valida a regra, o planeador determina como avaliá-la de forma eficiente e o executor aplica-a em modo de lote ou de fluxo contínuo.

Não se parte de uma folha em branco. O serviço inclui um pacote inicial de mais de 30 regras alinhadas com tipologias, que cobre os padrões relevantes em matéria de fraccionamento, velocidade, trânsito de fundos, movimentação rápida e corredores de alto risco, para que um novo inquilino disponha de uma cobertura credível desde o primeiro dia. Estas regras estão organizadas numa biblioteca de tipologias integrada, que associa cada regra ao método de branqueamento que se destina a detectar, o que mantém o conjunto de regras inteligível: vê-se num relance que tipologias estão cobertas e quais não estão.

Compreender os métodos por detrás das regras é um tema em si mesmo. Os padrões que estas regras detectam — colocação, circulação, integração e os esquemas específicos que surgem nas instituições da África Oriental — são tratados no nosso guia sobre as tipologias de branqueamento de capitais por detrás das regras de monitorização. Para as instituições que também comunicam através do goAML, os códigos de indicadores que associam os padrões suspeitos a comunicações estruturadas são apresentados na nossa biblioteca de indicadores STR do QuéniaEN.

Testes retrospectivos, afinação e promoção com controlo de versões

Uma regra que nunca foi testada é um palpite. Antes de uma regra nova ou alterada se aproximar sequer dos alertas de produção, é preciso saber como se teria comportado face ao histórico real — quantos alertas teria gerado, sobre que clientes e quantos deles teriam sido ruído.

O serviço de Monitorização de Transacções disponibiliza um ambiente de testes retrospectivos precisamente para isto: executa-se uma regra candidata sobre dados históricos de transacções e observa-se o seu padrão de ocorrências antes de ela alguma vez disparar a sério. Esse resultado alimenta o laboratório de afinação, onde limiares, janelas temporais e condições são ajustados para equilibrar a cobertura com o volume de alertas. A afinação não é um exercício pontual: o comportamento dos clientes evolui, são lançados novos produtos, e limiares que eram sensatos no ano passado disparam em excesso este ano — pelo que a afinação é contínua.

Um ponto crucial: as alterações às regras não são editadas directamente em produção. O serviço utiliza a promoção de regras com controlo de versões: uma regra é redigida, testada retrospectivamente e afinada num estado controlado, e depois promovida para produção como uma nova versão, deixando um registo completo do que mudou, quando e com base em que provas. Quando um inspector pergunta porque é que um limiar está fixado onde está, pode mostrar o teste retrospectivo que o justificou e o histórico de versões de cada ajuste. Essa auditabilidade é a diferença entre uma decisão de afinação que consegue defender e outra que se limita a afirmar.

O objectivo de toda esta afinação é reduzir os falsos positivos sem criar falsos negativos — um equilíbrio que merece um tratamento próprio, em como reduzir os falsos positivos gerados pela monitorização.

Do alerta ao caso investigado

Um alerta de monitorização é o início de um processo, e não o seu fim. Quando uma regra dispara, o alerta tem de chegar a um analista, ser atribuído, ser investigado à luz do contexto completo do cliente e terminar numa decisão documentada — encerramento como falso positivo, escalamento para diligência reforçada ou encaminhamento para uma comunicação de operação suspeita (STR).

Na plataforma da Creodata, a monitorização entrega os alertas directamente à Gestão de Casos, onde entram numa fila de alertas com atribuição, um relógio de SLA que pode ser posto em pausa e retomado durante um ciclo de pedido de informação (RFI), um grafo de casos ligados e um circuito de escalamento. Como a monitorização e o tratamento de casos partilham um único inquilino, um único modelo de identidade e um único registo de auditoria imutável, o analista vê o alerta, as transacções que o desencadearam, a classificação de risco do cliente e quaisquer casos relacionados numa só vista, em vez de conciliar três sistemas à mão. O ciclo de vida completo da investigação é tratado em como os alertas se tornam casos investigados.

Esta passagem de testemunho é também a razão pela qual a afinação dos falsos positivos não é opcional. Cada alerta fraco que chega à Gestão de Casos consome tempo de analista que deveria ser dedicado ao risco real. Uma monitorização mal afinada não se limita a gerar ruído: degrada a qualidade de todas as investigações, ao afogar os sinais genuínos no volume.

A dependência dos dados, que não pode ser ignorada

Nada disto funciona com dados de má qualidade. Uma regra de velocidade precisa de carimbos temporais fiáveis; uma regra de fraccionamento precisa de montantes e canais exactos; uma regra de grupo de pares precisa de atributos de segmento de cliente limpos. Se as transacções chegarem incompletas, duplicadas ou mal mapeadas, o conjunto de regras mais cuidadosamente afinado produz disparates com toda a confiança.

É por isso que a monitorização se situa a jusante de uma ingestão disciplinada. O serviço de Ingestão da Creodata disponibiliza conectores REST, SFTP, Kafka, CDC e ISO 20022 com idempotência, reprocessamento (replay), uma fila de mensagens não entregues (dead-letter queue), uma interface de mapeamento de campos e certificação das fontes, enquanto o serviço de Requisitos de Dados pontua, regra a regra, o grau de preparação, para que saiba se cada regra dispõe dos atributos de que precisa para ser executada. Trate a qualidade dos dados como uma condição prévia da monitorização, e não como uma preocupação secundária, e poderá confiar que as regras que escreve significam aquilo que dizem.

Perguntas frequentes

Qual é a diferença entre a monitorização de transacções por regras e a comportamental?

A monitorização por regras codifica indicadores conhecidos como condições explícitas — limiares, padrões de fraccionamento, velocidade, casos atípicos face ao grupo de pares — que disparam quando se verificam, e é integralmente explicável. A monitorização comportamental constrói um perfil estatístico de referência da actividade normal e assinala os desvios significativos em relação a ele, o que lhe permite apanhar padrões novos que nenhuma regra previu. As duas são complementares: as regras asseguram uma cobertura defensável das tipologias conhecidas, e a detecção comportamental alarga o alcance ao desconhecido. Os programas maduros utilizam ambas.

Preciso de monitorização de transacções em tempo real (em fluxo contínuo), ou basta a avaliação em lote?

Depende da tipologia e do canal. A avaliação em lote adequa-se às regras que precisam de uma janela de histórico — agregações, fraccionamento ao longo de vários dias, comparação com grupos de pares. O fluxo contínuo é indispensável quando a resposta tem de ser imediata, como na interdição ligada a sanções ou em canais de grande velocidade, como o dinheiro móvel, em que os fundos podem sair antes de correr o processamento nocturno em lote. O serviço de Monitorização de Transacções da Creodata executa os dois modos a partir das mesmas definições de regras, pelo que a maioria das instituições utiliza uma combinação de ambos.

Como evitar que a monitorização de transacções gere demasiados falsos positivos?

Através de uma afinação disciplinada e sustentada em provas. Utilize um ambiente de testes retrospectivos para ver como uma regra candidata se teria comportado face aos dados históricos, ajuste limiares e janelas temporais num laboratório de afinação e promova as alterações como regras com controlo de versões, para que cada ajuste fique registado e seja auditável. A afinação é contínua, porque o comportamento dos clientes evolui. Tratamos este tema em profundidade em como reduzir os falsos positivos gerados pela monitorização.

O que acontece depois de uma regra de monitorização gerar um alerta?

O alerta é entregue à Gestão de Casos, onde é colocado em fila, atribuído a um analista e investigado à luz do contexto completo do cliente — transacções, classificação de risco, casos ligados — com um relógio de SLA e um circuito de escalamento. A investigação termina numa decisão documentada: encerramento como falso positivo, escalamento para diligência reforçada ou encaminhamento para uma comunicação de operação suspeita. Como a monitorização e o tratamento de casos partilham um único registo de auditoria, toda a cadeia é rastreável.

A monitorização de transacções vale o que valem as regras que a sustentam, os dados que lhe servem de base e o processo de investigação que se lhe segue — e funciona melhor quando os três vivem num único sistema, e não em três. Para ver como o software de monitorização de transacções da Creodata reúne pacotes de regras alinhados com tipologias, avaliação em lote e em fluxo contínuo, testes retrospectivos e a passagem para a gestão de casos num único fluxo de trabalho auditável — apoiado, quando necessário, pela nossa consultoria em conformidade de crime financeiro e integrado com a plataforma de comunicações goAML — marque uma demonstração e mostrar-lhe-emos a monitorização aplicada aos seus próprios cenários.