Diligência reforçada em jurisdições de risco (PLD/FT)

A diligência reforçada para jurisdições de risco cobra controles, beneficiário final e evidência auditável. Veja o que muda e como se preparar.

O reforço mais concreto de conformidade do segundo semestre para instituições financeiras, fintechs e participantes do mercado de capitais não veio de uma norma isolada, mas de um movimento coordenado dos dois supervisores do sistema. Ao exigir medidas de diligência reforçada em relações com investidores, clientes e contrapartes ligados a jurisdições com deficiências estratégicas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, o regulador do mercado de capitais e a autoridade monetária alinharam a régua brasileira às recomendações do organismo internacional que avalia esses sistemas. A consequência é pouco jurídica e muito operacional: identificar corretamente a origem de cada relação, mapear a cadeia de controle até o beneficiário final e conservar trilha de evidência deixa de ser boa prática e vira dever verificável. Este artigo não trata de nenhuma instituição específica. Trata do que a diligência reforçada exige de controles, dados e evidência, e de como a MERC apoia instituições reguladas a demonstrar conformidade de forma auditável.

Empresas nessa situação costumam tratar o tema dentro de um trabalho de diagnóstico e adequação regulatória.

Resumo

A régua subiu por decisão coordenada dos supervisores.As alterações recentes nas normas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo introduzem, tanto no mercado de capitais quanto no perímetro do sistema financeiro e de câmbio, a obrigação de diligência reforçada sobre relações ligadas a jurisdições listadas por deficiências estratégicas. É um requisito adicional, não substitutivo, sobre o dever de conhecer o cliente que já existia.

O gatilho é a jurisdição, mas o teste é a cadeia de controle.A obrigação não se resolve olhando apenas onde o cliente reside. Alcança clientes ligados a estruturas societárias, cadeias de controle, beneficiários finais e representantes direta ou indiretamente vinculados às jurisdições listadas. Isso desloca o esforço do cadastro simples para o mapeamento de propriedade e controle.

O tema deixa de ser de política e vira de controle e dado.Ter uma política de PLD/FT atualizada não basta. É preciso operacionalizar a identificação da jurisdição, a intensificação do monitoramento, a aprovação em alçada superior e o registro de tudo o que foi feito, com dado íntegro e reconstituível.

Quem é supervisionado precisa demonstrar, não afirmar.Numa inspeção, a pergunta não é se a instituição tem política, e sim se cada relação de risco foi identificada, tratada com diligência reforçada e documentada. É aí que a asseguração e a revisão independente de controles agregam: transformam a afirmação de conformidade em prova que resiste ao exame.

Por que a jurisdição virou o novo eixo do risco

O sistema de prevenção sempre trabalhou com a lógica de risco: quanto maior a exposição de uma relação, mais intensa a diligência. O que muda agora é que a origem geográfica ganha peso explícito de fator de risco. As jurisdições com deficiências estratégicas de prevenção são acompanhadas por um organismo internacional que publica, periodicamente, listas de países sob monitoramento intensificado e de países sujeitos a chamado para aplicação de contramedidas. Trazer essas listas para dentro da norma nacional transforma um alerta genérico em obrigação prática: se há vínculo com uma dessas jurisdições, a instituição precisa fazer mais, e precisa provar que fez.

O ponto delicado é que o vínculo raramente é óbvio. Um investidor não residente pode ter residência formal numa jurisdição neutra, mas responder a uma cadeia de controle que passa por uma jurisdição listada. Um cliente pode operar por meio de estruturas em camadas, cujo beneficiário final só aparece depois de decompor a propriedade. É por isso que a obrigação não se satisfaz com a análise do endereço do cliente. Ela cobra a leitura da estrutura societária, da cadeia de controle e do beneficiário final, exatamente onde o risco tende a se esconder.

Para quem é supervisionado, isso reorganiza a operação de conformidade. A pergunta deixa de ser "esse cliente é de país de risco?" e passa a ser "essa relação, decomposta até o beneficiário final, toca alguma jurisdição listada, e o que fizemos a respeito está documentado?". É uma pergunta de controle interno e de qualidade de dado cadastral, e é precisamente o terreno em que uma auditoria especializada trabalha.

Onde a régua encosta na contabilidade, nos controles e na auditoria

O primeiro ponto é de dado. A diligência reforçada só funciona se o cadastro capturar propriedade e controle com profundidade suficiente para revelar o beneficiário final e a cadeia até ele. Base cadastral incompleta ou desatualizada é, na prática, um controle que não opera. Testar a integridade, a completude e a atualização desse dado é trabalho de avaliação de controles, e conecta-se diretamente à leitura que o auditor faz do ambiente de controle e dos sistemas que sustentam a informação.

O segundo ponto é de processo. Identificar a jurisdição de risco, intensificar o monitoramento, submeter a decisão a alçada superior e registrar cada etapa forma uma cadeia de controle que precisa ter trilha. Sob a lógica da NBC TA 315 (R2), que trata do entendimento da entidade e da avaliação dos riscos de distorção relevante, e da NBC TA 330, que trata das respostas a esses riscos, um processo sem registro reconstituível é um ambiente de risco elevado. Não porque a instituição não tenha feito o certo, mas porque não consegue demonstrá-lo depois.

O terceiro ponto é de reflexo nas demonstrações e na exposição. Deficiências relevantes de PLD/FT podem gerar sanções, provisões e passivos contingentes, avaliados sob a ótica do reconhecimento e da divulgação de provisões e contingências, além de tocar a divulgação de partes relacionadas quando a estrutura de controle é o próprio objeto do risco. Um achado de conformidade que não vira número quando deveria é uma distorção esperando para ser encontrada. E os controles gerais de tecnologia que sustentam as listas, os alertas e o registro deixam de ser detalhe de sistema para virar controle relevante do processo.

Como a MERC pode ajudar: o que fazemos e o que você recebe

A MERC é a primeira e única auditoria especializada no mercado financeiro brasileiro, e a diligência reforçada sobre jurisdições de risco é exatamente o tipo de tema em que a especialização pesa, porque exige ler ao mesmo tempo a norma de prevenção, a qualidade do dado cadastral e a evidência que sustenta cada decisão. A abordagem cobre do diagnóstico à asseguração, com profundidade ajustável ao porte, ao volume de relações e ao perfil de risco da instituição. O escopo abaixo mostra, frente a frente, o que executamos e o que fica na sua mão como entregável.

Sobre esse ciclo, a especialização da MERC agrega a leitura da norma pela ótica de quem depois vai examinar a evidência. Quando o controle de PLD/FT já nasce pensando na detecção da jurisdição, na decomposição da cadeia até o beneficiário final e na trilha de cada decisão, a instituição não constrói apenas conformidade: constrói um ambiente que resiste à inspeção e ao trabalho de asseguração. É a diferença entre afirmar que a diligência foi feita e demonstrá-la.

Um caso ilustrativo (anonimizado)

Considere uma instituição de médio porte que atende investidores não residentes e trata a atualização da norma como ajuste de texto da política. A equipe revisa o manual, comunica a mudança e considera o tema resolvido. No diagnóstico, o problema real aparece: o cadastro não captura a cadeia de controle além do primeiro nível, as listas de jurisdições não estão amarradas ao motor de alertas, e as poucas decisões de diligência reforçada tomadas no passado não foram registradas com data e responsável. O que parecia questão de redação era, na verdade, uma cadeia de controle sem operação e sem prova.

O trabalho é reorganizado em frentes. Primeiro a qualidade do dado cadastral e a detecção da jurisdição, depois o desenho do processo de intensificação e alçada, e por fim a trilha de evidência e a prontidão para inspeção. Nenhuma etapa dependeu de tecnologia nova: dependeu de dado íntegro, processo com alçada e registro reconstituível. O caso é ilustrativo e não se refere a nenhuma instituição específica. O padrão, porém, é frequente: o risco quase nunca está na ausência de política, e sim em subestimar quanto de dado, controle e prova a diligência reforçada realmente cobra.

Perguntas frequentes

O que muda com a diligência reforçada sobre jurisdições de risco?

Passa a existir uma obrigação explícita de fazer mais quando há vínculo, direto ou indireto, com jurisdições listadas por deficiências estratégicas de prevenção. Não substitui o dever de conhecer o cliente que já existia: soma a ele medidas adicionais de identificação, monitoramento intensificado, aprovação em alçada superior e documentação reforçada, aplicáveis quando a relação toca uma dessas jurisdições.

Basta olhar onde o cliente reside para saber se a regra se aplica?

Não. A obrigação alcança clientes ligados a estruturas societárias, cadeias de controle, beneficiários finais e representantes direta ou indiretamente vinculados às jurisdições listadas. Um cliente com residência formal neutra pode responder a uma cadeia de controle que passa por uma jurisdição de risco. Por isso a análise precisa decompor a propriedade e o controle até o beneficiário final, não parar no endereço declarado.

Ter a política atualizada é suficiente para estar em conformidade?

É necessário, mas não suficiente. A política é o ponto de partida; a conformidade se demonstra na operação: cadastro que revela o beneficiário final, listas amarradas ao motor de alertas, decisões tomadas em alçada superior e trilha de cada etapa. Numa inspeção, o que se examina é a evidência de que cada relação de risco foi identificada, tratada e documentada, e não apenas a existência do manual.

Onde a auditoria se conecta com esse tema?

Diretamente. A qualidade do dado cadastral, o desenho e a operação dos controles e a trilha de evidência são avaliados sob a NBC TA 315 (R2) e a NBC TA 330, no exame do ambiente de controle e das respostas aos riscos. Além disso, deficiências relevantes podem gerar sanções e passivos que precisam ser reconhecidos ou divulgados, o que traz o tema para o campo das demonstrações e da asseguração de controles.

Como demonstrar conformidade de forma que resista à inspeção?

Combinando dado, processo e prova. O dado cadastral precisa ser completo e atualizado; o processo precisa ter detecção da jurisdição, monitoramento intensificado e alçada; e cada decisão precisa ter registro datado e reconstituível. Um trabalho de asseguração sobre esses controles oferece a terceiros, com evidência e nível de confiança definido, a demonstração de que a diligência reforçada opera de fato, e não apenas no papel.

Para aprofundar, conheça o serviço de revisão de controles internos e governança da MERC.

Este artigo tem caráter informativo e técnico e não constitui aconselhamento contábil, regulatório ou de investimento. A aplicação das regras de prevenção à lavagem de dinheiro e de diligência reforçada depende dos fatos específicos de cada relação e do texto integral das normas vigentes.

Precisa de apoio especializado? Conheça os serviços de Due Diligence Contábil e Financeira da MERC Group.