No dia 23 de janeiro, o Banco Central do Brasil (Banco Central) editou a Circular nº 3.978 (Circular 3.978/20), estabelecendo um novo arcabouço regulatório aplicável às políticas, aos procedimentos e aos controles internos a serem adotados pelas instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central voltados à prevenção da utilização do sistema financeiro para a prática dos crimes de lavagem de dinheiro e de financiamento ao terrorismo (PLDFT)1.
A nova circular é resultado do Edital de Consulta Pública 70/19, de 17 de janeiro de 2019, por meio do qual o Banco Central disponibilizou minuta de ato normativo sobre o tema para comentários2, seguindo-se de ampla discussão das sugestões recebidas que durou quase um ano.
A Circular 3.978/20 entrará em vigor em 1º de julho de 2020, quando ocorrerá a revogação da Circular 3.461, de 24 de julho de 2009, atualmente a principal norma sobre PLDFT aplicável às instituições reguladas pelo Banco Central. Haverá também a revogação de outras regras esparsas sobre PLDFT e que atualmente se encontram inseridas em atos normativos voltados para mercados específicos, tal como câmbio e pagamentos, consolidando-se a matéria em ato normativo único.
A seguir, destacamos os principais aprimoramentos e pontos de atenção da Circular 3.978/20, a qual deve movimentar os departamentos jurídico e de compliance das instituições financeiras e instituições de pagamento nos próximos meses.
Abordagem com base no risco
De forma geral, a nova circular busca dar maior eficiência e efetividade às regras de PLDFT, ampliando a adoção da abordagem com base no risco (risk-based approach) para esses fins no âmbito do mercado financeiro.
Tal metodologia vai ao encontro das recomendações do Grupo de Ação Financeira Internacional (GAFI), as quais já foram adotadas no âmbito do mercado de capitais, por meio da edição da Instrução CVM nº 617, de 5 de dezembro de 20193. A abordagem com base no risco também é um dos pilares do projeto de lei do novo marco legal para o mercado de câmbio4 e já foi adotado pelo próprio Banco Central em outros normativos, tal como na nova regulamentação para abertura de contas correntes5.
Mediante a adoção de uma abordagem baseada no risco, as instituições reguladas passam a ser obrigadas a identificar, a avaliar e a compreender os riscos de lavagem de dinheiro e de financiamento ao terrorismo aos quais estão sujeitas, para então definirem medidas de prevenção compatíveis com tais riscos, a fim de mitigá-los de maneira eficaz.
Isso possibilita que as medidas preventivas a serem adotadas pelas instituições reguladas sejam flexíveis e proporcionais à natureza dos riscos aos quais estão envolvidas, tendo em vista o perfil de risco de seus clientes e das suas relações de negócios, entre outros elementos.
Com a adoção dessa nova abordagem, o tratamento uniforme para todos os temas de PLDFT não é mais esperado, possibilitando-se uma racionalização dos esforços por parte das instituições reguladas, de modo que controles reforçados sejam aplicados somente em situações de maior risco e controles simplificados possam ser aplicados para situações de menor risco. Por outro lado, como contrapartida, impõe-se uma obrigação de identificação e acompanhamento contínuo dos perfis de risco pelas instituições reguladas.
Política de PLDFT
Assim como previsto no regramento anterior, a Circular 3.978/20 determina que as instituições reguladas devem implementar e manter política de PLDFT, principal documento de manuseio interno das instituições reguladas a respeito do tema. Contudo, à luz da abordagem com base no risco que mencionamos anteriormente, a nova circular inova ao reforçar que tal política deve levar em consideração os perfis de risco de clientes, da instituição, dos produtos e serviços e dos funcionários, parceiros e prestadores de serviços terceirizados.
Adicionalmente, a política de PLDFT teve seu conteúdo mínimo ampliado e aprimorado, devendo ser elaborada levando em conta um número razoável de detalhes, incluindo:
(i) Diretrizes para: (a) definição de papéis e responsabilidades para cumprimento da regulamentação; (b) avaliação de novos produtos; (c) avaliação interna de riscos; (d) verificação do cumprimento da política de PLDFT; (e) promoção de cultura organizacional para fins da PLDFT; (f) seleção e contratação de funcionários e de prestadores de serviços; (g) capacitação de funcionários e prestadores de serviços em relação aos temas de PLDFT.
(ii) Diretrizes para procedimentos: (a) de informações cadastrais; (b) de registros de informações e de serviços financeiros; (c) de monitoramento, seleção e análise de operações suspeitas; e (d) de comunicações de operações ao Conselho de Controle de Atividades Financeiras (COAF).
(iii) Comprometimento da alta administração com efetividade e melhoria da política de PLDFT.
Ainda sobre a política de PLDFT, a Circular 3.978/20 determina que (i) poderá ser adotada uma única política por conglomerado prudencial; (ii) as instituições reguladas devem assegurar a aplicação da política em suas unidades no exterior; e (iii) a política deve ser documentada, aprovada pelo Conselho de Administração ou, se inexistente, pela Diretoria e mantida atualizada.
Por fim, o novo normativo determina que as instituições reguladas devem dispor de governança adequada para assegurar o cumprimento da política de PLDFT e demais procedimentos e controles internos nela contemplados, bem como indicar diretor responsável pelo cumprimento das obrigações previstas na regulamentação.
Avaliação interna de risco
Tendo em vista a adoção da abordagem com base no risco como um dos pilares do novo arcabouço regulatório, a Circular 3.978/20 define que as instituições reguladas devem realizar avaliações internas com o objetivo de identificar e mensurar o risco de utilização de seus produtos e serviços na prática dos crimes lavagem de dinheiro e de financiamento ao terrorismo. Tal avaliação interna deverá considerar, no mínimo, os perfis de risco dos clientes, da instituição propriamente dita, das operações, transações, produtos e serviços e das atividades exercidas pelos funcionários, parceiros e prestadores de serviços terceirizados.
O risco identificado deve ser avaliado quanto à sua probabilidade de ocorrência e à magnitude dos impactos financeiro, jurídico, reputacional e socioambiental para a instituição. Nesse sentido, a Circular 3.978/20 define ainda que as categorias de risco devem ser definidas conforme a gradação de risco verificada no caso concreto (i.e., controles mais rígidos para situações de maior risco e controles simplificados para situações menos complexas).
A avaliação interna de risco pode ser realizada por conglomerado prudencial e deve ser (i) documentada e aprovada pelo diretor responsável por PLDFT; (ii) encaminhada aos órgãos internos responsáveis das instituições reguladas (comitê de risco, comitê de auditoria e administração); e (iii) revisada a cada dois anos.
Procedimentos destinados a conhecer os clientes (know your customer - KYC): identificação, qualificação e classificação
As providências de conhecimento do cliente também receberam tratamento especial na Circular 3.978/20, que passou a exigir a elaboração de manual específico contemplando os procedimentos aplicáveis à identificação, à qualificação e à classificação do cliente. Seguindo as diretrizes da abordagem com base no risco, tais procedimentos devem levar em consideração (i) o perfil de risco do cliente; (ii) a política de PLDFT; e (iii) a avaliação interna de risco.
A identificação consiste na adoção de procedimentos que permitam verificar e validar a identidade do cliente. A Circular 3.978/20 inova ao possibilitar que as instituições reguladas consultem bancos de dados públicos e privados para tais fins, bem como determina que as informações mínimas a serem coletadas e confirmadas incluem apenas: (i) nome completo, endereço residencial e CPF/ME, para pessoas naturais; e (ii) denominação social, endereço da sede e CNPJ/ME, para pessoas jurídicas. Há também uma maior clareza sobre as informações necessárias no caso de pessoas residentes no exterior.
Ainda na seara do KYC, a Circular 3.978/00 determina que as instituições reguladas devem adotar procedimentos que permitam qualificar seus clientes por meio da coleta, verificação e validação de informações, compatíveis com o perfil de risco do cliente e com a natureza da relação de negócio, incluindo em tal qualificação a coleta de informações que permitam avaliar a capacidade financeira do cliente e se ele é pessoa politicamente exposta. Em princípio, a regulamentação não estabeleceu uma lista mínima ou taxativa das informações que devem ser coletadas para os procedimentos de qualificação do cliente, cabendo a cada instituição regulada determiná-las de acordo com suas políticas e manuais internos. Não obstante, foram delegados poderes ao Banco Central para oportunamente divulgar rol de informações a serem coletadas para esses fins.
Por fim, em adição à qualificação, a Circular 3.978/20 determina que as instituições reguladas adotem uma última etapa no processo de KYC, referente à classificação dos seus clientes nas categorias de risco definidas na avaliação interna.
Tal como previsto no regramento anterior, a Circular 3.978/20 estabelece que, no caso de clientes pessoa jurídica, os procedimentos de KYC contemple os seus administradores, bem como a análise da cadeia societária até a identificação da pessoa natural caracterizada como o seu beneficiário final, excetuando-se as companhias abertas, as associações sem fins lucrativos, as cooperativas e as pessoas que detenham participação societária abaixo de valor mínimo de referência a ser estabelecido para cada instituição regulada (o qual deverá ser definido com base na sua análise de risco e nunca poderá ser superior a 25%).
Pessoa exposta politicamente
A Circular 3.978/20 expandiu a definição de pessoa exposta politicamente (PEP) para alcançar cargos não previstos no regramento anterior. Além das pessoas já alcançadas no regramento anterior, passaram a ser considerados PEP: (i) presidentes e tesoureiros nacionais, ou equivalentes, de partidos políticos; (ii) secretários de estados e do Distrito Federal; (iii) deputados estaduais e distritais; (iv) presidentes ou equivalentes de entidades da administração pública indireta estadual e distrital; (iv) presidente de Tribunais Militares; (v) os vereadores, os secretários municipais, os presidentes, ou equivalentes, de entidades da administração pública indireta municipal. Ainda, há um rol grande de pessoas ocupando cargos no exterior que passaram a ser consideradas PEP.
Registro de operações
O novo ato normativo mantém a obrigação das instituições autorizadas de manterem registros para todas as operações realizadas e produtos e serviços contratados, inclusive saques, depósitos, aportes, pagamentos, recebimentos e transferência de recursos.
Dentre as principais inovações, destacamos as seguintes:
(i) inclusão de comando visando assegurar que o monitoramento de operações e situações suspeitas ocorra mesmo no caso em que as instituições reguladas estabelecem relação comercial com intermediários não regulados que participem de arranjos de pagamentos, tal como os subcredenciadores; e
(ii) regras adicionais sobre as informações que devem constar no registro de operações em espécie, como por exemplo a inclusão da origem dos recursos nos casos de operações de depósito ou de aporte em espécie acima de R$50mil.
Procedimentos de monitoramento, de seleção e de análise de operações e situações suspeitas
A Circular 3.978/20 também aprimorou os procedimentos de monitoramento, de seleção e de análise das operações e situações suspeitas, dispondo com maiores detalhes sobre cada uma dessas etapas. Em linhas gerais, as mudanças refletem uma preocupação do regulador de buscar eficiência e receber “boas informações”, baseadas em mecanismos de searching and screening a serem realizados pelas instituições reguladas.
Inicialmente, foi estabelecido que esses procedimentos devem estar previstos em manual específico, aprovado pela diretoria da instituição regulada, serem compatíveis com a política de PLDFT e definidos com base na avaliação interna de risco. Uma vez mais, nota-se o valor que o regulador atribuiu à abordagem com base no risco no novo quadro regulatório.
Os procedimentos de monitoramento e seleção devem possibilitar que as instituições reguladas identifiquem operações e situações que possam indicar suspeitas de lavagem de dinheiro e de financiamento ao terrorismo, devendo ser executados no prazo de até 45 dias contados da data da ocorrência da operação ou situação.
As operações e situações selecionadas devem então passar por um procedimento de análise por parte das instituições reguladas, cujo objetivo é decidir se aquelas devem ou não ser caracterizadas como suspeitas. Esse procedimento deverá sempre ser formalizado em dossiê e concluído no prazo máximo de 45 dias contados a partir da data da seleção da operação ou situação. Ademais, o normativo proíbe expressamente que as instituições contratem terceiros para realização da análise e que esta seja feita no exterior. No entanto, atendendo a pedidos apresentados durante a consulta pública, foi permitida a contratação, inclusive no exterior, de serviços auxiliares à realização da análise de operações e situações suspeitas.
Por fim, no tocante às comunicações ao COAF, ficou estabelecido que as operações suspeitas devem ser comunicadas dentro do prazo do procedimento de análise acima mencionado e realizadas até o dia útil seguinte ao da tomada de decisão de comunicação pelas instituições reguladas. Ademais, continuam presentes outros comandos que já constavam da regulamentação atual, como a obrigação de não dar ciência da comunicação aos envolvidos e terceiros, bem como de prestar declaração ao COAF no caso de não realização de comunicações a este último em um determinado ano.
Procedimentos destinados a conhecer funcionários, parceiros e prestadores de serviços
Inovando em relação ao quadro regulatório atual, a Circular 3.978/20 estabelece, de forma expressa e detalhada, a obrigatoriedade de as instituições reguladas implementarem procedimentos destinados a conhecer os seus funcionários, parceiros e prestadores de serviços terceirizados, incluindo procedimentos de identificação e qualificação.
Mecanismos de acompanhamento e avaliação de efetividade
Por fim, a nova circular estabelece a obrigatoriedade de as instituições reguladas adotarem mecanismos de acompanhamento e controle, bem como de avaliação da efetividade das políticas e dos procedimentos estabelecidos na norma. Isso deve ser feito, por exemplo, por meio da definição de processos, testes e trilhas de auditoria, definição de métricas e indicadores adequados, bem como realização de testes de avaliação periódicos e com reporte para a alta administração.
Comentários finais
As mudanças trazidas pela Circular 3.978/20 consolidam a visão do regulador no sentido de que o mercado financeiro brasileiro se encontra maduro o suficiente para adotar a abordagem com base no risco de forma mais ampla.
Isto, no entanto, exigirá uma verdadeira mudança de postura das pessoas envolvidas com temas de PLDFT, tanto nas instituições reguladas, como no próprio Banco Central. A partir da entrada em vigor da nova circular, as instituições reguladas devem entender que a flexibilidade concedida pela abordagem baseada no risco não as exime de terem controles de PLDFT robustos e efetivos, os quais deverão ser determinados por elas próprias, com base na análise dos riscos de seus clientes e negócios. Por outro lado, o departamento de supervisão do Banco Central deve ter em mente que as instituições reguladas não adotarão os mesmos controles para fins de PLDFT.
Esperamos que o Banco Central e as instituições reguladas adotem um canal de comunicação efetivo durante essa fase de transição para que as novas regras sejam implementadas de forma satisfatória.
___________________________________________________________________________
1 Previstos, respectivamente, na Lei nº 9.613, de 3 de março de 1998, e na Lei nº 13.260, de 16 de março de 2016.
3 Para mais detalhes sobre a ICVM 617, clique aqui.
4 Projeto de Lei n° 5.387/2019.
5 Resolução do CMN n° 4.753, de 26 de setembro de 2019.
___________________________________________________________________________
*Ricardo Simões Russo, Leonardo Cruz e Raphael Palmieri Salomão são advogados do Pinheiro Neto Advogados.
*Este artigo foi redigido meramente para fins de informação e debate, não devendo ser considerado uma opinião legal para qualquer operação ou negócio específico.
© 2020. Direitos Autorais reservados a PINHEIRO NETO ADVOGADOS