Volto a escrever sobre um tema que acho de sua importância para qualquer instituição financeira, que são os processos de controle e monitoramento de PLD. Tão importante, se não até mais, do que o Conheça seu Cliente (KYC).
A primeira etapa que qualquer instituição passa, é a implantação propriamente dita dos controles do monitoramento do comportamento de seus clientes e de suas operações.
O que pode parecer relativamente simples, mas sabemos que na prática não é, pois demanda um grande esforço em sistemas e automação, que por sua vez significa superar todas as dificuldades de interfaces para capturar as informações de seus clientes e suas operações de suas bases e demais sistemas operacionais, e muitas instituições têm dezenas de sistemas legados.
Depois todo o processo de escolha das regras e alertas adequados ao perfil de sua instituição (basicamente perfil de cliente e tipo de operações) para que consiga começar a pegar as atipicidades e atividades suspeitas, para depois passar por uma análise manual, antes de serem reportadas ao COAF e demais órgãos reguladores. Existem algumas regras que são comuns a muitas instituições, mas outras precisam ser, digamos, "personalizadas" para o seu perfil, para que possa pegar os problemas específicos de sua instituição.
Regras como com quantas contra-partes seu cliente opera, ou a quantidade e volume operados em um período, ou adequação do volume à sua capacidade financeira são algumas destas regras comuns que todos deveriam usar, mas se sua instituição trabalha com produtos específicos e de alto risco como consórcios ou câmbio, é preciso que tenha outras regras mais específicas para tratar estes produtos, como monitorar a quantidade de lances ou pré-pagamento/liquidação antecipada de cotas de consórcios, ou no caso de câmbio as moedas que opera e sua finalidade e países de destino da remessa, e por aí vai. Normalmente são centenas delas, e depois em outro post posso falar um pouco mais delas. Mas hoje não é o foco aqui.
Voltando ao foco, a maturidade deste processo leva um bom tempo, e acho que a maioria das instituições, em especial as menores, ainda está nesta fase e desafios iniciais. Porém existe um passo adiante. Uma segunda e importante etapa, que queria destacar aqui.
Queria então dar atenção hoje neste próximo passo, que chamo da busca da efetividade ou eficiência deste processo de monitoramento. Ou seja, não adianta apenas rodar as regras, e receber uma enorme quantidade de "falsos positivos", que vai lhe gerar uma grande quantidade de trabalho manual de análise, para que grande parte seja descartada.
Resumindo: fundamental a busca da efetividade deste trabalho de criação e ajustes dos parâmetros destes alertas, para que o que seja gerado deles, seja realmente algo atípico que mereça sua real atenção e reportar ao COAF.
Lembro bem de uma reunião com o regulador, em que fomos mostrar o fim desta primeira etapa, depois de ter demorado meses para implantar o monitoramento do zero, e receber não apenas os elogios deles, mas também quando me disse que agora precisava buscar a eficiência deste processo. Ou seja, o trabalho não tinha acabado. Tínhamos mais por fazer.
Hoje estou ajudando uma outra instituição neste tema, desde a própria implantação de um processo centralizado com time especializado e sistemas adequados, onde saímos em menos de um ano, de poucas centenas de comunicados, para milhares mensalmente, até chegarmos agora também nesta segunda fase na busca pela efetividade.
Em que etapa de estágio de maturidade está sua instituição? Deixe seus comentários.
E começamos lá então também esta segunda fase há algum tempo, com um pedido que fosse feito um "Backtest" entre os alertas gerados e os comunicados ao COAF. Queria saber qual o percentual de alertas gerados acabavam realmente sendo reportados ao COAF mensalmente. Para que este número pudesse mostrar um pouco de qual era a real efetividade deste processo, e sua evolução com o tempo.
Veja que não bastava apenas ser eficiente em termos de comunicados, mas que estes também tivessem uma nota alta do COAF, ou seja, era preciso ser eficiente com qualidade. Aí sim poderíamos dizer que tínhamos tido sucesso nesta segunda fase.
Os primeiros resultados gerais mostraram, como esperava, uma baixa efetividade abaixo dos 30%, ou seja, apenas menos de um terço dos alertas gerados eram reportados realmente, depois de uma análise manual por time especializado. Isto significava que estava gastando tempo deste time com alertas desnecessários. O que acontece com a maioria das áreas de monitoramento de PLD. Mais fácil pedir para contratar mais gente, do que melhorar seu processo, tornando-o mais eficiente, gerando alertas que realmente são relevantes. Esta é a realidade da maioria das áreas que eu conheço.
Próximo passo nesta busca, foi entender a efetividade de cada um dos alertas, ou seja, quais deles estavam pegando realmente os problemas que mereceriam atenção, e quais não. E como disse acima, normalmente são centenas de alertas que existem em qualquer área de monitoramento de PLD. Mas é fundamental ver quais deles realmente são relevantes.
Sua instituição já está fazendo esta fase de busca de efetividade? O que tem feito neste sentido? Compartilhe mais detalhes nos comentários.
Mas antes disto, era preciso fazer o trabalho de calibrar adequadamente estes parâmetros dos alertas, para que não pegue de mais ou de menos, não quero pegar muitos falsos positivos, mas preciso pegar sempre os positivos. Uma arte da calibragem, que passa pelo entendimento do perfil dos clientes, dos produtos operados, e logicamente das formas e táticas com que o pessoal usa para lavar o dinheiro. É preciso ter a cabeça do infrator e como ele pensa e age, para conseguir detê-lo.
O resultado deste trabalho foi obtido ao longo de alguns meses de atenção e trabalho em cada alerta, e a efetividade mais que dobrou, ficando hoje acima dos 60%, e simultaneamente com o aumento também de mais do que o dobro do número de comunicados, e importante dizer que sem que a nota de qualidade do COAF tenha caído.
Por sinal a nota desta instituição sempre esteve acima do 5 (do máximo de 6), o que é considerado excelente pelo próprio COAF, que sempre elogia e a usa como referência, pois não existe a preocupação de apenas reportar por reportar, apenas para se proteger depois de questionamentos de não ter o feito. Existe a preocupação de informar com qualidade, ou seja, passar todas as informações do porquê está fazendo, ou seja, qual alerta detectou a atipicidade, e o que o analista entendeu que está o problema ou risco da operação e do cliente. Resumido: dando mastigado e facilitando a vida do analista do COAF, que recebe milhares de comunicados por dia.
Vocês também estão fazendo algo parecido? O que têm feito para medir esta efetividade? Deixe detalhes nos comentários.
A próxima etapa deste trabalho está sendo olhar a relação de eficiência do conheça seu cliente (KYC) em relação aos comunicados ao COAF, ou seja, quantos dos clientes que classifiquei como risco baixo, médio ou alto, eu comuniquei depois suas operações.
Obviamente a expectativa é que você comunique bem mais clientes de risco alto. Mas será que isto é a realidade?
Mas isto será tema de um próximo post, específico para ele.
