A abordagem baseada em riscos (ABR), em inglês: "Risk-Based Approach", já faz parte do dia a dia das áreas de riscos, até pela exigência regulatória que a 3978 trouxe a partir de 2020, e acredito que tem ajudado muito no processo de combate à Lavagem de Dinheiro (PLD) e ao Financiamento ao Terrorismo (FT).
De forma resumida, a adoção efetiva da ABR requer que as entidades reguladas estruturem seus programas de PLD/FT de acordo com os riscos aos quais estão expostas.
Isto traz benefícios, porém consigo também traz riscos, e sempre vejo como conselheiro e consultor várias deficiências que podem comprometer a eficácia dessa abordagem, e é sobre este tema que queria falar hoje abaixo, dando algumas dicas das principais deficiências que vejo na adoção da ABR que precisam ser superadas:
Metodologia da ABR não documentada
As entidades regulamentadas devem documentar a metodologia ABR adotada, deixando claro isto na sua política de PLD.
Uma falha comum é a ausência de documentação ou descrição inadequada da metodologia da ABR, o que dificulta a compreensão e a replicação consistentes das práticas de gestão de riscos em toda a empresa.
Riscos e Erros Comuns: A falta de documentação pode levar a inconsistências na aplicação dos controles de risco, dificultando auditorias internas e externas e aumentando o risco de punições e multas regulatórias pelo Bacen.
Estratégias de Mitigação: Implementar procedimentos padronizados para a documentação da metodologia da ABR, incluindo templates e guias detalhados. Treinamentos regulares devem ser oferecidos para garantir que todos os envolvidos compreendam e possam implementar a metodologia de forma consistente.
Falta de aplicação da ABR
A abordagem baseada em riscos deve ser adotada e aplicada uniformemente em toda a empresa, e muitas falham em adotar essa abordagem e em implementar controles proporcionais à natureza, tamanho e complexidade dos negócios, relações com clientes, geografias, canais de entrega e produtos e serviços oferecidos.
Riscos e Erros Comuns: A aplicação inconsistente da ABR pode resultar em uma proteção insuficiente em áreas de alto risco e recursos desperdiçados em áreas de baixo risco.
Estratégias de Mitigação: Assegurar que a política de PLD e o conceito de ABR seja integrada a todos os níveis da empresa, com diretrizes claras para cada área, com a aplicação uniforme das políticas através de monitoramento e controle.
Apetite de Risco não documentado
Em muitos casos, infelizmente, o apetite ao risco não está formalmente definido, tão pouco documentado, ou menos ainda comunicado aos times e todos funcionários. Isso resulta em uma abordagem desuniforme na mitigação de riscos, comprometendo a gestão eficaz e a resposta a potenciais ameaças.
Riscos e Erros Comuns: Sem um apetite de risco claramente definido e comunicado, decisões inconsistentes podem ser tomadas, levando a exposições inesperadas a riscos.
Estratégias de Mitigação: Formalizar a definição do apetite de risco em um documento oficial que deve ser revisado periodicamente e comunicado a todas as partes relevantes da empresa através de treinamentos e reuniões regulares.
Deficiências em torno da Avaliação de Risco Corporativo
Algumas empresas falham ao realizar uma avaliação mais ampla do risco corporativo, começando pela identificação dos riscos aos quais estão expostos, a probabilidade de materialização desses riscos, os controles implementados e os riscos residuais associados.
Riscos e Erros Comuns: A falha na realização de uma análise de riscos mais abrangente pode levar à não identificação de riscos emergentes, comprometendo a capacidade de resposta da empresa.
Estratégias de Mitigação: Desenvolver uma metodologia robusta para avaliação dos riscos, que inclua todos os aspectos do negócio e garantir que seja uma prática regular e sistemática, com envolvimento da alta gestão.
Falha na revisão da Gestão de Riscos
A gestão dos riscos não é um exercício estático; ela deve ser revista periodicamente, e não fazer isto pode levar à falta de resposta às mudanças nas condições de risco, impedindo a aplicação de controles adequados.
Riscos e Erros Comuns: A ausência de revisões regulares pode fazer com que a empresa não responda a mudanças significativas no ambiente de risco.
Estratégias de Mitigação: Estabelecer um calendário fixo de revisões dos riscos e ajustá-lo com base em eventos significativos do mercado ou alterações nos regulamentos. Usar software para rastrear mudanças e disparar alertas de revisão.
Deficiências na Avaliação de Risco do Cliente
Muitas empresas não compreendem a importância da avaliação do risco do seu cliente, através de parte do processo de KYC, por isso não identificam adequadamente os riscos associados a cada cliente, falhando na aplicação de medidas de mitigação apropriadas.
Riscos e Erros Comuns: A não realização do processo de conheça seu cliente efetivo pode levar a falhas na identificação de clientes de alto risco, potencializando a exposição a atividades ilícitas.
Estratégias de Mitigação: Implementar processos detalhados de KYC e avaliação deste risco que incluam verificações de antecedentes e a avaliação contínua do comportamento transacional do cliente. Ferramentas analíticas avançadas podem ser úteis para detectar padrões anormais e avaliar riscos de forma mais eficaz.
Falta de envolvimento e aprovação da alta gestão
O envolvimento e aprovação da alta gestão é importante, em especial em situações de alto risco, seja no onboarding de clientes ou na condução de transações. A falta dessa autorização pode comprometer a integridade das medidas de controle e aumentar a vulnerabilidade às atividades de PLD e FT.
Riscos e Erros Comuns: A falta de envolvimento da alta gestão pode resultar em uma falta de suporte para a implementação de controles de risco adequados, especialmente em situações de alto risco.
Estratégias de Mitigação: Estabelecer um protocolo claro que exija a aprovação da alta gestão em decisões críticas de risco e garantir que esses procedimentos sejam conhecidos e seguidos em toda a empresa.
Essas deficiências destacam a necessidade de uma implementação rigorosa e detalhada da abordagem baseada em riscos, que não apenas atenda aos requisitos regulatórios, mas também fortaleça a integridade das operações financeiras e proteja as empresas contra ameaças financeiras e legais.
