No dia 1º de setembro de 2026, tive a honra de estar presente, no Consulado dos Estados Unidos da América, em São Paulo, em uma apresentação espetacular conduzida por Adrián S., da LexisNexis Risk Solutions, sobre sanções e os desafios que o Brasil começa a enfrentar diante da evolução do crime organizado e de sua crescente conexão com o sistema financeiro internacional. Saí da apresentação com uma provocação que, na minha visão, merece uma discussão muito mais profunda no mercado brasileiro: estamos preparados para deixar de olhar apenas para nomes e começar a enxergar redes?
Durante muitos anos, construímos nossos programas de Compliance e PLD/FT a partir de uma lógica necessária, mas que hoje começa a demonstrar suas limitações: identificar o cliente, conhecer sua atividade, verificar listas restritivas, realizar KYC, monitorar transações e investigar comportamentos suspeitos. Tudo isso continua sendo fundamental. O problema é acreditar que isso, isoladamente, seja suficiente para compreender riscos cada vez mais sofisticados. O ambiente mudou, as estruturas criminosas evoluíram e, consequentemente, a forma de analisar risco também precisa evoluir. A pergunta já não deveria ser somente “de onde veio esse dinheiro?”, mas também “para quem estamos, direta ou indiretamente, prestando nossos serviços?”
Essa mudança é especialmente relevante quando falamos de organizações criminosas transnacionais e do impacto que sanções e designações internacionais podem produzir sobre instituições que participam do sistema financeiro global. O risco deixa de ser exclusivamente transacional e passa a envolver relacionamentos, estruturas societárias, beneficiários finais, empresas relacionadas, intermediários e terceiros. Uma organização criminosa sofisticada não precisa necessariamente aparecer na tela como cliente. Ela pode estar algumas conexões atrás. E é justamente nesse ponto que acredito que muitos programas de Compliance ainda precisam amadurecer: continuamos procurando o nome, enquanto o risco está na relação entre os nomes.
Durante muito tempo, o screening foi tratado quase como uma equação: nome contra lista, geração de alerta, investigação e classificação como verdadeiro ou falso positivo. Esse processo continua sendo indispensável, especialmente quando falamos de sanções, mas a sofisticação do risco exige uma camada adicional de inteligência. Não basta perguntar se existe um match. Precisamos entender qual é a conexão, qual é a relevância dessa conexão e o que ela representa dentro de uma determinada estrutura. Isso significa olhar além do cadastro e compreender UBOs, estruturas societárias, administradores, procuradores, contrapartes, empresas relacionadas e outros elementos que possam revelar uma rede que não seria identificada pela análise isolada de um único cliente.
Outro ponto apresentado que considero particularmente relevante para o Brasil é a experiência internacional com de-risking. Quando uma instituição não consegue compreender adequadamente determinado risco, existe uma tendência natural de simplesmente eliminar o relacionamento. É uma reação compreensível, mas não necessariamente representa gestão de risco. Encerrar clientes, restringir serviços ou evitar determinados segmentos pode, em determinadas circunstâncias, significar apenas que a instituição não possui informação, tecnologia, processos ou capacidade analítica suficientes para diferenciar risco aceitável, risco mitigável e risco que efetivamente precisa ser eliminado. E existe um segundo problema: quando o medo de não reportar leva ao excesso de reporte, podemos produzir exatamente o efeito contrário ao que buscamos. Mais alertas não significam necessariamente mais inteligência. Se tudo vira alerta, corremos o risco de perder a capacidade de identificar aquilo que realmente importa.
É aqui que Compliance precisa deixar de ser entendido simplesmente como uma função de “evitar risco” e passar a ser cada vez mais reconhecido como uma função de gestão, compreensão e tomada de decisão sobre risco. O objetivo não pode ser eliminar toda exposição, porque isso seria incompatível com a realidade de qualquer negócio financeiro relevante. O objetivo deve ser conhecer a exposição, estabelecer o apetite de risco, definir controles proporcionais e, principalmente, conseguir demonstrar por que determinada decisão foi tomada. Isso é particularmente importante em um ambiente no qual decisões relacionadas a sanções, AML e PLD/FT podem ser questionadas posteriormente por reguladores, correspondentes bancários, autoridades ou mesmo pela própria organização.
O mesmo raciocínio vale para KYC. O onboarding é uma fotografia; o risco é um filme. O cliente muda, sua atividade muda, sua estrutura societária muda, novas informações aparecem, novas sanções são publicadas e novos eventos podem alterar completamente a percepção de risco. Por isso, o Compliance precisa avançar de uma lógica predominantemente estática para uma lógica de monitoramento contínuo. Screening contínuo, adverse media, inteligência de risco, análise de alterações relevantes e identificação de novas conexões precisam fazer parte de uma visão integrada. O verdadeiro desafio não é apenas descobrir que alguma coisa aconteceu. É ter capacidade de perceber a mudança antes que ela se transforme em um problema para a instituição.
E existe ainda uma palavra que, na minha opinião, ganhará cada vez mais importância nessa discussão: explicabilidade. Não basta dizer que um alerta foi encerrado. Precisamos conseguir explicar por que foi encerrado, quais informações foram analisadas, qual era o risco inicialmente identificado, quais elementos sustentaram a decisão, quem tomou a decisão e quando ela foi tomada. Tecnologia pode aumentar significativamente nossa capacidade de identificar conexões e gerar inteligência, mas não substitui a governança da decisão. No final, precisamos ser capazes de detectar, investigar, decidir, documentar e explicar.
O Brasil tem uma oportunidade importante nesse processo. Temos um sistema financeiro sofisticado, uma economia cada vez mais digital, fintechs, instituições de pagamento, plataformas e um ecossistema de ativos virtuais em desenvolvimento, ao mesmo tempo em que convivemos com organizações criminosas altamente estruturadas e com uma crescente integração entre economia formal e ilícita. A discussão apresentada no Consulado dos Estados Unidos reforça que não precisamos esperar uma crise, uma nova exigência internacional ou um evento concreto para começar a avaliar se nossas estruturas estão preparadas. O momento de construir maturidade é antes do problema, não depois.
Na minha visão, o próximo nível de Compliance não será determinado pela quantidade de políticas existentes, pelo número de alertas gerados ou pela quantidade de ferramentas contratadas. Será determinado pela capacidade de uma organização de conectar informações, identificar relações relevantes, compreender redes, priorizar riscos e explicar suas decisões. Ter uma política não significa necessariamente conhecer o risco. Ter uma ferramenta não significa necessariamente identificar uma rede. Gerar milhares de alertas não significa necessariamente ter inteligência. E bloquear uma operação não significa necessariamente ter tomado uma boa decisão.
Talvez essa seja a principal provocação que ficou para mim após a apresentação de Adrian: o Compliance brasileiro ainda procura nomes, enquanto o crime organizado já aprendeu a operar em redes. Se queremos realmente elevar a maturidade de PLD/FT e de Sanctions no Brasil, precisamos começar a fazer essa mudança de perspectiva agora.
Porque o futuro do Compliance não será definido pela quantidade de alertas que conseguimos gerar.
Será definido pela qualidade das conexões que conseguimos identificar, interpretar e explicar.
Reflexões a partir da apresentação sobre Sanctions and Brazil realizada por Adrian, da LexisNexis Risk Solutions, em 1º de setembro de 2026, no Consulado dos Estados Unidos da América, em São Paulo.
Existe outra palavra que, na minha visão, se tornará cada vez mais importante nessa discussão: explicabilidade. Não basta dizer que um alerta foi encerrado. Precisamos ser capazes de explicar por que ele foi encerrado, quais informações foram revisadas, qual risco foi inicialmente identificado, quais evidências sustentaram a decisão, quem tomou a decisão e quando ela foi tomada. A tecnologia pode aprimorar significativamente nossa capacidade de identificar conexões e gerar inteligência, mas não substitui a governança das decisões. Em última análise, precisamos ser capazes de detectar, investigar, decidir, documentar e explicar.
O Brasil tem uma oportunidade importante nesse processo. Temos um sistema financeiro sofisticado, uma economia cada vez mais digital, fintechs, instituições de pagamento, plataformas e um ecossistema de ativos virtuais em desenvolvimento, ao mesmo tempo em que lidamos com um crime organizado altamente estruturado e uma crescente interseção entre as economias formal e ilícita. A discussão apresentada no Consulado dos Estados Unidos reforça um ponto que acredito merecer atenção: não precisamos esperar por uma crise, um novo requisito internacional ou um evento específico para avaliar se nossos frameworks estão realmente preparados. O momento para construir maturidade é antes do problema, não depois.
Na minha visão, o próximo nível do Compliance não será determinado pela quantidade de políticas que uma organização possui, pelo número de alertas que gera ou pelas soluções tecnológicas adquiridas. Será determinado pela sua capacidade de conectar informações, identificar relacionamentos relevantes, compreender redes, priorizar riscos e explicar suas decisões. Ter uma política não significa necessariamente entender o risco. Ter uma ferramenta não significa necessariamente identificar uma rede. Gerar milhares de alertas não significa necessariamente ter inteligência. E bloquear uma transação não significa necessariamente que a decisão correta foi tomada.
Talvez essa seja a principal reflexão que tirei da apresentação de Adrian: o Compliance brasileiro ainda procura nomes, enquanto o crime organizado já aprendeu a operar em redes. Se realmente queremos elevar o nível de maturidade de PLD/FT e de Sanctions no Brasil, precisamos começar a mudar nossa perspectiva agora.
Porque o futuro do Compliance não será definido pela quantidade de alertas que conseguimos gerar.
Será definido pela qualidade das conexões que conseguimos identificar, interpretar e explicar.
Reflexões a partir da apresentação sobre Sanctions and Brazil realizada por Adrian, da LexisNexis Risk Solutions, em 1º de setembro de 2026, no Consulado dos Estados Unidos da América, em São Paulo.
Conteúdo recuperado pela Okai.
