Visão geral e governança
Quando se olha o risco de lavagem de dinheiro no cadastro de empresas (PJ) com a lente correta, fica claro que ele não nasce “na tela do onboarding”, nem se resolve “com mais um campo obrigatório”, mas nasce no tempo, na sequência real de decisões, transferências de responsabilidade e pequenos atalhos operacionais que vão se acumulando até formar uma vulnerabilidade sistêmica, como:
uma exceção aberta hoje sem dono claro
uma justificativa registrada de modo incompleto amanhã
um documento coletado por canal inadequado depois
um prazo estourado que vira pressão comercial
um tradicional “libera só dessa vez” que vira precedente
por fim, um cliente PJ ativado com um entendimento frágil de quem controla, quem se beneficia e como aquele relacionamento pode ser instrumentalizado para circular recursos ilícitos.
É por isso que, na prática, a discussão séria de PLD no cadastro PJ não é só sobre “KYC/KYB”, mas sobre desenho de processo, assim como, em especial, da governança, e, claro, sempre de evidência, em que o banco não é cobrado apenas por detectar sinais, mas sim por demonstrar que compreendeu o cliente PJ de forma consistente, e que escalou o que precisava ser escalado no tempo certo, assim como que tratou exceções com critério, e também registrou racional de decisão, além de que preservou uma trilha de auditoria capaz de se sustentar meses ou anos depois, quando a memória humana já não existe e o que resta é o que ficou documentado.
Evolução histórica
A visão cronológica ajuda a entender por que chegamos a este ponto, em que ainda no primeiro ciclo histórico, lá nos anos 1990 e início dos 2000, quando a indústria se estruturou fortemente em cima do paradigma de “regras + checklist”, em que era cadastrar, coletar documentos, sancionar transações suspeitas, cumprir obrigações de reporte e manter registros por prazo.
No Brasil, a Lei nº 9.613 lá de 1998, e a construção institucional do COAF consolidaram uma abordagem que por necessidade começou muito centrada em controles formais e em evidências documentais, assim, ao longo dos anos 2000, com a intensificação do ambiente internacional de combate ao crime financeiro e o amadurecimento das melhores práticas de “conheça seu cliente”, o foco foi se deslocando para o entendimento do perfil e do propósito do relacionamento, mas ainda com forte dependência de documentação e de revisões periódicas.
Mas para empresas PJ, isso sempre foi mais difícil, até porque a pessoa jurídica pode ser legítima, mas ao mesmo tempo ser usada como veículo, assim como pode ter estrutura complexa por razões econômicas reais, mas ao mesmo tempo oferecer camadas para ocultação. Pois daí nasce um segundo ciclo, já bem consolidado a partir da década de 2010, com a consolidação do enfoque baseado em risco, em que a pergunta deixou de ser “o cadastro está completo?” e passa a ser “o risco foi entendido e tratado de forma proporcional?”.
Nesse ciclo a figura do beneficiário final, mais conhecido no meio como "UBO", ganha centralidade, não como formalidade, mas como hipótese investigativa permanente: quem controla, quem se beneficia, quem exerce poder de direção, por que a estrutura é assim e quais são os sinais de alerta quando a estrutura muda com frequência, quando há países de maior risco, quando aparecem procuradores, holdings de fachada, administradores profissionais ou padrões de operação incompatíveis com o propósito declarado.
Já o terceiro ciclo que explode agora na década de 2020, e se intensificou em especial no Brasil com digitalização acelerada, PIX, Open Finance, crescimento de fintechs e competição por tempo de ativação, traz um paradoxo, em que a “porta de entrada” ficou mais rápida e digital, mas o núcleo do controle, especialmente para PJ, ficou mais dependente de exceções, análise humana e coordenação entre áreas.
Pontos críticos do risco e tratamento de exceções
Pois é aqui que entram de forma integrada alguns pontos que queria destacar que são hoje a anatomia mais comum do risco de lavagem de dinheiro no cadastro PJ. Sendo que o primeiro ponto é o mais contraintuitivo, que são as plataformas de onboarding e motores de screening, que por mais sofisticados que sejam, tipicamente só fazem bem a etapa de “sinalizar” o problema, em que detectam divergência, apontam alerta, indicam lacuna documental, geram hit de sanções/PEP/entidades, acusam inconsistências cadastrais ou estrutura societária incompleta. O risco real começa depois desse “bip”, pois alguém precisa consertar, comprovar, reconciliar, decidir, justificar e encerrar. Em cadastro PJ, esse “depois” é o coração do controle, porque o que distingue um bom programa de PLD não é a quantidade de alertas gerados, e sim a qualidade e a consistência com que as exceções são resolvidas, com evidência e racional defensáveis. Uma instituição pode ter um excelente motor de triagem e, ainda assim, ser estruturalmente vulnerável se a resolução das exceções for lenta, dispersa, sem dono, sem critérios uniformes e sem trilha auditável, mas nesse cenário a instituição enxerga o risco, mas não o neutraliza no tempo correto.
O segundo ponto é onde a vulnerabilidade se materializa no cotidiano: fluxos fragmentados, transferências por e-mail, “passa para o time X”, checagens manuais e reconciliações em planilha são exatamente os lugares onde o risco se acumula sem que ninguém “veja” como risco, porque parece apenas operação.
Só que, do ponto de vista de gestão de riscos, fragmentação é amplificador:
cada handoff cria risco de perda de contexto
cada canal paralelo cria risco de inconsistência de evidência
cada coleta manual cria risco de erro
cada reprocessamento cria risco de divergência de versão
cada exceção sem um “dono do caso” cria risco de latência.
No cadastro PJ a latência é um problema de PLD, não só de eficiência: quando uma exceção fica dias ou semanas sem resolução, a instituição pode:
ser pressionada a liberar o relacionamento “provisoriamente” para não perder receita
aceitar documento parcial
registrar justificativa genérica
encerrar alerta como falso positivo sem anexar a evidência que sustentou a conclusão
deixar a resolução de beneficiário final para “depois”
E sabemos bem de que este tal “depois”, em programas reais, vira um backlog que compete com o volume novo, e em períodos de pico tende a ser sacrificado.
Além disso, a fragmentação se soma a um componente adicional através do risco de proteção de dados. Se documentos societários, procurações, atos constitutivos, identificação de administradores e beneficiários circulam por e-mail e canais pouco controlados, você adiciona um fator de exposição à LGPD e a incidentes de vazamento, o que eleva risco operacional e reputacional ao lado do risco de crime financeiro. O efeito final é perverso, em que o time tenta “ser prudente” pedindo mais documentos, mas a falta de processo integrado faz a prudência virar fricção, que sabemos que vira pressão comercial, que por sua vez vira deterioração do rigor, que é justamente o que se queria evitar.
O terceiro ponto fecha o triângulo com a camada de supervisão e accountability, em que os reguladores e supervisores continuam encontrando os mesmos tipos de falhas estruturais, repetidamente, porque elas não são “falhas pontuais”, mas são falhas de desenho. As mais comuns, e diria mais destrutivas, são:
escalonamento lento ou inexistente de exceções realmente materiais
a ausência de racional claro para decisões de liberação
a indefinição de ownership quando o caso atravessa áreas
uma trilha de auditoria quebrada, isto é, uma incapacidade de reconstruir por que a decisão foi tomada, com base em que evidências, por quem, com qual revisão e em qual data.
No cadastro PJ todos esses pontos são especialmente sensíveis porque o padrão internacional de melhores práticas e a evolução regulatória têm caminhado para exigir demonstração de efetividade, não apenas existência de políticas. Em que a efetividade é uma palavra técnica, que significa que a empresa consegue provar que o processo funciona sob complexidade real, não só no “caminho feliz” do cliente simples. Em termos práticos, isso implica conseguir demonstrar como a instituição identificou e verificou beneficiário final e controlador, e como resolveu hits de sanções e homônimos com evidência, ou como tratou estruturas societárias em múltiplas jurisdições, assim como classificou risco do relacionamento e definiu diligência reforçada quando aplicável, além de como tomou decisão de aceitar, recusar ou condicionar; e também de como garantiu que exceções não viraram uma “zona cinzenta” sem governança. Quando essas respostas não são demonstráveis, o problema não é “falta de esforço do analista”, mas é fragilidade do processo de tratamento de exceções, que deveria ser um controle-chave com regras de rastreabilidade equivalentes às de qualquer controle material de risco.
Fatores de pressão contemporâneos e base regulatória
Aplicando isso à realidade, o ponto mais didático é reconhecer que o cadastro PJ hoje é atravessado por alguns fatores simultâneos de pressão, que evoluíram ao longo do tempo e redefiniram o risco.
O primeiro é a velocidade: fintechs e bancos competem por tempo de ativação, e assim o cliente institucional compara o onboarding como compara qualquer experiência digital, ainda que o risco por trás seja incomparavelmente maior.
O segundo é a complexidade: cadeias societárias, grupos econômicos, investidores, fundos, holdings, veículos e procuradores aumentaram, assim como a mobilidade de estruturas e o uso de prestadores especializados.
O terceiro é a conectividade: a jornada de onboarding não é mais um processo interno linear, mas depende de bases, verificações, consultas, integrações, fornecedores e times múltiplos, e isso cria dependências que tornam o “tratamento de exceções” inevitável.
O quarto é a expectativa de accountability, pois os conselhos, comitês de riscos, auditorias internas e supervisores exigem evidência e explicabilidade, e não aceitam “porque o analista avaliou”.
Assim o que antes era tolerado como informalidade operacional, hoje tende a ser interpretado como fragilidade de controle interno, especialmente quando aparece em amostras repetidas de auditoria ou em incidentes de relacionamento com clientes que depois se mostram envolvidos em ilícitos.
É exatamente aí que a evolução da gestão de riscos como disciplina precisa ser trazida para dentro do cadastro PJ. No passado a gestão de riscos e PLD conversavam pouco, pois o PLD era visto como “cumprimento regulatório” e riscos como “ERM e capital”. Porém o movimento mais recente e mais maduro é enxergar PLD no onboarding PJ como risco operacional e de compliance altamente material, que deve ser gerido com os mesmos fundamentos de qualquer risco crítico, com a definição clara de apetite a risco. O que é inaceitável, o que exige diligência reforçada, o que exige aprovação em nível superior, desenho de controles preventivos e detectivos, indicadores de risco (KRIs) e indicadores de desempenho (KPIs) que não se contradizem, governança de exceções como processo de ponta a ponta e validação independente de efetividade da auditoria interna e testes de controle.
Industrialização do controle e priorização
Ao dar essa visão cronológica, a maturidade fica evidente: já não basta digitalizar o cadastro, mas é preciso industrializar o tratamento de exceções com governança e evidência. Não basta aumentar regras de verificação em listas, mas é preciso reduzir falsos positivos com contextualização, e, ao mesmo tempo, aumentar a qualidade da documentação e da decisão. Não basta acelerar o SLA “na média”, mas é preciso proteger a fila de casos realmente de alto risco com escalonamento e prioridade claros, para que o time não gaste energia onde não deveria e não perca tempo onde não pode.
Daí a importância de enxergar que o programa de PLD no cadastro PJ pode ser simultaneamente mais rígido e mais eficiente, mas desde que a empresa trate exceção como processo crítico e não como improviso. Quando a resolução de exceções é desenhada com dono, critérios, evidência, registro de racional e trilha de auditoria, você reduz risco regulatório e reduz atrito com o cliente, porque evita retrabalho e pedidos repetidos, evita divergência entre áreas, reduz tempo morto de handoffs e aumenta previsibilidade. Isso é gestão de riscos moderna aplicada: não é “controlar mais”, mas é controlar melhor, com clareza de responsabilidade e com processos que não quebram quando o mundo real chega. E o mundo real no cadastro PJ sempre chega na forma de exceção: estrutura societária que não fecha de primeira, beneficiário final que exige investigação mais profunda, divergência de dados, entidade com nomes semelhantes, procuradores, mudanças recentes, operações pretendidas complexas, e pressões internas por ativação rápida. O programa maduro é aquele que se mantém íntegro justamente nesses casos, porque foi desenhado para eles.
Duas velocidades e fundamento regulatório
O próximo ponto, depois de entender que a plataforma “aponta” e as pessoas “resolvem”, é de reconhecer que o risco se acumula nos handoffs e de aceitar que as falhas recorrentes são estruturais, como o escalonamento lento, racional ausente, ownership quebrado e trilha de auditoria frágil; é encarar que o cadastro PJ hoje virou um campo onde o risco acontece em duas velocidades ao mesmo tempo. Começando pela velocidade do cliente, que exige ativação rápida e previsível, e a velocidade do risco, que exige diligência proporcional e explicável.
Essa tensão é particularmente intensa porque a dinâmica competitiva de bancos e fintechs, somada ao crescimento de canais digitais e à expectativa de “tempo real” em serviços financeiros, encurta o ciclo comercial, enquanto as exigências regulatórias de PLD/FT continuam demandando políticas, procedimentos e controles internos robustos, estruturados e capazes de impedir o uso do sistema financeiro para lavagem de dinheiro e financiamento do terrorismo. Esse fundamento no perímetro das instituições autorizadas a funcionar pelo Banco Central, está formalizado na Circular nº 3978, que trata exatamente da política, dos procedimentos e dos controles internos de PLD/FT, reforçando que o tema é de governança e de desenho de controles, não apenas de tecnologia.
Beneficiário final e KYB contínuo
Quando se desce ao detalhe do cadastro PJ, o risco deixa de ser abstrato e passa a ter nome e sobrenome, que é a identificação e entendimento do beneficiário final, verificação da estrutura de controle e coerência do propósito do relacionamento. No ecossistema brasileiro isso não é uma “boa prática opcional”, mas é um eixo repetido em normas setoriais e de supervisão, inclusive com definição substantiva de beneficiário final como a pessoa física que, em última análise, controla ou exerce poder determinante para influenciar e se beneficiar da pessoa jurídica, independentemente de rótulos formais como administrador, procurador ou representante. Esse tipo de definição é valiosa justamente porque corta a tentativa típica de “dissolver responsabilidade” em camadas formais: ela obriga o banco a ir além do contrato social e capturar a realidade do controle e do benefício. É aqui que o tempo volta a ser a variável central: não basta identificar o beneficiário final no “dia zero”, mas é preciso ter capacidade operacional de manter essa identificação adequada, precisa e atualizada em mudanças relevantes, porque estruturas PJ mudam, e é nessas mudanças que o risco costuma aparecer.
A evolução mais importante da gestão de riscos aplicada ao onboarding PJ, nos últimos anos, tem sido a passagem do “cadastro estático” para uma lógica de KYB contínuo, orientado a eventos e sustentado por evidência. Isso não é retórica tecnológica, mas é uma resposta ao mundo real, em que mudanças societárias, troca de administradores, entrada de investidores, reestruturações, fusões, transferências de controle e alterações de endereço e atividade econômica são fatos corriqueiros, e o risco de lavagem de dinheiro se aproveita exatamente do intervalo entre a mudança real e a atualização efetiva do cadastro interno.
A abordagem baseada em risco, defendida como padrão global, reforça que recursos devem ser alocados proporcionalmente ao risco e que a transparência de beneficiário final precisa ser adequada, precisa e atualizada, com mecanismos que apoiem a verificação e a cooperação quando há elementos transfronteiriços. O que muda na prática é o desenho do processo, em que a empresa deixa de depender de “revisões periódicas” genéricas e passa a priorizar gatilhos objetivos que abrem casos e exigem novo racional de decisão, com trilha íntegra, sempre que eventos materiais ocorrerem.
Integração com monitoramento transacional
Isso leva a um ponto adicional, que é muitas vezes subestimado, mas decisivo para reduzir vulnerabilidade, que é a integração entre onboarding no cadastro e o resto do programa de PLD/FT. Em empresas maduras o cadastro PJ não é um “formulário” e não se encerra quando o cliente é ativado, mas é a base de contexto para o monitoramento transacional e para a qualidade de alertas posteriores. Se o onboarding PJ falha em entender controle, beneficiário final e propósito do relacionamento, o monitoramento transacional passa a operar “no escuro” com regras ficam genéricas, falsos positivos sobem, capacidade de investigação cai e o banco se acostuma a encerrar alertas sem evidência robusta porque “não há contexto suficiente”.
O resultado é um ciclo vicioso, com um onboarding frágil, que piora a qualidade do monitoramento, que leva a um monitoramento ruidoso, que cria backlog e pressiona equipes, e cuja pressão operacional incentiva atalhos, que por sua vez degradam a trilha de auditoria, e aí a trilha fraca impede aprendizado estruturado. O padrão internacional para o setor bancário, ao tratar a abordagem baseada em risco, insiste justamente nessa coerência: diligência, entendimento do cliente e monitoramento são partes de um mesmo sistema, e não “ilhas” que se comunicam por e-mail.
Governança do tratamento de exceções
A partir daí a conversa inevitavelmente chega ao que realmente diferencia uma empresa resiliente de uma empresa vulnerável, que é a governança do “tratamento de exceções” como controle-chave. No Brasil é comum o discurso de que “o problema é falta de pessoas” ou “o problema é o sistema”, mas a evolução da gestão de riscos mostra que o ponto de ruptura costuma ser outro, na ausência de um modelo operacional que assegure ownership inequívoco do caso, escalonamento em tempo compatível com o risco, padrões mínimos de evidência, e registro padronizado do racional de decisão. Em termos de gestão de riscos corporativos, isso é o equivalente a um controle material sem responsável e sem evidência: ele existe no papel, mas não se sustenta sob estresse de volume, urgência comercial e complexidade societária.
O movimento contemporâneo mais consistente é tratar cada exceção como um “caso” de risco com começo, meio e fim, e não como um “erro” a ser consertado; esse caso precisa ter um proprietário formal, uma trilha única de comunicação, critérios de decisão explicitados e anexação de evidências em repositório controlado, porque sem isso a empresa perde a capacidade de provar efetividade. Em linguagem de controles internos, a documentação não é burocracia, mas é a evidência operacional de que o controle interno funcionou, e esse princípio é consistente com a tradição do COSO, em que documentação efetiva dá suporte à avaliação de efetividade e ao monitoramento.
Esse ponto conecta diretamente com outro tema que ganhou peso na última década e hoje está no centro da conversa de conselhos e comitês, que é a responsabilização e integração do risco de PLD/FT ao arcabouço geral de gestão de riscos. Em que as diretrizes do Comitê de Basileia são explícitas ao afirmar que os riscos de lavagem de dinheiro e financiamento do terrorismo devem ser incorporados ao gerenciamento global de riscos do banco, com governança, papéis, apetite e controles compatíveis com materialidade.
Assim, quando a empresa trata onboarding PJ como um “processo de operações” isolado, ela perde a chance de gerir esse risco como aquilo que ele é: um risco transversal, com impacto potencial regulatório, operacional, reputacional e até prudencial, que precisa ser visto com a mesma seriedade de qualquer risco crítico que o conselho monitora. E aqui o tempo volta a aparecer, mas é no “tempo de resposta” às exceções, no “tempo de escalonamento”, no “tempo de fechamento com evidência” e no “tempo de correção de causas-raiz” que a empresa demonstra maturidade, porque é aí que o risco é contido antes de virar incidente.
Experiência do cliente e eficiência
Ao trazer essa evolução para a realidade brasileira, um dos aprendizados mais práticos é reconhecer que a experiência do cliente PJ e a robustez do controle não são inimigas naturais, mas viram inimigas quando o banco não domina o processo de exceções. O cliente institucional não abandona um banco porque ele pede diligência, mas abandona porque o banco pede diligência de forma errática, repetida, sem clareza de motivo, sem previsibilidade de prazo e sem consistência de decisões.
Assim, quando o tratamento de exceções é governado, o banco tende a pedir menos vezes, pedir melhor, justificar com mais clareza e concluir com mais previsibilidade. Isso reduz o impulso interno de “liberar provisoriamente” por pressão comercial e reduz a tentação de encerrar alertas com racional pobre. Em outras palavras, a eficiência não nasce de “fazer menos controle”, mas nasce de controle bem desenhado, que não cria retrabalho e não depende de canais paralelos.
Tecnologia, dados e redução de ruído
Outro ponto de maturidade, que aparece na fronteira entre risco e tecnologia, é a necessidade de reduzir ruído sem perder rigor. No cadastro PJ, um ruído tipicamente nasce de baixa qualidade de dados, de resolução fraca de entidades, de listas e bases com variações de nomes e de incapacidade de capturar contexto suficiente para separar homônimos de coincidências legítimas. A evolução aqui não é “automatizar decisões”, mas é automatizar o que é mecânico e padronizável com reconciliações, validações, consistências, para preservar o tempo humano onde o julgamento é realmente necessário (estrutura complexa, controle indireto, relações transfronteiriças, indícios qualitativos). Esse desenho, quando bem feito, diminui falsos positivos, acelera resolução e aumenta qualidade do racional final, porque o analista deixa de ser “digitador de evidências” e passa a ser “gestor de hipótese de risco”, registrando de forma clara o porquê da decisão.
Métricas e aprendizado
Por fim, ainda existe um componente de evolução da gestão de riscos que costuma ser o mais difícil de implementar, até porque mexe com incentivos, que é medir o que importa. Se a empresa mede apenas velocidade de onboarding, ela incentiva atalhos, mas se mede apenas completude documental, ela incentiva burocracia, ou ainda se mede apenas volume de alertas, ela incentiva ruído.
Assim a evolução madura é equilibrar métricas de desempenho com métricas de qualidade e de risco, de modo que o ciclo de exceções não seja nem um buraco negro de backlog nem um corredor de aprovações apressadas. No mundo real isso significa colocar o foco na integridade da trilha, com:
tempo de resolução por criticidade
percentual de casos escalonados dentro do prazo
consistência do racional, avaliada por amostragem independente
reincidência de tipos de exceção para atacar causa-raiz
capacidade de reconstruir o caso ponta a ponta
Uma empresa que consegue reconstruir a decisão com evidência controlada e narrativa consistente está, na prática, demonstrando sua efetividade, mas uma empresa que depende de e-mails e memória está operando com risco latente, mesmo que “aprove rápido”.
Conclusão
A mensagem que queria deixar desta nossa reflexão é que o risco de lavagem de dinheiro no cadastro PJ não é um “problema de cadastro”, mas é um problema de engenharia de governança aplicada ao tempo. O risco se forma na sequência de exceções, handoffs e decisões mal evidenciadas; e se reduz quando a empresa transforma exceções em casos governados, com ownership claro, escalonamento rápido quando necessário, padrão mínimo de evidência, racional consistente e trilha de auditoria íntegra.
No Brasil, onde o ambiente de PLD/FT é respaldado por obrigações regulatórias formais e por um ecossistema de supervisão cada vez mais atento à efetividade, a empresa que amadurece esse processo tende a alcançar um resultado que é, ao mesmo tempo, mais robusto e mais competitivo: reduz exposição a crime financeiro, reduz risco de sanções e de dano reputacional, melhora previsibilidade para o cliente institucional e cria um ciclo virtuoso de aprendizado operacional. O recado final do ponto de vista de gestão de riscos é simples e exigente, de que quando o mundo real trouxer complexidade, e saiba de que ele sempre traz, a empresa precisa funcionar melhor, e não pior, mas isso só acontece quando PLD no onboarding PJ deixa de ser um conjunto de “checklists e alertas” e passa a ser um sistema vivo de decisões bem governadas, bem evidenciadas e defensáveis no tempo.