Verificação de PLD na prática: da identificação à titularidade e à mídia adversa

Há uma diferença entre executar verificações e concluir uma verificação. A maioria dos programas faz o primeiro: uma checagem de identidade aqui, uma consulta a listas de sanções ali, uma pesquisa de estrutura societária quando alguém solicita. Menos organizações conseguem demonstrar o segundo: uma decisão única e documentada, que o revisor pode acompanhar desde o primeiro documento de identificação até a classificação final de risco. Ao serem questionadas sobre o que é verificação de PLD, muitas equipes descrevem as verificações que realizam. Este artigo apresenta a sequência: identificação e resolução de entidades, titularidade e controle, screening e mídia adversa, e como as três etapas se combinam em uma única decisão e em um único registro. 

Etapa um: identificação e resolução de entidades 

A primeira etapa responde a uma pergunta objetiva: esta pessoa ou entidade é quem afirma ser e, exatamente, qual delas? Para uma pessoa física, a verificação de identidade confirma nome, data de nascimento e endereço com base em documentos ou fontes confiáveis. Para um cliente corporativo, a resolução da entidade confirma a razão social, o número de inscrição aplicável, a sede, a natureza jurídica e eventuais nomes comerciais, além de estabelecer que a entidade solicitante é a mesma que consta nos registros, e não uma empresa de nome semelhante localizada em outra jurisdição. 

A desambiguação é o ponto central desta etapa. Nomes comuns, grafias transliteradas, empresas de um mesmo grupo que compartilham uma marca e entidades inativas geram candidatos parecidos. Resolvidos esses pontos desde o início, ficam definidos os identificadores que as etapas seguintes utilizarão: número de registro em vez de apenas nome, data de nascimento associada ao nome e endereço registrado, em vez de endereço apenas para correspondência. 

Uma resolução frágil nesta fase multiplica o trabalho em todas as demais. Uma consulta a listas de sanções com um nome não resolvido retorna todas as correspondências possíveis; então, o analista precisa tratar falsos positivos que um identificador confirmado teria excluído. O processo de KYC depende desta etapa mais do que de qualquer outra, e o artigo sobre fluxos avançados de KYC no Nexis Diligence+ aprofunda o trabalho de resolução de entidades. 

O que deve constar no dossiê: os identificadores resolvidos, os documentos ou dados usados na verificação, a data e quaisquer entidades candidatas consideradas e excluídas, com a justificativa. 

Etapa dois: titularidade e controle 

Para clientes corporativos, a segunda etapa percorre a estrutura até chegar às pessoas físicas que estão por trás da organização. No contexto brasileiro, a identificação do beneficiário final busca a pessoa natural que, em última instância, possua, controle ou exerça influência significativa, direta ou indireta, sobre a pessoa jurídica, conforme os critérios e requisitos regulatórios aplicáveis à instituição. Quando não for possível identificar essa pessoa, devem ser observados os procedimentos definidos pela política interna e pela regulamentação setorial aplicável. 

Aplicar esse critério exige acompanhar cada camada da estrutura. Um cliente controlado por uma holding é, para esses fins, controlado por quem detém ou exerce o controle sobre a holding, e assim sucessivamente, até chegar a uma pessoa física ou a uma entidade listada ou regulada. Cada camada deve ser registrada: a entidade, sua jurisdição, seus sócios ou controladores e o percentual de participação, para que a estrutura possa ser revisitada mais tarde sem a necessidade de repetir todo o trabalho. Dados cadastrais, documentos societários e informações obtidas em juntas comerciais são o ponto de partida, não o ponto final: eles refletem o que foi informado ou arquivado, não necessariamente o que foi confirmado de forma independente. 

Certos padrões exigem aprofundamento em vez de encerrar a etapa. Camadas opacas em jurisdições com baixa transparência societária. Acionistas ou administradores nominais que atuam em nome de um principal não identificado. Trusts ou fundações que detêm participações sem um controlador evidente. Titularidade concentrada em uma jurisdição de alto risco. Cada um desses elementos deve acionar uma investigação mais detalhada, ser documentado e influenciar diretamente a classificação de risco. Como critérios e requisitos de registro evoluem, esta também é a etapa que as organizações mais revisitam diante de novas normas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT). 

O que deve constar no dossiê: a estrutura mapeada até os beneficiários finais identificados, o critério aplicado em cada camada, as fontes consultadas e os gatilhos de aprofundamento identificados. 

Etapa três: screening e mídia adversa 

Com as partes resolvidas e os beneficiários identificados, a terceira etapa realiza o screening de cada uma delas. O screening de sanções consulta os nomes e identificadores resolvidos nas listas pertinentes ao escopo da instituição, como as listas da ONU, OFAC, União Europeia, Reino Unido e outras listas aplicáveis. As verificações de PEPs identificam se alguma parte exerce ou exerceu função pública relevante, ou se é familiar ou estreito colaborador de alguém nessa condição. Como os nomes foram devidamente resolvidos na primeira etapa, as correspondências remanescentes merecem atenção. 

O monitoramento de mídia adversa deve fazer parte dessa verificação padrão, e não apenas da due diligence reforçada. As listas registram designações e funções públicas. As notícias registram condutas: investigações, litígios, medidas regulatórias, alegações e relações que conectam uma parte aparentemente regular a outra problemática. Uma parte pode não aparecer em nenhuma lista e, ainda assim, ser objeto de cobertura que altere sua classificação de risco. Identificar esse fato no onboarding é menos oneroso do que identificá-lo depois. 

A disciplina na análise de resultados encerra a etapa. Cada ocorrência deve ser classificada como correspondência ou não correspondência, com uma justificativa registrada: divergência na data de nascimento, jurisdição diferente, homônimo ou correspondência confirmada, com as implicações observadas. Uma ocorrência descartada sem justificativa não está efetivamente encerrada; ela apenas foi adiada para quem vier a analisar o dossiê em seguida. 

O que deve constar no dossiê: as listas e fontes consultadas, a data, cada ocorrência e sua classificação, além das descobertas relevantes de mídia adversa levadas para a decisão. 

Uma decisão, um registro 

As três etapas existem para embasar uma única decisão de onboarding, e a classificação de risco é onde elas convergem. A resolução de identidade estabelece quem são as partes. O mapeamento de titularidade estabelece quem está por trás delas. O screening e a mídia adversa estabelecem o que se sabe sobre cada uma. A decisão de iniciar o relacionamento, recusá-lo ou escalá-lo decorre dessa classificação e do apetite de risco da organização. 

O registro é o que torna essa decisão defensável. Um revisor, auditor ou responsável pelos controles de PLD/FT na aprovação final deve conseguir ler o dossiê e entender como se chegou à conclusão: quais identificadores foram confirmados, quais beneficiários foram identificados, quais ocorrências foram analisadas e por que a classificação chegou àquele resultado. 

As verificações normalmente falham em três pontos. Os resultados ficam em ferramentas diferentes e, por isso, os dados de identidade, titularidade e screening nunca são reunidos em uma única visão. O raciocínio fica na cabeça do analista, de modo que uma ocorrência descartada ou uma estrutura de titularidade interrompida não tem justificativa por escrito. A classificação é definida uma única vez e nunca é revista, fazendo com que o dossiê descreva o cliente como ele era no onboarding, e não como ele é agora. Cada um desses problemas é uma falha de transição entre etapas, e não de profundidade; por isso, deve ser corrigido primeiro pelo processo e depois pela tecnologia. 

Executando a sequência no Nexis Diligence+ 

O Nexis Diligence+ reúne as etapas dois e três em um único fluxo de trabalho. Uma única busca de entidade consulta simultaneamente dados cadastrais e de titularidade, listas globais de sanções e PEPs e mídia adversa licenciada. Assim, os beneficiários identificados na etapa de titularidade são analisados no mesmo ambiente em que foram encontrados, em vez de serem inseridos novamente em uma ferramenta de screening separada. Quando é preciso percorrer uma estrutura entre diferentes jurisdições, a Entity Search API oferece suporte ao mapeamento de rede e titularidade por trás da análise. 

O resultado é um relatório documentado: a entidade pesquisada, as fontes incluídas no escopo, a estrutura de titularidade conforme mapeada, cada ocorrência e sua classificação e as descobertas de mídia adversa, com data e possibilidade de exportação. Esse relatório integra o dossiê de verificação junto às evidências de identidade da primeira etapa e é o que um revisor consulta para avaliar se os controles de PLD/FT foram aplicados conforme previsto. Como a mesma busca é realizada da mesma forma por todos os analistas, a verificação de compliance ganha consistência em toda a equipe. O artigo de setembro sobre mídia adversa internacional licenciada por trás do screening aborda a camada de conteúdo; o Nexis Diligence+ é o ambiente em que o analista aplica esse conteúdo em uma verificação documentada. 

Padronize a verificação de PLD com o Nexis Diligence+ 

Considerações finais 

A consistência é o principal benefício da verificação de PLD. A profundidade em um único caso complexo importa menos do que uma sequência que qualquer analista possa executar da mesma forma e que gere um registro que qualquer revisor possa acompanhar. As três etapas acima, cada uma concluída com o que deve constar no dossiê, formam essa sequência. 

As etapas de pesquisa e screening podem ser consolidadas no Nexis Diligence+, que oferece ao núcleo da sequência um único ambiente e um único relatório. O restante é procedimento: documentar as etapas na ordem correta, definir o que cada uma deve deixar no dossiê e testar as verificações concluídas com base nesse padrão. Um programa que atende a esses critérios deixou de apenas executar checagens e passou a concluir verificações. E o dossiê de due diligence do cliente demonstrará isso.