Devida diligência
O nível de escrutínio que corresponde a cada cliente. Como se gradua conforme o risco, o que dispara a versão reforçada e por que não termina no dia do cadastro.
Em resumo
A devida diligência é o conjunto de medidas que uma organização aplica para conhecer um cliente e manter esse conhecimento atualizado durante toda a relação.
Sua característica definidora é a graduação: nem todos os clientes recebem o mesmo escrutínio. O nível é determinado conforme o risco que cada relação representa, e essa calibragem é uma decisão que a organização precisa poder justificar.
Por isso a devida diligência não é um requisito que se cumpre, é um critério que se aplica. Dois clientes da mesma organização podem passar por processos diferentes sem que nenhum dos dois esteja errado.
A devida diligência tem níveis, e o nível é definido pelo risco
Os regimes da região trabalham com três intensidades. Os nomes variam um pouco entre normas; a lógica não.
- Simplificada — para relações de risco baixo comprovado. Reduz a profundidade da informação exigida, nunca a identificação em si. Não existe cliente que não precise ser identificado.
- Ordinária — o padrão da maioria da carteira. Identificação do cliente, compreensão do propósito da relação e monitoramento de rotina.
- Reforçada — para relações de risco alto. Soma origem de fundos e de patrimônio, aprovação de um nível hierárquico superior para vincular ou manter a relação, e monitoramento mais frequente com limites mais baixos.
Aplicar o nível mais alto a toda a carteira não é prudência: é um programa mal desenhado. Consome o tempo da equipe de forma pareja e a deixa sem capacidade de olhar para onde o risco realmente está, que é exatamente o que a abordagem baseada em risco tenta evitar.
O que determina o nível e o que dispara a versão reforçada
A classificação é construída sobre quatro fatores, e os quatro são avaliados juntos.
- O cliente — quem é, a que se dedica, que estrutura tem por trás e se se qualifica como PEP.
- O produto — quão exposto está à movimentação de fundos e quão fácil é convertê-lo em dinheiro.
- O canal — como a relação foi estabelecida. Uma vinculação sem presença física tem um perfil de risco diferente de uma presencial.
- A jurisdição — onde o cliente opera e com quais países se relaciona sua operação.
Com base nisso, os gatilhos mais frequentes da devida diligência reforçada são a condição de PEP, as estruturas societárias que dificultam identificar o beneficiário final, as operações sem justificativa econômica aparente e a exposição a jurisdições apontadas por deficiências em seu regime de prevenção, conforme explicado em GAFI e GAFILAT.
O canal digital merece uma observação, porque a leitura clássica ficou datada. A vinculação não presencial foi considerada durante anos um fator de risco por si só, quando o único modo sólido de comprovar identidade era ter a pessoa à frente. Hoje um processo digital com verificação documental, comparação biométrica e prova de vida produz mais evidência, e mais auditável, do que um funcionário olhando um documento em um balcão. O que aumenta ou diminui o risco não é o canal, é a qualidade da comprovação e a evidência que ela deixa.
A devida diligência não termina no cadastro
O erro de design mais caro dessa parte do programa é tratá-la como um requisito da vinculação.
A obrigação é contínua. A organização precisa saber quem é seu cliente no primeiro dia e continuar sabendo no ano seguinte, o que implica três coisas diferentes.
- Atualizar a informação — os dados mudam, e um cadastro desatualizado deixa de sustentar a classificação de risco que foi construída com ele.
- Revisar a classificação — o nível atribuído no cadastro caduca. Um cliente pode assumir uma função pública, mudar de atividade ou modificar sua estrutura societária.
- Monitorar a operação frente ao perfil — que é onde a devida diligência se conecta com o resto do programa de AML e deixa de ser um trâmite do onboarding.
A devida diligência do compliance não é a de uma compra de empresa
Os dois usos do termo convivem e designam coisas muito diferentes, o que explica boa parte da confusão quando aparece em uma conversa de projeto.
Em uma operação societária, a devida diligência é a revisão que um comprador faz da empresa que vai adquirir: contratos, passivos, litígios, cumprimento fiscal. É um exercício delimitado no tempo, voluntário e voltado a decidir um preço.
Na prevenção à lavagem de dinheiro, a devida diligência é uma obrigação regulatória sobre cada cliente, contínua enquanto durar a relação, com um conteúdo mínimo fixado pela norma e com um supervisor que pode revisá-la.
A primeira se faz uma vez e termina em um relatório. A segunda não termina, e o que produz é um cadastro vivo que precisa poder ser mostrado.
Perguntas frequentes
É o conjunto de medidas que uma organização obrigada aplica para conhecer cada cliente e manter esse conhecimento atualizado enquanto durar a relação: identificá-lo, entender o propósito da relação, classificar seu risco e monitorar sua operação frente a esse perfil. Se gradua em três níveis, simplificada, ordinária e reforçada, conforme o risco que cada relação representa.
Quando a relação apresenta um risco alto. Os gatilhos mais frequentes são que o cliente seja uma pessoa politicamente exposta ou parte do seu entorno, que sua estrutura societária dificulte identificar o beneficiário final, que sua operação não tenha justificativa econômica aparente ou que esteja exposta a jurisdições apontadas por deficiências em seu regime de prevenção. As medidas que soma são a origem de fundos e de patrimônio, a aprovação de um nível hierárquico superior e um monitoramento mais frequente.
O KYC é a parte de identificação: comprovar quem é a pessoa e conservar a evidência dessa comprovação. A devida diligência é mais ampla. Inclui esse conhecimento inicial e acrescenta a classificação de risco do cliente, a decisão sobre qual nível de escrutínio lhe corresponde e a obrigação de sustentar esse conhecimento ao longo do tempo. Na prática, o KYC é o que se faz; a devida diligência é o critério que define quanto se faz e por quanto tempo.
Não. Nenhum nível de devida diligência elimina o dever de identificar. A versão simplificada reduz a profundidade da informação adicional exigida e a frequência de sua atualização, em relações cujo baixo risco a organização consegue demonstrar. A identificação do cliente e a conservação de sua evidência se mantêm sempre.
