Pessoa obrigada
Quem tem o dever de identificar clientes e reportar à autoridade. Quais obrigações concretas essa condição traz, e por que o mesmo conceito se chama diferente em cada país da região.
Em resumo
Uma pessoa obrigada é uma pessoa física ou uma organização à qual o regime de prevenção à lavagem de dinheiro e ao financiamento do terrorismo impõe deveres próprios: identificar seus clientes, conservar a evidência dessa identificação e reportar à autoridade as operações que resultarem suspeitas.
A condição não se escolhe nem se solicita: decorre da atividade que se realiza. Se a atividade está entre as que a norma alcança, os deveres valem desde o primeiro dia, independentemente do tamanho da organização.
E não é uma condição exclusiva dos bancos. Em toda a região o alcance não se limita ao sistema financeiro: os catálogos incluem fé pública, imóveis, metais, jogos e serviços profissionais.
Que obrigações a condição traz
Os deveres variam em detalhe entre países e coincidem na estrutura. São seis e funcionam como um sistema, não como uma lista de tarefas.
- Registrar-se perante a autoridade — cadastrar-se junto ao organismo que recebe os reportes, que conforme o país é a unidade de inteligência financeira, o supervisor setorial ou a autoridade tributária.
- Designar um responsável pelo cumprimento — uma pessoa identificada, com capacidade de decisão, que responde pelo funcionamento do sistema.
- Identificar e conhecer o cliente — o dever central, do qual se desprende todo o processo de KYC. Inclui identificar o beneficiário final quando o cliente é uma empresa.
- Aplicar devida diligência conforme o risco — mais escrutínio onde o risco é maior, incluindo os clientes que se qualificam como PEP.
- Conservar a documentação — pelo prazo que cada norma fixar, e em condições que permitam reconstruir uma operação pontual anos depois.
- Reportar — as operações suspeitas e, em vários regimes, também as que superam um limite objetivo mesmo sem despertar suspeita.
Há um sétimo dever implícito que raramente aparece nas listas e é o que mais trabalho gera: poder demonstrar os seis anteriores. Uma pessoa obrigada que fez tudo certo e não conserva o rastro está, diante de uma fiscalização, na mesma posição de uma que não fez nada.
O mesmo conceito se chama diferente em cada país
Esta é a parte que uma equipe regional precisa e que quase nenhuma página resolve. A figura existe nos quatro mercados; o nome, o supervisor e o critério de alcance mudam.
- Argentina — o termo legal é literalmente sujeto obligado (pessoa obrigada), e a Unidade de Informação Financeira é o organismo perante o qual se registra e se reporta. É o país onde a expressão entrou na linguagem corrente dos escritórios contábeis e cartórios.
- [México](/regulacion/mexico) — o equivalente conceitual são quem realiza atividades vulneráveis, um catálogo definido pela lei antilavagem que alcança um universo amplo fora do sistema financeiro. As instituições financeiras respondem por sua própria normativa e perante outro supervisor.
- [Colômbia](/regulacion/colombia) — as entidades vigiadas pela Superintendência Financeira ficam sob o SARLAFT. As empresas do setor real que superam certos limites ficam sob o SAGRILAFT, com a Superintendência de Sociedades como supervisora.
- [Brasil](/pt/regulacao/brasil) — as pessoas obrigadas são as pessoas físicas e jurídicas alcançadas pela Lei nº 9.613/1998 e sua regulamentação. Devem cumprir as obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e comunicar as operações correspondentes ao COAF, a Unidade de Inteligência Financeira do Brasil. Conforme o setor, a supervisão recai sobre seu regulador específico ou diretamente sobre o COAF, que além de ser a UIF fiscaliza os setores que não têm organismo próprio.
O mapa de autoridades não é uniforme, e convém não dar a entender que é:
- Argentina — Sujetos obligados. Autoridade: UIF. Foco da evidência: registro e reporte perante a UIF; conservação do dossiê.
- México — Quienes realizan Actividades Vulnerables. Autoridade: SAT-SPPLD e UIF. Foco da evidência: avisos por atividade vulnerável; guarda das informações de suporte.
- Colômbia — Entidades vigiladas (SARLAFT) ou empresas obligadas (SAGRILAFT), conforme o regime. Autoridade: Superintendência Financeira e Superintendência de Sociedades, com reportes à UIAF. Foco da evidência: sistema de gestão de risco documentado; reporte de operação suspeita.
- Brasil — Pessoas obrigadas. Autoridade: COAF e reguladores setoriais. Foco da evidência: identificação de clientes, manutenção de registros e comunicação de operações.
Quatro nomes, um mesmo mecanismo. Quem opera em vários países não precisa aprender quatro filosofias: precisa saber, em cada um, três coisas. Quem supervisiona, a partir de que limite e com que prazo de conservação.
A condição depende da atividade, não do ramo nem do tamanho
Dois mal-entendidos frequentes se esclarecem juntos.
O primeiro: não é preciso ser uma instituição financeira. Na região estão alcançados, conforme o país, cartórios, imobiliárias, casas de câmbio, comercializadoras de metais e pedras preciosas, plataformas de apostas, empresas que concedem crédito sem ser bancos, administradoras de fundos fiduciários e provedores de serviços de ativos virtuais, entre outros.
O segundo: ser pessoa obrigada não implica nenhuma suspeita. A norma não aponta setores por conduta, aponta por exposição. Uma atividade fica alcançada porque sua operação é um canal útil para movimentar fundos de origem ilícita, não porque quem a exerce esteja sob questionamento.
A pergunta que define a condição não é a que se dedica uma organização em termos gerais, e sim se ela realiza alguma das atividades que a norma do seu país enumera, e a partir de que valor. Duas empresas do mesmo ramo podem estar em situações diferentes se uma supera o limite e a outra não.
Perguntas frequentes
Comparando a atividade concreta que ela realiza com a lista de atividades alcançadas na norma do seu país, e com os limites que essa norma fixa para cada uma. Não depende do tamanho da empresa nem da sua forma jurídica: depende do que ela faz e, em várias atividades, a partir de que valor. Diante de uma dúvida razoável, a resposta não se presume, se consulta com um assessor ou diretamente com o organismo supervisor, porque a condição traz deveres de registro e de reporte que correm desde que a atividade começa.
São a mesma ideia com nomes e jurisdições diferentes. Sujeto obligado é o termo do regime argentino e designa a pessoa ou entidade sobre a qual recaem os deveres. Atividade vulnerável é o termo mexicano e designa a atividade que, ao ser realizada, gera esses deveres para quem a realiza. Um nomeia o obrigado, o outro nomeia o fato que obriga, e na prática descrevem o mesmo mecanismo.
Não. O dever de reporte alcança as operações suspeitas, que são as que não encontram justificativa econômica ou jurídica razoável à luz do perfil do cliente. Vários regimes acrescentam ainda reportes objetivos acima de um limite, apresentados mesmo sem nenhuma suspeita. O que alcança todas as relações, sem limite, é o dever de identificar o cliente e conservar a evidência.
Fica exposta ao regime sancionatório do seu país. As consequências podem incluir advertências, multas, inabilitações, suspensão ou cancelamento de autorizações, conforme a jurisdição, o supervisor e o tipo de descumprimento. A sanção não exige que tenha havido lavagem: descumprir os deveres de identificação, conservação ou reporte pode ser infração por si só.
A exposição nem sempre termina na organização. Na Argentina, na Colômbia e no Brasil o alcance pode chegar de forma direta à pessoa designada como responsável pelo cumprimento. Em alguns regimes essa responsabilidade pessoal só se ativa diante da ausência ou da irregularidade na designação do responsável, e então se transfere para os administradores. É uma diferença que convém observar por país antes de presumir que o esquema é o mesmo em todos.
Depende do país, e o piso é alto. Na Argentina e no México o padrão normativo exige conservar a evidência de identificação por um mínimo de dez anos. No Brasil o prazo mínimo é de cinco anos, prorrogável por decisão da autoridade. O que quase sempre se subestima não é o prazo, e sim a forma: não basta guardar o resultado final, aprovado ou rejeitado. A norma exige que o registro permita reconstruir a operação, ou seja, que um supervisor consiga acompanhar, passo a passo, qual documento foi apresentado, qual comparação foi feita e que resultado cada controle gerou. Um dossiê que só guarda o veredito cumpre o prazo e não o dever.
