A ilusão da eficiência interna e o ineditismo de uma multa de USD 1,21 bilhão.
O recente pacote de penalidades aplicado ao Bank of America, ultrapassando USD 1,21 bilhão, estabeleceu um marco pedagógico e severo no cenário financeiro internacional. A sanção decorreu de falhas estruturais sistemáticas nos controles de fiscalização contra a lavagem de dinheiro e no cumprimento das normas de sanções econômicas norte-americanas.
O ponto central investigado revelou que o banco deixou de reportar às autoridades de inteligência financeira movimentações que atingiram o montante comprovado de USD 5 bilhões em atividades suspeitas. Formalmente, a instituição admitiu três omissões críticas:
- Falha em implementar e manter um programa de Anti-Money Laundering (AML) compatível com os requisitos regulatórios mínimos;
- Ausência de procedimentos adequados de Due Diligence para contas de correspondentes bancários provenientes de instituições financeiras estrangeiras;
- Omissão na apresentação tempestiva de relatórios de atividades suspeitas (Suspicious Activity Reports – SARs).
O caso serve como um alerta importante: o excesso de confiança em sistemas proprietários (in-house) e a falsa premissa de que a existência formal de políticas e procedimentos internos são, ao mesmo tempo, condição suficiente para garantir atingimento de padrões e, por conseguinte, imunidade regulatória. Neste caso, sua ineficácia, resultando em falhas, custou mais de um bilhão de dólares a uma das maiores instituições do planeta.
Mas, por que isso me interessa?
Um dos equívocos mais comuns no meio empresarial é supor que a ausência de sede nos Estados Unidos torna a empresa imune às sanções das autoridades americanas, ou que localmente não tenhamos requisitos semelhantes. Conforme demonstrado, companhias estrangeiras atraem a jurisdição norte-americana sempre que utilizam a infraestrutura financeira daquele país, ainda que apenas para compensação de câmbio ou operações de clearing, ou mesmo, quando interagem com entidades designadas.
No âmbito doméstico, o Brasil consolidou uma estrutura legal semelhante, a partir da Lei n.º 9.613/1998 (Lei de Lavagem de Dinheiro). As empresas atuantes no mercado nacional estão submetidas a obrigações diretas de comunicação ao Conselho de Controle de Atividades Financeiras (COAF). Tais comunicações subdividem-se, fundamentalmente, em:
- Comunicação de Operações em Espécie (COE): Informe o objetivo decorrente do ultrapassamento de limites quantitativos legais em transações em moeda física.
- Comunicação de Operações Suspeitas (COS): Reporte qualitativo deflagrado sempre que forem identificadas atipicidades financeiras ou indícios de ilicitude.
O rol de pessoas obrigadas a manter esses controles (previsto no art. 9º da Lei nº 9.613/98) abrange não apenas instituições financeiras. O padrão normativo exige rotinas sólidas de “Conheça seu Cliente” (KYC/CDD), monitoramento contínuo da relação de negócios e reporte tempestivo de anomalias ao COAF.
É grande a gama de empresas que estão cobertas por esta obrigação, contudo, as principais são:
– Instituições Financeiras, incluindo-se demais empresas, que operam sob este guarda-chuva, tais como fintechs, operadores de cartão de crédito, clearing houses e outros.
– Profissionais e escritórios de contabilidade e de advocacia[1].
– Empresas que comercializem jóias, pedras preciosas, imóveis, carros e artigos, que possam ser qualificados como artigos de luxo.
Esta não é uma lista exaustiva, pois continuamente órgãos internacionais expandem essas listas e, países passam a incluí-las neste rol de obrigações.
A discussão sobre classificar grupos narcotraficantes locais como terroristas, entre outros, materializa-se em um grande impacto nesta regulamentação, pois qualquer entidade afiliada direta ou indiretamente a estes grupos, que venha transacionar com empresas destes grupos, deveria ser indicada ao COAF e, a depender da estrutura da transação, aos órgãos pares estrangeiros correspondentes.
A “cegueira deliberada”: de uma omissão administrativa ao risco penal.
Do ponto de vista do Direito Penal Econômico, a falha estrutural em programas de PLD não se esgota no pagamento de multas administrativas. Quando uma organização ignora sistematicamente alertas (red flags) gerados por seus sistemas de monitoramento ou omite deliberadamente comunicações obrigatórias ao COAF, a conduta dos administradores transpõe a esfera regulatória e ingressa no campo da responsabilidade penal pessoal.
Focando neste momento, exclusivamente na jurisprudência brasileira, tem-se aplicado de forma crescente a Teoria da Cegueira Deliberada. Por meio deste conceito, o diretor, officer ou tomador de decisão que se coloca conscientemente em posição de desconhecimento ou indiferença perante a origem ilícita de valores — preferindo “não saber” para viabilizar o negócio — responde pelo crime de lavagem de dinheiro (art. 1º da Lei nº 9.613/98) a título de dolo eventual.
A omissão no dever de controle (art. 10 e 11 da Lei n.º 9.613/98) deixa de ser mera infração regulatória, transformando-se em potenciais casos de responsabilidade que podem inclusive atingir os administradores por sua falta ou ineficácia de suas ações. Expandindo-se o escopo desta análise e, com maior eficácia e robustez, jurisdições estrangeiras, em especial a norte-americana, podem aplicar sanções em mesmo sentido, inclusive impedindo que tais empresas acessem direta ou indiretamente seu mercado.
Paper compliance: O risco real incluído na ineficácia dos seus controles.
O caso do Bank of America escancara o perigo do paper compliance (ou compliance cosmético), caracterizado pela mera existência de manuais, códigos de conduta, políticas e softwares formais desprovidos de aplicação prática e checagem de efetividade.
Para afastar uma responsabilização ou mitigar sanções corporativas, o programa de integridade precisa demonstrar efetividade concreta. Isso exige:
- Matriz de risco atualizada e aderente à realidade operacional do cliente;
- Procedimentos reforçados de Enhanced Due Diligence (EDD) para PEPs (Pessoas Politicamente Expostas) e contas correspondentes internacionais;
- Autonomia e independência real ao Compliance Officer;
- Auditorias periódicas e testes de estresse nos algoritmos de detecção de atipicidades.
O excesso de confiança em ferramentas internas sem a devida supervisão qualificada invalida a alegação de boa-fé em eventual questionamento administrativo-regulatório ou penal.
Comunicação de Operações Suspeitas (COS): como e quando fazer?
A identificação de atipicidades financeiras exige rigor técnico para evitar dois extremos nocivos: a omissão punível e o over-reporting defensivo (notificação indiscriminada de operações normais apenas para afastar responsabilidade).
A legislação brasileira assegura proteção expressa às pessoas obrigadas que realizam a Comunicação de Operações Suspeitas (COS) de boa-fé (art. 11, II, da Lei nº 9.613/98), resguardando-as de responsabilidade civil ou administrativa perante o cliente cujas características ou operações foram comunicadas ao COAF. A COS não é denúncia de crime, mas o cumprimento de um dever instrutório que alimenta o sistema de inteligência financeira do Estado.
Imperatividade do third-party due diligence
Por fim, o descumprimento de sanções internacionais (como as aplicadas pela OFAC nos EUA) expõe as empresas brasileiras, inclusive ao risco de sanções secundárias (secondary boycotts). Organizações que mantêm relações comerciais ou financeiras com partes bloqueadas ou jurisdições sancionadas correm o risco de de-risking — ou seja, o corte sumário do acesso ao sistema bancário global e o cancelamento de contratos internacionais.
Portanto, a implementação de uma governança rigorosa na gestão de terceiros (third-party due diligence) não se trata, no veio prático, de uma imposição burocrática, mas sim de uma condição essencial de operação e sobrevivência de mercado e de integridade jurídica. A exposição de partes locais a regras mais rígidas, tais como aquelas que vêm sendo discutidas pelo governo norte-americano em relação a grupos narco-traficantes locais, amplia os riscos para players locais, que buscam trabalhar ou acessar outros mercados.
Conclusão
A multa bilionária imposta ao Bank of America reafirma que a prevenção à lavagem de dinheiro e o cumprimento de sanções internacionais não admitem atalhos.
Para as empresas e profissionais regulados no Brasil, a lição é direta: (i) o compliance de prevenção à lavagem de dinheiro deve ser vivo, dinâmico e auditável. Somente a implementação de controles internos efetivos é capaz de proteger o patrimônio da empresa e assegurar os administradores em caso de riscos no campo Direito Penal Econômico e (ii) trabalhar em um ambiente econômico que conta com players direta ou indiretamente sujeitos a sanções expõe sua empresa a controles mais rígidos de Conheça-Seu-Cliente ou Know-Your-Customer (KYC), principalmente, se sua área de negócios opera com grandes volumes ou se encontra dentre as atividades cobertas pelas obrigações de notificação.
