Esta é uma versão de uma história que aparece em quase toda conversa que temos com responsáveis pelas operações de fundos. Os detalhes mudam. A estrutura é sempre a mesma.
Surge uma correspondência em uma lista de sanções envolvendo o novo responsável financeiro de uma empresa investida. Sexta-feira, no meio da tarde. O alerta chega ao canal de monitoramento devidamente sinalizado, com a fonte correta e um link direto para a listagem original. Na segunda-feira de manhã, três pessoas passam por ele ao rolar as mensagens. As três percebem o alerta. As três presumem que o responsável por compliance está cuidando disso. O responsável por compliance está em um avião a caminho de uma reunião com um LP e só abre o canal na quarta-feira, quando o alerta já ficou vinte mensagens para cima. Ele volta à tona onze dias depois, quando o banco da investida liga para informar que a conta foi bloqueada.
Ninguém nessa sequência fez algo obviamente errado. A plataforma funcionou. Encontrou exatamente o que deveria encontrar, no dia em que deveria encontrar, e colocou um link para a fonte na própria mensagem.
O que falhou foi tudo o que veio depois da mensagem.
A detecção nunca foi a parte difícil
Essa é a parte à qual os compradores sistematicamente dão menos peso. As demos se concentram na detecção: quantas fontes, qual a velocidade, qual a precisão, quanto ruído é eliminado antes que uma pessoa veja o resultado. É justo. Essas coisas importam, e uma plataforma que falha nisso não tem valor.
Mas nunca vimos um fundo abandonar o monitoramento contínuo porque a detecção era ruim. Vimos muitos abandoná-lo porque os alertas chegavam a um lugar que ninguém acompanhava, sem um destinatário específico, e depois de seis semanas o canal havia virado um ruído de fundo que todos aprenderam a ignorar.
Portanto, a pergunta que realmente determina se tudo isso funciona não é “o que será detectado”. É “onde isso entra na nossa semana, e quem age quando um alerta dispara”.
Quatro formas de um alerta morrer
Mais ou menos quatro. Elas tendem a se acumular.
Ninguém vê. O alerta vai para uma caixa de entrada compartilhada, um painel ou um canal que já recebe trezentas mensagens por dia. Tecnicamente, ele está lá. Ninguém o encontra enquanto ainda faz diferença.
Ninguém assume a responsabilidade. É o caso da história acima e, de longe, o mais comum. Um alerta dirigido à “equipe” não é dirigido a ninguém. A literatura de resposta a incidentes tem um nome para isso, difusão de responsabilidade, e o fenômeno já foi documentado em tantas análises de incidentes que seria de esperar que o setor já o tivesse resolvido. O setor não resolveu.
O alerta não diz o que fazer. Gravidade não informada, próxima ação não especificada, implicações completamente ausentes. Uma pessoa da operação diante de um sinal ambíguo às 4h40 de uma quinta-feira deixa isso para depois. Você sabe como termina.
Fadiga de alertas. Volume alto demais, proporção de resultados relevantes baixa demais, e a equipe aprende silenciosamente que ignorar o fluxo não traz consequências. O SANS Institute já publicou muito sobre isso no contexto dos centros de operações de segurança, ou SOCs, e os números são preocupantes: os analistas normalmente fazem a triagem de uma pequena fração do que recebem. A dinâmica na inteligência de riscos é idêntica. Os sinais mudam, o limite humano é o mesmo.
E-mail é o canal errado para assuntos urgentes
O e-mail é onde a informação fica para ser encontrada depois. Essa é uma função real e, para uma boa parte do que o monitoramento contínuo produz, é exatamente o que se precisa.
Para qualquer assunto sensível ao tempo, é o canal errado. Não porque o e-mail seja inferior, mas pelo tempo de resposta. O tempo mediano de resposta a um e-mail profissional é medido em horas. Em um canal de mensagens que sua equipe já mantém aberto, é medido em minutos. Quando uma entidade sancionada aparece no fluxo de pagamentos de uma empresa investida, o prazo em que uma resposta ainda é útil se parece muito mais com o segundo número do que com o primeiro.
Vale lembrar a velocidade com que os dados de origem mudam. O fluxo de ações recentes da OFAC é atualizado continuamente, sem seguir um horário conveniente para seus hábitos de leitura de e-mail. O mesmo vale para tudo o mais nessa categoria.
Por que Telegram, e quando ele é a escolha errada
Para boa parte das empresas com as quais trabalhamos, esse canal que já fica aberto é o Telegram. Isso surpreende quem nunca trabalhou em setores diferentes e não surpreende quem já trabalhou.
As equipes simplesmente já estão lá. Conversas sobre negócios, comunicação com investidas, grupos de fundadores, discussões com LPs. Para essas empresas, o Telegram não é um canal adicional. É o canal. Encaminhar alertas para ele não exige nenhuma mudança de comportamento da equipe, e a adoção de um fluxo de trabalho sem mudança de comportamento é a única que resiste a um trimestre cheio.
Ele também atravessa as fronteiras entre organizações de uma forma que a maioria das ferramentas corporativas deliberadamente não permite. Slack e Teams são internos por definição, o que é adequado para quase tudo e inconveniente neste caso. Quando uma campanha de falsificação de identidade atinge uma investida, as pessoas que precisam saber incluem o responsável pelas operações do fundo e a própria equipe do fundador. Os grupos do Telegram permitem isso de forma nativa.
E a entrega funciona bem internacionalmente. Fundos com equipes distribuídas ou investimentos em várias jurisdições enfrentam problemas de entrega de e-mail com mais frequência do que você imagina. Filtros regionais, regras corporativas de spam, o de sempre. O Telegram não enfrenta esse problema da mesma forma.
Agora a ressalva, porque ela importa mais que o argumento de venda. O Telegram não é o canal certo para todo fundo. Se você trabalha em uma gestora institucional com uma política corporativa de mensagens, ou se seus LPs têm posições firmes sobre onde deve ficar a comunicação do fundo, encaminhe os alertas para Slack, Teams ou um resumo estruturado por e-mail, sem receio. O que importa é que os alertas cheguem aonde sua equipe já olha. Qual será esse canal depende inteiramente da sua equipe, não da nossa.
Classificar por níveis: a solução sem graça que quase ninguém adota
A maioria dos fundos com os quais conversamos recebe seu fluxo de riscos como uma enxurrada sem diferenciação. Tudo chega ao mesmo lugar, com a mesma prioridade, e espera-se que o responsável pelas operações organize isso. Funciona por cerca de três semanas.
A solução não tem graça. É classificar por níveis. Três são suficientes, e você pode acrescentar outros, mas provavelmente não deveria.
Crítico. Uma correspondência em uma lista de sanções. Um sinal de fraude em andamento. Uma medida regulatória iminente. Uma violação confirmada em uma empresa investida. Isso vai para um canal com notificações instantâneas e uma pessoa designada. Não uma equipe. Uma pessoa. Espera-se uma confirmação de recebimento em até quatro horas, não “quando alguém conseguir olhar”.
Relevante. Mídia negativa com conteúdo substancial, mudança na situação da pessoa jurídica, atividade verificada de falsificação de identidade, processo judicial contra um fundador ou administrador. Vai para o canal de operações, com triagem dentro do dia útil.
Informativo. Tudo o que vale saber, mas não justifica interromper ninguém. Mudanças regulatórias do setor, menções na mídia de baixa relevância, registros de menor importância. Agrupados. Entregues na sexta-feira, lidos em dez minutos, resolvido.
Os níveis específicos não importam tanto. Ter níveis faz uma diferença enorme. Se você quer um atalho, o guia de tratamento de incidentes do NIST (SP 800-61) formalizou esse modelo para equipes de segurança há duas décadas, e a lógica se aplica aqui quase sem alterações. Use a estrutura deles, renomeie as categorias e siga em frente.
Duas tarefas diferentes, duas entregas diferentes
O monitoramento contínuo responde a uma pergunta: o que mudou na nossa carteira desde a semana passada.
Existe uma segunda pergunta que os fundos fazem o tempo todo, e ela tem uma estrutura completamente diferente. Diga tudo o que você sabe sobre esta entidade, agora, em um único documento. Um novo negócio em due diligence. Um LP perguntando sobre um investimento específico. Uma reverificação anual. Isso não é um fluxo de atualizações. É um relatório, e precisa ser aprofundado, estruturado e compartilhável com quem não participou da discussão.
Os dois importam. Comprar uma plataforma que resolve um deles muito bem e trata o outro como secundário é um erro que vemos com frequência, geralmente porque só o primeiro caso de uso estava na cabeça do comprador durante a avaliação e o segundo apareceu no segundo mês.
Pare de exigir que as pessoas façam login em outro lugar
Cada clique entre um sinal e uma decisão é um ponto em que a decisão pode deixar de ser tomada.
Isso significa que o painel, por melhor que seja, não deve ser o principal ponto de contato. Ele deve ser o lugar aonde você vai quando já sabe o que está procurando. Os próprios alertas precisam chegar às ferramentas que a equipe já está usando.
Para a maioria dos fundos de venture capital com os quais trabalhamos, funciona mais ou menos assim. Os sinais são enviados ao CRM de negócios, para que o histórico de risco esteja ali na próxima vez que alguém abrir o registro. O resumo semanal é publicado no Notion, ao lado do documento de revisão da carteira, onde a equipe já está na sexta-feira à tarde. Alertas críticos geram uma tarefa na ferramenta que a equipe de operações usa para acompanhar o trabalho, porque um alerta sem responsável e sem prazo não é uma tarefa. É uma anotação.
A plataforma detecta. Suas ferramentas atuais acompanham. Criar um segundo sistema de registro dentro da ferramenta de riscos é justamente como as coisas se perdem.
A rotina é o que faz tudo funcionar
Você pode desenhar um fluxo de encaminhamento perfeito, e ele vai se deteriorar em oito semanas se ninguém o revisar de forma deliberada. Por isso, a frequência importa tanto quanto a infraestrutura.
Toda semana, trinta minutos, sob a condução do responsável pelas operações. Leia o resumo informativo. Verifique a situação de tudo o que foi escalonado durante a semana. Registre as decisões, inclusive a decisão de não fazer nada, porque “revisamos e consideramos irrelevante” é uma posição defensável, e “não chegamos a olhar” não é.
Todo mês, procure padrões, em vez de incidentes. Três investidas sofrendo falsificação de identidade nas mesmas seis semanas não são três problemas. É um só, e provavelmente é uma campanha. Alertas isolados quase nunca mostram isso. Trinta dias de alertas, lidos em conjunto, geralmente mostram.
A cada trimestre, faça o que todos pulam: sente-se e pergunte quais alertas realmente levaram a uma ação e quais foram ruído. Depois, reajuste os limiares. As equipes cujos programas de gestão de riscos continuam ativos após dezoito meses são, quase sem exceção, as que fazem isso. Os programas que morreram silenciosamente ainda usavam, no décimo quarto mês, as configurações do primeiro.
Os erros que vemos as equipes cometerem
Uma lista curta, e eu apostaria que a maioria dos fundos que estão lendo isto comete pelo menos um deles:
- Encaminhar tudo para uma caixa de entrada compartilhada de compliance
- Definir os limiares de gravidade uma única vez no onboarding e nunca mais revisá-los
- Entregar alertas críticos por e-mail
- Tratar o alerta como o fim do processo, em vez do início
- Construir todo o fluxo de trabalho em torno das configurações padrão da plataforma, em vez da semana real da equipe
Os cinco podem ser corrigidos em uma tarde. A maioria das equipes corrige pelo menos um deles por volta do terceiro mês, geralmente uma ou duas semanas depois de algo passar despercebido.
Perguntas frequentes
A detecção é a parte que os fornecedores demonstram, e geralmente é a parte que funciona bem. Os alertas morrem mais adiante, no encaminhamento. Chegam a um canal que ninguém acompanha em tempo real, todos com a mesma prioridade, sem responsável e sem uma rotina de revisão. Corrija o canal e a atribuição de responsabilidade, e a maioria das reclamações de que “nossa ferramenta não funciona” desaparece.
O e-mail é onde a informação fica para ser encontrada depois e, para boa parte do que o monitoramento contínuo produz, isso é exatamente o adequado, já que um resumo semanal faz sentido em uma caixa de entrada. É o canal errado para qualquer assunto urgente. Se um sinal exige uma decisão hoje, precisa chegar a algum lugar que a equipe já mantenha aberto.
Porque, para boa parte das equipes com as quais trabalhamos, é o canal que já fica aberto o dia todo. O ponto não é especificamente o Telegram. É que os alertas devem chegar aonde as pessoas já estão, sem exigir mais um login. Ele é a escolha errada quando sua política exige um registro com controle de acesso de quem viu o quê e quando; nesse caso, o alerta deve ficar no sistema de registro, com apenas uma referência no chat.
Classificar por níveis significa dividir o fluxo por gravidade e encaminhar cada nível de forma diferente: itens críticos para um canal instantâneo com um responsável designado, todo o resto para um resumo. A maioria das equipes recebe uma enxurrada sem diferenciação em um único lugar e espera que o responsável pelas operações organize tudo. Isso funciona por cerca de três semanas, até que as pessoas param de ler.
Eles respondem a perguntas diferentes e não devem ter o mesmo formato. O monitoramento responde “o que mudou na nossa carteira desde a semana passada”. Um relatório responde “o que sabemos sobre esta contraparte, e posso encaminhar essas informações”. Um é um fluxo, o outro é um documento, e tentar fazer um só cumprir as duas funções é como as equipes acabam sem nenhum dos dois.
Um fluxo de encaminhamento se deteriora. As pessoas mudam de função, a carteira cresce, os limiares perdem a adequação. Sem uma frequência definida de revisão, uma configuração bem planejada deixa silenciosamente de corresponder à equipe em poucos meses. Reserve um horário recorrente no calendário para revisar o que disparou, o que gerou ação e o que foi ignorado.
Enviar tudo com a mesma prioridade; encaminhar para um canal sem responsável designado; exigir que as pessoas façam login em outro lugar para ver os detalhes; e nunca revisar a configuração depois da implantação. Cada clique entre um sinal e uma decisão é um ponto em que a decisão pode deixar de ser tomada.
Conclusão
Veja como é, na prática, uma configuração que funciona. É menos impressionante do que você imagina.
O responsável pelas operações fica sabendo em minutos quando um alerta crítico dispara. Os sinais informativos são reunidos em um resumo de sexta-feira que leva dez minutos para ler. Os relatórios de due diligence aparecem no documento do negócio, sem depender de um portal separado que alguém precisa lembrar de abrir. Nada é escalonado duas vezes sem ser concluído. E ninguém fica consultando um painel por precaução, porque não há motivo para isso.
O resultado final é uma equipe que para de pensar na ferramenta de riscos, assim como você não fica pensando se seu e-mail está funcionando. Esse é o padrão, e a maioria dos fundos está mais longe dele do que percebe.
Se você quer desenhar esse fluxo com base nas ferramentas que já usa, a Beady AI faz isso com você. Telegram ou Slack, frequência dos resumos, CRM, quem responde pelo quê. Agende uma sessão de trabalho e faremos isso com sua carteira real, em vez de uma carteira de demonstração.
