Todos os dias, bancos e outras instituições financeiras enviam milhares de relatórios de atividade suspeita (Suspicious Activity Reports, SARs), e quase ninguém fora da área de compliance já ouviu falar deles. Essa invisibilidade é proposital, já que os SARs são confidenciais, mas esconde o quanto eles são importantes. O SAR é o ponto em que todo o trabalho de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) de um banco — as verificações de identidade, o monitoramento, a triagem — converge para uma única decisão de grande peso: isso é suspeito o suficiente para ser comunicado às autoridades?
Este guia trata dessa decisão e de tudo o que a cerca: o que é um SAR, o que leva ao seu envio, exemplos de transações suspeitas, limites de valor e prazos, como enviar um SAR na prática, o que acontece depois do envio, a confidencialidade absoluta do SAR e as penalidades para quem erra. Também mostramos como identificar atividades suspeitas e como aprimorar o seu programa de SAR. A estrutura segue de perto o sistema dos EUA (onde os SARs são enviados ao FinCEN), por ser o mais desenvolvido, mas o conceito é global, e indicamos os equivalentes em outras jurisdições. Para quem trabalha em bancos ou com compliance de PLD/FT, o SAR é uma das ferramentas mais importantes com que vai lidar.
O que é um relatório de atividade suspeita (SAR)?
Um relatório de atividade suspeita é uma comunicação confidencial que uma instituição financeira envia às autoridades quando detecta uma atividade que, na sua avaliação, pode envolver lavagem de dinheiro, fraude, financiamento do terrorismo ou outro crime financeiro. Nos Estados Unidos, os SARs são enviados à Financial Crimes Enforcement Network (FinCEN), o órgão do Departamento do Tesouro que os recebe e analisa.
O essencial é entender o que um SAR não é. Ele não é uma acusação nem significa que um crime foi comprovado. É um alerta, levantado de boa-fé, de que algo parece errado o bastante para merecer a atenção das autoridades de investigação/aplicação da lei. A instituição não precisa ter certeza, nem mesmo convicção, de que um crime de fato ocorreu. Basta ter uma base razoável para suspeitar. Esse nível de exigência é propositalmente baixo, porque todo o sistema parte da premissa de que as instituições devem comunicar suspeitas cedo, em vez de esperar por provas.
Por que os SARs são importantes
Os SARs estão entre as fontes mais valiosas de inteligência sobre crimes financeiros de que as autoridades de investigação/aplicação da lei dispõem. Um banco enxerga o que nenhum investigador conseguiria enxergar: o fluxo real do dinheiro pelas contas, os padrões, as anomalias. Ao comunicar isso por meio de um SAR, ele entrega às autoridades uma pista que elas não teriam como obter de nenhuma outra forma. Investigações de lavagem de dinheiro, fraude, financiamento do terrorismo e crime organizado são, com frequência, construídas a partir de SARs — ou até desvendadas graças a eles.
Para a instituição, enviar SARs também é uma obrigação legal prevista no seu programa de PLD/FT, e não algo opcional. Deixar de comunicar quando deveria, comunicar com atraso ou enviar um relatório de baixa qualidade pode resultar em penalidades regulatórias. Os SARs também são um padrão global, parte fundamental das recomendações do GAFI/FATF — a base da PLD/FT no mundo inteiro. Assim, o SAR está na interseção de duas coisas: é uma contribuição real para a detecção de crimes e uma obrigação central de compliance que a instituição precisa cumprir corretamente. As duas razões justificam levá-lo a sério, em vez de tratá-lo como mera formalidade a ser despachada.
SAR vs. CTR vs. STR
Essas três siglas são confundidas o tempo todo, então aqui vai a distinção clara:
- SAR (relatório de atividade suspeita). Enviado quando uma atividade é considerada suspeita, ou seja, depende de julgamento. Não existe um valor em dólares que o dispare automaticamente: o que importa é a suspeita, não o valor.
- Relatório de transações em espécie (Currency Transaction Report, CTR). Enviado automaticamente para transações em espécie acima de um limite definido (US$ 10.000 nos EUA), haja ou não algo suspeito. É puramente mecânico e baseado em um limite de valor.
- Comunicação de operação suspeita (STR). O termo usado na UE e em muitas outras jurisdições para o que os EUA chamam de SAR. Mesmo conceito, outro nome — no Brasil, o equivalente é a comunicação de operação suspeita enviada ao COAF. Já no Reino Unido, os SARs são enviados à National Crime Agency, e não ao FinCEN.
A distinção fundamental é entre o CTR e o SAR: o CTR é acionado por um número; o SAR, por um julgamento. Um único depósito em espécie de valor alto gera automaticamente um CTR, mas só gera um SAR se alguém concluir que ele parece suspeito. Esse é o ponto central.
O que justifica um relatório de atividade suspeita?
Um SAR não é disparado por um evento isolado, e sim pela suspeita que atinge um critério legal. Nos EUA, a instituição envia um SAR quando sabe, suspeita ou tem motivos para suspeitar que uma transação ou um padrão de atividade se enquadra em uma das seguintes categorias:
- Envolve recursos provenientes de atividade ilícita ou tem o objetivo de ocultar ou dissimular esses recursos.
- Tem o objetivo de burlar as exigências de comunicação, como no fracionamento (structuring) para evitar um CTR.
- Não tem finalidade lícita ou comercial aparente e não corresponde ao tipo de atividade que normalmente se esperaria do cliente.
- Envolve o uso da instituição para facilitar atividades criminosas.
O aspecto mais importante desse critério é o quão baixo o nível de exigência foi fixado — de propósito. Não é preciso ter provas, nem mesmo uma convicção firme, de que um crime ocorreu; uma base razoável para suspeitar é suficiente. O sistema foi desenhado para captar a suspeita cedo, porque esperar pela certeza significaria esperar demais. É também por isso que o gatilho se baseia em julgamento, e não em uma regra puramente mecânica: ele pede que a instituição pense, não apenas que conte.
Qual é o limite de valor para o envio de um SAR?
Embora a suspeita seja o verdadeiro gatilho, também existem limites de valor que determinam quando o SAR se torna obrigatório, e eles variam conforme o tipo de instituição:
- Bancos e instituições depositárias. O SAR é obrigatório para transações suspeitas que somem (aggregating) US$ 5.000 ou mais quando é possível identificar um suspeito, e US$ 25.000 ou mais independentemente de haver um suspeito identificado.
- Abuso interno (insider abuse). Qualquer valor, sem mínimo, quando envolve conselheiros, diretores, funcionários ou agentes da própria instituição.
- Empresas de serviços monetários (MSBs). Um limite menor, geralmente de US$ 2.000 ou mais.
- Outros tipos de instituição. Cassinos, corretoras de valores (broker-dealers) e outras instituições têm seus próprios limites, definidos em regulamentação.
Um detalhe fundamental está no termo “aggregating” (somadas). Os limites se aplicam à soma de transações relacionadas, e não apenas a transações individuais — e é exatamente isso que neutraliza o fracionamento, a tática de dividir um valor alto em partes menores. Abaixo do limite, o envio não é obrigatório, mas a instituição ainda pode comunicar voluntariamente se a atividade for suspeita o bastante; acima dele, e atendido o critério de suspeita, o envio é obrigatório. Como esses valores são definidos em regulamentação e podem mudar, devem ser confirmados nas regras vigentes do FinCEN, e o FFIEC BSA/AML Examination Manual detalha como os examinadores esperam que as instituições os apliquem.
Sinais de alerta (red flags) comuns que levam à comunicação
O que realmente dispara um SAR é o surgimento de um sinal de alerta: um padrão ou comportamento que não fecha. Um sinal de alerta isolado, por si só, não gera um SAR, mas estes são os sinais recorrentes que chamam a atenção da equipe de compliance:
- Fracionamento (structuring). Dividir transações em valores menores para ficar abaixo dos limites de comunicação, uma tática clássica de evasão.
- Atividade incompatível com o perfil do cliente. Transações que não condizem com o negócio, a renda ou o histórico conhecidos do cliente.
- Transferências incomuns. Movimentação rápida de recursos, especialmente para o exterior ou vinda dele, sem finalidade econômica clara.
- Vínculos com jurisdições de alto risco ou partes sancionadas. Transações ligadas a lugares ou pessoas que constam em listas restritivas.
- Mudanças súbitas e inexplicadas de comportamento. Uma conta inativa que volta à vida de repente ou um pico acentuado de movimentação.
- Relutância em fornecer informações. Um cliente que resiste à due diligence ou dá respostas inconsistentes.
A habilidade não está em identificar um sinal isolado, e sim em reconhecer o conjunto de sinais e investigá-lo adequadamente antes de afirmar que existe uma suspeita real. É nessa investigação que boa parte da qualidade de um SAR se ganha ou se perde.
Qual é um exemplo de transação suspeita?
Critérios abstratos ficam mais fáceis de entender com exemplos concretos. Veja alguns padrões que normalmente justificariam uma análise mais detalhada — e, muitas vezes, um SAR:
- Um cliente faz vários depósitos em espécie de cerca de US$ 9.000 ao longo de poucos dias, cada um logo abaixo do limite de US$ 10.000 do CTR — um exemplo clássico de fracionamento.
- Uma conta praticamente inativa recebe de repente uma transferência internacional de valor alto e repassa imediatamente os recursos a um terceiro, sem razão comercial aparente.
- Um pequeno comércio varejista deposita valores em espécie muito superiores ao que suas vendas declaradas poderiam gerar de forma plausível.
- Um cliente envia recursos para uma parte ou jurisdição associada a sanções ou a alto risco de lavagem de dinheiro, ou recebe recursos dela.
- Um cliente se mostra excepcionalmente evasivo sobre a origem dos seus recursos ou apresenta documentos que não resistem a uma análise mais rigorosa.
Nenhum desses casos, por si só, prova irregularidade — pode haver explicações perfeitamente inocentes para cada um deles —, e é justamente por isso que a instituição investiga antes de decidir. Ainda assim, cada um é o tipo de anomalia que faz uma situação passar de “incomum” para “suspeita”, e é por isso que seria comunicada. O denominador comum é uma atividade que simplesmente não corresponde ao que se esperaria daquele cliente, considerando seu perfil econômico ou comportamental.
Como detectar e comunicar atividades suspeitas
Um SAR só pode ser enviado se a atividade suspeita for, antes de tudo, detectada — e é na detecção que muitos programas acertam ou fracassam. As instituições detectam atividades suspeitas por meio de vários canais complementares:
- Sistemas de monitoramento de transações. Sistemas automatizados que analisam as transações com base em regras e modelos criados para identificar padrões incomuns — o principal mecanismo de detecção na maioria das instituições.
- Equipes da linha de frente. As pessoas que lidam diretamente com os clientes e que percebem a estranheza, o comportamento que não fecha. É o elemento humano que os sistemas não têm.
- Due diligence do cliente (CDD) e monitoramento contínuo. O conhecimento de quem é o cliente e do que é normal para ele, que serve de referência para que as anomalias se destaquem.
- Triagem de sanções e listas restritivas. Verificações que revelam vínculos com partes proibidas ou de alto risco.
- Solicitações de autoridades de investigação e de reguladores. Pedidos que levam à revisão da movimentação de um cliente.
Depois de detectada, a atividade é investigada e, se o critério for atendido, comunicada por meio de um SAR. A detecção mais eficaz combina monitoramento automatizado, julgamento humano e um bom conhecimento de base sobre o cliente. Um sistema de monitoramento sem contexto gera ruído; contexto sem monitoramento não ganha escala. Acertar nos dois é o que transforma a atividade bruta nos sinais dos quais depende a decisão de enviar um SAR.
O que é o envio de um SAR e como funciona?
Da detecção ao envio, o processo de SAR segue um caminho consistente:
- Detectar a atividade. Algo que parece suspeito vem à tona — pelo monitoramento de transações, por um alerta, pela observação de um funcionário ou por uma revisão.
- Investigar e documentar. A equipe de compliance investiga o caso e reúne os fatos: o cliente, as transações, o contexto e toda a due diligence necessária para entender o que de fato aconteceu.
- Tomar a decisão de envio. Com base na investigação, decide-se se a atividade atende ao critério para comunicação. Essa decisão e sua fundamentação devem ser documentadas, seja o SAR enviado ou não.
- Enviar o SAR. Se a decisão for comunicar, o SAR é enviado — nos EUA, pelo BSA E-Filing System do FinCEN — com uma narrativa clara que explique a atividade suspeita.
- Manter os registros. O SAR e a documentação de suporte são arquivados pelo período exigido, e a instituição continua monitorando o cliente, já que um SAR muitas vezes leva a outro.
A investigação e a narrativa são as etapas em que o cuidado mais compensa. Um SAR com uma narrativa vaga e superficial é muito menos útil para as autoridades do que um que deixa claro quem fez o quê, quando e por que isso é suspeito.
Prazos e guarda de registros do SAR
As regras de prazo são específicas. Nos EUA, o SAR deve, em geral, ser enviado em até 30 dias corridos a partir da detecção inicial, pela instituição, dos fatos que fundamentam a comunicação. Se nenhum suspeito tiver sido identificado até esse momento, a instituição pode adiar o envio por até mais 30 dias — chegando ao máximo de 60 — para tentar identificá-lo, mas não além disso.
Quanto à guarda de registros, a instituição deve manter uma cópia de cada SAR e da documentação de suporte por 5 anos a partir da data de envio e ser capaz de apresentá-las às autoridades mediante solicitação. Perder o prazo ou não ter os registros em ordem são fontes muito comuns de críticas regulatórias. É por isso que, em uma função de compliance madura, o controle de prazos e a documentação dos SARs são disciplinas próprias, e não algo deixado para o fim do dia.
Confidencialidade: a regra de não alertar o cliente (tipping off)
Este é um dos aspectos mais importantes — e mais mal compreendidos — dos SARs, e errar aqui é grave. Os SARs são estritamente confidenciais. A instituição e seus funcionários não podem revelar ao cliente, nem a qualquer pessoa não autorizada, que um SAR foi enviado ou sequer cogitado. Informar um cliente de que ele foi objeto de um SAR é o que se chama de alertar o cliente (tipping off), e isso, por si só, é crime.
A lógica é simples quando se pensa nela. Se o cliente descobre que é objeto de um SAR, pode destruir provas, movimentar os recursos ou simplesmente desaparecer — e todo o propósito do SAR se perde. A confidencialidade é absoluta. A instituição não pode confirmar nem negar a existência de um SAR, mesmo quando questionada diretamente (inclusive pelo próprio advogado do cliente), e o acesso interno é altamente restrito. Para quem está na linha de frente, a regra é simples e inequívoca: jamais diga ao cliente, de forma alguma, que a atividade dele foi comunicada. Esse ponto precisa fazer parte do treinamento de todos os funcionários que atendem clientes.
Quem é responsável pelo envio de SARs?
Dentro de uma instituição financeira, a responsabilidade pelo programa de SAR é do responsável pelo compliance de BSA/PLD designado (BSA é a Bank Secrecy Act, a principal lei antilavagem dos EUA). É ele quem supervisiona o processo de detecção, investigação, decisão e envio e responde por ele tanto à alta administração da instituição quanto aos reguladores. Mas o dever, na prática, é de toda a instituição: os profissionais da linha de frente que identificam e escalam atividades suspeitas são a porta de entrada do sistema, e a instituição como um todo tem a obrigação legal de comunicar.
Os reguladores bancários dos EUA, incluindo o OCC, examinam os programas de SAR das instituições como parte da supervisão de BSA/PLD, avaliando se as atividades suspeitas estão sendo identificadas, investigadas e comunicadas adequadamente. Um programa de SAR fraco — que deixa passar atividades óbvias, envia com atraso ou produz relatórios superficiais — é uma constatação frequente em ações sancionadoras (enforcement actions). Por isso, embora a responsabilidade se concentre no responsável pelo compliance, ela é levada a sério em toda a organização.
O que acontece depois que um SAR é enviado?
Depois de enviado, o SAR entra em um processo que a instituição comunicante, em grande parte, não enxerga. Ele vai para a unidade de inteligência financeira (UIF), que nos EUA é o FinCEN e que recebe, armazena e analisa cada SAR junto com os milhões de outros que chegam a ele, disponibilizando os dados às autoridades de investigação e aos órgãos reguladores. Esses órgãos podem pesquisar e usar as informações para abrir novas investigações ou reforçar as que já estão em andamento.
Para a instituição, em geral, é uma experiência bem silenciosa. Ela não recebe nenhum retorno sobre se o SAR de fato resultou em algo — o que, claro, é totalmente coerente com a confidencialidade do processo. As obrigações da própria instituição continuam: ela guarda o SAR e a documentação de suporte pelo período de 5 anos, mantém a confidencialidade e segue monitorando o cliente, já que a atividade suspeita pode muito bem ter continuado e justificar novos SARs. Em alguns casos, o envio do SAR, somado à atividade que persiste, leva a instituição a decidir encerrar o relacionamento. Não se deve, de forma alguma, presumir que o envio do SAR encerra o assunto. Um SAR é uma comunicação, não uma solução: o cliente e o risco continuam lá.
Penalidades por descumprimento
Descumprir as obrigações relativas a SARs tem consequências reais, porque o dever de comunicar é uma obrigação legal, e não um esforço de boa vontade. Instituições que deixam de enviar os SARs exigidos, enviam com atraso, mantêm um programa de SAR fraco ou violam a confidencialidade podem sofrer penalidades:
- Multas civis. Os reguladores aplicam multas por falhas relacionadas a SARs e, de forma mais ampla, à BSA, que em casos graves chegam a centenas de milhões de dólares — ou mais.
- Responsabilidade criminal. A omissão intencional no envio e o ato de alertar o cliente (tipping off) podem levar a acusações criminais contra as instituições e os indivíduos responsáveis.
- Consequências regulatórias e reputacionais. Ações sancionadoras, acordos de consentimento (consent orders), medidas de remediação e monitores independentes impostos pelos reguladores, além do dano à reputação que acompanha uma falha pública.
Deficiências relacionadas a SARs estão entre as constatações mais comuns em ações sancionadoras de PLD/FT, e os reguladores observam de perto se a instituição identifica e comunica adequadamente as atividades suspeitas. A mensagem é clara: um programa de SAR não é uma formalidade a ser tocada com o menor custo possível; é uma obrigação legal central, cujo descumprimento sai caro.
Erros e desafios comuns com SARs
Mesmo instituições bem geridas têm dificuldades com SARs, e as falhas tendem a se concentrar em alguns pontos:
- Envio com atraso. Perder o prazo de 30 dias, geralmente porque a investigação demorou demais ou porque a detecção não foi escalada a tempo.
- Narrativas fracas. Relatórios vagos e incompletos, que não explicam com clareza a atividade suspeita, o que reduz sua utilidade para as autoridades.
- Excesso de comunicações defensivas. Enviar SARs sobre tudo e qualquer coisa para evitar críticas, o que soterra os relatórios realmente importantes em uma enxurrada de comunicações de baixo valor.
- Decisões inconsistentes. Situações semelhantes tratadas de forma diferente por analistas diferentes — sinal de critérios pouco claros.
- Investigação superficial. Enviar (ou não enviar) um SAR sem entender de verdade quem está por trás da atividade, o que compromete a qualidade da decisão em qualquer dos casos.
Vários desses problemas têm a mesma raiz: não conhecer o suficiente sobre o cliente e sobre as partes por trás da atividade para tomar uma decisão segura e bem fundamentada. Quanto melhor a inteligência de base, melhor o SAR.
Como aprimorar o compliance e a detecção de SARs em programas de PLD/FT
Para instituições que querem fortalecer sua função de SAR, as melhorias costumam vir de várias frentes ao mesmo tempo, porque a qualidade dos SARs depende de toda a cadeia, da detecção ao envio:
- Aprimore a detecção. Ajuste as regras e os modelos de monitoramento de transações para reduzir os falsos positivos sem deixar de captar o risco real. Assim, o analista fica com os sinais reais, e não apenas com ruído.
- Aprofunde a inteligência sobre clientes e entidades. Quanto mais você entende quem seus clientes e as contrapartes deles realmente são, melhor consegue distinguir o suspeito do apenas incomum — e mais sólidas ficam as narrativas dos seus SARs.
- Invista na narrativa. Treine os analistas para escrever narrativas claras e completas e dê a eles as informações necessárias para isso; uma narrativa bem fundamentada vale muito mais do que uma superficial.
- Padronize as decisões. Critérios claros e documentados sobre quando comunicar mantêm as decisões consistentes entre analistas e defensáveis perante os reguladores.
- Automatize o trabalho braçal. Automatizar as partes rotineiras da investigação — due diligence, verificação de identidade, mapeamento da estrutura de propriedade e triagem — permite que os analistas se concentrem no julgamento e que o processo ganhe escala.
A lição de fundo é que a qualidade de um SAR não depende, de fato, do formulário; depende de tudo o que o alimenta. Fortaleça a detecção e a investigação, e os relatórios melhoram como consequência. Boa parte dessa melhoria vem de saber mais — e mais rápido — sobre as pessoas e as entidades por trás da atividade.
Boas práticas para SARs de alta qualidade
Um bom SAR faz uma coisa bem: conta uma história clara. O padrão de excelência para uma narrativa é responder às perguntas básicas — quem, o quê, quando, onde, por quê e como da atividade suspeita — em linguagem simples e específica. Um investigador que a leia deve conseguir entender o que aconteceu e por que a instituição considerou aquilo suspeito, sem precisar adivinhar nem perguntar.
Além da história, as marcas de um bom programa de SAR são o envio dentro do prazo, decisões consistentes e bem documentadas e, acima de tudo, uma boa investigação. E essa investigação depende de saber com quem você está lidando: a identidade, a estrutura de propriedade e o histórico do cliente e das partes envolvidas na atividade. Um SAR só é tão bom quanto a inteligência que o sustenta; por isso, a qualidade da due diligence do cliente e da pesquisa sobre entidades é a base da qualidade dos SARs produzidos. Quanto mais você entende quem está por trás do dinheiro e da atividade, melhor a decisão, melhor a narrativa e maior o valor para as autoridades.
Onde a Beady se encaixa
Para deixar claro: a Beady não é um sistema de envio de SARs — ela não envia relatórios nem executa o seu monitoramento de transações. O que ela faz é fortalecer a inteligência da qual a decisão sobre um SAR depende, justamente a parte que tantas vezes determina se um relatório é seguro e bem fundamentado ou superficial e incerto: entender quem realmente está por trás de um cliente ou de uma contraparte sinalizados.
Quando uma atividade é sinalizada, a automação de KYB (Know Your Business) verifica a empresa e identifica o beneficiário final por trás dela, para que a sua investigação não pare em uma empresa de fachada, mas chegue às pessoas reais que estão no controle. A triagem de sanções e listas restritivas e de mídia negativa revela os vínculos e os sinais de alerta que compõem a narrativa, e cada constatação pode ser rastreada até a fonte, para que o seu raciocínio fique evidenciado. O monitoramento contínuo segue acompanhando o cliente depois do envio do SAR, porque clientes suspeitos não costumam ficar menos suspeitos. A Beady alimenta a investigação por trás de um SAR: ela funciona em conjunto com os seus sistemas de monitoramento e de envio, e não como substituta deles, e atua na parte-chave da investigação, que é o “quem”.
Um documento pequeno, grandes consequências
Na superfície, um SAR é algo bastante simples: só um formulário e uma história, que são arquivados e nunca chegam ao cliente. Mas ele ocupa um ponto decisivo do processo: é o momento em que uma instituição financeira transforma uma suspeita privada em um sinal com base no qual as autoridades podem agir. Um bom SAR pode ser o primeiro fio que um investigador puxa para desvendar um crime grave. Um SAR ruim — ou um que nunca foi enviado — é simplesmente uma brecha por onde o criminoso pode passar. A diferença costuma estar em quão bem a instituição entendeu o que estava analisando e quem estava analisando.
Esse entendimento de quem realmente está por trás da atividade é onde vale a pena investir, porque ele sustenta a qualidade de todos os relatórios que vêm depois. Se você quer ver como a Beady pode fortalecer a due diligence dos seus SARs, verificando quem está por trás de uma contraparte sinalizada e acompanhando-a ao longo do tempo, agende uma demo da Beady e mostraremos tudo isso em uma empresa de sua escolha.
