Em quase toda conversa sobre preços de inteligência de risco, surgem duas respostas. A primeira é alguma versão de “não tivemos nenhum incidente grave, então isso não é urgente”. A segunda é “uma única operação ruim pode acabar com o fundo, então é claro que precisamos disso”.
As duas estão erradas. Ou, mais precisamente, as duas pulam as contas.
A primeira reação se apoia, sem perceber, no viés de sobrevivência. A segunda confunde risco de cauda com custo esperado. Nenhuma se sustenta em uma reunião de sócios na qual alguém precisa justificar uma despesa de seis dígitos.
A seguir, vêm as contas. Um modelo que os gestores de fundos podem preencher com seus próprios números, e não uma apresentação de fornecedor. Ele não vai produzir um ROI espetacular. Vai produzir um ROI defensável, o que é mais útil.
Por que a maioria dos números de ROI desse mercado não se sustenta
Os números que circulam no marketing de risco e compliance costumam se dividir em dois grupos. Nenhum resiste a uma análise criteriosa.
A conta do fornecedor parte de uma ação de fiscalização recente, por exemplo, uma violação de sanções que resultou em uma multa de US$ 50 milhões, afirma que a plataforma teria detectado o problema e faz a multiplicação. A conta do comprador segue na direção oposta: “nunca tivemos prejuízo, portanto o valor é zero”. Nenhuma ajuda você a montar um orçamento.
A pergunta honesta é mais específica. Em todo o nosso portfólio, nos próximos doze meses, qual é o custo esperado de operar sem visibilidade contínua sobre as entidades às quais estamos expostos? Isso é valor esperado: probabilidade vezes impacto, somados entre os desfechos realistas. Quando bem construído, o cálculo produz um intervalo. É esse intervalo que você defende.
O que “o custo de um sinal não detectado” realmente inclui
A maioria das análises de custo para na perda direta. Assim, deixa de fora o que realmente pesa na conta.
Um sinal relevante que passa despercebido, como uma contraparte sancionada descoberta tarde demais, um histórico de fundador não revelado ou uma campanha de falsificação de identidade que desvia os recursos dos usuários, gera custos em cinco camadas. Não são acréscimos opcionais. É assim que a conta realmente chega.
Perda direta. Capital exposto a uma entidade sancionada, fraudulenta ou que encerrou as atividades. É o número mais fácil de apurar e, em geral, o menor.
Custo regulatório. Multas, determinações de remediação, consequências para licenças e o custo de comprovar um programa de remediação depois do ocorrido. A página de ações recentes do OFAC, do Departamento do Tesouro dos EUA, dá uma noção clara do volume e da escala. O registro de ações de fiscalização do FinCEN é a outra referência. Penalidades de seis dígitos são rotineiras. Penalidades de oito dígitos não são raras. A multa em si raramente é a maior parcela da conta regulatória.
Custo jurídico. Assessoria jurídica externa, investigação interna, obrigações de divulgação a LPs e coinvestidores, risco de acordos. Esses custos se acumulam mesmo que nenhuma multa seja aplicada.
Custo reputacional. Mais difícil de modelar. Fácil de subestimar. A confiança dos LPs é mensurável e cai após incidentes operacionais. Pesquisas dos Principles for Responsible Investment (PRI) e de associações do setor colocam consistentemente a due diligence operacional entre os três principais fatores de avaliação dos alocadores institucionais. A próxima captação sente o efeito, às vezes por anos.
Custo de oportunidade. As horas dos sócios seniores dedicadas à resposta a incidentes deixam de ser usadas na prospecção de oportunidades, no apoio ao portfólio ou na captação de recursos. Em uma sociedade enxuta, essa costuma ser a maior despesa invisível da conta.
Somando as cinco camadas, o custo total combinado de um único sinal relevante não detectado fica, para a maioria dos fundos de médio porte com exposição regulatória significativa, entre US$ 1 milhão e US$ 2 milhões. Isso é compatível com o que observamos em nossa base de clientes. O seu número varia conforme a combinação de jurisdições, a composição dos LPs e o valor nominal das operações que você realiza.
A probabilidade é metade da equação
Um sinal não detectado não é o mesmo que uma perda concretizada. A maioria dos sinais adversos nunca se agrava. Alguns, sim. O cálculo depende de três variáveis.
Taxa-base de sinais críticos por empresa do portfólio por ano. Ela varia mais por setor do que por qualquer outro fator. A exposição a cripto e a operações internacionais traz taxas significativamente maiores do que o SaaS no mercado doméstico. Os relatórios anuais da Chainalysis sobre crimes com cripto são a referência pública mais clara para taxas-base específicas de cripto. Para categorias mais amplas de compliance, os recursos da ACAMS oferecem referências setoriais úteis.
Probabilidade condicional de agravamento. Nem todo sinal adverso se torna um problema. Mas um sinal que fica noventa dias sem tratamento tem uma probabilidade de agravamento significativamente maior do que o mesmo sinal tratado em até vinte e quatro horas. A relação não é linear, e é justamente essa parte que a maioria dos fundos subestima.
Atraso na detecção. O intervalo entre a primeira aparição de um sinal em uma fonte pública e o momento em que um gestor pode agir. Nos fundos que fazem revisões trimestrais, a média fica em torno de oitenta e nove dias. Reduzir isso para menos de vinte e quatro horas altera o modelo mais do que qualquer outra variável isolada. É a alavanca que os ciclos tradicionais de revisão, por sua estrutura, não conseguem acionar.
O modelo
Em linguagem simples:
Custo anual esperado do risco não monitorado = (número de entidades do portfólio) × (sinais críticos por entidade por ano) × (probabilidade de agravamento dado o atraso na detecção) × (custo total combinado de um evento concretizado)
Cada variável deve ser um intervalo, e não um valor único. A versão desse modelo que resiste a uma análise criteriosa produz uma faixa. O ponto médio se torna o seu cenário esperado. O limite superior se torna o valor usado no planejamento.
Um exemplo calculado
Uma gestora hipotética de venture capital de médio porte:
- 40 empresas no portfólio, de setores variados, incluindo participações em cripto e no exterior
- Taxa-base de sinais críticos de aproximadamente 0,6 por entidade por ano (combinando os setores)
- Frequência atual: revisões trimestrais, com atraso médio na detecção de 80 a 90 dias
- Custo total combinado por evento entre US$ 1 milhão e US$ 2 milhões, usando a divisão em cinco camadas acima
Fazendo as contas:
40 × 0,6 × ~12% de probabilidade de agravamento com revisões trimestrais × US$ 1,5 milhão de custo médio por evento ≈ US$ 4,3 milhões de custo anual esperado.
Aplicando o mesmo modelo com monitoramento contínuo (detecção em menos de 24 horas, probabilidade de agravamento caindo para cerca de 3%):
40 × 0,6 × 3% × US$ 1,5 milhão ≈ US$ 1,08 milhão de custo anual esperado.
A diferença, o benefício anual esperado de passar das revisões trimestrais ao monitoramento contínuo, chega a aproximadamente US$ 3,2 milhões para uma gestora desse porte e perfil de exposição. Diante de uma assinatura de plataforma na faixa inferior dos seis dígitos, a relação é evidente.
Seus próprios dados vão produzir um número diferente. Um portfólio menor, setores de menor risco, menos exposição regulatória: o valor absoluto cai. Mas, em intervalos realistas de variáveis para fundos que operam com venture capital, cripto ou ativos alternativos, o modelo chega a resultados semelhantes. O monitoramento contínuo se paga, geralmente com ampla margem.
O que realmente altera o resultado
Aplique o modelo a combinações suficientes de variáveis e três coisas ficam claras.
O atraso na detecção importa mais do que o tamanho do portfólio. Reduzir o atraso de noventa dias para um dia altera o custo esperado mais do que dobrar os ativos sob gestão. É também a alavanca que os ciclos tradicionais de revisão, por definição, não conseguem acionar.
A composição setorial determina as taxas-base. Um fundo muito exposto a cripto, mercados emergentes ou setores regulados opera com taxas de sinais críticos várias vezes maiores do que as de um fundo de tecnologia doméstico. A maior parte da variação entre fundos aparece aqui.
A cauda da distribuição domina a média. Um único evento relevante responde pela maior parte do custo esperado. É exatamente por isso que “nunca tivemos prejuízo” não refuta o modelo. É o ponto de partida. O modelo calcula o custo do evento que ainda não aconteceu, ponderado pela probabilidade de que aconteça.
A assimetria que fecha a análise
A inteligência de risco está entre os poucos gastos de um fundo em que o prejuízo potencial de investir de menos não tem limite, enquanto o custo de investir demais é limitado.
A assinatura de uma plataforma tem valor conhecido. Um sinal relevante não detectado, não. Um fundo pode pagar demais por inteligência de risco e se recuperar. Nem sempre consegue se recuperar do evento que a inteligência de risco teria detectado.
Essa assimetria é a verdadeira tese de investimento. Ela não exige presumir que a plataforma detecte todos os eventos. Exige apenas aceitar que as taxas-base são maiores que zero, que as probabilidades de agravamento sobem acentuadamente com o atraso na detecção e que o custo concretizado de um único evento relevante supera o gasto com a plataforma em uma ordem de grandeza. Os três pontos são observáveis nos dados.
Perguntas frequentes
Eles costumam se dividir em dois grupos: valores de perdas de grande repercussão tomados de enormes escândalos públicos e alegações de economia fornecidas por vendedores sem nenhuma metodologia. Nenhum resiste à aplicação a um fundo específico, porque nenhum considera a probabilidade real de o evento acontecer com você.
Mais do que a perda direta, que é onde a maioria das análises para. Inclui a investigação e o trabalho jurídico, o tempo da gestão desviado de todas as outras atividades, as consequências bancárias e com contrapartes, o efeito na próxima captação e a remediação que vem depois.
Porque a probabilidade é metade da equação. Um sinal não detectado não é o mesmo que uma perda concretizada. A maioria não dá em nada, mas alguns dão. Um modelo honesto multiplica o custo do desfecho negativo pela frequência com que ele realmente ocorre, em vez de citar o pior cenário como se fosse certo.
O tamanho do portfólio e sua velocidade de crescimento, a taxa-base de eventos adversos nos segmentos em que você investe e o tempo que um sinal fica sem ser detectado. A velocidade da detecção importa por uma questão de cálculo, mais do que de impacto dramático: quanto mais tempo algo passa despercebido, maior é a parcela do custo já incorrida quando você percebe.
A inteligência de risco está entre os poucos gastos de um fundo em que o custo de gastar demais é limitado e conhecido, e o custo de gastar de menos não é. Essa assimetria, mais do que qualquer número de grande repercussão isolado, costuma ser o que resolve a decisão.
Não. Ele produz um valor esperado, não uma garantia. Alguns fundos vão operar durante anos sem um incidente relevante e concluir, com razão, que pagaram demais. O modelo serve para decidir sob incerteza, não para prever um ano específico.
Conclusão
Esse modelo produz um valor esperado, não uma garantia. Alguns fundos vão operar durante anos sem um evento relevante. Outros vão enfrentar dois em um trimestre. Nenhum dos resultados refuta as contas.
O modelo quantifica o custo de operar às cegas em todo um portfólio, de uma forma que resiste ao escrutínio de uma reunião de sócios. Para a maioria dos fundos com mais de trinta empresas no portfólio e alguma exposição significativa a cripto, participações no exterior ou setores regulados, a justificativa é clara sem recorrer a números de grande repercussão ou ao pior cenário. Basta fazer contas honestas.
Se você quiser aplicar o modelo aos seus próprios números, a Beady AI pode fazer essa análise com seu portfólio real. Agende uma sessão de trabalho e vamos montar o cálculo com seus dados reais, incluindo aqueles que seu fornecedor atual de soluções de risco provavelmente não vai compartilhar.
