A Circular N°62 da Unidad de Análisis Financiero atualizou as expectativas operacionais para asset managers e wealth managers no Chile. Dezoito meses depois, levamos três gestoras chilenas à sua primeira inspeção com base nela. Nenhuma recebeu apontamento. Nenhuma precisou se explicar.
É isto o que aprendemos. É a implementação que gostaríamos que alguém tivesse nos entregado pronta quando a N°62 saiu.
O que a N°62 mudou de fato
A mudança de manchete foi um aperto nas expectativas operacionais em torno do monitoramento contínuo e da verificação de beneficiário final. A mudança mais profunda foi de postura: onde as circulares anteriores pediam às gestoras que demonstrassem o programa de AML na inspeção, a N°62 espera que as gestoras o operem continuamente e produzam evidência sob demanda.
Na prática, isso significa que três coisas tinham de estar de pé no dia da inspeção:
- Um processo de screening de PEP e sanções que roda de novo continuamente, não apenas no onboarding
- Um mapa de beneficiário final para cada investidor, rastreável até os documentos de origem
- Uma trilha de evidência que o fiscal consiga pedir, recuperar e auditar sem envolver a área de TI
É o terceiro ponto que pega a maioria das gestoras. Os controles técnicos costumam existir. O que desmorona é a recuperação da evidência.
Os cinco controles que realmente importaram
Nas três inspeções, os mesmos cinco controles apareceram todas as vezes. Se você tem os cinco em produção, o resto da N°62 é exercício de papelada.
1. Nova checagem contínua de todo investidor ativo
Screening apenas no onboarding já não basta. Todo investidor ativo precisa ser checado de novo em uma cadência documentada (rodamos varreduras diárias de delta e varreduras completas semanais). E o ponto crucial: o que o fiscal quer ver é o próprio log dessas checagens — não a ausência de hits.
Usamos uma hierarquia de prevalência: dois provedores (usamos Sumsub e OpenSanctions) mais uma fila de revisão manual. Hits que batem nos dois provedores viram caso automaticamente. Hits de um provedor só vão para revisão manual, com SLA de 24 horas.
2. Mapeamento de beneficiário final com proveniência de origem
Para cada investidor, a árvore de beneficiário final precisa ser rastreável até um documento de origem. Capturamos o documento, o horário, o operador que registrou e a versão das regras de screening que estava ativa naquele momento.
Parece pesado. É. Mas também é a coisa mais difícil de implantar depois do fato, então recomendamos com força fazer isso desde o primeiro dia.
3. Registro de operações suspeitas com códigos de motivo
Toda interação com investidor que disparou uma revisão interna entra no registro — mesmo quando a revisão concluiu “nenhuma ação necessária”. Os fiscais querem ver o raciocínio, não só o desfecho. Usamos uma taxonomia fixa de códigos de motivo (12 códigos cobrindo os padrões comuns) mais um campo livre de anotação.
O controle não é “você sinalizou atividade suspeita”. O controle é “você consegue produzir o raciocínio por trás de cada interação que alguém possa depois considerar suspeita”.
4. Atribuição a um operador em toda ação com relevância regulatória
Este é o chato que pega todo mundo. Toda ação com implicação regulatória — abrir uma conta, mudar o perfil de risco, processar uma transferência acima do limite — precisa ser atribuível a um operador nomeado, com horário. Não “o sistema fez”. Uma pessoa fez; o sistema registrou que ela fez.
Se a sua plataforma foi desenhada sem pensar nisso, consertar depois é genuinamente difícil. Já vimos gestoras gastarem $300 mil implantando atribuição de operador em sistemas que nunca foram desenhados para isso.
5. Recuperação de evidência em uma tela só
O teste de recuperação é o que a maioria das gestoras reprova. O fiscal pede “todas as interações com o investidor X nos últimos dois anos, incluindo o histórico de screening e a atribuição de operador em cada ação”. A resposta tem de ser uma consulta única, não uma dança coordenada entre três sistemas.
A nossa implementação usa um log de auditoria unificado, indexado por investidor. Todo evento relevante do PMS, do fluxo de onboarding e da ferramenta de gestão de casos desemboca nele. A consulta de recuperação leva cerca de 800 ms.
O que dá para deixar para depois
Algumas coisas aparecem com destaque no material de orientação da N°62 e que, na nossa experiência, os fiscais valorizam menos do que se esperava:
- Modelos de rating de risco. Os fiscais se importam que você tenha um e que ele esteja documentado. Não se importam com qual é.
- Regras de monitoramento de transações. Importa que as regras existam e disparem; os limiares específicos importam menos.
- Relatórios trimestrais de compliance ao conselho. Querem ver que existem; não leem em detalhe.
Não estamos sugerindo pular isso — não dá. Mas, se você precisa priorizar, os cinco controles acima merecem a cadeira primeiro.
A questão de construir ou comprar
Três dos cinco controles são bem servidos por ferramenta boa de fornecedor. Screening contínuo, recuperação de evidência e o registro de operações já são capacidades de prateleira a esta altura.
Os outros dois — mapeamento de beneficiário final com proveniência de origem e atribuição de operador — normalmente precisam ser construídos dentro da sua plataforma específica. Não porque os padrões sejam exóticos, mas porque tocam todos os sistemas do seu stack, e soluções parafusadas por cima tendem a deixar lacunas.
O nosso módulo de AML/KYC sai com os cinco embutidos para gestoras que rodam na nossa plataforma. Para gestoras que rodam a própria plataforma, o time de System Integration costuma ter a resposta melhor.
Carmen Riquelme lidera os projetos de compliance da finnerve. Se você está se preparando para uma inspeção da UAF ou quer um segundo par de olhos sobre a sua prontidão para a N°62, comece uma conversa.