Boletim de fiscalização de sanções — julho de 2026

Nota do editor: esta edição foge do nosso formato habitual de resumo de designações e fiscalização. Em vez de uma tabela de fácil leitura com as mudanças de listas do mês, a edição de julho traz uma análise estatística e narrativa completa das ações de fiscalização de AML divulgadas publicamente no mês — 12 ações em quatro reguladores, com penalidades convertidas para USD às taxas de câmbio vigentes no momento da análise. Para o formato de resumo padrão, veja a edição de junho de 2026.

Resumo Executivo

Julho de 2026 produziu doze ações de fiscalização em quatro jurisdições — Reino Unido, Cingapura, Canadá e Países Baixos — totalizando $13,734,921.58 em penalidades monetárias sobre 32 constatações distintas. Esse número agregado, no entanto, mascara uma divisão geográfica incomumente acentuada na filosofia de fiscalização. O regulador holandês DNB respondeu por $13,560,218.75 das penalidades do período — 98.7% do total — em apenas três ações contra duas empresas, enquanto a FCA (quatro ações), a MAS (duas ações) e a MAS/SPF (uma ação) impuseram, em conjunto, zero penalidades monetárias, apesar de terem constatado condutas que vão de falha sistêmica no arcabouço de crime financeiro a fraude explícita. A FINTRAC canadense foi o único outro regulador a aplicar multas, e de forma modesta: $174,702.82 em duas penalidades administrativas monetárias contra a Atlantic Lottery Corporation ($151,173.82) e a VIP Realty/Royal LePage Integrity Realty ($23,529). Nenhuma ação do período envolveu autodenúncia voluntária — um resultado nulo nos doze casos que deveria preocupar os líderes de compliance que contam com o crédito de autorrelato como fator atenuante.

As ações do Reino Unido e de Cingapura ilustram uma postura de "controlar, não apenas multar". O Aviso Supervisório Inicial (First Supervisory Notice) da FCA contra a Euro Exchange Securities UK Ltd não impôs nenhuma penalidade, mas congelou a capacidade da empresa de admitir clientes ou aceitar recursos, colocou em salvaguarda segregada (ring-fenced) os fundos protegidos até a remediação independente de cada arquivo de cliente, e determinou relatórios semanais — uma resposta a constatações de que todos os dez arquivos de clientes revisados eram inadequados, que 4,968 alertas de monitoramento de transações haviam sido encerrados como não suspeitos em um único arquivo (3,294 sem justificativa documentada, apenas um jamais escalado, e todos revisados por uma única pessoa). A MAS de Cingapura tomou três ações de fiscalização no período — duas ordens de proibição sob a FSM Act 2022 (Andrew Tiew Siew Ing, PO de 10 anos por fraude; Li Jinbo, PO de 3 anos por manipulação de mercado) e um processo criminal completo contra a Samlit Moneychanger e dois de seus dirigentes (19 acusações, cada uma com multas de até S$1 million em caso de condenação, ainda não impostas) — novamente sem uma única penalidade monetária nesta janela de reporte. As outras três ações do Reino Unido foram proibições individuais: o ex-MLRO Dharmendra Solanki (empréstimo de dinheiro não autorizado e lavagem de dinheiro, ordem de confisco de GBP 169,941.89, mas sem multa da FCA), e Alec Finch e seu filho Robert Finch, da AFL Insurance Brokers, cujas violações de integridade de Nível 5 (severidade máxima) — uma "fraude grave" que desviou £3.51m em recursos de clientes — resultaram em penalidades avaliadas de £121,200 e £169,800, respectivamente, ambas reduzidas em 100% para £0 mediante comprovação de dificuldade financeira, e substituídas por ordens de proibição integral. O caso de Robert Finch é um dos apenas dois que o conjunto de dados sinaliza como flagrante (egregious).

As constatações substantivas apontam para falhas de governança e de processo, e não lacunas tecnológicas, como a fragilidade definidora do período. Falha de Governança (34.4%, 11 de 32 constatações) e Falha de Desenho de Processo (31.3%, 10 de 32) respondem juntas por quase dois terços de todas as constatações, enquanto Tecnologia Insuficiente registra zero — nenhuma instituição do período foi citada por falta de ferramentas de monitoramento, apenas por falhar em operar, prover pessoal ou governar as que já possuía. As constatações de Falha de Desenho de Processo também carregaram o maior peso em penalidades ($6,550,379.08), à frente da Falha de Governança ($3,069,717.50), refletindo a ênfase do DNB nas falhas estruturais de gatekeeper do ABN AMRO Bank N.V.: um atraso de dois meses para detectar um padrão de repasse de caixa (cash pass-through) acima de EUR 500,000 que persistiu mesmo após uma classificação de risco "inaceitável", indicadores de risco (sinais de evasão de sanções à Rússia, bens de uso duplo, usuários finais opacos) nunca avaliados em conjunto, e um rebaixamento sem fundamentação de "inaceitável" para risco "médio" — constatações que impulsionaram a multa de EUR 8.5 million ($9,783,500), a maior do período. Por domínio, Investigações & Reporte foi tanto o mais frequentemente citado (14 constatações em 9 entidades) quanto a categoria de maior prioridade (5 constatações de prioridade Alta, contra 2 em Monitoramento de Transações, 1 em KYC & Onboarding e nenhuma em Triagem de Sanções) — consistente com um padrão de empresas que detectam ou geram sinais de alerta internamente e depois falham em escalar, documentar ou reportá-los.

O risco de reincidência é o sinal mais nítido nos dados holandeses. O CCV Group B.V. foi multado duas vezes pelo DNB neste período: EUR 2,656,250 ($3,057,343.75) por lacunas de monitoramento de transações que deixaram uma parcela "substancial" de comerciantes sem monitoramento por quase dois anos (as falhas de rotulagem "Ecom-gap" e "PF7-gap"), agravadas por um acréscimo de 25% de culpabilidade porque o DNB já havia sancionado a CCV pela mesma norma de monitoramento em 2019–2020; e, separadamente, EUR 625,000 ($719,375) por operar sem uma análise sistemática de risco de integridade (SIRA) por aproximadamente sete anos, uma falha que o DNB classificou como "violação muito grave" — o equivalente supervisório holandês a flagrante (egregious) e a segunda ação flagrante do conjunto de dados. Questões Culturais/de Tom (15.6%, 5 constatações, concentradas inteiramente em Investigações & Reporte) e Problemas de Qualidade de Dados (12.5%, 4 constatações) completam o quadro de causas-raiz, sendo que este último carrega $1,478,715.28 em penalidades associadas.

Para os líderes de compliance, três implicações se destacam. Primeiro, a ausência de qualquer autodenúncia voluntária em doze ações — abrangendo fraude, sinais de evasão de sanções e lacunas de monitoramento plurianuais — sugere que a detecção, e não apenas a remediação, continua sendo o ponto fraco do setor; as instituições deveriam tratar indicadores de risco sinalizados internamente mas não escalados (como no ABN AMRO e na Euro Exchange) como o padrão mais propenso a atrair atenção regulatória. Segundo, os reguladores estão cada vez mais dispostos a agir contra indivíduos mesmo quando as penalidades no nível da empresa são zero ou dispensadas: as três proibições do Reino Unido pela FCA e as duas ordens de proibição de Cingapura pela MAS — além das acusações criminais contra os dois dirigentes da Samlit — mostram a responsabilização pessoal persistindo independentemente da capacidade financeira de pagamento da empresa. Terceiro, o precedente da CCV é um alerta contra tratar a remediação como encerrada no momento em que uma multa é paga — fiscalização anterior para uma lacuna de controle não resolvida se torna um fator agravante, não atenuante, no ciclo seguinte.

Análise de Penalidades

Todos os números abaixo refletem os documentos de fiscalização subjacentes, sem qualquer recálculo manual. Nenhuma das penalidades das doze ações exigiu uma ressalva de moeda não convertida; os três reguladores de valor zero (FCA, MAS, MAS/SPF) refletem penalidades monetárias efetivamente de $0 impostas, não uma falha de conversão.

Penalidades por País

Penalidades por Regulador

Penalidades por Setor

Padrões Regulatórios e Geográficos

As doze ações deste mês se dividem em duas filosofias de fiscalização radicalmente diferentes, e essa divisão segue quase inteiramente as linhas jurisdicionais, e não a gravidade da violação. O DNB dos Países Baixos responde por apenas três das doze ações, mas por $13.56 million dos $13.73 million em penalidades totais registradas neste período — 98.7% de toda a punição monetária do conjunto de dados — enquanto a FCA do Reino Unido (quatro ações) e a MAS/MAS-SPF de Cingapura (três ações), somando 58% do volume de fiscalização, produziram zero dólares em penalidades monetárias entre si. Equipes de compliance que fazem benchmark do risco jurisdicional principalmente com base nos totais de multas manchete lerão muito mal os dados deste mês: as ações do Reino Unido e de Cingapura não foram brandas, elas simplesmente expressam severidade por meio de instrumentos diferentes.

As multas holandesas são concentradas e escalonadas por faturamento. O DNB multou o ABN AMRO Bank N.V. em EUR 8.5 million ($9.78 million) por não conduzir due diligence contínua adequada sobre clientes de alto risco — um caso em que o teto legal de EUR 5 million foi explicitamente afastado em favor de um regime vinculado ao faturamento, dado o faturamento líquido de EUR 8.7 billion do banco, com a multa reduzida em apenas 15% sob o procedimento de acordo simplificado depois que o ABN AMRO admitiu os fatos. O DNB também multou o CCV Group B.V. duas vezes no mesmo ciclo de publicação — EUR 2.66 million ($3.06 million) por lacunas de monitoramento de transações que se estenderam de 2021–2024, e EUR 625,000 ($719,375) por operar sete anos sem uma análise sistemática de risco de integridade, esta última explicitamente rotulada "violação muito grave" (zeer ernstige overtreding) e sua base de EUR 500,000 acrescida em 25% pela gravidade e longa duração (sete anos) da violação. O DNB é o único regulador deste conjunto disposto tanto a rotular a conduta em seu nível máximo de severidade quanto a atribuir uma multa correspondente — o caso de SIRA da CCV é uma das apenas duas designações "flagrantes" (egregious) em todo o conjunto de dados, e é a que de fato custou dinheiro.

As ações de penalidade zero da FCA não são desfechos brandos. Robert Finch e Alec Finch, respectivamente ex-diretor/CEO e diretor da AFL Insurance Brokers, foram ambos avaliados no Nível 5 — o nível máximo de gravidade da FCA — por uma "fraude grave" que desviou £3.51 million em recursos de clientes; suas penalidades individuais foram calculadas em £169,800 e £121,200, respectivamente, antes de serem reduzidas em 100% para £0 mediante comprovação de dificuldade financeira, com a sanção substantiva sendo, em vez disso, uma constatação pública de má conduta somada a uma ordem de proibição integral. O caso de Robert Finch é a outra designação "flagrante" (egregious) deste conjunto de dados — prova de que a gravidade e o valor da multa se desacoplam quando a insolvência individual entra no cálculo. A ação institucional da FCA conta a mesma história em outro registro: seu Aviso Supervisório Inicial contra a Euro Exchange Securities UK Ltd não impôs multa alguma, mas congelou a capacidade da empresa de admitir clientes ou aceitar novos recursos e colocou em salvaguarda segregada os fundos protegidos até a confirmação independente por terceiros da remediação de CDD/EDD em cada arquivo de cliente — uma resposta a constatações de que todos os dez arquivos de clientes revisados eram inadequados e de que 4,968 alertas haviam sido encerrados como não suspeitos, com 3,294 sem justificativa documentada. Para uma EMI (instituição de moeda eletrônica), um congelamento operacional é uma consequência mais existencial do que a maioria das multas registradas neste conjunto de dados.

A MAS segue o mesmo padrão não monetário, respaldado por processo criminal. As três ações de Cingapura — a ordem de proibição de 10 anos contra Andrew Tiew Siew Ing (32 meses de prisão por estelionato), a ordem de proibição de 3 anos contra Li Jinbo (conspiração de manipulação de mercado), e o processo criminal pendente contra a Samlit Moneychanger Pte. Ltd. e seu Diretor e Gerente de Compliance (19 acusações de descumprimento de uma diretriz da MAS sobre tratamento de reclamações, além de acusações de obstrução) — não carregam penalidade monetária da própria MAS, mas cada uma se apoia em uma condenação criminal já assegurada ou em um processo ativo, com multas de até S$1 million por acusação ainda em jogo. A FINTRAC do Canadá está na ponta oposta da escala monetária em relação ao DNB: penalidades administrativas monetárias de CAD 212,025 ($151,174) contra a Atlantic Lottery Corporation por um STR não apresentado e avaliação de risco inadequada, e CAD 33,000 ($23,529) contra a VIP Realty Inc. por uma revisão de efetividade de programa de dois anos que expirou — multas reais, mas uma ordem de grandeza abaixo das ações holandesas mesmo numa base por violação.

O recorte setorial confirma que é a geografia, não o setor, que determina a exposição a penalidades. As empresas de FinTech neste conjunto de dados variaram da Euro Exchange Securities ($0, falha sistêmica de controle) e da Samlit Moneychanger ($0, processo pendente) até a CCV Group ($3.78 million combinados em duas ações holandesas) — gravidade subjacente comparável, valores radicalmente diferentes, determinados quase inteiramente por qual regulador detinha o processo. O mesmo vale no setor Bancário, onde o total de $9.78 million em penalidades do setor se origina inteiramente de uma ação holandesa (ABN AMRO) contra uma ação de $0 no Reino Unido (a proibição de Dharmendra Solanki). Para programas multijurisdicionais, a implicação é direta: subsidiárias locais operando sob o DNB enfrentam exposição a multas calculada sobre o faturamento do grupo e agravada por acréscimo de reincidência (como mostra o histórico da CCV), enquanto subsidiárias sob a FCA ou a MAS devem esperar restrições operacionais, ordens de proibição ou encaminhamento criminal como a principal alavanca — consequências que podem paralisar uma linha de negócio mais rápido do que qualquer multa, e que um programa de compliance calibrado apenas com base em médias jurisdicionais de penalidade subestimará sistematicamente. Os programas deveriam rastrear a postura regulatória por tipo de instrumento (multas vs. restrições vs. proibição vs. encaminhamento criminal) junto com o valor da penalidade, e tratar o histórico de remediação de uma entidade holandesa como um multiplicador vivo sobre exposição futura, e não como um capítulo encerrado.

Análise de Temas de Compliance

Onde a pressão de fiscalização se concentra

Investigações & Reporte foi o domínio de compliance mais fortemente implicado neste ciclo, gerando 14 das 32 constatações totais (43.8%) e atingindo 9 das 11 entidades distintas (10 das 12 ações) — mais de 80% do conjunto de dados. Também carrega o perfil de severidade mais acentuado: 5 de suas 14 constatações foram classificadas como prioridade Alta, o que significa que esse único domínio responde por 5 das 8 constatações de prioridade Alta registradas em toda a série (62.5%). Igualmente notável, todas as cinco constatações de causa-raiz Questões Culturais/de Tom do ciclo estão dentro de Investigações & Reporte — nenhuma aparece em KYC & Onboarding, Monitoramento de Transações ou Triagem de Sanções. Essa concentração não é abstrata: é o domínio em que Robert Finch e Alec Finch (AFL Insurance Brokers) foram considerados responsáveis por orquestrar uma "fraude grave" envolvendo lançamentos contábeis falsos e uso indevido de recursos de confiança de clientes — avaliada pela FCA no Nível 5, sua gravidade máxima, com a conduta de Robert Finch explicitamente sinalizada como flagrante (egregious) — e onde Dharmendra Solanki, um MLRO aprovado, foi flagrado operando às escondidas um negócio não autorizado e intimidador de empréstimo de dinheiro. Quando investigações e reporte falham neste conjunto de dados, trata-se desproporcionalmente de uma falha de integridade de liderança, não de uma lacuna documental.

KYC & Onboarding conta uma história diferente. Gerou o segundo maior volume de constatações (10, em 5 entidades), mas quase nenhuma da severidade: apenas 1 foi classificada como Alta, com 9 das 10 classificadas como Média. Falha de Governança domina sua mistura de causas-raiz (6 das 10 constatações), exemplificada pela Euro Exchange Securities UK Ltd, onde a FCA constatou que todos os dez arquivos de clientes revisados eram inadequados — faltando CDD, EDD/origem de fundos, e triagem de PEP/sanções/mídia adversa, incluindo uma correspondência não detectada de investigação do FBI em mídia aberta — e pelo ABN AMRO, onde o DNB constatou que a due diligence contínua se apoiava "decisivamente" em declarações não verificadas do cliente e um rebaixamento sem fundamentação de "inaceitável" para risco "médio". As fragilidades de KYC neste ciclo são amplas e estruturais, mas, pelas evidências até o momento, com menor frequência o principal motor de uma constatação flagrante por si sós.

Monitoramento de Transações fica entre os dois: 6 constatações em 5 entidades, mas 2 de 6 classificadas como Alta (33%) — uma proporção de severidade maior do que KYC apesar do volume menor — e é o domínio mais associado a Problemas de Qualidade de Dados (2 das 4 constatações desse tipo no conjunto de dados). A multa de EUR 2.66M do DNB contra a CCV Group B.V. é a ilustração mais clara: regras de monitoramento (BR0076/BR0078) ficaram inoperantes, um "PF7-gap" rotulou incorretamente transações por um ano, perfis de comerciantes deixaram de ser atualizados porque analistas de CDD perderam acesso ao sistema, e 25 de 49 alertas amostrados foram encerrados sem investigação adequada — um problema de alimentação de dados e controle de acesso, não de calibração de modelo. Triagem de Sanções continua sendo o menor domínio em volume (2 constatações, 2 entidades, ambas prioridade Média), mas merece ser sinalizado precisamente por essa magreza: suas únicas duas aparições neste ciclo estavam embutidas dentro de duas das ações maiores e mais sistêmicas (Euro Exchange, ABN AMRO), nunca aparecendo isoladamente.

O padrão multidomínio

Os dados de coocorrência confirmam que Investigações & Reporte funciona como o tecido conjuntivo das falhas deste ciclo, em vez de um ponto de controle isolado. Coocorre com KYC & Onboarding em 6 ações — a combinação de domínios mais comum — e com Monitoramento de Transações em 5. Mesmo Triagem de Sanções, o domínio de menor volume, coocorre com Investigações & Reporte em ambas as suas 2 aparições e nunca surge sozinho. Na prática, isso significa que uma empresa raramente falha em "triagem" ou "monitoramento" no vácuo; a constatação que os reguladores registram é que alertas gerados por KYC ou triagem fracos foram, então, também mal geridos, sub-escalados, ou nunca reportados. A Euro Exchange Securities UK Ltd é o exemplo mais gritante em entidade única: sinalizada nos quatro domínios simultaneamente, com 4,968 alertas de monitoramento de transações encerrados como "não suspeitos", 3,294 sem justificativa documentada, e apenas um jamais escalado — revisado por uma única pessoa. A multa de EUR 8.5M (USD 9.78M) do ABN AMRO, a maior penalidade do ciclo, mostra o mesmo padrão de quatro domínios: um atraso de dois meses para detectar um repasse de caixa acima de EUR 500,000, sinais de evasão de sanções à Rússia não avaliados, e reporte atrasado ao FIU-NL, tudo remontando a uma deficiência raiz — due diligence contínua inadequada — que se propaga pelo restante do ciclo de vida. As duas multas separadas do DNB contra o CCV Group, que surgiram no mesmo ciclo de publicação de 2026 (a multa de monitoramento de EUR 2.66M e uma multa de EUR 625,000 por operar sete anos sem análise sistemática de risco de integridade, "violação muito grave" do DNB e a outra constatação flagrante deste ciclo), mostram que, onde as lacunas de governança e processo são estruturais, elas se repetem entre ciclos de exame em vez de se resolver. Em contraste, a ação de domínio único e constatação única da VIP Realty — uma revisão de efetividade de programa de AML de dois anos não realizada — atraiu a menor penalidade deste ciclo (USD 23,529), consistente com o padrão de que lacunas isoladas e de domínio único carregam peso financeiro e reputacional materialmente menor do que as compostas e multidomínio. Note-se que nenhuma das 12 ações envolveu autodenúncia voluntária; toda constatação neste conjunto de dados foi trazida à tona por um exame, um processo criminal, ou litígio civil de terceiros, não pela própria instituição.

Recomendações de priorização

1. Tratar Investigações & Reporte como a principal prioridade supervisória. Carrega a maior cobertura de entidades, a maioria das constatações de prioridade Alta, e 100% das constatações de Questões Culturais/de Tom deste ciclo. Priorizar amostragem independente de QA sobre a disposição de alertas e decisões de SAR/STR, eliminação de gargalos de revisor único (conforme Euro Exchange), e atestação de integridade em nível de MLRO/conselho — os casos Solanki e Finch mostram que falhas de conduta em nível de liderança, não lacunas documentais, são o que eleva este domínio a flagrante.
2. Gerir KYC & Onboarding como um problema de amplitude, ainda não uma crise de severidade. Com 90% de suas constatações classificadas como Média, alocar recursos para gatilhos de due diligence contínua, cadência de revisão periódica, e disciplina de documentação de EDD (conforme Euro Exchange e ABN AMRO) antes de reconstruções completas do sistema de onboarding.
3. Auditar a linhagem de dados de Monitoramento de Transações como uma frente de trabalho distinta da calibração de alertas. As lacunas de alimentação de dados e controle de acesso da CCV — não o desenho do modelo — impulsionaram a segunda maior penalidade individual deste ciclo; as empresas deveriam verificar se os sistemas de monitoramento estão de fato recebendo dados completos e atualizados de transações e comerciantes antes de investir em melhorias de lógica de detecção.
4. Não desprioritizar Triagem de Sanções apenas pelo volume. Suas duas constatações neste ciclo estavam ambas dentro das ações maiores e mais sistêmicas do conjunto de dados — integrar a revisão de triagem ao mesmo arquivo de caso que KYC/EDD, em vez de tratá-la como um item isolado de checklist.
5. Financiar a remediação de governança, processo e cultura antes de nova tecnologia. Falha de Governança (34.4% das constatações) e Falha de Desenho de Processo (31.3%) respondem juntas por dois terços de todas as constatações deste ciclo, enquanto Tecnologia Insuficiente e Fatores Externos respondem, cada um, por zero — as evidências não sustentam lacunas tecnológicas como o principal motor deste ciclo.
6. Testar sob estresse os arquivos de caso quanto a falha articulada, não compliance em silos. Dado que Investigações & Reporte se combina com KYC & Onboarding em 6 ações e com Monitoramento de Transações em 5, a auditoria interna deveria testar especificamente se uma lacuna de KYC também aparece como um alerta não escalado ou um SAR não apresentado no mesmo arquivo — o padrão que os reguladores estão encontrando — em vez de auditar cada domínio independentemente.

Frequência de Constatações por Domínio

Coocorrência Multidomínio

Análise de Causa-Raiz

O padrão dominante: governança e processo, não tecnologia

Entre as 32 constatações extraídas das 12 ações deste mês, duas causas-raiz respondem por quase dois terços de todas as constatações: Falha de Governança (11 constatações, 34.4%) e Falha de Desenho de Processo (10 constatações, 31.3%). Questões Culturais/de Tom (5, 15.6%) e Problemas de Qualidade de Dados (4, 12.5%) ficam bem atrás, com Restrições de Recursos e Compartimentalização de Informação aparecendo cada uma apenas uma vez (3.1%). Mais notavelmente, Tecnologia Insuficiente e Fatores Externos registram zero constatações nesta série. Nenhuma das 12 ações — abrangendo reguladores do Reino Unido, Cingapura, Canadá e Países Baixos — foi atribuída a empresas que careciam das ferramentas para detectar o risco subjacente. O ABN AMRO Bank N.V. tinha os sistemas para enxergar um padrão de repasse de caixa acima de EUR 500,000; a constatação do DNB foi que o banco levou dois meses para agir e permitiu que uma classificação de risco "inaceitável" fosse silenciosamente rebaixada sem fundamentação. A plataforma de monitoramento de transações da Euro Exchange Securities UK Ltd gerou 4,968 alertas em um único arquivo de cliente — a falha foi que uma única pessoa os revisou, 3,294 não tinham justificativa documentada, e apenas um jamais foi escalado. A história consistente deste mês é que as empresas possuem capacidade de detecção adequada e falham na camada de governança sobreposta a ela: quem revisa os resultados, quem contesta rebaixamentos de risco, e se a política é de fato seguida.

Exposição ponderada por penalidade: o desenho de processo carrega o custo mais pesado

Ponderar as causas-raiz pelas penalidades em USD associadas a cada ação reformula o quadro. Dos USD 13,734,922 em penalidades totais avaliadas neste mês, Falha de Desenho de Processo responde por USD 6,550,379 — 47.7% de todos os dólares de penalidade — apesar de representar apenas 31.3% das constatações em número. Falha de Governança vem a seguir com USD 3,069,717 (22.3%), depois Questões Culturais/de Tom com USD 1,956,700 (14.2%), Problemas de Qualidade de Dados com USD 1,478,715 (10.8%), e Compartimentalização de Informação com USD 679,410 (4.9%). Restrições de Recursos e Tecnologia Insuficiente carregaram peso de penalidade zero — consistente com o fato de que a única constatação de Restrições de Recursos (o gargalo de revisor único da Euro Exchange Securities UK Ltd) estava dentro de uma ação em que a FCA impôs restrições em vez de uma multa.

A concentração de dólares de penalidade em Falha de Desenho de Processo é impulsionada pelas duas maiores multas deste mês. A ação do DNB de EUR 8.5 million (USD 9,783,500) contra o ABN AMRO — a maior penalidade individual desta série — citou Falha de Desenho de Processo ao lado de Falha de Governança e Questões Culturais/de Tom: indicadores de risco (grandes fluxos de caixa, transações em países de alto risco, bens de uso duplo, possíveis sinais de evasão de sanções à Rússia) nunca foram avaliados em conjunto, uma falha de desenho na forma como o processo de due diligence do banco integrava seus próprios sinais, e não uma falha de detecção. A multa de EUR 2,656,250 (USD 3,057,344) do DNB contra o CCV Group B.V., por suas lacunas de monitoramento contínuo — o "Ecom-gap" (2021–junho de 2023) e o erro de rotulagem "PF7-gap" (julho de 2023–julho de 2024) que deixaram transações sem monitoramento, além de 25 de 49 alertas amostrados não adequadamente investigados — sobrepôs Falha de Desenho de Processo a Problemas de Qualidade de Dados e à única constatação de Compartimentalização de Informação deste mês (analistas de CDD perdendo acesso ao sistema). Note-se que a CCV era reincidente, já tendo sido multada em 2020 pela mesma norma Wwft, e recebeu, em razão disso, um acréscimo de 25% de culpabilidade — uma ilustração direta de como a dívida de desenho de processo se acumula em exposição a penalidades ao longo do tempo.

Como as causas-raiz variam por domínio

A mistura de causas-raiz muda drasticamente conforme o domínio de compliance em foco, e o padrão é instrutivo para onde cada função deveria concentrar a remediação:

• KYC & Onboarding (10 constatações) é, de forma esmagadora, uma história de governança: 6 de suas 10 constatações são Falha de Governança, contra 3 de Falha de Desenho de Processo e 1 de Compartimentalização de Informação. Este é o domínio onde recaem as declarações de cliente não verificadas e o rebaixamento de risco sem fundamentação do ABN AMRO, os dez de dez arquivos de clientes inadequados da Euro Exchange Securities, e as políticas de compliance não aprovadas e desatualizadas da Atlantic Lottery. O fio condutor é a disciplina de supervisão que não acompanha o ritmo — ou simplesmente nunca é aplicada — a processos de onboarding que, no restante, seriam adequados.
• Monitoramento de Transações (6 constatações) é o único domínio onde Restrições de Recursos e Problemas de Qualidade de Dados se concentram (1 e 2 constatações, respectivamente, ao lado de 1 Falha de Desenho de Processo e 2 Falha de Governança). Trata-se diretamente das regras de monitoramento não alimentadas da CCV (BR0076/BR0078 inoperantes para uma parcela substancial de comerciantes) e do gargalo de revisão de milhares de alertas por uma única pessoa na Euro Exchange — lacunas de dados e de pessoal específicas para manter os pipelines de monitoramento completos e adequadamente providos de recursos, não falhas de lógica de detecção.
• Triagem de Sanções é o menor domínio (2 constatações) e ambas são Falha de Desenho de Processo — refletindo a falha do ABN AMRO em ponderar sinais de evasão de sanções junto com outros indicadores de risco, e não uma lacuna na ferramenta de triagem.
• Investigações & Reporte (14 constatações, o maior domínio) é onde estão todas as 5 constatações de Questões Culturais/de Tom deste mês, ao lado de 4 de Falha de Desenho de Processo, 3 de Falha de Governança, e 2 de Problemas de Qualidade de Dados. Este domínio captura as ações de conduta individual do mês: Dharmendra Devji Solanki operando um negócio predatório e não autorizado de empréstimo de dinheiro enquanto atuava como MLRO aprovado; a "fraude grave" de Nível 5 de Alec Finch e Robert Finch na AFL Insurance Brokers, envolvendo lançamentos contábeis falsos e declarações enganosas para induzir uma venda de participação de £2.12 million; e o gerente de compliance da Samlit Moneychanger enfrentando acusações de obstrução da justiça por interferir em uma investigação da Polícia de Cingapura (Singapore Police Force). Falhas de tom no topo, no nível individual e da alta gestão, e não lacunas de processo, são a causa-raiz definidora onde a integridade de reporte e investigação se rompe.

Os dados de coocorrência reforçam que essas falhas de domínio raramente permanecem contidas: Investigações & Reporte se sobrepõe a KYC & Onboarding em 6 constatações e a Monitoramento de Transações em 5 — os pareamentos mais altos deste mês — significando que uma lacuna de governança ou processo em um domínio rotineiramente surge como uma falha de reporte ou escalonamento a jusante (por exemplo, os relatórios de transação incomum atrasados e nunca apresentados do ABN AMRO ao FIU-NL após suas lacunas de onboarding e monitoramento).

Recomendações estratégicas

Priorizar a arquitetura de governança em vez de nova tecnologia de detecção. Com zero constatações atribuídas a Tecnologia Insuficiente e 70% dos dólares de penalidade concentrados na combinação de Falha de Desenho de Processo e Falha de Governança, instituições que executam um plano de "comprar mais ferramentas" estão resolvendo o problema errado neste ciclo. O investimento de maior retorno está na camada de controle em torno dos sistemas existentes: gatilhos obrigatórios de revisão dupla ou escalonamento quando a classificação de risco de um cliente é rebaixada (exatamente a lacuna que o DNB citou no ABN AMRO), exigências de justificativa documentada para alertas encerrados em vez de disposições em lote (a lacuna tanto na Euro Exchange Securities quanto na CCV), e ciclos periódicos de revisão de política aprovados por diretor sênior (a lacuna na Atlantic Lottery e na VIP Realty).

Tratar a aptidão do MLRO e da alta gestão como um controle contínuo, não um portão de aprovação único. Toda constatação de Questões Culturais/de Tom deste mês esteve associada a Investigações & Reporte, e todos esses casos foram detectados por meio de processo criminal ou litígio civil, e não por escalonamento interno — a condenação de Solanki, o julgamento de Alta Corte dos Finch, as acusações de obstrução do gerente de compliance da Samlit. As empresas deveriam incorporar monitoramento contínuo de conduta e triagem de litígio externo/mídia adversa na supervisão de MLROs e diretores, em vez de depender apenas da avaliação inicial de pessoa aprovada.

Financiar auditorias de completude do pipeline de monitoramento, não apenas capacidade de volume de alertas. A mistura distintiva de Problemas de Qualidade de Dados e Restrições de Recursos do domínio de Monitoramento de Transações aponta para um modo de falha específico e verificável: transações ou perfis de comerciantes silenciosamente excluídos do escopo de monitoramento (o Ecom-gap e o PF7-gap da CCV) e pontos únicos de falha na revisão de alertas (o revisor solitário da Euro Exchange). Uma reconciliação periódica entre volume de transações e volume monitorado, além de proporções mínimas de pessoal atreladas ao volume de alertas, teria trazido à tona ambas as lacunas antes que se tornassem multas.

Exigir revisão combinatória, não sequencial, de indicadores de risco no onboarding e na triagem de sanções. A falha central do ABN AMRO — indicadores de risco individualmente conhecidos (fluxos de caixa, jurisdições de alto risco, bens de uso duplo, sinais de evasão de sanções) nunca avaliados em conjunto — é uma correção de desenho de processo, não uma lacuna tecnológica: construir etapas explícitas de aprovação que forcem uma visão composta de risco antes que as conclusões de EDD sejam finalizadas, particularmente dado que esse padrão representa uma parcela desproporcional (47.7%) da exposição total a penalidades deste mês.

Observar a combinação governança-mais-cultura ou governança-mais-processo como o limiar da flagrância. Ambas as ações sinalizadas como flagrantes (egregious) neste mês — a proibição de Robert Finch (Falha de Governança mais Questões Culturais/de Tom) e a multa de SIRA da CCV (Falha de Governança mais Falha de Desenho de Processo mais Problemas de Qualidade de Dados, a "zeer ernstige overtreding" do DNB por operar sete anos sem qualquer análise de risco de integridade) — combinaram Falha de Governança com uma segunda causa-raiz, em vez de aparecer isoladamente. Instituições com uma constatação existente de Falha de Governança em uma autoavaliação deveriam tratar qualquer lacuna de processo ou cultural que a acompanhe como elevando materialmente o risco de fiscalização, e não como um problema independente e de menor prioridade.

Frequência de Causa-Raiz

Causa-Raiz por Domínio

Penalidade por Causa-Raiz (Alocação Ponderada por Prioridade: Alta ×3, Média ×2, Baixa ×1)

Distribuição de Prioridade

A prioridade reflete a árvore de decisão de severidade aplicada a cada constatação no momento da extração (Alta: penalidade atribuível >$10M, conduta rotulada flagrante, lacuna que viabilizou atividade ilegal efetiva, ou resultou em encaminhamento criminal; Média: fragilidade de controle significativa com crítica regulatória explícita; Baixa: uma lacuna documental/procedimental sem evidência de exploração). A tabulação cruzada abaixo mostra como as 32 constatações desta série se distribuem pelos quatro domínios de compliance — Investigações & Reporte carrega tanto o maior volume quanto a maior concentração de constatações de prioridade Alta, enquanto KYC & Onboarding e Triagem de Sanções são quase inteiramente Média.

Temas de Investimento em IA

As constatações acima também apontam para onde controles assistidos por IA poderiam mais diretamente fechar as lacunas deste ciclo — contexto útil para as equipes de compliance e tecnologia que estão avaliando seu próprio roteiro.

Falha de Governança

Reconciliação automatizada de recursos de clientes com detecção de anomalias por ML sobre fluxos de conta de clientes

• Tecnologia: Reconciliação automatizada de recursos de clientes CASS com detecção de anomalias de transação por regras somadas a ML
• Benefício esperado: Detecta retiradas indevidas de recursos fiduciários de clientes em dias, em vez de anos, e fecha o mecanismo de cálculo falsificado (£3.51m extraídos via cálculos de 25 dias), protegendo os recursos dos clientes e reduzindo o risco de ocultação de insolvência.
• Cronograma de ROI: 6-12 months
• Riscos: Pessoas internas privilegiadas contornando ou desativando o pipeline — requer registro imutável e supervisão independente do próprio monitoramento; qualidade dos dados de razão contábil/feed bancário — reconciliações com dados ruins na entrada criam falsa segurança; fadiga de alertas em empresas pequenas sem pessoal de compliance dedicado; a confiança regulatória exige cálculos validados e explicáveis sob auditoria CASS/SUP.
• Justificativa: Controle de governança de maior impacto do conjunto: aborda um roubo emblemático de recursos de clientes (£3.51m, não detectado por 6+ anos) com uma reconciliação de alta viabilidade e ROI rápido. Distinto das opções de anomalia de transação de cliente e de lançamento contábil por domínio de dados (fluxos de conta CASS de cliente vs. de escritório) e correção de controle (reconciliação independente com escalonamento a um NED).

Copiloto de revisão de decisão por LLM para governança de classificação de risco

• Tecnologia: Copiloto de revisão de decisão baseado em LLM que audita mudanças de classificação de risco em relação ao arquivo de caso completo
• Benefício esperado: Cobertura de 100% das decisões de reclassificação com revisão vinculada a evidências, bloqueando rebaixamentos sem fundamentação a partir de "inaceitável" que desativam o monitoramento reforçado, com uma trilha de justificativa auditável para o supervisor.
• Cronograma de ROI: 12-18 months
• Riscos: Exigências de explicabilidade do DNB e obrigações de suporte à decisão de alto risco do EU AI Act; dependência excessiva corroendo, em vez de fortalecer, o questionamento humano; risco de alucinação exigindo fundamentação rigorosa nos dados do arquivo (retrieval-grounding).
• Justificativa: Visa a essência da governança — supervisão e contestação das próprias decisões (o rebaixamento sem fundamentação do Cliente 4) — com cobertura de 100% versus amostragem manual, alta viabilidade. Distinto do copiloto de investigação Cultural pelo alvo: reclassificação de classificação de risco versus qualidade de encerramento de investigação.

Gestão de mudanças regulatórias por LLM e análise de lacunas de política

• Tecnologia: Pipeline de LLM que mapeia estatutos, diretrizes ministeriais e orientações setoriais em relação às políticas internas para sinalizar lacunas e redigir minutas de correção
• Benefício esperado: Garantia contínua de que as políticas permanecem atualizadas com as mudanças regulatórias (os "requisitos regulatórios essenciais ausentes" que a FINTRAC constatou), ciclos de atualização drasticamente encurtados, e rastreabilidade documentada de cada obrigação a um controle.
• Cronograma de ROI: 3-6 months
• Riscos: A alucinação do LLM exige revisão jurídica/de compliance dos resultados; o corpus regulatório precisa se manter autoritativo e atualizado; o fluxo de aprovação precisa permanecer sob titularidade humana para satisfazer a exigência de aprovação por diretor sênior.
• Justificativa: Cobre o padrão de falha de atualidade do programa (requisitos de política desatualizados/ausentes) ao menor custo e ROI mais rápido (3-6mo, alta viabilidade). Um arquétipo de mapeamento de corpus regulatório para política que não aparece em nenhum outro lugar do conjunto selecionado.

Motor de gatilho de revisão orientado a eventos para KYC perpétuo

• Tecnologia: Motor de gatilho de revisão orientado a eventos sobre mudanças de dados de clientes, movimentos de classificação de risco e indicadores de atividade incomum
• Benefício esperado: As revisões são disparadas quando o risco muda, em vez de nunca ou apenas sob pressão regulatória, substituindo o processo baseado em calendário que falhou, com uma trilha de auditoria completa do momento, das etapas e das conclusões da revisão, conforme reg 28(11)/27(8).
• Cronograma de ROI: 6-12 months
• Riscos: Disparo excessivo do gatilho criando represas de revisão que uma equipe pequena não consegue absorver; dependência de dados de clientes subjacentes já remediados; carga de gestão de mudança em uma empresa com governança fraca.
• Justificativa: Aborda a falha de governança generalizada de revisões que nunca aconteceram mesmo sob a própria política da empresa, com alta viabilidade. Distinto da opção de IDP de onboarding por focar na camada de gatilho de cadência de revisão contínua, em vez da decisão sobre novo cliente.

Falha de Desenho de Processo

Processamento inteligente de documentos com pontuação de risco explicável no onboarding

• Tecnologia: Extração de documentos por OCR/LLM somada a pontuação de risco de cliente por regras mais ML no onboarding
• Benefício esperado: CRA/CDD consistente e auditável no onboarding — capturando identidade expirada, comprovante de endereço não sustentado e registros de entidade incompatíveis, e gerando uma justificativa de risco documentada que os revisores aprovam antes que a transação seja habilitada (todos os dez arquivos careciam disso).
• Cronograma de ROI: 6-12 months
• Riscos: Erros de modelo e extração em documentos legados de baixa qualidade; escrutínio regulatório sobre a explicabilidade da pontuação de risco automatizada — a aprovação humana precisa permanecer no loop; risco de dados ruins na entrada dado os problemas de qualidade de dados já existentes na empresa.
• Justificativa: Cobre a lacuna de processo mais comum — CRA não documentada e verificação defeituosa de identidade/beneficiário final — com alta viabilidade. Distinto da opção de indexação de arquivo de Qualidade de Dados pela finalidade: decisão de onboarding prospectiva versus recuperação retrospectiva de registros.

Triagem de sanções sensível a transliteração com resolução de mídia adversa e partes conectadas

• Tecnologia: Correspondência de nomes fuzzy/fonética para triagem com análise de mídia adversa por NLP e resolução de entidades para partes conectadas
• Benefício esperado: Triagem completa e tempestiva de clientes e seus diretores/proprietários — derrotando a falha de nome com erro ortográfico e trazendo à tona mídia adversa perdida (por exemplo, o suposto esquema de lavagem de dinheiro/investigação do FBI) — com toda correspondência potencial disposta e auditada conforme regs 28 e 35.
• Cronograma de ROI: 3-9 months
• Riscos: Volume de falsos positivos sobrecarregando uma equipe de adjudicação com poucos recursos; limites de cobertura e precisão das fontes de mídia adversa; a disposição automática de correspondências atrairia contestação regulatória — é necessária adjudicação humana com QA.
• Justificativa: A única opção de triagem de sanções do conjunto, cobrindo um pilar central de AML e duas falhas distintas (correspondência de nomes mais mídia/partes conectadas perdidas) com alta viabilidade e ROI rápido. Sem quase-duplicata em outro lugar.

Detecção de anomalias de transação comportamental com análise de redes

• Tecnologia: Modelos de machine learning sobre sequências comportamentais em nível de conta combinados com análise de grafos ligando entidades alimentadoras
• Benefício esperado: Reduz a latência de detecção dos 2+ meses observados para dias, sinaliza automaticamente transações materialmente semelhantes que o banco perdeu, e aciona restrições que impedem atividade pós-"inaceitável" (os EUR 130,000 que ainda fluíram após a classificação).
• Cronograma de ROI: 12-24 months
• Riscos: Volume de falsos positivos sobrecarregando a capacidade de investigação; carga de validação de modelo e governança sob escrutínio supervisório; qualidade dos dados da contraparte limitando a precisão da vinculação de rede.
• Justificativa: A opção central de desenho de detecção para monitoramento de transações, abordando a detecção lenta e as lacunas de transações semelhantes perdidas. Distinta das opções de anomalia de reconciliação de recursos de clientes (Governança) e de lançamento contábil (Cultural) pelo domínio de dados (transações de clientes/redes de contraparte) e pelo problema (atividade suspeita perdida).

Motor determinístico de reporte por limiar com preenchimento automatizado ao FIU e rastreamento de evidências

• Tecnologia: Motor de regras determinístico com geração automatizada de relatório de transação incomum ao FIU e arquivamento de evidências de preenchimento
• Benefício esperado: Praticamente zero relatórios de indicador objetivo perdidos ou atrasados (cinco foram perdidos; as revisões retrospectivas chegaram com 2-5 weeks de atraso) e prova instantânea e respaldada por evidências de preenchimento, o que a CCV não conseguiu comprovar — a baixo custo, porque o indicador é totalmente determinístico.
• Cronograma de ROI: 3-6 months
• Riscos: Dependência a montante: só funciona se o sistema de TM de fato receber todas as transações (correções de Qualidade de Dados são um pré-requisito); capturar transações pretendidas mas não executadas exige eventos pré-execução; controles de preenchimento duplicado são necessários quando revisões retrospectivas se sobrepõem à detecção ao vivo.
• Justificativa: A correção mais barata e rápida do fluxo de reporte (3-6mo), cobrindo a falha de reporte de indicador objetivo. Deliberadamente não baseada em ML, o que a torna distinta de todas as outras opções e complementar às camadas de detecção por ML.

Questões Culturais/de Tom

Triagem contínua de mídia adversa e registros públicos de pessoas aprovadas

• Tecnologia: Triagem perpétua de mídia adversa e registros públicos baseada em NLP com resolução de entidades
• Benefício esperado: Detecta processos criminais ou atividade empresarial não divulgada por gestores seniores (SMF16/17) em dias, em vez de anos — aqui a conduta se estendeu por ~3.5 years e só veio à tona com a prisão — permitindo suspensão imediata e notificação ao regulador.
• Cronograma de ROI: 6-12 months
• Riscos: Falsos positivos em nomes comuns causando ação de emprego injusta; restrições de proteção de dados e direito trabalhista sobre o monitoramento de funcionários; confiabilidade e cobertura variáveis das fontes de mídia adversa e registros judiciais.
• Justificativa: Visa diretamente a falha de tom no topo de má conduta não detectada de gestor sênior, com alta viabilidade. Distinta da opção de triagem de sanções pelo sujeito e finalidade — monitorar funcionários/pessoas aprovadas quanto à integridade, não triar clientes quanto a sanções.

Detecção de anomalias de lançamento contábil com cruzamento por NLP entre razão contábil e comunicações

• Tecnologia: Detecção de anomalias por ML em lançamentos contábeis combinada com cruzamento por NLP de e-mails e atas de conselho contra lançamentos do razão
• Benefício esperado: Detecta provisões de receita fictícias e inflação de balanço patrimonial dentro de um ou dois ciclos contábeis, em vez dos 6+ anos alcançados aqui, com uma trilha de evidências independente que sobrevive a uma anulação pela alta gestão.
• Cronograma de ROI: 12-18 months
• Riscos: Pessoas internas seniores com direitos de administrador podem suprimir ou calibrar alertas — requer roteamento independente de alertas ao comitê de auditoria/auditor externo; falsos positivos em provisões legítimas, porém incomuns, causando fadiga de alertas; restrições de privacidade e legais sobre a mineração de comunicações de funcionários; requisitos de governança e explicabilidade de modelo para confiança de auditoria.
• Justificativa: Aborda a clássica cultura de anulação pela alta gestão/contabilidade falsa (uma provisão permaneceu de pé enquanto o próprio e-mail de um corretor dizia que a conta estava "não fechada" — not won). Distinta da opção de reconciliação de recursos de clientes pelo tipo de fraude (fabricação de receita vs. roubo de recursos de clientes) e pelo controle (roteamento independente de alertas de anomalias de provisão).

Copiloto de investigação com IA generativa e padrões de evidência impostos

• Tecnologia: Copiloto de investigação com IA generativa incorporado à gestão de casos, com imposição estruturada de padrão de evidência
• Benefício esperado: Eleva o piso de qualidade e consistência da investigação, produz uma trilha de auditoria pronta para o regulador, indicador por indicador, e recusa o encerramento enquanto indicadores de risco permanecerem sem disposição — institucionalizando a profundidade crítica que o DNB constatou faltar nos cinco arquivos.
• Cronograma de ROI: 12-18 months
• Riscos: A tecnologia não substitui a mudança de cultura de ceticismo que as constatações implicam — precisa ser combinada com treinamento e incentivos; risco de alucinação/omissão em resumos de caso gerados; aceitação supervisória de registros de investigação assistidos por IA.
• Justificativa: Converte a expectativa de "avaliação holística" em um fluxo de trabalho imposto — a resposta de IA mais direta a uma cultura de ceticismo fraco — com alta viabilidade. Distinta do copiloto de revisão de decisão de Governança pelo alvo: profundidade/qualidade de encerramento de investigação, e não reclassificação de classificação de risco.

Problemas de Qualidade de Dados

Reconciliação de completude de dados com detecção de anomalias de volume de ingestão

• Tecnologia: Reconciliação automatizada processado-vs-ingerido com detecção de anomalias por ML sobre volumes de ingestão de transações e perfis de comerciantes
• Benefício esperado: Elimina lacunas silenciosas de monitoramento plurianuais (quebras de feed que duraram 1-3+ years) sinalizando-as em horas, e permite a quantificação precisa de impacto que a CCV, por duas vezes, não conseguiu fornecer ao DNB — o principal motor da multa de EUR 2.66M.
• Cronograma de ROI: 3-6 months
• Riscos: Ruído de alertas por variações sazonais/de volume exigindo calibração de linha de base; dependência de um feed de fonte confiável para reconciliação; pontos cegos de cobertura se novos canais/rótulos forem incorporados fora do controle.
• Justificativa: A opção de destaque em Qualidade de Dados — aborda diretamente o principal motor da multa (lacunas silenciosas de feed/ingestão) com o ROI mais rápido e alta viabilidade. Totalmente distinta: monitora a completude do próprio pipeline de monitoramento, em vez de qualquer controle voltado ao cliente.

Indexação inteligente de arquivos de registros não estruturados para recuperação sob solicitação regulatória

• Tecnologia: OCR, normalização de formato e classificação/vinculação de entidades por LLM sobre arquivos de documentos não estruturados
• Benefício esperado: Converte um arquivo de ~180,000 documentos, parcialmente ilegível, em registros indexados por cliente e por controle, de modo que solicitações regulatórias sejam respondidas dentro do prazo, torna as lacunas de evidência visíveis e remediáveis, e demonstra retenção de registros conforme MLR reg 40 / reg 28(16).
• Cronograma de ROI: 3-6 months
• Riscos: Erros de classificação arquivando evidências sob o cliente errado; documentos-fonte genuinamente ilegíveis ou ausentes não podem ser recuperados por ferramentas — as lacunas ainda exigem novo contato com o cliente; controles de proteção de dados necessários ao processar registros de clientes com ferramentas de IA.
• Justificativa: Aborda o segundo modo distinto de falha de Qualidade de Dados — registros não encontráveis/não produzíveis sob solicitação regulatória — com alta viabilidade e ROI rápido. Enquadrada como recuperação/produção retrospectiva de arquivo, mantendo-se distinta da opção de IDP de onboarding prospectiva em Falha de Desenho de Processo.

Recomendações Estratégicas

1. Reconstruir a governança de due diligence periódica e reclassificação de risco — o maior motor isolado de exposição a penalidades neste ciclo

Falha de Governança foi a causa-raiz mais comum identificada (11 de 32 constatações, 34.4%) e, junto com Falha de Desenho de Processo (10 constatações, 31.3%), responde por quase dois terços de todas as constatações do ciclo. A ilustração mais clara é a multa de EUR 8.5 million do DNB contra o ABN AMRO (USD 9.78M, 71% do valor total de penalidade do ciclo), imposta por uma falha estrutural em conduzir due diligence contínua sobre clientes de varejo de alto risco: um atraso de dois meses para detectar um padrão de repasse de caixa acima de EUR 500,000 que persistiu mesmo após o cliente ter sido classificado como "inaceitável", um rebaixamento sem fundamentação de "inaceitável" para risco "médio", e uma falha em avaliar indicadores de grande volume de caixa, país de alto risco, bens de uso duplo e evasão de sanções à Rússia em conjunto. O DNB foi explícito ao afirmar que as investigações se apoiavam "decisivamente" em declarações não verificadas do cliente e que a não cooperação não acarretava consequências. O CCV Group mostra o que acontece quando essa lacuna não é corrigida: sua multa de EUR 2.66M incluiu um acréscimo de 25% de culpabilidade especificamente porque a CCV era reincidente na mesma norma Wwft pela qual havia sido citada inicialmente em 2019-2020.

Itens de ação:

• Implantar um copiloto de revisão de decisão baseado em LLM sobre toda reclassificação de classificação de risco (não uma amostra) — o rebaixamento do ABN AMRO que permitiu que o monitoramento decaísse teria sido capturado com cobertura de 100%, em vez de deixado à revisão manual (ROI de 12-18 month; requer registro imutável para que pessoas internas privilegiadas não possam suprimir a própria revisão).
• Substituir revisões periódicas baseadas em calendário por um motor de gatilho orientado a eventos que dispara sobre movimento de classificação de risco, mudança de dados de cliente, ou indicadores de atividade incomum — visando diretamente o padrão de "revisões que nunca aconteceram mesmo sob a própria política da empresa" (ROI de 6-12 month).
• Construir uma etapa explícita e auditável exigindo avaliação combinada (não em silos) dos indicadores de risco — tamanho do fluxo de caixa, geografia, tipo de produto, sinais de exposição a sanções — antes que qualquer rebaixamento de risco seja aprovado.

2. Institucionalizar qualidade de investigação e padrões de evidência — o domínio de falha mais frequente e de maior prioridade

Investigações & Reporte gerou mais constatações (14) do que qualquer outro domínio, atingiu 9 das 11 entidades distintas do ciclo (10 das 12 ações), e carregou as constatações de prioridade Alta mais numerosas de qualquer domínio (5, contra 2 em Monitoramento de Transações e 1 em KYC & Onboarding). Também coocorre mais frequentemente com outros domínios — 6 constatações conjuntas com KYC & Onboarding e 5 com Monitoramento de Transações — indicando uma causa-raiz compartilhada, em vez de incidentes isolados. O aviso supervisório da FCA contra a Euro Exchange Securities UK é o exemplo mais gritante: 4,968 alertas encerrados como "não suspeitos" em um único arquivo, 3,294 sem qualquer justificativa documentada, apenas um jamais escalado, e toda a população de alertas revisada por uma única pessoa. O CCV Group mostra o mesmo padrão em sua multa de EUR 2.66M — 25 de 49 alertas amostrados não investigados de forma tempestiva ou adequada, incluindo encerramentos em lote de fim de dia não documentados. A Atlantic Lottery foi, separadamente, multada em CAD 212,025 (USD 151,174), em parte por não apresentar um STR apesar de múltiplos indicadores de ML/TF, uma violação que a FINTRAC classificou como "Muito Grave".

Itens de ação:

• Incorporar um copiloto de investigação com IA generativa na gestão de casos que imponha padrões de evidência indicador por indicador e recuse o encerramento enquanto indicadores de risco permanecerem sem disposição — isso converte a expectativa de "avaliação holística" do DNB de uma aspiração em um fluxo de trabalho imposto (ROI de 12-18 month).
• Implantar um motor determinístico (não ML) de reporte por limiar para indicadores objetivos de STR/UTR, com preenchimento automatizado ao FIU e arquivamento de evidências — a correção mais rápida e barata do portfólio (3-6 months) e a resposta direta ao preenchimento perdido da Atlantic Lottery e às revisões retrospectivas atrasadas da CCV.
• Eliminar estruturalmente gargalos de revisor único: exigir roteamento de segunda revisão independente para qualquer arquivo em que uma única pessoa seja a única adjudicadora, como na Euro Exchange.

3. Corrigir a integridade do pipeline de monitoramento de transações antes de investir mais em modelos de detecção

Problemas de Qualidade de Dados impulsionaram 4 das 32 constatações, mas foram a causa próxima de uma das duas multas de fintech mais valiosas e quase flagrantes do ciclo. A penalidade de EUR 2.66M do DNB contra o CCV Group se apoiou em lacunas de monitoramento silenciosas plurianuais: o "Ecom-gap" (2021 a junho de 2023) e o erro de rotulagem "PF7-gap" (julho de 2023 a julho de 2024) significaram que uma parcela "substancial" de comerciantes não teve monitoramento efetivo por períodos prolongados, as regras de monitoramento BR0076/BR0078 ficaram inoperantes, e perfis de comerciantes deixaram de ser atualizados porque analistas de CDD perderam acesso ao sistema. Modelos de detecção sobrepostos a um feed não confiável produzem falsa segurança — exatamente a constatação do DNB.

Itens de ação:

• Implementar reconciliação automatizada de volume de ingestão com detecção de anomalias comparando transações/perfis de comerciantes processados contra transações ingeridas, sinalizando quebras de feed em horas, em vez de anos (ROI de 3-6 month, alta viabilidade — o item de retorno mais rápido de todo o portfólio).
• Sequenciar o investimento em IA corretamente: tratar este controle de integridade de pipeline como um pré-requisito para qualquer modelo de detecção de anomalias comportamentais ou análise de redes, já que ambos são tão bons quanto o feed subjacente.
• Exigir declarações quantificadas de impacto (volume/duração/clientes afetados) para qualquer lacuna histórica de monitoramento descoberta — a incapacidade da CCV de quantificar precisamente sua própria lacuna ao DNB foi, em si, um fator agravante.

4. Reconstruir CDD/EDD de onboarding e unificar a triagem de sanções/mídia adversa

KYC & Onboarding foi o segundo domínio mais frequente (10 constatações, 5 entidades), e Triagem de Sanções — embora de menor volume (2 constatações, 2 entidades) — apareceu em combinação com KYC em 2 constatações e com Monitoramento de Transações em mais 2, nunca isoladamente. A ação da FCA contra a Euro Exchange é o caso emblemático: todos os dez arquivos de clientes revisados eram inadequados em CDD, EDD/origem de fundos, e triagem de PEP/sanções/mídia adversa, incluindo uma reportagem de mídia aberta não detectada sobre um suposto esquema de lavagem de dinheiro sob investigação do FBI — uma lacuna grave o suficiente para acionar uma restrição total ao onboarding de novos clientes. O padrão de falha do ABN AMRO foi adjacente: aceitar declarações de usuário final do cliente sem verificação em meio a uma mudança nos padrões comerciais de países de transbordo, perdendo sinais de evasão de sanções à Rússia.

Itens de ação:

• Implantar extração de documentos por OCR/LLM com pontuação de risco de onboarding explicável, por regras somadas a ML, de modo que todo arquivo carregue uma justificativa de risco documentada e aprovada por revisor antes que o cliente possa transacionar — nenhum dos dez arquivos amostrados da Euro Exchange tinha isso (ROI de 6-12 month).
• Combinar o onboarding com correspondência de nomes de sanções fuzzy/fonética, mais análise de mídia adversa por NLP e resolução de partes conectadas (diretor/beneficiário final) — a única forma de capturar tanto a evasão por nome com erro ortográfico quanto a cobertura de mídia perdida, como a lacuna da investigação do FBI, com adjudicação humana mantida dado o risco de falso positivo (ROI de 3-9 month, o mais rápido do conjunto de KYC).
• Estender os requisitos de verificação de usuário final/origem de fundos especificamente para clientes expostos a comércio e transbordo, fechando a lacuna que o DNB citou no ABN AMRO.

5. Tornar a integridade de gestores seniores e pessoas aprovadas um controle contínuo e evidenciado

Questões Culturais/de Tom respondeu por 5 de 32 constatações (15.6%), mas está por trás de duas das ações individuais mais graves deste ciclo. A FCA proibiu Dharmendra Solanki, ex-Diretor de Reporte de Lavagem de Dinheiro (MLRO) sob SMF17, depois que ele operou um negócio predatório e não autorizado de empréstimo de dinheiro — intimidando mutuários vulneráveis — por aproximadamente 3.5 years (novembro de 2018–maio de 2022) enquanto atuava como MLRO aprovado, não detectado por aproximadamente 3.5 years até sua prisão em 18 de maio de 2022 pelas autoridades (confissão de culpa em outubro de 2023). Separadamente, os Avisos de Decisão da FCA contra Alec Finch e Robert Finch avaliaram sua conduta no Nível 5 — a classificação de gravidade máxima da FCA — por uma "fraude grave" que desviou £3.51 million de uma conta fiduciária estatutária de recursos de clientes ao longo de mais de três anos, por meio de lançamentos contábeis falsificados, um dos quais permaneceu nos livros mesmo depois que o próprio e-mail de um corretor afirmou que o negócio subjacente estava "não fechado" (not won). Note-se que todas as quatro ações do Reino Unido neste ciclo carregaram £0 em penalidades monetárias (duas dispensadas mediante comprovação de dificuldade, uma em que a FCA impôs apenas uma proibição sem multa aplicada, uma pendente), mas resultaram em ordens de proibição ou uma restrição integral de autorização — os reguladores estão substituindo sanções que encerram carreiras por multas quando empresas/indivíduos não conseguem pagar.

Itens de ação:

• Executar triagem contínua de mídia adversa e registros públicos baseada em NLP sobre pessoas aprovadas e gestores seniores, não apenas clientes — o negócio não autorizado e a exposição criminal de Solanki deveriam ter vindo à tona em meses, não nos 3.5 years que levou (ROI de 6-12 month; combinar com revisão de direito trabalhista dado o risco de falso positivo em nomes comuns).
• Implantar detecção de anomalias de lançamento contábil cruzada com comunicações internas (e-mails, atas de conselho) via NLP — exatamente o controle que teria capturado uma provisão contradita pelo próprio e-mail do corretor de origem, com alertas roteados independentemente ao comitê de auditoria/auditor externo, para que pessoas internas seniores não possam suprimi-los (ROI de 12-18 month).
• Tratar desfechos de "£0 de penalidade, proibição integral" como um sinal, não um alívio: construir planos de remediação em torno do risco de licença/autorização para indivíduos seniores, já que essa é agora a consequência operativa, independentemente da capacidade financeira de pagamento.

6. Reequilibrar o investimento do programa por jurisdição e por risco regulatório real, não apenas pelos totais de multa

Três das doze ações deste ciclo — todas do DNB dos Países Baixos — respondem por USD 13.56 million dos USD 13.73 million em penalidades totais (98.7%), a uma média de USD 4.52 million por ação, contra a média de USD 87,351 da FINTRAC. Empresas com licenças bancárias ou de instituição de pagamento holandesas deveriam tratar a exposição ao DNB como o principal item de risco financeiro deste ciclo. Mas a severidade financeira não é o quadro de risco completo: zero das doze ações envolveu autodenúncia voluntária, e quatro ações do Reino Unido que não carregaram multa alguma ainda assim produziram uma suspensão total de onboarding (Euro Exchange) ou proibição integral (Solanki, ambos os Finch) — desfechos que ameaçam a continuidade da licença e o valor da franquia de formas que um número de penalidade não captura. As duas ações que o DNB ou a FCA caracterizaram em termos flagrantes neste ciclo — a "violação muito grave" (zeer ernstige overtreding) da CCV por operar aproximadamente sete anos sem qualquer análise sistemática de risco de integridade, e a constatação de fraude de Nível 5 de Robert Finch — ambas decorrem da ausência de um controle fundacional (uma SIRA; segregação básica de integridade de recursos de clientes), não de um parcial.

Itens de ação:

• Ponderar os orçamentos de remediação em direção a jurisdições com reguladores de severidade comprovadamente alta (o DNB neste ciclo), sem desprioritizar a exposição ao Reino Unido/MAS, onde a consequência é risco de autorização, em vez de risco de multa.
• Instituir um protocolo permanente de autodenúncia e rastreá-lo como um KPI — um ciclo de zero VSD (voluntary self-disclosure) em doze ações sugere que o autorrelato ainda não está incorporado como uma alavanca de mitigação que as equipes de compliance estejam de fato usando.
• Realizar um inventário de controles fundacionais (SIRA/avaliação de risco corporativo, controles de segregação de recursos de clientes, metodologia de CRA documentada) antes de adicionar IA na camada de detecção — as multas da CCV e da Atlantic Lottery remontam ambas a um documento fundacional ausente, que nenhuma sofisticação de monitoramento a jusante teria curado.

Metodologia e Limitações

Esta análise segue uma metodologia fixa de extração, estatística e geração de relatório: uma taxonomia fixa de domínio de compliance (KYC & Onboarding, Monitoramento de Transações, Triagem de Sanções, Investigações & Reporte), uma taxonomia de causa-raiz de oito categorias, e uma árvore de decisão de prioridade aplicada consistentemente a cada constatação. Todo conteúdo gerado por IA neste relatório — constatações extraídas, insights narrativos e recomendações de investimento em IA — foi revisado quanto à precisão, completude e consistência com os documentos-fonte subjacentes antes da publicação. Todos os 12 documentos descobertos para esta execução foram extraídos com sucesso; nenhum falhou na extração.

A cobertura de fontes é limitada a ações de fiscalização divulgadas publicamente — acordos resolvidos sem aviso público, ações supervisórias informais, e ações de reguladores que não publicam ordens completas são excluídos, de modo que este conjunto de dados subestima a atividade total de fiscalização no período. A precisão da extração depende da clareza do documento; as constatações são extraídas por um modelo de IA instruído a ser conservador e evitar fabricação, mas documentos fortemente redigidos (com trechos ocultos) ou formatados de maneira incomum (várias ações desta execução, incluindo a Euro Exchange Securities UK Ltd e ambos os arquivos do ABN AMRO e do CCV Group, continham passagens redigidas) podem resultar em extração incompleta. A conversão de moeda para comparações de penalidade entre jurisdições usa taxas de câmbio na data de execução da análise (2026-08-02, obtidas de exchangerate-api.com/open.er-api.com) e não é ajustada para flutuações intraperíodo em períodos de violação longos que abrangem múltiplos anos. A atribuição de casos de uso de IA mapeia casos de uso a causas-raiz com base na constatação que endereçam; quando uma única ação contém múltiplas causas-raiz dentro do mesmo domínio, apenas a causa-raiz mais prevalente recebe atribuição, de modo que algumas causas secundárias podem estar sub-representadas na seção de Temas de Investimento em IA. A categorização de causa-raiz mapeia cada constatação para uma de oito categorias fixas refletindo a causa primária declarada ou mais fortemente implicada no documento-fonte, mesmo quando uma constatação plausivelmente tem múltiplas causas contribuintes.

Fontes

Cada número acima remonta à própria ordem ou comunicado publicado pelo regulador. Navegue pelas listas e programas que rastreamos em nosso catálogo de dados para ver como essas entidades e suas afiliadas se relacionam com seu próprio livro de triagem.