Portugues Advanced CAMS-Audit Exam Practice Test Two

Correto: De acordo com os princípios de governança do programa FCI, decisões sobre relacionamentos de alto risco que envolvem atividades suspeitas complexas devem ser baseadas em uma investigação detalhada e submetidas aos órgãos de governança, como o Comitê de Risco ou o Conselho. Isso garante que a instituição avalie o risco em relação ao seu apetite de risco e documente formalmente a justificativa para manter ou encerrar o cliente, equilibrando a conformidade regulatória com a estratégia institucional.

Incorreto: Encerrar a conta imediatamente sem uma investigação completa ou escalonamento ignora os processos de governança interna e a necessidade de documentar o processo de tomada de decisão. Ajustar o sistema de monitoramento para ignorar riscos específicos (tuning inadequado) representa uma falha grave de controle e eleva o risco de sanções. Delegar a decisão ao gerente de relacionamento cria um conflito de interesses inaceitável, pois a função de conformidade e a governança de risco devem ser independentes da linha de frente comercial.

Conclusão: Decisões de saída ou manutenção de clientes de alto risco devem ser fundamentadas em investigações detalhadas e aprovadas pela estrutura de governança formal da instituição.

Correto: A ação correta envolve o cumprimento das obrigações de reporte e a gestão interna de riscos. Ao identificar atividades suspeitas sem fundamento econômico, a instituição deve reportar à UIF (SAR/STR) conforme exigido por lei. Simultaneamente, a atualização da classificação de risco e a escalação para o comitê de governança para decidir sobre o encerramento da conta garantem que a instituição mitigue riscos operacionais e reputacionais de forma estruturada.

Incorreto: Bloquear ativos sem uma ordem judicial ou base legal específica pode expor a instituição a litígios e excede a responsabilidade da FI, que é identificar e reportar suspeitas. Aguardar 90 dias para provar um crime antecedente viola o princípio de reporte tempestivo de atividades suspeitas. Notificar o cliente sobre a investigação ou suspeita constitui ‘tipping-off’ (revelação indevida), o que é uma infração legal grave na maioria das jurisdições de prevenção à lavagem de dinheiro.

Conclusão: A gestão de riscos eficaz exige o reporte imediato de suspeitas às autoridades e a escalação de decisões de continuidade de relacionamento para a governança sênior, evitando a revelação indevida ao cliente.

Correto: A governança eficaz de um programa de FCI exige que os resultados das investigações não fiquem isolados no nível operacional. Ao reportar tendências e casos complexos ao Comitê de Risco, a instituição garante que o apetite a risco seja atualizado com base em ameaças reais e emergentes. Isso permite que a alta gestão tome decisões informadas sobre a manutenção de relacionamentos de alto risco e o ajuste necessário nos controles de monitoramento e processos de KYC/CDD.

Incorreto: Delegar decisões críticas apenas ao nível operacional sem supervisão estratégica ignora a responsabilidade da alta gestão sobre o risco residual. A automação total sem revisão humana em casos complexos de criptoativos é ineficaz para identificar tipologias sofisticadas e pode gerar riscos jurídicos. Restringir informações apenas ao compliance ou focar apenas em arquivamento impede que a governança corporativa avalie o impacto sistêmico dos riscos identificados durante o processo investigativo.

Conclusão: A integração entre os resultados das investigações e a governança estratégica é fundamental para a calibração contínua do apetite a risco e a eficácia do programa de combate ao crime financeiro.

Correto: A abordagem baseada em risco exige que a instituição identifique lacunas nos controles de monitoramento, como a falha em detectar padrões de estruturação ou fracionamento. O ajuste (tuning) dos sistemas para refletir riscos geográficos e comportamentais, aliado à comunicação das falhas à governança (Comitê de Risco), é fundamental para a manutenção da integridade do programa de FCI.

Incorreto: Encerrar contas sem uma investigação prévia (de-risking) pode impedir a coleta de inteligência financeira crucial e não resolve a falha sistêmica no monitoramento. Aumentar os limites de monitoramento para reduzir alertas ignora o risco de transações estruturadas e enfraquece os controles. Aguardar a ação de autoridades policiais é uma postura reativa que viola a obrigação da instituição de monitorar e reportar atividades suspeitas de forma proativa.

Conclusão: A eficácia do programa de FCI depende da identificação proativa de lacunas nos controles e do ajuste contínuo dos sistemas de monitoramento para mitigar riscos emergentes.

Correto: A ação correta envolve a atualização técnica dos sistemas (tuning) e a reavaliação do risco do cliente com base em novas ameaças geográficas. Além disso, em uma estrutura de governança robusta, mudanças significativas no perfil de risco e nos controles devem ser comunicadas e validadas pelas instâncias superiores, como o comitê de risco, para garantir o alinhamento com o apetite ao risco da instituição.

Incorreto: Bloquear contas sem uma análise individualizada viola a abordagem baseada em risco e pode causar danos operacionais desnecessários. Manter parâmetros defasados para evitar alertas ignora a obrigação de detectar atividades suspeitas em áreas de alto risco. Delegar o monitoramento técnico exclusivamente aos gerentes de relacionamento compromete a independência da função de conformidade e a eficácia do monitoramento automatizado.

Conclusão: A eficácia do programa de FCI exige a calibração contínua de ferramentas de monitoramento e a integração de novas ameaças geográficas à governança de risco da instituição.

Correto: A governança de um programa de FCI exige que a instituição alinhe sua avaliação de risco com as prioridades nacionais (ANR) e mudanças significativas no perfil de negócios (aumento de 60% no OTC). O Oficial de Compliance deve levar essas informações ao Conselho ou Comitê de Risco para que o apetite ao risco seja formalmente revisado e os controles de monitoramento sejam ajustados para mitigar as ameaças identificadas.

Incorreto: Bloquear contas indiscriminadamente sem uma análise individualizada viola a abordagem baseada em risco e pode resultar em de-risking indevido. Realizar o tuning técnico sem revisar a governança e o apetite ao risco ignora a responsabilidade da alta gestão na supervisão do programa. Focar apenas em limites históricos e produtividade falha em capturar novas tipologias de risco e negligencia a necessidade de atualizar os controles conforme o cenário de ameaças evolui.

Conclusão: A governança eficaz exige a atualização dinâmica da avaliação de risco e do apetite institucional frente a novas ameaças nacionais e mudanças no volume operacional.

Correto: De acordo com os princípios de governança do programa FCI, decisões críticas sobre relacionamentos que apresentam riscos elevados e recorrentes devem ser escaladas para instâncias superiores, como o Comitê de Risco ou o Conselho. Cabe ao investigador apresentar os fatos e análises para que a instituição tome uma decisão fundamentada no seu apetite de risco, garantindo que a responsabilidade seja compartilhada e documentada adequadamente.

Incorreto: Encerrar a conta automaticamente sem passar pela governança ignora a necessidade de uma avaliação estratégica e pode violar procedimentos internos de escalonamento. Aumentar o monitoramento sem abordar a viabilidade do relacionamento falha em mitigar o risco residual já identificado. Aguardar uma carta de não objeção da UIF é um equívoco comum, pois a responsabilidade de gerir o risco e decidir sobre a manutenção de clientes é exclusivamente da instituição financeira.

Conclusão: Decisões sobre a continuidade de relacionamentos com clientes de alto risco devem ser escaladas para os comitês de governança para garantir o alinhamento com o apetite de risco da instituição.

Correto: A decisão de encerrar um relacionamento com um cliente que excede o apetite de risco da instituição deve ser fundamentada em uma análise técnica e submetida à estrutura de governança estabelecida. O oficial de conformidade deve apresentar os fatos, os riscos identificados (como o uso de mixers) e como isso viola as políticas internas, permitindo que o Conselho ou o comitê de risco tome uma decisão informada e documentada, garantindo a conformidade com os processos de escalonamento.

Incorreto: O congelamento imediato e encerramento sem seguir os processos internos pode expor a instituição a riscos jurídicos e operacionais desnecessários. Manter o relacionamento apenas aumentando a frequência do monitoramento é insuficiente se o risco já foi identificado como superior ao apetite de risco aceitável. Delegar a decisão ao gerente de relacionamento é inadequado, pois cria um conflito de interesses direto entre as metas comerciais e as obrigações de mitigação de crimes financeiros.

Conclusão: Decisões de saída de clientes por risco de crime financeiro devem ser validadas pela governança institucional e baseadas em uma avaliação clara do impacto no apetite de risco da organização.

Correto: A ação recomendada segue os princípios de governança e a abordagem baseada em risco (RBA). A suspensão de transações e a atualização da classificação de risco mitigam a exposição imediata da instituição. O preenchimento do SAR/STR cumpre a obrigação legal perante a Unidade de Inteligência Financeira. De acordo com os padrões de governança de FCI, decisões críticas sobre a manutenção ou saída de clientes de alto risco devem ser escaladas para comitês seniores ou para o Conselho para garantir que a decisão esteja alinhada ao apetite de risco institucional.

Incorreto: Encerrar a conta imediatamente sem passar pelo processo de governança interna pode violar procedimentos de conformidade e não garante o reporte adequado às autoridades. Manter apenas o monitoramento por 90 dias sem tomar medidas mitigadoras ou reportar a suspeita constitui uma falha grave de controle e atrasa a comunicação de crimes financeiros. Aceitar novos documentos sem reavaliar o risco ignora indicadores claros de lavagem de dinheiro, como o uso de mixers e a desconexão com o perfil financeiro declarado, falhando na aplicação da devida diligência reforçada.

Conclusão: Decisões sobre o encerramento de relacionamentos de alto risco devem ser fundamentadas em investigações técnicas e validadas pela estrutura de governança da instituição para mitigar riscos regulatórios e reputacionais.

Correto: A governança institucional em programas de Prevenção à Lavagem de Dinheiro e Financiamento ao Terrorismo (PLD/FT) exige que casos de alto risco, especialmente aqueles que envolvem atividades suspeitas confirmadas, sejam escalados para comitês seniores ou para a alta gestão. Isso garante que a decisão de manter ou encerrar o relacionamento seja baseada no apetite de risco da instituição, devidamente documentada e tomada por uma instância com autoridade para aceitar riscos residuais elevados.

Incorreto: Delegar a decisão ao setor comercial gera um conflito de interesses inaceitável, pois a prioridade deve ser a mitigação de riscos de crimes financeiros, não a receita. Manter a conta apenas aguardando uma resposta da UIF é um erro comum, pois a responsabilidade de gerir o risco e decidir sobre a manutenção do cliente é da própria instituição financeira. Monitorar isoladamente sem escalonamento ignora a necessidade de uma resposta tempestiva a um risco já identificado, o que pode resultar em falhas de controle e sanções regulatórias.

Conclusão: Decisões críticas sobre o encerramento de relacionamentos com clientes de alto risco devem ser ratificadas pela estrutura de governança para garantir o alinhamento com o apetite de risco da instituição.

Correto: A Abordagem Baseada em Risco (RBA) exige que a instituição entenda seus riscos antes de aplicar controles. Ao introduzir novos produtos (ativos virtuais) e novos canais (transfronteiriços), a avaliação de risco institucional deve ser revisada para identificar novas tipologias de crimes financeiros e garantir que a estrutura de governança e os controles de monitoramento sejam adequados ao novo perfil de risco.

Incorreto: Aumentar a equipe para revisão manual sem uma estratégia de risco definida é ineficiente e não aborda a governança de forma estrutural. O sandbox regulatório serve para fomentar a inovação sob supervisão, mas não isenta a instituição de obrigações fundamentais de CDD e AML. Transferir a responsabilidade de triagem de sanções para bancos correspondentes é uma falha de governança, pois a FinTech mantém a responsabilidade primária sobre suas próprias operações e clientes.

Conclusão: Qualquer alteração significativa no modelo de negócios de uma FinTech exige uma reavaliação proativa dos riscos institucionais para alinhar os controles ao novo cenário de ameaças.

Correto: De acordo com os princípios da abordagem baseada em risco (RBA), quando o risco inerente de uma nova atividade excede o apetite de risco definido, a instituição deve aplicar controles mitigatórios robustos (como Due Diligence Aprimorada – EDD) para reduzir o risco residual. Se, após a mitigação, o risco ainda estiver fora dos limites, a governança corporativa exige que o conselho de administração revise e aprove formalmente qualquer expansão do apetite de risco antes da implementação.

Incorreto: Reclassificar jurisdições de alto risco sem justificativa técnica é uma falha grave de conformidade e distorce a realidade do risco. Delegar a aceitação de riscos para áreas comerciais ignora a segregação de funções e a estrutura de linhas de defesa, criando conflitos de interesse. Suspender o produto indefinidamente não é uma exigência regulatória, pois o apetite de risco é um documento dinâmico que pode ser atualizado através de processos formais de governança e gestão de riscos.

Conclusão: A gestão de riscos eficaz exige que o risco residual seja mantido dentro do apetite de risco aprovado por meio de controles mitigatórios ou revisões formais de governança.

Correto: A segunda linha de defesa é responsável por estabelecer a estrutura de conformidade (AML/CFT), monitorar a adesão às políticas e fornecer orientação técnica. O MLRO (Money Laundering Reporting Officer), que geralmente faz parte desta linha, coordena a análise final e o reporte de atividades suspeitas às autoridades competentes, garantindo que a supervisão seja independente da execução operacional.

Incorreto: A execução direta de controles diários, como o monitoramento em tempo real e o KYC no onboarding, é responsabilidade da primeira linha de defesa (unidades de negócio). A realização de testes independentes e auditorias periódicas é a função principal da terceira linha de defesa. A definição de apetite de risco comercial sem a devida supervisão ou a aprovação de exceções sem revisão de conformidade compromete a integridade do programa de gestão de riscos e viola os princípios de governança.

Conclusão: A segunda linha de defesa deve manter independência para supervisionar e apoiar a primeira linha, garantindo que o programa de AML seja implementado conforme as políticas e regulamentações estabelecidas.

Correto: De acordo com a abordagem baseada em risco, qualquer alteração significativa no modelo de negócios, como a expansão para geografias de alto risco, exige uma atualização imediata da Avaliação Interna de Risco. Isso permite que a instituição recalibre seu apetite de risco e implemente controles proporcionais, como a EDD, antes que o novo produto seja lançado, garantindo que a governança acompanhe a evolução da exposição ao risco.

Incorreto: Adiar a revisão para uma auditoria retrospectiva expõe a FinTech a riscos regulatórios e operacionais graves durante o período inicial. A terceirização de ferramentas tecnológicas (RegTech) não transfere a responsabilidade final de conformidade e supervisão da instituição. O sandbox regulatório é um ambiente para testes controlados, mas não concede isenções automáticas de obrigações fundamentais de AML/CFT, especialmente em transações internacionais de alto risco.

Conclusão: Mudanças no modelo de negócios ou expansão geográfica exigem a atualização proativa da avaliação de risco e dos controles de due diligence para manter a eficácia do programa de conformidade.

Correto: De acordo com a abordagem baseada em risco (RBA), a avaliação de risco institucional deve ser um processo dinâmico e contínuo. A introdução de novos produtos, como criptoativos, e mudanças materiais no volume de negócios alteram o risco inerente da instituição. Portanto, é essencial revisar a avaliação de risco e o apetite de risco para garantir que a estrutura de conformidade e os controles de monitoramento permaneçam adequados e proporcionais às novas ameaças e complexidades operacionais.

Incorreto: Aguardar o ciclo anual de auditoria ou uma inspeção regulatória externa é uma postura reativa que deixa a instituição vulnerável a riscos não mitigados durante o período de transição. Focar exclusivamente em limites quantitativos de monitoramento é insuficiente, pois ignora os riscos qualitativos e as tipologias específicas associadas a novos tipos de ativos, como a pseudonimicidade das criptomoedas. A governança proativa exige que a própria instituição identifique, avalie e mitigue seus riscos de forma independente e tempestiva.

Conclusão: A avaliação de risco e o apetite de risco devem ser revisados e atualizados obrigatoriamente sempre que houver mudanças significativas em produtos, serviços ou no perfil operacional da instituição.

Correto: A Abordagem Baseada em Risco (RBA) é dinâmica e deve ser revisada sempre que houver mudanças significativas no perfil de risco da instituição, como a entrada em novos mercados ou o lançamento de novos produtos. Transferências internacionais introduzem riscos geográficos e operacionais distintos, exigindo que a FinTech reavalie seu apetite de risco e calibre seus sistemas de monitoramento para detectar tipologias específicas de remessas transfronteiriças antes do início das operações.

Incorreto: Manter protocolos de Due Diligence Simplificada para transações internacionais é inadequado, pois estas geralmente apresentam maior risco inerente. Suspender controles até coletar dados é uma falha grave de conformidade, pois a mitigação deve ser preventiva e não apenas reativa. A responsabilidade pela conformidade e pelo monitoramento de transações não pode ser transferida para bancos correspondentes; a FinTech mantém a obrigação legal de monitorar seus próprios clientes e atividades de acordo com sua própria licença e regulação.

Conclusão: A eficácia da governança em AML depende da atualização proativa da avaliação de risco para alinhar os controles operacionais às mudanças no modelo de negócios e na exposição geográfica da FinTech.

Correto: De acordo com os princípios da abordagem baseada em risco (RBA), a avaliação de risco institucional deve ser um processo dinâmico e não apenas um exercício anual estático. Quando uma FinTech introduz novos produtos, serviços ou expande sua atuação para novas geografias, ela deve reavaliar proativamente suas ameaças e vulnerabilidades. Isso permite que a instituição ajuste seus controles e processos de due diligence antes que a exposição ao risco ocorra, garantindo que o apetite de risco seja respeitado e que os recursos de conformidade sejam alocados de forma eficiente.

Incorreto: Manter o cronograma anual fixo ignora mudanças materiais no perfil de risco, deixando a instituição vulnerável a crimes financeiros não mapeados. Aumentar o apetite de risco sem uma revisão técnica prévia é uma falha de governança que pode levar a sanções regulatórias. Priorizar apenas ferramentas tecnológicas como a triagem de sanções, sem atualizar a avaliação de risco subjacente, é uma abordagem fragmentada que não atende aos requisitos de uma gestão de risco holística e preventiva.

Conclusão: A avaliação de risco institucional deve ser atualizada sempre que houver mudanças significativas no modelo de negócios, produtos ou exposição geográfica para garantir a eficácia dos controles AML.

Correto: De acordo com a Abordagem Baseada em Risco (RBA), a Avaliação Institucional de Risco deve ser um processo dinâmico. O lançamento de novos produtos, especialmente aqueles que envolvem transferências internacionais (maior risco inerente), exige uma atualização imediata da avaliação para identificar novas tipologias de crimes financeiros e garantir que os controles de monitoramento sejam proporcionais aos novos riscos.

Incorreto: Aguardar o ciclo anual de revisão é inadequado, pois deixa a instituição exposta a riscos não mitigados durante o período de lançamento. Aplicar EDD isoladamente sem atualizar a governança de risco ignora a necessidade de uma visão holística do apetite de risco da empresa. Delegar a responsabilidade total ao banco correspondente viola os princípios de governança, onde a FinTech deve manter sua própria estrutura de conformidade e gestão de riscos internos.

Conclusão: A Avaliação Institucional de Risco deve ser revisada obrigatoriamente sempre que houver mudanças significativas no modelo de negócios, como o lançamento de novos produtos ou expansão geográfica.

Correto: De acordo com a Abordagem Baseada em Risco (RBA) e os princípios de governança, qualquer mudança significativa no modelo de negócios, como a introdução de criptoativos e transações internacionais, exige uma revisão imediata da avaliação de risco institucional. Isso permite que a FinTech identifique novas vulnerabilidades e ajuste seus controles de monitoramento para detectar tipologias de crimes financeiros específicas desses novos produtos.

Incorreto: Aumentar os limites de tolerância apenas para reduzir o volume de alertas compromete a eficácia do programa de conformidade e pode ocultar atividades suspeitas. Notificar o regulador sobre uma falha de monitoramento sem antes tentar mitigar o risco internamente demonstra falha de governança. A aplicação de Due Diligence Simplificada (SDD) é inadequada para produtos de maior risco, como criptoativos, que geralmente exigem Due Diligence Reforçada (EDD).

Conclusão: A governança de risco deve ser dinâmica e evoluir junto com a inovação de produtos, garantindo que os controles de monitoramento sejam recalibrados para enfrentar novas tipologias de crimes financeiros.

Correto: De acordo com a abordagem baseada em risco (RBA) e os padrões do GAFI, as instituições devem identificar e avaliar os riscos de lavagem de dinheiro e financiamento ao terrorismo que possam surgir em relação ao desenvolvimento de novos produtos e novas práticas comerciais, incluindo novos mecanismos de entrega. A revisão da avaliação de risco institucional é fundamental para garantir que os controles, como o monitoramento de transações, sejam proporcionais aos novos riscos geográficos e operacionais assumidos pela FinTech.

Incorreto: Aguardar 90 dias para coletar dados sem ajustar os controles expõe a instituição a riscos inaceitáveis durante o período inicial. A responsabilidade pela conformidade e pela due diligence não pode ser totalmente delegada a terceiros; a instituição financeira retém a responsabilidade final. O de-risking indiscriminado não é uma aplicação correta da abordagem baseada em risco, pois ignora a análise individualizada e pode prejudicar a inclusão financeira sem mitigar riscos de forma eficaz.

Conclusão: Qualquer expansão para novos produtos ou mercados exige uma atualização prévia da avaliação de risco institucional para alinhar os controles de monitoramento ao novo nível de exposição.

Correto: A segunda linha de defesa, geralmente composta pelas funções de Compliance e Gestão de Risco, é responsável por estabelecer o framework de conformidade, definir as políticas e procedimentos institucionais e supervisionar a eficácia dos controles aplicados pela primeira linha, garantindo que a organização cumpra suas obrigações regulatórias.

Incorreto: A execução de procedimentos de CDD e a verificação de identidade no onboarding são atividades operacionais de responsabilidade da primeira linha de defesa. A prestação de uma avaliação independente e objetiva sobre a eficácia dos controles é a função primordial da terceira linha de defesa (Auditoria Interna). O gerenciamento comercial e o alcance de metas de volume também são funções da primeira linha, que deve equilibrar o crescimento com a execução dos controles preventivos.

Conclusão: A segunda linha de defesa foca na supervisão, definição de políticas e suporte normativo, enquanto a primeira linha executa os controles e a terceira linha realiza auditorias independentes.

Correto: De acordo com os princípios da Abordagem Baseada em Risco (RBA) e as recomendações do GAFI/FATF, as instituições financeiras e FinTechs devem identificar e avaliar os riscos de lavagem de dinheiro e financiamento do terrorismo que possam surgir em relação ao desenvolvimento de novos produtos e novas práticas comerciais. A realização de uma Avaliação de Risco de Novos Produtos (NPRA) é um passo crítico de governança para garantir que os controles mitigatórios sejam desenhados proporcionalmente aos riscos identificados antes da exposição real ao mercado.

Incorreto: A sugestão de que o sandbox regulatório isenta a instituição de obrigações de AML está incorreta, pois esses ambientes visam inovação, mas mantêm requisitos fundamentais de integridade financeira. Focar apenas em privacidade de dados (PII/LGPD) ignora a responsabilidade regulatória de prevenir crimes financeiros. Adiar a revisão do apetite de risco ou limitar-se apenas à triagem de sanções sem uma avaliação holística de novos produtos viola o princípio da proatividade na gestão de riscos de conformidade.

Conclusão: As FinTechs devem realizar avaliações de risco detalhadas antes do lançamento de novos produtos ou tecnologias para alinhar os controles de AML ao novo perfil de risco da instituição.

Correto: A segunda linha de defesa é responsável por monitorar a eficácia dos controles e garantir que a estrutura de AML seja adequada ao apetite de risco da instituição. Ao identificar uma insuficiência de recursos ou falha técnica, o MLRO deve formalizar a necessidade de melhorias por meio de uma análise de lacunas e garantir o apoio da alta gestão para remediar a falha de governança, mantendo a integridade do programa de conformidade.

Incorreto: Transferir a validação para a auditoria interna compromete a independência da terceira linha de defesa, que deve apenas testar o que as outras linhas executam. Suspender transações de alto risco de forma indiscriminada caracteriza uma prática de de-risking ineficiente que não resolve a falha estrutural de governança. Reduzir ou alterar limiares apenas para gerenciar o volume de trabalho, sem uma base técnica de risco, aumenta a vulnerabilidade da instituição ao crime financeiro e falha em cumprir os requisitos regulatórios de monitoramento eficaz.

Conclusão: A eficácia da segunda linha de defesa exige que o MLRO assegure recursos adequados e reporte falhas estruturais à alta administração para manter a conformidade com a abordagem baseada em risco.

Correto: A abordagem baseada em risco (RBA) exige que as instituições financeiras e FinTechs mantenham suas avaliações de risco atualizadas e dinâmicas. A introdução de novos produtos (ativos virtuais) e mudanças significativas no perfil operacional (aumento de 40% em transações transfronteiriças) são gatilhos críticos que exigem uma reavaliação imediata dos riscos inerentes e a atualização do apetite de risco para garantir que os controles internos permaneçam adequados e eficazes.

Incorreto: Aguardar o ciclo anual de auditoria é uma falha de governança, pois os riscos novos e emergentes podem se materializar antes da revisão. Focar apenas no monitoramento de transações sem atualizar a avaliação de risco institucional ignora a necessidade de alinhar a estratégia de conformidade com a governança corporativa. Aguardar passivamente por diretrizes do regulador é incorreto, pois a responsabilidade primária de identificar e mitigar riscos é da própria instituição, conforme os princípios de gestão de risco.

Conclusão: A avaliação de risco e o apetite de risco devem ser revisados proativamente sempre que ocorrerem mudanças significativas no modelo de negócios, produtos ou ambiente operacional da FinTech.

Correto: De acordo com a Abordagem Baseada em Risco (RBA) e os princípios de KYC/CDD, quando um cliente apresenta um comportamento que diverge significativamente do seu perfil estabelecido (como o uso de múltiplos IPs internacionais e aumento súbito de volume), a instituição deve elevar sua classificação de risco e aplicar Medidas de Diligência Aprimorada (EDD). Isso permite que a FinTech obtenha informações adicionais, como a origem dos fundos, para mitigar riscos de lavagem de dinheiro ou financiamento ao terrorismo de forma eficaz.

Incorreto: Encerrar a conta prematuramente sem uma investigação (de-risking) é desencorajado pelas autoridades reguladoras e impede a coleta de inteligência financeira. O monitoramento passivo por 30 dias é inadequado, pois ignora o risco imediato e a necessidade de ação tempestiva diante de sinais de alerta claros. Focar apenas na possibilidade de fraude de terceiros é uma visão limitada, pois o cenário também apresenta fortes indícios de lavagem de dinheiro que exigem uma análise de conformidade mais ampla antes de qualquer reporte.

Conclusão: Mudanças drásticas no comportamento transacional e geográfico exigem a reclassificação do risco do cliente e a aplicação imediata de Due Diligence Aprimorada (EDD).

Correto: De acordo com a Abordagem Baseada em Risco (RBA), as FinTechs devem atualizar suas avaliações de risco sempre que houver mudanças significativas em seus produtos, serviços ou perfil operacional. A introdução de criptoativos aumenta inerentemente o risco de lavagem de dinheiro devido ao pseudonimato e à velocidade das transações. Atualizar a Avaliação Interna de Risco e calibrar os sistemas de monitoramento demonstra governança sólida e ajuda a manter a confiança das instituições financeiras tradicionais, prevenindo o de-risking.

Incorreto: Aumentar limites sem análise técnica apenas amplia a exposição ao risco. Delegar a responsabilidade total a terceiros é inaceitável, pois a instituição financeira retém a responsabilidade final pela conformidade de seus clientes. Adiar a revisão para o ciclo anual ignora a exigência regulatória de que os controles devem ser proporcionais e contemporâneos aos riscos enfrentados, deixando a empresa vulnerável a sanções e crimes financeiros durante o período de espera.

Conclusão: A atualização proativa da avaliação de risco e dos controles de monitoramento é essencial ao introduzir novos produtos financeiros para garantir a conformidade e a continuidade operacional.

Correto: A abordagem baseada em risco (RBA) exige que a avaliação de risco e o apetite de risco sejam processos dinâmicos. Quando uma instituição entra em novos mercados ou observa mudanças drásticas no volume e perfil de risco de seus clientes, ela deve atualizar proativamente sua avaliação de risco institucional para garantir que os controles e o monitoramento permaneçam eficazes e alinhados com a nova realidade operacional.

Incorreto: Aguardar o ciclo anual de auditoria ignora riscos imediatos que podem expor a instituição a sanções ou crimes financeiros. Aumentar os limites de alerta sem uma análise técnica prévia pode resultar em ‘under-reporting’ e falha na detecção de atividades suspeitas. Delegar a gestão de riscos apenas aos gerentes de produto viola o princípio das linhas de defesa, onde a conformidade deve manter uma supervisão independente e centralizada sobre a governança de risco.

Conclusão: A avaliação de risco institucional deve ser revisada e atualizada sempre que houver mudanças significativas no modelo de negócios, produtos ou expansão geográfica da FinTech.

Correto: De acordo com os princípios da Abordagem Baseada em Risco (RBA) e as recomendações do GAFI, qualquer alteração no modelo de negócio que aumente a exposição ao risco (como operar em jurisdições de alto risco) exige uma revisão da avaliação de risco da instituição. A implementação de Diligência Devida Reforçada (EDD) é a resposta de controle necessária e proporcional para mitigar os riscos elevados de lavagem de dinheiro e financiamento do terrorismo.

Incorreto: A delegação de responsabilidade a terceiros não isenta a FinTech de suas próprias obrigações regulatórias de monitoramento. Manter os processos inalterados diante de novos riscos viola o princípio fundamental da RBA, que exige controles dinâmicos. O Sandbox regulatório é um ambiente para testar inovações tecnológicas sob supervisão, mas não oferece isenção ou imunidade contra os requisitos fundamentais de Prevenção à Lavagem de Dinheiro (AML) e identificação de clientes.

Conclusão: Mudanças no perfil de risco operacional, como a expansão para mercados de alto risco, exigem a atualização imediata da avaliação de risco e o fortalecimento proporcional dos controles de diligência.

Correto: De acordo com os princípios da abordagem baseada em risco (RBA), as instituições devem identificar e avaliar os riscos de lavagem de dinheiro e financiamento do terrorismo decorrentes de novos produtos, práticas comerciais ou tecnologias. A expansão para transferências internacionais em jurisdições de alto risco constitui uma mudança material no perfil de risco da FinTech, exigindo que a avaliação de risco e o apetite de risco sejam revisados e atualizados antes que o novo serviço seja oferecido, garantindo que os controles sejam proporcionais às novas ameaças.

Incorreto: Aguardar o ciclo anual de auditoria ou a detecção de alertas é uma postura reativa que expõe a instituição a riscos regulatórios e sancionatórios significativos. A responsabilidade pela conformidade e avaliação de risco é da própria FinTech e não pode ser totalmente delegada a terceiros ou bancos correspondentes. Ajustar limites de monitoramento de forma uniforme ignora a necessidade de segmentação por perfil de risco e não substitui a necessidade fundamental de atualizar a estrutura de governança e o apetite de risco perante novos cenários de ameaça.

Conclusão: A avaliação de risco e o apetite de risco devem ser revisados dinamicamente sempre que houver mudanças significativas no modelo de negócios, produtos ou exposição geográfica da instituição.

Correto: De acordo com a Abordagem Baseada em Risco (RBA), quando um cliente apresenta comportamentos que fogem do seu perfil transacional padrão ou envolvem jurisdições de risco, a instituição deve aplicar a Diligência Devida Aprimorada (EDD). Isso permite que o analista obtenha informações adicionais, como a origem da riqueza e dos fundos, para determinar se a atividade é legítima ou se há suspeita de lavagem de dinheiro antes de tomar medidas drásticas ou relatórios formais.

Incorreto: Encerrar a conta sem uma investigação prévia é uma medida reativa que pode levar ao de-risking inadequado e impede a coleta de inteligência financeira. O preenchimento de um SAR sem análise interna ignora o fluxo de governança onde a suspeita deve ser fundamentada. Ajustar os parâmetros para ignorar o alerta é uma falha grave de controle que expõe a FinTech a riscos regulatórios e operacionais significativos.

Conclusão: A Diligência Devida Aprimorada (EDD) é a resposta regulatória correta para mitigar riscos quando o comportamento do cliente é inconsistente com seu perfil de risco e ocupação declarada.