O que a ordem da FinCEN contra o Bank of America ensina aos compliance officers

A FinCEN identificou três violações, todas qualificadas como willful.

1. Ausência de um programa de PLD adequado (31 U.S.C. § 5318(h)(1), 31 C.F.R. § 1020.210). A ordem se concentra em dois pilares: os controles internos, ou seja, o sistema de monitoramento de transações, e a devida diligência de clientes (CDD, customer due diligence). Os testes independentes entram como a função que deveria ter pegado as duas falhas.

2. Ausência de devida diligência adequada em contas correspondentes de instituições financeiras estrangeiras (31 U.S.C. § 5318(i), 31 C.F.R. § 1010.610). Aqui, as contas eram das próprias filiais e afiliadas do banco no exterior.

3. Operações suspeitas não comunicadas de forma correta e no prazo (31 U.S.C. § 5318(g), 31 C.F.R. § 1020.320). A SAR (suspicious activity report, o equivalente americano da nossa comunicação de operação suspeita) tem de ser enviada em até 30 dias a partir da primeira detecção dos fatos. Uma parcela relevante das SARs do Bank of America saiu mais de seis meses depois da atividade.

Sobre o willful: a ordem deixa claro que não é preciso má-fé. Se o seu próprio teste diz que algo está quebrado e você deixa como está, você já está nesse território.

A FinCEN percorreu seus dez fatores de enforcement. Alguns receberam peso extra, e são esses que vale estudar:

• Prejuízo à missão. Mais de um terço das investigações partiu de autoridades policiais ou de outras fontes externas, e não do sistema do próprio banco. Para a FinCEN, isso contrariou a finalidade do BSA.
• Ganho financeiro. Quando finalmente corrigiu o limite, o banco estimou que o volume de casos dobraria, o que exigiria cerca de 750 funcionários a mais, além de 800 consultores para uma revisão retroativa (lookback) pontual. A FinCEN concluiu que o banco economizou centenas de milhões em custos de compliance. E ainda manteve clientes de alta receita que o compliance queria fora.
• Natureza sistêmica. Um único sistema, usado no banco inteiro. A fragilidade atravessava todas as linhas de negócio.
• Conhecimento da administração. Em 2023, o BSA Officer e o responsável pela linha de negócio em questão já tinham sido informados. Os riscos continuaram.
• Remediação e cooperação. As correções de verdade só começaram depois que os reguladores e a FinCEN entraram em cena. A entrega de documentos atrasou, e o banco não foi atrás da atividade histórica por iniciativa própria.
• Nenhuma comunicação voluntária.

A frase que eu colocaria num slide: a administração "focou no impacto sobre os recursos do Banco, e não numa remediação suficiente para tratar os problemas em questão".

O que aconteceu. O Event Processor pontuava cada alerta, agrupava os alertas por cliente e só abria um caso quando o grupo chegava a 20 pontos em 13 meses. Alertas mais antigos expiravam e deixavam de contar. Os dois números foram "definidos inicialmente por julgamento das partes interessadas" e ficaram intocados até dezembro de 2023.

Os testes do próprio banco apontavam para o problema o tempo todo. Em 2022 e no início de 2023, grupos com 16 a 19 pontos, logo abaixo da linha, geravam SAR em 38 a 45 por cento das vezes. Grupos com 20 a 24, que eram investigados, geravam em cerca de 33 por cento. Ou seja: a pilha que ninguém investigava era mais rica do que a investigada. Uma validação de 2022 dizia que o limite "precisa ser justificado". Outro teste mostrou que uma configuração diferente do modelo encontraria muito mais SARs (85,4 por cento contra 20,2 por cento nas amostras abaixo da linha). O banco rejeitou a alternativa, alegando a "preocupação prática de transformar em casos grupos de eventos demais abaixo da linha".

Depois que os reguladores entraram, o limite caiu para 10 ou 12. A revisão retroativa encontrou quase 8.900 SARs que nunca tinham sido enviadas, somando cerca de USD 4 bilhões.

O certo teria sido: um limite sustentado por evidências, com uma tolerância a falsos negativos por escrito. O banco só introduziu uma (5 por cento) perto do fim, e a essa altura a taxa de conversão em SAR abaixo da linha já era sete a nove vezes maior. Se o teste mostra que você está deixando SARs passarem, adote controles provisórios enquanto o modelo é corrigido.

Vários fatores de risco tinham taxa de conversão em SAR (SAR yield) acima de 50 por cento e peso de 1 ponto. Entre eles: grandes depósitos em espécie em caixa eletrônico, fracionamento de depósitos em espécie (structuring), o indicador HIDTA (áreas de alta intensidade de tráfico de drogas). Relatórios de 2019, 2020 e 2022 apontaram isso. De 2018 a 2023, 76 por cento dos pesos nunca mudaram, e cerca de 80 por cento das mudanças que houve foram reduções.

A recalibração de 2021 piorou as coisas. O objetivo declarado era "que todo o sistema de pesos tenha uma taxa de conversão em SAR melhor", o que na prática significou menos casos: mais de 8.200 a menos. Dos sete fatores de fracionamento com taxa de 50 por cento ou mais, cinco tiveram o peso cortado.

O banco correu atrás de um índice mais bonito em vez de uma cobertura melhor. Taxa alta com peso baixo é sinal para subir o peso. Em vez disso, a equipe de modelagem respondeu a um apontamento de validação de 2022 dizendo que os fatores secundários eram "redundantes" e deveriam ser reduzidos para "melhorar a taxa geral de conversão em SAR". Um fator com 44 por cento de conversão foi chamado de "fraco", sem explicação nenhuma. Isso é seis a oito vezes a tolerância a SARs perdidas que o banco adotou depois.

A FinCEN acrescenta uma nota de rodapé que vale guardar: a taxa de conversão em SAR é uma métrica útil, mas não a única, e precisa ser lida à luz do seu próprio perfil de risco.

O que aconteceu. O sistema podia zerar a pontuação de fatores de risco (rescoring) ou suprimir alertas para entidades escolhidas. Cerca de 150.000 grupos de eventos ativos tinham passado por essa lógica quando ela foi desligada, em dezembro de 2023. Uma das listas cobria empresas listadas em determinadas bolsas, supostamente aprovada pelo compliance, mas os registros do banco não mostram lista aprovada nenhuma.

O exemplo mais forte envolve a lista de isenção de CTR. Os clientes que estavam nela tinham os alertas de fracionamento zerados. Só que a isenção de CTR (currency transaction report, o relatório de operações em espécie) apenas dispensa a obrigação de reportar operações em espécie. A norma diz, com todas as letras, que ela não reduz a obrigação de comunicar operações suspeitas. O Cliente B teve mais de 20 grupos de eventos com depósitos fracionados em espécie zerados desse jeito. Só três chegaram a virar casos.

O certo teria sido: cada regra de supressão tratada como um controle em si. Justificativa documentada, responsável nomeado, lista aprovada com controle de versão, teste periódico do que ela esconde. E uma separação rígida entre "isento de reportar X" e "isento de monitoramento".

Alguns eventos criavam um caso automaticamente: mandados de apreensão, intimações de grand jury, encaminhamentos de funcionários, pedidos 314(a) e 314(b). Durante vários anos, esse caminho gerou mais de um terço de todos os casos, e quase metade em 2023. No Cliente B, 80 por cento dos casos de PLD entre 2018 e 2023 tinham pelo menos um encaminhamento ou evento externo. Não foram os pontos acumulados no modelo que levaram esse cliente a ser investigado.

A FinCEN não diz que informação externa é ruim. A cooperação com as autoridades e o compartilhamento via 314(b) continuam importantes. O problema é a dependência. Se o seu melhor detector é uma intimação, os seus cenários não estão fazendo o trabalho deles.

O certo teria sido: uma métrica acompanhada de perto para a parcela de casos que nasce da sua própria detecção, e uma parcela externa crescente tratada como apontamento de desempenho do modelo.

Os testes perguntavam, basicamente, se a taxa de conversão em SAR diferia de forma estatisticamente significativa dos dois lados do limite. Não perguntavam o que estava escapando, nem se isso estava crescendo. Quando um relatório constatou pesos baixos demais para alertas de alta conversão, a recomendação foi reduzir o peso do único alerta de baixa conversão. E em 2023, quando um teste mostrou 18 por cento de conversão abaixo da linha, o então Global Head of Financial Crimes pediu a um gerente sênior que o repetisse. A repetição chamou o resultado anterior de "incorreto", culpou a inexperiência dos investigadores e uma amostragem enviesada, e concluiu que a equipe estava "confiante de que o EP funciona conforme o previsto". A FinCEN cita esse episódio nos fatores de enforcement.

Para mim, esta é a parte mais incômoda da ordem, justamente porque é humana e banal. Ninguém falsificou nada. Um resultado era inconveniente, então alguém pediu para refazer.

O certo teria sido: parâmetros objetivos combinados antes do teste, testadores independentes de quem é dono do modelo e um registro de remediação que acompanhe cada apontamento até o encerramento. Teste refeito até passar não é teste independente.

O Event Processor cobria algumas compras de instrumentos negociáveis, mas não os depósitos, e não sabia distinguir uma money order (uma ordem de pagamento pré-paga) de um cheque. Cartões de crédito também tinham cobertura rala: o modelo de fracionamento em espécie só passou a incluir atividade de cartão depois de uma reformulação em outubro de 2024. Uma "TBML Feature" criada em janeiro de 2024 era aplicada apenas a casos já em investigação. Em 2025, o banco ainda não tinha feito uma avaliação de cobertura para instrumentos negociáveis.

Exemplos menores mostram como a lacuna era geral. Um comerciante de metais preciosos recebeu mais de 3.500 depósitos de instrumentos em valores redondos, somando quase USD 3 milhões. Alguém que se apresentava como consultor de investimentos depositou money orders sequenciais em valores redondos durante três anos. Nenhum dos dois gerou alerta.

O certo teria sido: uma matriz de cobertura, produtos e canais contra tipologias, com as células vazias num registro de riscos e com data. Um novo advisory da FinCEN também é gatilho para verificar se os seus cenários dão conta dele.

O Cliente A opera um marketplace online de veículos sinistrados. É cliente desde 1995, rende ao banco cerca de USD 6 milhões por ano em receita e ainda tem uma relação de crédito com ele (o banco liderou um refinanciamento de USD 200 milhões). Em meados de 2022, o compliance contava mais de 100 casos de PLD desde 2020, cerca de 90 por cento de fraude: fraude de e-mail corporativo (BEC), golpe do amor, golpe do adiantamento. O problema central, nas palavras do compliance, era que o cliente "não tem visibilidade nem compreensão da origem dos recursos". Os pagamentos de terceiros estavam no centro de tudo.

O compliance recomendou o encerramento em meados de 2022 e já esperava "alguma resistência ao encerramento" por causa da "exposição de crédito significativa". O gerente de relacionamento respondeu com um memorando sobre um "cliente grande e valioso". Mais de seis meses depois, em março de 2023, a recomendação de encerramento foi retirada em troca de quatro medidas de mitigação, a principal delas: o Cliente A só aceitaria pagamentos de revendedores registrados. Não cumpriu. Os pagamentos de terceiros continuaram até junho de 2025, e algumas money orders até mais ou menos julho de 2025. Em todo esse tempo, nem o perfil de risco do cliente nem o monitoramento foram ajustados.

O certo teria sido: encerrar não é a única resposta aceitável, e a FinCEN deixa isso claro. Mas, se você mantém um cliente de alto risco, o risco tem de ser mitigado e verificado. Isso significa classificação de risco atualizada, monitoramento voltado para o risco específico (aqui, pagamentos de terceiros), um prazo e uma consequência real se ele não for cumprido. Neste caso, a mitigação foi combinada e nunca conferida. O escalonamento também precisa de um caminho que não passe pelo dono da receita.

O Cliente B é uma plataforma de veículos sinistrados listada em bolsa. Anos de alertas, investigações e consultas de autoridades, e a classificação ficou em "Padrão" até uma intimação de grand jury em fevereiro de 2020. Aí foi para "Elevado" e "Alto", sem mudança real na devida diligência. Em julho de 2022 estava de volta a "Padrão", e subiu de novo depois de outra intimação, em março de 2023. Em novembro de 2023, a empresa divulgou publicamente uma investigação do DOJ (o Departamento de Justiça americano) sobre suas práticas de prevenção à lavagem de dinheiro. O banco não mudou nada.

As revisões trimestrais desse cliente "de alto risco" não mencionavam que as transferências internacionais (wires) da afiliada nos Emirados Árabes Unidos tinham crescido mais de 200 por cento, para cerca de USD 1,1 bilhão num único trimestre, nem que dezenas de bilhões em money orders estavam sendo depositados. O modelo deveria captar notícias negativas. Deixou passar o que o próprio cliente divulgou à SEC.

O certo teria sido: uma classificação construída a partir dos seus próprios dados (alertas, SARs, geografia, produtos, mídia negativa), com os eventos externos somando, não comandando. E "Alto" tem de mudar alguma coisa: profundidade da devida diligência, monitoramento, frequência de revisão. Aqui era só um rótulo.

O Cliente C, um exportador de veículos, foi cadastrado com vendas anuais esperadas de USD 1 a 4 milhões. Em cerca de três anos, movimentou mais de USD 700 milhões em wires ligados a jurisdições de alto risco, principalmente a Geórgia. O cadastro nem sequer listava suas relações em vários países de alto risco. Os wires envolvendo Belarus e Geórgia dispararam logo depois da invasão da Ucrânia pela Rússia. Outro banco mandou um pedido de informações em julho de 2022. A primeira SAR veio em agosto de 2023 e cobria uns 10 por cento da atividade. A maior parte do restante só foi comunicada em junho de 2025, depois dos pedidos de informação da própria FinCEN.

O banco encerrou o relacionamento com o Cliente C em dezembro de 2023. Não voltou a olhar os Clientes A e B, que tinham divulgado publicamente relações comerciais com ele.

O certo teria sido: uma checagem de desvio que dispare quando a atividade real está ordens de grandeza acima da esperada, seguida de atualização do perfil e de uma decisão sobre a SAR dentro dos 30 dias, não dois anos depois. E, quando você encerra um cliente por atividade suspeita, veja quem mais está ligado a ele.

De outubro de 2020 a maio de 2025, os Clientes A e B receberam mais de 680.000 transações individuais, formando cerca de 220.000 grupos de depósitos suspeitos que somam mais de USD 660 milhões. Os sinais de alerta eram valores redondos, números de série sequenciais e conjuntos repetidos de três money orders somando entre USD 2.900 e 3.000. Esse último é clássico: compradores ficando abaixo do patamar de USD 3.000 a partir do qual as money services businesses (empresas de serviços monetários, como remessa e câmbio) têm de registrar a identificação. Cerca de um grupo em cada três foi comprado perto da fronteira sudoeste.

O aviso veio cedo. Em setembro de 2021, uma money services business mandou ao banco um pedido de informações sobre exatamente esse padrão. O banco respondeu que não via velocidade incomum nem sinal de atividade ilícita, e não mexeu no perfil nem no monitoramento. Cerca de 51.000 grupos do Cliente B e 72.000 do Cliente A foram processados depois dos sinais de alerta, sem comunicação tempestiva.

O certo teria sido: testar nos seus próprios dados o padrão específico descrito no pedido externo, em vez de montar a defesa. Instrumentos negociáveis devem entrar nas revisões periódicas dos clientes que os usam muito. E detectar números de série sequenciais ou somas logo abaixo do patamar é análise de dados elementar.

Centenas de milhões de dólares compatíveis com tipologias de redes chinesas de lavagem de dinheiro (CMLN, Chinese money laundering networks) foram comunicados com atraso ou nem chegaram a ser comunicados. Os clientes se apresentavam como empresas de logística ou de eletrônicos. O padrão: compras seguidas no cartão em grandes varejistas e transportadoras, grandes pagamentos via ACH e bill-pay para quitar cartões emitidos em nome de outras pessoas, wires para a China descritos apenas como "por mercadorias" e transferências repetidas para contrapartes sem presença na internet, em endereços residenciais. Parte disso aconteceu depois da redução do limite em 2023. Nas contas de pequenas empresas, o banco não tinha teto para cartões adicionais, e gastos no cartão que passavam rotineiramente da renda declarada não disparavam investigação.

O certo teria sido: cenários construídos a partir de comunicados públicos (o advisory da FinCEN sobre CMLN, de agosto de 2025, lista sinais de alerta em cartões de crédito), verificados em todos os produtos. Cartões dentro da avaliação de risco do cliente. E um perfil de empresa que precise bater com sinais concretos de empresa: site, instalações, contrapartes reais.

Até o fim de 2024, a política do banco permitia devida diligência "simplificada" para contas correspondentes das suas próprias filiais e afiliadas no exterior. A FinCEN examinou doze. Os dossiês diziam coisas como "serviços de tesouraria" ou "gestão de caixa", davam o nome do regulador local sem descrever o regime e, em alguns casos, traziam um gráfico da cotação das ações da controladora. O banco partia do princípio de que essas contas cuidavam principalmente de liquidação interbancária. Na prática, as filiais atendiam mais de 250 instituições financeiras não bancárias, entre elas money services businesses, cujos fluxos não se parecem em nada com liquidação entre bancos.

O certo teria sido: o mesmo programa aplicado a qualquer instituição financeira estrangeira. A norma não tem isenção intragrupo. Entender a finalidade e a atividade esperada, avaliar a jurisdição e os clientes por trás da conta, e confrontar a atividade real com isso. Perguntar de quem é o dinheiro que passa por ali, não só que tipo de instituição é a sua contraparte direta.

Como o sistema agregava a atividade por longos períodos antes de alguém olhar, uma parcela relevante das SARs saiu mais de seis meses depois da atividade. Às vezes os investigadores não conseguiam analisar direito a atividade subjacente, e as próprias SARs saíam incompletas. A revisão retroativa depois da mudança do limite produziu mais de 8.000 SARs, somando cerca de USD 3,96 bilhões. Trinta e quatro delas tinham fortes indícios de lavagem de dinheiro: lavagem baseada em comércio com contrapartes de países de alto risco, wires de correspondência envolvendo uma entidade petroquímica russa cujos donos estão sob sanções e fracionamento de dinheiro em espécie no setor de saúde, compatível com fraude de benefícios.

O certo teria sido: o tempo entre o primeiro indício e a SAR medido como KPI, com uma tolerância. Janelas de agregação servem à detecção, não deveriam atrasá-la. E a equipe de investigação dimensionada pelo volume que o seu risco produz, não pelo volume que o seu orçamento prevê.

A rigor, este não é um caso de sanções. A FinCEN não aplica as regras de sanções. Quem aplica é a OFAC, e a penalidade de USD 11 milhões é um processo à parte.

Mas os fatos estão cheios de risco de evasão, e a FinCEN diz isso. Os wires do Cliente A envolvendo jurisdições vizinhas da Rússia chegaram a volumes de até USD 1,7 bilhão por volta da invasão de fevereiro de 2022. A FinCEN tinha publicado alertas sobre evasão de sanções e de controles de exportação russos em março e junho de 2022, e de novo em 2023. Mais de 18.000 wires, somando cerca de USD 850 milhões, passaram a partir de setembro de 2022, depois desses alertas e depois de o compliance ter escalonado o assunto internamente. O próprio plano de mitigação do banco, de março de 2023, tinha como meta "eliminar o recebimento, pelo Banco, de wires de países sancionados". E entre as SARs atrasadas havia uma sobre wires de correspondência envolvendo uma entidade petroquímica russa cujos donos estão sob sanções.

A leitura prática: risco de sanções não é só problema de screening. É também problema de devida diligência e de monitoramento. Um pagamento pode passar limpo por todas as checagens de screening e ainda assim ser uma SAR.

Às suas próprias custas, o banco tem de contratar consultores independentes, com direito de veto da FinCEN sobre a escolha, para:

1. Uma revisão retroativa de SARs de janeiro de 2022 até a conclusão da remediação: cartões de crédito, instrumentos negociáveis, wires internacionais para jurisdições de alto risco e os grupos de eventos que nunca foram investigados. Os riscos prioritários são a fronteira sudoeste e os cartéis, as redes chinesas de lavagem de dinheiro, o Irã e a Rússia. O consultor pode usar modelos supervisionados, análise de grafos e segmentação. Relatório final até dezembro de 2028; as SARs vencem em até 90 dias depois disso.
2. Testes de efetividade do monitoramento de atividades suspeitas: primeiro dos controles provisórios enquanto a correção está em andamento, depois do estado final, com testes começando até outubro de 2027. Abrangem expressamente pesos de risco, investigações, os testes e as ações corretivas do próprio banco, quadro de pessoal, governança de overrides e whitelists e o uso de "inovação responsável".
3. Testes de efetividade da CDD e da devida diligência de correspondentes estrangeiros, em duas rodadas, antes e depois do plano de implementação.
4. Uma revisão de governança de dados sobre os dados ligados a BSA/AML.

Sobre inovação: a FinCEN está aberta a análises avançadas de dados, mas quer modelos supervisionados, dados rotulados, explicabilidade e controle. Um modelo de machine learning não substitui a governança. Precisa de mais governança, não de menos.

1. Você consegue mostrar a evidência por trás de cada limite e de cada peso do seu monitoramento? "Julgamento de especialista" é por onde você começa, não onde termina.
2. Você tem uma tolerância a falsos negativos por escrito? E o que acontece quando ela é estourada?
3. Que parcela dos seus casos começa pela sua própria detecção, e não por pedidos e encaminhamentos externos? Para que lado ela está indo?
4. Toda regra de supressão, rescoring ou whitelist está documentada, tem dono e é testada? Alguma delas se apoia numa isenção de CTR?
5. Você tem uma matriz de cobertura de produtos e canais contra tipologias? Quais células estão vazias?
6. Quando outra instituição manda um pedido sobre um padrão específico, alguém testa esse padrão nos seus dados e registra o resultado?
7. A classificação de risco de um cliente vem dos seus próprios dados, ou dá um salto quando chega uma intimação?
8. O seu processo de notícias negativas capta os documentos públicos que os próprios clientes divulgam?
9. Nos clientes que você mantém contra a recomendação do compliance: quem aprovou, o que foi combinado, quem verifica e até quando?
10. As revisões periódicas de clientes de alto risco cobrem geografia, volumes e todos os produtos que o cliente de fato usa?
11. Qual é a sua mediana de tempo entre o primeiro indício e a SAR, e qual o tamanho da cauda?
12. As contas correspondentes intragrupo passam pela mesma devida diligência que as de terceiros?