*Pedro Simões | Ilustração: Julia Padula

Em dezembro de 2019, a Comissão de Valores Mobiliários (CVM) editou a Instrução 617, um marco regulatório no mercado de capitais para a prevenção à lavagem de dinheiro e ao financiamento ao terrorismo (PLDFT). A norma, que entrará em vigor em 1º de julho de 2020, substitui a antiga Instrução 301/99 e antecipa importantes tendências para o compliance no País. As determinações da Instrução 617/19, vale lembrar, estendem-se a pessoas físicas e jurídicas participantes do mercado de capitais (“pessoas obrigadas”).

A alma de um programa de compliance não está em documentos formais, como códigos e políticas, mas na análise de riscos. Agora, e pela primeira vez no ordenamento brasileiro, essa percepção se torna a regra. A Instrução 617 inova ao implementar um novo patamar de compliance para as pessoas obrigadas, que precisarão estabelecer uma metodologia de identificação e mitigação de riscos de lavagem de dinheiro e de financiamento ao terrorismo.

Para isso, as próprias entidades reguladas precisarão mensurar os riscos a que se expõem em razão da sua carteira de clientes (risco do cliente) e os riscos das operações que realizam (risco das operações), validando informações no limite de suas atribuições. Trata-se de binômio que deve orientar um acompanhamento dinâmico da relação da pessoa obrigada com o cliente e que deve fornecer dados para uma compreensão “global” dos riscos relacionados a LDFT da organização.

É a partir desse panorama de riscos que serão estabelecidos os mecanismos de PLDFT — a exemplo dos procedimentos e fluxos internos de tomada de decisão com relação a cadastro, autorização de operações e registro —para se endereçar, de modo concreto, os riscos identificados.

Seguindo a evolução da CVM, a Instrução 617/19 determina que o programa de PLDFT será de responsabilidade de um diretor estatutário, o qual poderá cumular outras funções na organização, sem caráter negocial, como gerência de riscos e demais atribuições de compliance. Cabe a esse diretor a elaboração de um relatório anual, que deverá ser apresentado à alta administração da organização — conselho de administração ou assembleia de acionistas, podendo ser necessária a criação documentada de um comitê para vistoriar as funções de compliance PLDFT.

A norma ainda autoriza que um diretor atue como compliance officer de todo um conglomerado, caso em que é recomendável a avaliação autônoma de risco do grupo empresarial, em paralelo ao de cada sociedade, para identificar potenciais conflitos de interesses na atuação transversal do diretor.

Desde a entrada em vigor da Instrução Normativa nº 1869/18 da Receita Federal, a identificação de beneficiários finais se tornou parte do cotidiano de pessoas jurídicas, e agora a Instrução 617/19 impôs um verdadeiro dever de auditoria do beneficiário final do cliente, inclusive dos beneficiários de clientes constituídos como trusts no exterior.

O sistema brasileiro de PLDFT não obriga os agentes a impedir a realização de operações suspeitas, mas os estimula a realizar essas operações apenas mediante comunicação ao Conselho de Controle de Atividades Financeiras (Coaf). Há duas novidades nesse ponto. Primeiro, fica claro que, além de operações concretas, as situações de risco LDFT também podem ser objeto de comunicação (situações atípicas) e serão apresentadas em conjunto com operações suspeitas, em razão de sua estrutura não ser convencional no mercado ou de apresentarem elementos de risco de cliente ou de risco de operação. Além disso, o prazo para a comunicação ao Coaf, pelas pessoas obrigadas, é de 24 horas após concluída a análise que caracterizou a atipicidade.

A medida é coerente com a abordagem baseada em risco: afinal, a partir de agora, a realização de operação ou cadastro não é mais marco de contagem do prazo de comunicação, devendo as pessoas obrigadas estabelecer em seus programas de PLDFT os processos de identificação de riscos, criando os prazos para comunicações.

A Instrução 617/19 também dá uma nova gama de poderes para as entidades autorreguladoras do mercado de capitais, bem como às entidades que têm atuação transversal, como é o caso da B3. A CVM verificará as normas PLDFT editadas por essas entidades e se considerar que são de fato válidas e vinculantes para as pessoas obrigadas sujeitas à autorregulação, essas normas podem ter efeitos significativos em procedimentos administrativos sancionadores e até mesmo em procedimentos de natureza penal.

A nova instrução da CVM prevê, ainda, que a documentação do programa de compliance deve estar disponível para consulta da entidade autorreguladora, o que cria uma instância de supervisão dos deveres de compliance.

*Pedro Simões (ps@duartegarcia.com.br) é advogado do escritório Duarte Garcia e doutorando em Direito pela USP. Colaborou Artemízia Almeida (izaalmeida@duartegarcia.com.br), advogada do mesmo escritório.

Leia também

As determinações do art. 17 da Lei das Estatais valem para eleição de conselheiros fiscais?

Proposta de código comercial ameaça vencer pelo cansaço

Os riscos da MP do agronegócio para o financiamento imobiliário