Política de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo (PLD/FT)

1. Introdução

A Política Institucional de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo ("Política PLD/FT") estabelece os princípios, diretrizes e procedimentos que orientam a conduta da instituição em suas atividades, assegurando que a integridade e a ética permeiem todas as operações na prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa ("PLD/FT").

Para fins desta Política, o Programa de PLD/FT abrange as atividades relacionadas à oferta, distribuição, contratação, manutenção e encerramento dos produtos e serviços disponibilizados pela Instituição, incluindo, conforme aplicável ao seu modelo de negócio, o Cartão Consignado, o Cartão Benefício e a Conta Digital. Os controles deverão considerar as características, os riscos, os canais de contratação e distribuição, os fluxos financeiros e as responsabilidades de cada participante envolvido na disponibilização desses produtos.

2. Objetivos

A Instituição reconhece que a prevenção à lavagem de dinheiro, ao financiamento do terrorismo e à proliferação de armas de destruição em massa constitui obrigação legal e regulatória, além de responsabilidade ética perante clientes, parceiros, acionistas e a sociedade. Nesse sentido, esta Política tem por objetivo impedir que a instituição seja utilizada, de forma intencional ou não, em atividades ilícitas, garantindo plena aderência à legislação aplicável e preservando a reputação e a solidez da empresa.

Entre os objetivos específicos, destacam-se:

• a adoção de controles internos eficazes;
• a capacitação contínua de colaboradores e prestadores de serviços;
• a promoção de cultura organizacional voltada à conformidade; e
• a cooperação com autoridades competentes, fortalecendo o compromisso da Instituição com um Sistema Financeiro íntegro e confiável.

3. Abrangência e aplicabilidade

Esta Política aplica-se a todos os administradores, diretores, gestores, colaboradores, estagiários e aprendizes da Instituição, independentemente de cargo, função, nível hierárquico, localização ou forma de contratação. Aplica-se também, conforme o nível de exposição e a natureza das atividades desempenhadas, a prestadores de serviços terceirizados, fornecedores, parceiros comerciais, correspondentes no País e demais terceiros que atuem em nome ou em benefício da instituição.

Esta Política também se aplica aos processos e às atividades relacionados aos produtos Cartão Consignado, Cartão Benefício e Conta Digital, incluindo, conforme aplicável, a prospecção, a contratação, a validação da identidade, a averbação ou consignação, a emissão e utilização do cartão, a abertura e movimentação de conta, a liquidação de operações, o atendimento ao cliente, o tratamento de solicitações e o encerramento do relacionamento. A Instituição deverá identificar e documentar os participantes, as responsabilidades e os controles atribuídos a cada etapa, inclusive quando houver atuação de parceiros, correspondentes, plataformas eletrônicas, instituições de pagamento ou prestadores de serviços.

A Política orienta a atuação nos processos de identificação, qualificação, classificação de risco, monitoramento, seleção, análise, comunicação, registro, retenção documental e tratamento de situações relacionadas à PLD/FT. Clientes e contrapartes estão sujeitos aos procedimentos de diligência e aos controles aplicáveis, não lhes sendo atribuída responsabilidade pela execução dos controles internos da instituição.

O cumprimento desta Política é obrigatório e constitui responsabilidade compartilhada entre as áreas de negócio, áreas operacionais, Área de Compliance e PLD/FT, Diretoria Colegiada, terceiros contratados e demais partes abrangidas. Nenhuma meta comercial, restrição operacional, relação contratual ou interesse econômico poderá justificar a dispensa, flexibilização ou postergação de controles obrigatórios de PLD/FT.

4. Base normativa e regulamentar

A presente Política fundamenta-se na legislação, regulamentação e demais atos normativos aplicáveis às atividades desenvolvidas pela Instituição, especialmente aqueles relacionados à prevenção e ao combate à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa.

No âmbito nacional, constituem referências normativas desta Política, conforme aplicabilidade ao modelo de negócios:

• Lei nº 9.613/1998, que dispõe sobre os crimes de lavagem ou ocultação de bens, direitos e valores, a prevenção da utilização do sistema financeiro para os ilícitos nela previstos e a criação do Conselho de Controle de Atividades Financeiras (COAF);
• Lei nº 12.683/2012, que altera a Lei nº 9.613/1998 e amplia os mecanismos de prevenção e repressão aos crimes de lavagem de dinheiro;
• Lei nº 13.260/2016, que disciplina o terrorismo e dispõe sobre organizações terroristas;
• Lei nº 13.810/2019, que dispõe sobre o cumprimento de sanções impostas por resoluções do Conselho de Segurança das Nações Unidas, incluindo a indisponibilidade de ativos;
• Lei nº 13.974/2020, que dispõe sobre o Conselho de Controle de Atividades Financeiras (COAF);
• Lei Complementar nº 105/2001, que dispõe sobre o sigilo das operações financeiras;
• regulamentação do Banco Central do Brasil aplicável à política, aos procedimentos e aos controles internos de PLD/FT;
• atos normativos do Banco Central do Brasil que relacionem operações e situações que possam configurar indícios de lavagem de dinheiro, financiamento do terrorismo ou financiamento da proliferação de armas de destruição em massa;
• normas aplicáveis às instituições autorizadas a funcionar pelo Banco Central do Brasil e, quando pertinente, às Sociedades de Crédito Direto (SCDs);
• demais leis, resoluções, circulares, cartas circulares, instruções, orientações e atos expedidos pelas autoridades competentes.

No âmbito internacional, a Instituição considera, conforme aplicabilidade às suas operações, as recomendações do Grupo de Ação Financeira Internacional (GAFI/FATF), as resoluções do Conselho de Segurança das Nações Unidas e outras referências internacionais de prevenção a ilícitos financeiros. Listas internacionais, inclusive aquelas administradas pelo Office of Foreign Assets Control (OFAC), poderão ser utilizadas como controles complementares ou quando houver obrigação legal, contratual, operacional ou relacionada à jurisdição envolvida.

A relação normativa desta Política é exemplificativa e deverá ser mantida atualizada pela Área de Compliance e PLD/FT, incluindo alterações, substituições, revogações e novos atos normativos aplicáveis à Instituição. Em caso de conflito entre esta Política e norma legal ou regulamentar superveniente, prevalecerá a norma hierarquicamente superior ou específica aplicável.

5. Princípios fundamentais

5.1 Ética

A Instituição observa as regras de conduta previstas em seu Código de Ética, além de todo marco normativo previsto em leis e regulamentação vigentes, como também as demais normas e Políticas internas.

5.2 Prevenção

A Instituição adota postura preventiva e baseada em riscos para impedir sua utilização, intencional ou não, em operações relacionadas à lavagem de dinheiro, ao financiamento do terrorismo, ao financiamento da proliferação de armas de destruição em massa, à fraude ou a outros ilícitos financeiros.

A Instituição não iniciará ou manterá relacionamento quando não forem atendidos os requisitos mínimos de identificação, qualificação, verificação, identificação do beneficiário final, classificação de risco ou outras diligências exigidas pela legislação, pela regulamentação ou pelos procedimentos internos, ressalvadas exclusivamente as hipóteses expressamente permitidas pela legislação ou regulamentação aplicável. Nenhuma alçada interna poderá autorizar a dispensa de obrigação legal ou regulamentar. Situações de risco elevado, quando admissíveis, deverão ser submetidas à alçada competente para decisão formal, fundamentada, documentada e acompanhada de medidas de diligência e monitoramento compatíveis com o risco.

5.3 Conformidade e legalidade

A Instituição estabelece controles adequados para o cumprimento de disposições legais e regulamentares, bem como as previstas nas Políticas e normativos internos.

5.4 Integridade

A Instituição prima pela aderência aos valores, princípios e normas éticas que visem ao atendimento ao interesse público, à prevenção e combate à corrupção e ao fortalecimento dos padrões morais de conduta.

5.5 Transparência

A Instituição disponibiliza aos acionistas, colaboradores e stakeholders as informações que sejam de seu interesse, assim como mantém diálogo claro e objetivo com seus clientes, além de promover a divulgação de informações impostas por leis ou regulamentos aplicáveis.

5.6 Abordagem baseada em riscos

A Instituição adota a Abordagem Baseada em Riscos (ABR) como fundamento para identificar, avaliar, mensurar, monitorar e mitigar os riscos relacionados à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa.

A intensidade, a frequência e a profundidade dos controles serão proporcionais aos riscos identificados, considerando, no mínimo, o perfil de clientes e contrapartes, produtos e serviços, operações e transações, canais de distribuição, localização geográfica, novas tecnologias, fornecedores, parceiros, correspondentes, colaboradores, administradores e demais fatores relevantes para o modelo de negócios da Instituição.

A adoção da abordagem baseada em riscos não autoriza a dispensa de controles obrigatórios nem a aceitação automática de situações de risco elevado. Eventuais exceções a procedimentos internos somente poderão ser admitidas quando não implicarem descumprimento de obrigação legal ou regulamentar, mediante justificativa formal, aprovação pela alçada competente, registro documental e adoção de medidas de controle compatíveis com o risco.

A aplicação da abordagem baseada em riscos deverá considerar os produtos Cartão Consignado, Cartão Benefício e Conta Digital, bem como os canais e participantes envolvidos em sua oferta e operação. A proporcionalidade dos controles não poderá ser utilizada para afastar requisitos legais ou regulamentares obrigatórios, inclusive os relativos à identificação, qualificação, registro, monitoramento, análise e comunicação de operações ou situações.

6. Diretrizes

A Instituição mantém estrutura de governança, procedimentos e controles internos destinados a prevenir sua utilização para lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação de armas de destruição em massa. Os controles são definidos e aplicados de forma proporcional aos riscos identificados na Avaliação Interna de Risco (AIR) e nos procedimentos internos aprovados.

A Instituição adotará procedimentos de identificação, qualificação, verificação, validação, classificação de risco e atualização cadastral de clientes, representantes, procuradores, beneficiários finais, colaboradores, administradores, fornecedores, parceiros, correspondentes e demais terceiros relevantes. As informações cadastrais serão verificadas e atualizadas a cada nova operação, independentemente da classificação de risco, e também sempre que houver evento capaz de alterar os dados cadastrais, o perfil de risco, a capacidade financeira, o beneficiário final, a condição de pessoa exposta politicamente ou outra informação relevante, observados os procedimentos e prazos aplicáveis.

O início e a manutenção do relacionamento dependerão do cumprimento dos requisitos aplicáveis de diligência. A Instituição poderá recusar, restringir, suspender ou encerrar relacionamento quando não for possível obter, validar ou manter atualizadas as informações necessárias, quando forem identificadas inconsistências relevantes ou quando houver risco incompatível com o apetite de risco institucional.

A Instituição não realizará negócios com pessoas físicas ou jurídicas identificadas em listas impeditivas ou sujeitas a sanções de cumprimento obrigatório, observadas as regras de identificação de falsos positivos, homônimos, bloqueio, escalonamento e comunicação às autoridades competentes. Também não serão realizados negócios quando o cliente, parceiro, fornecedor ou terceiro se recusar injustificadamente a fornecer informações ou documentos exigidos para o cumprimento das obrigações de PLD/FT.

A instituição manterá registros das operações, propostas, relacionamentos, diligências, análises, decisões, comunicações, treinamentos, avaliações de risco, testes de controles e demais evidências necessárias à demonstração da execução e da efetividade do Programa de PLD/FT.

Os controles poderão ser executados de forma manual, sistêmica ou híbrida, conforme a natureza do processo, o perfil de risco e o estágio de maturidade dos controles. Em situações de indisponibilidade sistêmica, deverão ser adotados controles alternativos ou compensatórios, com registro da ocorrência, das medidas adotadas, dos responsáveis, dos períodos de indisponibilidade e da posterior regularização.

A execução desta Política ocorrerá por meio de manuais, normas e procedimentos específicos, devidamente formalizados, aprovados pelas instâncias competentes, comunicados aos responsáveis e revisados periodicamente. Esses documentos deverão disciplinar, no mínimo, os processos de Conheça Seu Cliente (KYC), Conheça Seu Colaborador (KYE), Conheça Seu Parceiro (KYP), Conheça Seu Fornecedor (KYS) e o Manual de Monitoramento, Seleção, Análise e Comunicação (MSAC).

7. Área responsável

A estrutura de PLD/FT da Instituição observará a segregação de responsabilidades entre as linhas de defesa, de modo a evitar conflitos de interesse, lacunas ou sobreposição de funções.

7.1 Diretoria Colegiada

Compete à Diretoria Colegiada:

• aprovar esta Política e suas alterações relevantes;
• assegurar a implementação e a manutenção da estrutura de PLD/FT;
• aprovar a metodologia da Avaliação Interna de Risco;
• assegurar recursos humanos, financeiros, tecnológicos e materiais compatíveis com os riscos identificados;
• acompanhar os principais indicadores, deficiências, comunicações gerenciais e planos de ação;
• tomar ciência do Relatório de Avaliação de Efetividade;
• deliberar sobre riscos relevantes, deficiências críticas e planos de ação de maior materialidade;
• promover cultura organizacional de integridade, conformidade e prevenção a ilícitos financeiros.

7.2 Diretor responsável por PLD/FT

A Instituição manterá diretor responsável pelas obrigações de prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa, formalmente designado perante as instâncias competentes e, quando aplicável, perante o Banco Central do Brasil.

O diretor responsável deverá possuir autoridade, independência funcional, acesso às informações necessárias e capacidade de reporte à Diretoria Colegiada. Compete-lhe supervisionar a estrutura de PLD/FT, assegurar a observância da legislação e da regulamentação aplicáveis, acompanhar os resultados dos controles, apoiar a comunicação com as autoridades competentes e promover a correção tempestiva de deficiências identificadas.

A designação do diretor responsável, suas atribuições, sua independência funcional e a forma de reporte deverão observar a legislação e a regulamentação aplicáveis à Instituição, bem como os atos societários e registros pertinentes. A Instituição manterá documentação comprobatória da designação e de eventuais alterações.

7.3 Área de Compliance e PLD/FT

Compete à Área de Compliance e PLD/FT:

• coordenar a implementação desta Política;
• executar ou supervisionar os procedimentos de KYC, KYE, KYP e KYS;
• coordenar a Avaliação Interna de Risco;
• estabelecer e revisar a metodologia de monitoramento, seleção e análise;
• acompanhar alertas e situações atípicas;
• conduzir análises de operações e situações suspeitas;
• decidir, dentro da alçada estabelecida, pela comunicação ou não comunicação ao COAF;
• elaborar, revisar e manter os dossiês de análise;
• assegurar a confidencialidade das comunicações e informações sensíveis;
• coordenar o programa de treinamento e aculturação;
• emitir relatórios gerenciais;
• elaborar o Relatório de Avaliação de Efetividade;
• propor e acompanhar planos de ação corretiva;
• manter os procedimentos atualizados;
• atender requisições de autoridades competentes;
• manter evidências da execução dos controles.

A atuação da Área de Compliance e PLD/FT não afasta a responsabilidade das áreas de negócio, operacionais e administrativas pela execução dos controles sob sua competência. A Área de Compliance e PLD/FT poderá realizar orientação, supervisão, monitoramento, testes e reporte, preservada a segregação de funções e observadas as alçadas formalmente aprovadas.

7.4 Primeira linha de defesa

As áreas comerciais, operacionais e administrativas são responsáveis pela execução dos controles sob sua competência, incluindo a coleta de informações, a identificação de inconsistências, a atualização cadastral, o cumprimento dos procedimentos aplicáveis e o encaminhamento tempestivo de situações suspeitas à Área de Compliance e PLD/FT.

As áreas de negócio não poderão dispensar requisitos legais ou regulamentares, nem iniciar relacionamento em desacordo com os controles obrigatórios de PLD/FT. Eventuais exceções a procedimentos internos somente poderão ser admitidas quando forem legalmente permitidas, estiverem formalmente justificadas, aprovadas pela alçada competente e documentadas, sem afastar qualquer obrigação legal ou regulamentar.

7.5 Comercial

Compete ao Comercial:

• coletar informações e documentos exigidos no processo de identificação e qualificação;
• assegurar que o relacionamento não seja iniciado antes do cumprimento dos requisitos mínimos;
• identificar representantes, procuradores e beneficiários finais;
• comunicar alterações cadastrais relevantes;
• observar comportamentos incompatíveis com o perfil do cliente;
• reportar imediatamente situações suspeitas ou tentativas de burlar controles;
• não informar ao cliente ou a terceiros sobre alertas, análises ou comunicações ao COAF;
• cumprir os treinamentos e procedimentos aplicáveis.

Metas comerciais, prazos de contratação ou interesses de relacionamento não poderão prevalecer sobre os controles obrigatórios de PLD/FT.

7.6 Recursos Humanos

Compete à área de Recursos Humanos apoiar a aplicação dos procedimentos de KYE, manter registros funcionais necessários, assegurar a participação dos colaboradores nos treinamentos e comunicar à Área de Compliance e PLD/FT situações relevantes relacionadas à integridade, conflitos de interesse ou alterações funcionais que possam impactar o risco de PLD/FT, observadas as regras de confidencialidade e proteção de dados.

7.7 Auditoria Interna

A Auditoria Interna atuará de forma independente e objetiva, avaliando a adequação, a eficácia e a efetividade da governança, dos procedimentos e dos controles de PLD/FT.

É vedada a atribuição à Auditoria Interna de responsabilidades operacionais pela execução, aprovação ou monitoramento de controles de primeira ou segunda linha. Os trabalhos de Auditoria Interna deverão ser documentados, reportados às instâncias competentes e acompanhados por meio de planos de ação.

8. Monitoramento, seleção, análise e comunicação de operações e situações

A Instituição manterá procedimentos permanentes de monitoramento, seleção e análise de operações, propostas e situações que possam indicar indícios de lavagem de dinheiro, financiamento do terrorismo, financiamento da proliferação de armas de destruição em massa ou outros ilícitos financeiros.

O monitoramento será realizado mediante combinação de mecanismos sistêmicos, controles manuais e procedimentos híbridos, conforme a natureza dos produtos, serviços, canais, operações e riscos identificados. Os mecanismos deverão considerar, entre outros fatores, o perfil do cliente, a capacidade financeira, a finalidade econômica, o beneficiário final, a localização geográfica, a origem e o destino dos recursos, a forma de liquidação, o histórico de relacionamento e as tipologias de risco aplicáveis.

Os procedimentos de monitoramento deverão contemplar cenários específicos ou controles equivalentes para o Cartão Consignado, o Cartão Benefício e a Conta Digital, considerando as características de cada produto e os fluxos operacionais e financeiros envolvidos. Os critérios deverão permitir a identificação de incompatibilidades com o perfil do cliente, movimentações atípicas, utilização por terceiros, divergências entre o titular e os beneficiários ou destinatários dos recursos, tentativas de fracionamento, circulação injustificada de valores, alterações relevantes de comportamento e outros sinais de alerta compatíveis com as tipologias aplicáveis. Os cenários e critérios adotados deverão ser documentados e testados periodicamente.

Os cenários de monitoramento deverão ser documentados, aprovados, testados e revisados periodicamente. A revisão deverá considerar alterações regulatórias, mudanças no modelo de negócios, novos produtos ou canais, evolução das tipologias, resultados das análises, apontamentos de auditoria, indicadores de efetividade e ocorrências identificadas.

Os alertas deverão possuir critérios documentados de geração, priorização, distribuição, análise, encerramento e escalonamento, incluindo níveis de criticidade, prazos, responsáveis, alçadas de aprovação, controles de qualidade, tratamento de pendências e procedimentos para reabertura de análises.

A análise deverá avaliar, no mínimo:

• a compatibilidade das operações com o perfil cadastral e econômico-financeiro;
• a finalidade econômica e a origem dos recursos, quando aplicável;
• a existência de vínculos entre operações, pessoas ou contrapartes;
• a identificação de beneficiários finais, representantes e procuradores;
• a condição de pessoa exposta politicamente;
• a existência de sanções, listas restritivas ou notícias negativas relevantes;
• a ocorrência de tentativas de fraude, ocultação ou burla dos controles;
• os esclarecimentos e documentos apresentados;
• os elementos favoráveis e desfavoráveis à caracterização de suspeita;
• a necessidade de adoção de medidas restritivas ou monitoramento reforçado.

Toda análise deverá ser concluída com decisão fundamentada, indicando os fatos analisados, documentos considerados, diligências realizadas, responsáveis, data, conclusão e aprovação aplicável. A ausência de comunicação ao COAF deverá ser justificada e registrada em dossiê próprio.

A Instituição manterá registros completos das operações realizadas, das propostas não efetivadas, dos alertas, das análises, das decisões, das comunicações, das não comunicações e das medidas adotadas.

8.1 Comunicação de operações e situações suspeitas

Administradores, colaboradores, prestadores de serviços, fornecedores, parceiros e correspondentes deverão comunicar imediatamente à Área de Compliance e PLD/FT qualquer operação, proposta, comportamento ou situação que possa indicar indício de lavagem de dinheiro, financiamento do terrorismo, financiamento da proliferação de armas de destruição em massa ou tentativa de burla dos controles internos.

A comunicação interna deverá ser realizada por canal institucional formalmente definido, podendo ser identificada ou anônima quando admitido pelo canal utilizado. A identidade do comunicante identificado será preservada, sendo vedada qualquer forma de retaliação contra aquele que realizar comunicação de boa-fé.

O comunicante não deverá realizar investigação por conta própria, alertar o cliente, solicitar esclarecimentos de forma inadequada ou compartilhar a informação com pessoas não autorizadas. A análise, a decisão de comunicação e o relacionamento com o COAF serão conduzidos exclusivamente pelas instâncias autorizadas.

As operações e situações identificadas pelos mecanismos de monitoramento deverão ser selecionadas dentro do prazo regulamentar aplicável. Após a seleção, a análise deverá ser concluída dentro do prazo regulamentar, contado da data da seleção, devendo a decisão de comunicar ou não comunicar ser devidamente fundamentada e registrada.

Os prazos, as etapas de tratamento, os responsáveis e as alçadas aplicáveis à seleção, análise, decisão e comunicação deverão estar detalhados no MSAC ou em procedimento específico, que deverá prever controles para acompanhamento de prazos, tratamento de pendências e escalonamento de atrasos.

O dossiê de análise poderá conter, conforme a situação:

• registros da ocorrência;
• informações e documentos de KYC;
• dados cadastrais;
• documentos de identificação;
• informações sobre beneficiário final;
• histórico de relacionamento;
• relatórios de movimentação;
• consultas a listas restritivas;
• verificações relacionadas a PEP;
• pesquisas em fontes públicas;
• notícias negativas relevantes;
• esclarecimentos apresentados;
• comunicações internas;
• evidências sistêmicas;
• conclusão e justificativa da decisão.

Quando concluída pela comunicação, a comunicação será encaminhada ao COAF por meio do SISCOAF, dentro do prazo regulamentar aplicável, contado da decisão de comunicação. A comunicação deverá conter informações completas, claras, fundamentadas e compatíveis com os elementos constantes do dossiê de análise.

A comunicação ao COAF será realizada exclusivamente por pessoa formalmente autorizada. O acesso às comunicações, aos alertas, aos dossiês e às informações relacionadas será restrito aos profissionais que necessitem desses dados para o exercício de suas funções.

É proibido informar, direta ou indiretamente, ao cliente, à contraparte, ao beneficiário final, ao comunicante ou a terceiros não autorizados que determinada operação ou situação foi selecionada, analisada ou comunicada ao COAF. Também é proibido compartilhar informações que possam revelar a existência, o conteúdo ou a intenção de uma comunicação.

Na hipótese de não serem identificadas operações ou situações passíveis de comunicação ao COAF durante o ano civil, a Instituição apresentará a declaração de não ocorrência dentro do prazo regulamentar aplicável, mantendo os registros e evidências que sustentem a conclusão adotada.

As comunicações realizadas de boa-fé e em conformidade com a legislação aplicável terão o tratamento e a proteção previstos na legislação vigente, sem prejuízo da apuração de condutas praticadas com dolo, má-fé ou em desacordo com as normas aplicáveis.

9. Indisponibilidade de ativos e sanções financeiras

A Instituição cumprirá as determinações de indisponibilidade de ativos decorrentes de resoluções do Conselho de Segurança das Nações Unidas, de designações de seus comitês de sanções, da Lei nº 13.810/2019, de determinações judiciais e de outros atos de cumprimento obrigatório expedidos por autoridades competentes.

As consultas às listas e bases aplicáveis serão realizadas no início do relacionamento, durante a manutenção do relacionamento, antes da realização de operações quando aplicável e sempre que houver atualização relevante das listas ou alteração das informações cadastrais.

Na hipótese de identificação de possível correspondência, a operação ou o relacionamento deverá ser imediatamente submetido à Área de Compliance e PLD/FT, que realizará a análise de falso positivo, homônimo, vínculo direto, vínculo indireto, titularidade, controle ou representação.

Confirmada a incidência de sanção ou medida de indisponibilidade, a Instituição deverá adotar imediatamente as providências previstas na legislação e na regulamentação aplicáveis, incluindo, quando cabível:

• impedir a disponibilização, movimentação ou transferência de ativos;
• preservar os ativos alcançados pela medida;
• suspender a execução da operação;
• comunicar o fato às autoridades competentes;
• observar os prazos e procedimentos oficiais de comunicação;
• registrar as providências adotadas;
• preservar os documentos e evidências;
• impedir o desbloqueio ou a movimentação sem autorização competente.

A Área de Compliance e PLD/FT deverá coordenar o cumprimento das providências aplicáveis, incluindo o registro da correspondência identificada, a preservação dos ativos alcançados, a comunicação tempestiva às autoridades competentes pelos canais oficiais vigentes e a manutenção das evidências de envio e recebimento. O procedimento operacional deverá identificar, para cada hipótese de indisponibilidade de ativos ou sanção financeira, os responsáveis, as alçadas, os prazos, os canais oficiais de comunicação, as evidências a serem preservadas e o fluxo de escalonamento, inclusive para ocorrências relacionadas a listas do Conselho de Segurança das Nações Unidas, observada a legislação aplicável.

Nenhum colaborador ou área de negócio poderá liberar, movimentar, transferir ou disponibilizar ativos sujeitos a indisponibilidade sem autorização formal da Área de Compliance e PLD/FT e sem fundamento legal ou determinação da autoridade competente.

As listas internacionais que não possuam aplicação obrigatória no Brasil poderão ser utilizadas como controles complementares quando houver obrigação contratual, vínculo internacional, operação transfronteiriça, exposição a determinada jurisdição ou exigência de contraparte.

10. Diretrizes de due diligence e controle de integridade

A Instituição manterá procedimentos de diligência compatíveis com os riscos relacionados a clientes, administradores, colaboradores, beneficiários finais, representantes, procuradores, fornecedores, parceiros, correspondentes e demais terceiros relevantes.

10.1 Conheça Seu Cliente (KYC)

O processo de KYC compreende, conforme aplicabilidade:

• identificação e qualificação do cliente;
• validação da identidade e da autenticidade das informações;
• identificação e validação de representantes, procuradores e beneficiários finais;
• compreensão da finalidade e da natureza do relacionamento;
• avaliação da capacidade econômico-financeira;
• identificação de pessoa exposta politicamente;
• consulta a listas restritivas e fontes públicas relevantes;
• classificação de risco;
• atualização cadastral;
• monitoramento compatível com o risco identificado.

Quando não for possível identificar ou validar adequadamente o cliente, seu representante ou beneficiário final, o relacionamento não deverá ser iniciado ou mantido, exceto nas hipóteses expressamente permitidas pela legislação ou regulamentação aplicável. Qualquer hipótese legalmente admitida deverá ser documentada, aprovada pela alçada competente e acompanhada das medidas de controle previstas nos procedimentos internos. A aprovação interna não poderá dispensar obrigação legal ou regulamentar.

10.2 Pessoas Expostas Politicamente (PEP)

A Instituição identificará, qualificará e manterá atualizadas as informações relacionadas a pessoas expostas politicamente, bem como às pessoas a elas relacionadas nos termos da legislação e da regulamentação aplicáveis, incluindo familiares, estreitos colaboradores e outras pessoas abrangidas pelos critérios regulatórios vigentes. A identificação de condição de PEP deverá resultar em classificação, diligência, monitoramento e aprovação compatíveis com o risco, não constituindo, isoladamente, impedimento automático ao relacionamento.

Os procedimentos internos deverão definir a alçada responsável pela aprovação do relacionamento com PEP e pelas medidas adicionais de diligência e monitoramento, conforme a classificação de risco.

10.3 Conheça Seu Colaborador (KYE)

O processo de KYE será aplicado no ingresso, durante a permanência e, quando aplicável, no desligamento de colaboradores, administradores e estagiários expostos a atividades de PLD/FT.

O procedimento poderá incluir avaliação de integridade, verificação de conflitos de interesse, análise de vínculos relevantes, treinamento obrigatório, monitoramento de condutas incompatíveis e tratamento de situações que possam comprometer a independência, a reputação ou a integridade da instituição.

10.4 Conheça Seu Parceiro e Fornecedor (KYP/KYS)

A contratação e a manutenção de relacionamento com parceiros, fornecedores, correspondentes e terceiros relevantes dependerão de diligência prévia proporcional ao risco, contemplando, conforme aplicabilidade:

• identificação e qualificação da contraparte;
• identificação de beneficiários finais;
• análise de reputação e integridade;
• consulta a listas restritivas;
• avaliação de histórico de sanções, processos e notícias negativas relevantes;
• avaliação da estrutura de controles de PLD/FT;
• classificação de risco;
• aprovação pela alçada competente;
• reavaliação periódica ou motivada por evento relevante.

Os contratos deverão conter cláusulas de cumprimento da legislação e da regulamentação de PLD/FT, fornecimento de informações, cooperação em investigações, confidencialidade, proibição de tipping-off, comunicação de incidentes, direito de auditoria, obrigação de treinamento quando aplicável e possibilidade de suspensão ou rescisão por descumprimento.

A subcontratação por terceiros dependerá de autorização contratual e não afastará a responsabilidade da contraparte originalmente contratada perante a Instituição.

11. Avaliação interna de risco e avaliação de efetividade

A Avaliação Interna de Risco (AIR) consiste no processo documentado de identificação, análise, mensuração, classificação, monitoramento e mitigação dos riscos relacionados à utilização dos produtos, serviços, canais, operações, tecnologias, processos e relacionamentos da Instituição para a prática de lavagem de dinheiro, financiamento do terrorismo, financiamento da proliferação de armas de destruição em massa ou outros ilícitos financeiros.

A AIR deverá considerar, no mínimo:

• risco de clientes e contrapartes;
• risco da própria instituição;
• modelo de negócios;
• produtos e serviços;
• operações e transações;
• canais de distribuição;
• localização geográfica;
• utilização de novas tecnologias;
• fornecedores, parceiros e correspondentes;
• administradores e colaboradores;
• beneficiários finais;
• pessoas expostas politicamente;
• riscos relacionados à fraude, corrupção e crimes financeiros;
• riscos inerentes;
• efetividade dos controles;
• risco residual.

A Avaliação Interna de Risco deverá contemplar avaliação específica do Cartão Consignado, do Cartão Benefício e da Conta Digital, considerando, para cada produto, suas etapas operacionais, os canais de contratação e distribuição, o perfil dos clientes, os participantes e prestadores envolvidos, os fluxos de recursos, as formas de liquidação, as funcionalidades disponíveis, as possibilidades de movimentação e os riscos inerentes e residuais. A avaliação deverá ser atualizada antes da implantação de novos produtos, funcionalidades, canais ou alterações relevantes no modelo operacional, bem como quando houver mudança material nos riscos identificados.

A metodologia da AIR deverá estabelecer critérios objetivos de probabilidade, impacto, classificação, ponderação, aceitação, tratamento e reporte dos riscos. O impacto poderá considerar aspectos financeiros, jurídicos, regulatórios, reputacionais, operacionais e socioambientais, quando pertinentes.

A AIR será revisada na periodicidade mínima estabelecida pela legislação e pela regulamentação aplicáveis à Instituição e sempre que ocorrer evento relevante capaz de alterar o perfil de risco da Instituição. Entre esses eventos incluem-se o lançamento ou a alteração de produto, serviço, funcionalidade ou canal; mudanças nos fluxos operacionais ou financeiros; contratação ou substituição de participante relevante; alteração de público-alvo ou área geográfica; mudança tecnológica ou organizacional; alteração normativa; incidente; identificação de nova tipologia; e apontamento relevante de auditoria ou autoridade supervisora. A versão vigente, sua aprovação e as alterações realizadas deverão ser documentadas.

A classificação consolidada de risco da Instituição será aquela constante da versão vigente e aprovada da AIR, não devendo ser inserida nesta Política informação que possa se tornar desatualizada antes da próxima revisão formal.

A Instituição adotará procedimentos de monitoramento, seleção e análise compatíveis com os resultados da AIR, dispensando especial atenção às situações de maior risco e estabelecendo medidas reforçadas quando necessárias.

A Avaliação de Efetividade terá por finalidade verificar, de forma documentada, a adequação, a eficácia e a efetividade da Política, dos procedimentos e dos controles internos de PLD/FT.

A Avaliação de Efetividade será realizada, no mínimo, anualmente, com data-base de 31 de dezembro, abrangendo os principais processos, produtos, serviços, clientes, canais, áreas e controles relacionados ao risco de PLD/FT.

O Relatório de Avaliação de Efetividade deverá conter, no mínimo:

• metodologia utilizada;
• escopo e período avaliados;
• testes realizados;
• amostras analisadas;
• resultados obtidos;
• deficiências identificadas;
• classificação da criticidade;
• causas dos problemas;
• recomendações;
• responsáveis;
• prazos;
• planos de ação;
• acompanhamento das deficiências anteriores;
• conclusão sobre a efetividade dos controles.

O Relatório de Avaliação de Efetividade será submetido à ciência da Diretoria Colegiada no prazo regulamentar aplicável. As deficiências identificadas deverão ser registradas em plano de ação, com responsável, prazo, prioridade, evidência esperada e acompanhamento até sua conclusão e validação. O relatório deverá avaliar, de forma específica, se os controles aplicados ao Cartão Consignado, ao Cartão Benefício e à Conta Digital são compatíveis com os riscos identificados na AIR e se sua execução está devidamente comprovada por registros, testes e evidências. Eventuais limitações de escopo, indisponibilidade de dados ou impossibilidade de realização de testes deverão ser explicitadas, justificadas e acompanhadas de plano de ação, quando cabível.

A Auditoria Interna poderá realizar avaliações independentes sobre a estrutura de PLD/FT. A contratação de auditoria externa ou de consultoria especializada não afastará a responsabilidade da Instituição, da Diretoria Colegiada ou do diretor responsável pela manutenção da estrutura de PLD/FT.

12. Sanções e medidas disciplinares

O descumprimento desta Política, da legislação, da regulamentação ou dos procedimentos internos de PLD/FT constitui infração sujeita à apuração e à aplicação de medidas disciplinares, contratuais e administrativas proporcionais à natureza, à gravidade, à materialidade, à reincidência, ao grau de culpabilidade e aos impactos da conduta.

As medidas poderão incluir, conforme o caso:

• orientação formal;
• treinamento corretivo;
• advertência;
• suspensão;
• restrição ou revogação de acessos;
• desligamento;
• suspensão ou encerramento de relacionamento com terceiros;
• rescisão contratual;
• comunicação às autoridades competentes;
• adoção de medidas judiciais ou extrajudiciais.

A aplicação de medidas disciplinares não impedirá a adoção de providências preventivas, incluindo afastamento temporário de atividades, bloqueio ou revisão de acessos, preservação de evidências e suspensão de relacionamento, quando necessárias para impedir a continuidade do risco ou preservar a integridade da apuração.

A apuração será conduzida por área ou instância independente em relação aos fatos investigados, observando-se confidencialidade, imparcialidade, documentação das etapas, direito de manifestação quando aplicável e proteção contra retaliação ao comunicante de boa-fé.

A comunicação às autoridades competentes será realizada sempre que houver obrigação legal ou regulamentar, determinação oficial ou identificação de situação que justifique o acionamento da autoridade competente. A comunicação não será tratada como consequência automática de todo descumprimento interno, devendo observar a natureza e a materialidade do fato.

13. Guarda, conservação e descarte de registros

A Instituição manterá, de forma íntegra, segura, organizada e rastreável, os documentos, registros e evidências relacionados às operações, propostas, relacionamentos, procedimentos de KYC, KYE, KYP e KYS, beneficiários finais, pessoas expostas politicamente, alertas, análises, decisões, comunicações, declarações de não ocorrência, treinamentos, avaliações de risco, avaliações de efetividade, testes de controles, planos de ação e demais atividades de PLD/FT.

A Área de Compliance e PLD/FT, em conjunto com as áreas responsáveis pela gestão documental e pela proteção de dados, manterá matriz de retenção contendo, no mínimo, a categoria do registro, a área custodiante, o prazo de guarda, o evento que inicia a contagem do prazo, as regras de acesso, os mecanismos de preservação e os critérios de descarte. A matriz deverá contemplar os registros relativos ao Cartão Consignado, ao Cartão Benefício e à Conta Digital, inclusive documentos e evidências mantidos por prestadores de serviços, quando aplicável.

Os registros de operações, propostas e comprovantes transacionais serão mantidos pelo prazo mínimo estabelecido na legislação e na regulamentação aplicáveis. Os demais documentos e evidências serão mantidos pelo prazo previsto na regulamentação aplicável, na política institucional de retenção documental ou pelo prazo necessário à preservação de direitos e ao atendimento de requisições de autoridades competentes, aplicando-se sempre o prazo mais longo.

A contagem do prazo de retenção observará a natureza do documento e o evento definido na legislação ou no procedimento interno aplicável, incluindo, conforme o caso, a data da operação, a conclusão da análise, o encerramento do relacionamento, a realização do treinamento, a aprovação do documento ou o encerramento da demanda oficial.

Documentos relacionados a investigação, auditoria, processo administrativo, processo judicial, requisição de autoridade, incidente ou plano de ação não poderão ser eliminados enquanto a demanda não estiver definitivamente encerrada, ainda que superado o prazo ordinário de retenção.

O acesso aos registros será restrito aos profissionais autorizados e deverá observar os princípios de necessidade, segurança, confidencialidade, integridade, proteção de dados pessoais e segregação de funções. Os acessos relevantes deverão ser rastreáveis.

O descarte de documentos somente poderá ocorrer após o cumprimento do prazo aplicável e deverá ser realizado de forma segura, impedindo a recuperação indevida das informações.

14. Revisão, aprovação e divulgação da Política

Esta Política será revisada, no mínimo, a cada dois anos ou em período inferior sempre que houver alteração relevante na legislação ou regulamentação, mudança no modelo de negócios, lançamento ou alteração de produtos, serviços ou canais, utilização de novas tecnologias, alteração na estrutura organizacional, mudança no perfil de risco, ocorrência de incidente, identificação de nova tipologia, apontamento de auditoria ou determinação de autoridade competente.

A revisão será coordenada pela Área de Compliance e PLD/FT, com participação das áreas envolvidas e consulta às instâncias técnicas ou jurídicas pertinentes. A versão revisada deverá ser submetida à aprovação da Diretoria Colegiada, ou de outra instância formalmente competente conforme os atos societários e a estrutura de governança da Instituição, antes de sua entrada em vigor.

Toda alteração deverá ser registrada em histórico próprio, contendo número da versão, data, descrição das alterações, responsáveis pela elaboração e aprovação, fundamento da alteração e previsão para a próxima revisão.

Após sua aprovação, a Política deverá ser divulgada aos públicos abrangidos, mantida em local acessível e incorporada aos treinamentos aplicáveis. Alterações relevantes deverão ser comunicadas aos administradores, colaboradores, terceiros e demais públicos impactados, com registro da divulgação realizada.

A Área de Compliance e PLD/FT manterá o histórico das revisões e das aprovações desta Política, incluindo número da versão, data, principais alterações, fundamento da revisão, responsáveis pela elaboração e aprovação e previsão para a próxima revisão.

15. Histórico de atualizações