Melhor Software de Triagem de Sanções: 8 Critérios

Última atualização: outubro de 2026

O melhor software de triagem de sanções para uma instituição financeira é aquele cujo cruzamento de dados a instituição pode visualizar, ajustar e defender. Ele faz a triagem de todas as partes e de todos os campos de pagamento que a instituição precisa monitorar, assim que uma lista muda, encontra entidades bloqueadas por propriedade direta ou indireta e deixa um registro do motivo pelo qual cada alerta foi liberado. O OFAC não escolherá a ferramenta, não definirá o limite de corte nem confirmará uma correspondência, de modo que a única forma confiável de comparar produtos é testá-los com seus próprios clientes e pagamentos. Analise primeiro as correspondências verdadeiras perdidas e, só depois, conte os falsos positivos poupados.

Este guia estabelece oito critérios para escolher um software de triagem de sanções. Cada critério aborda o que ele é, o que perguntar a um provedor, como soa uma resposta fraca e como testá-lo em seus próprios dados, além de um painel de avaliação no final que reúne os oito itens.

Resumo prático

• Nenhum software de triagem de sanções é o melhor para todas as instituições. O OFAC afirma que o tamanho e as necessidades de cada instituição determinam o que procurar, e não recomenda um limite específico de correspondência.

• Avalie as ferramentas de triagem com base em oito critérios: cobertura de listas e velocidade de atualização, cruzamento de nomes visível e ajustável, propriedade sob a Regra dos 50%, clientes e pagamentos, como os falsos positivos são liberados, limites que você controla, qualidade da correspondência nos seus próprios dados e um registro fácil de ser auditado por um examinador.

• Os dados das listas e o motor de cruzamento são adquiridos separadamente. Avalie cada um sob seus próprios termos.

• Teste cada candidato com seu próprio histórico classificado antes de assinar o contrato. A tolerância para correspondências verdadeiras perdidas é zero; a redução de falsos positivos é a segunda métrica a se olhar, não a primeira.

• A regra de manutenção de registros do OFAC agora exige que os registros fiquem disponíveis por pelo menos 10 anos, uma mudança que entrou em vigor em março de 2025.

• A Oscilar elaborou este guia. Os critérios não mencionam marcas de produtos, e uma seção posterior aplica os mesmos critérios à própria Oscilar, incluindo aqueles que a Oscilar não atende diretamente.

A resposta curta: como escolher um software de triagem de sanções

Escolha o software de triagem de sanções que se adapte ao perfil de risco da sua instituição, que mostre como faz a correspondência de nomes, que faça a triagem de clientes e pagamentos em relação a todas as listas necessárias assim que essas listas mudarem, que lide com questões de propriedade e que registre por que cada alerta foi liberado. Depois, comprove a eficácia com seus próprios dados. Não existe uma única ferramenta ideal entre as soluções de triagem de sanções, porque o OFAC deixa a escolha a cargo da instituição: a sua FAQ 31 diz que "o tamanho e as necessidades de cada instituição ajudam a determinar o que procurar em um pacote de software".

O OFAC também deixa claro que as decisões dentro da ferramenta pertencem à instituição. Sobre os limites de pontuação para correspondência, a FAQ 250 do OFAC diz que os usuários "devem fazer suas próprias determinações de limite de correspondência com base em suas próprias avaliações internas de risco e práticas de conformidade estabelecidas". Sobre alertas individuais, a FAQ 5 diz que "o OFAC não confirma correspondências potenciais ou falsos positivos em nossas listas de sanções e, em vez disso, incentiva as organizações a tomarem decisões baseadas em riscos de acordo com as orientações acima".

Um gerente de sanções em uma fintech de pagamentos resumiu o papel do comprador em uma frase: "a triagem de sanções consiste em encontrar o que estou procurando. Então, como posso definir melhor o que estou procurando?". O software encontra; a instituição define o que procura, ajusta o nível de precisão de correspondência de um nome e toma a decisão sobre cada alerta.

É por isso que o teste prático importa mais do que a lista de funcionalidades. O chefe de triagem de um grande banco descreveu como analisaria os resultados de um fornecedor com seus próprios dados: "houve alguma perda nas correspondências verdadeiras? Não, ótimo. Então, quantos falsos positivos você conseguiu... eliminar?". As correspondências verdadeiras perdidas vêm em primeiro lugar, porque uma correspondência verdadeira não identificada representa uma potencial violação de sanções, enquanto um falso positivo consome apenas o tempo do analista.

Faça as mesmas perguntas por escrito a todos os provedores e execute todos os testes com os dados reais de seus clientes e pagamentos, em vez de usar dados de demonstração. A Oscilar elaborou este guia; os critérios não mencionam produtos específicos e a seção seguinte avalia a Oscilar com base nesses mesmos critérios.

O que o software de triagem de sanções faz

O software de triagem de sanções compara os nomes nos registros de clientes e pagamentos com listas de sanções, gera um alerta quando um nome parece suficientemente próximo a um nome listado e envia esse alerta para a decisão de uma pessoa, que definirá se é uma correspondência verdadeira. Ferramentas de triagem de sanções, software de triagem de watchlists, software de triagem de nomes e software de triagem do OFAC são todos nomes para a mesma atividade, aplicada a clientes (triagem de nomes na integração e retriagem contínua) e a pagamentos (triagem de pagamentos, às vezes chamada de triagem de transações). No documento de 2019 do OFAC sobre Compromissos de Conformidade, a ferramenta é considerada um controle interno dentro de um programa composto por cinco pilares: "(1) compromisso da liderança; (2) avaliação de riscos; (3) controles internos; (4) testes e auditoria; e (5) treinamento".

A ferramenta de pesquisa gratuita de listas de sanções do próprio OFAC já aplica lógica difusa (fuzzy logic) aos nomes, combinando correspondência fonética e de caracteres. Sendo assim, o que uma instituição de fato compra é a cobertura de toda a sua base de clientes e pagamentos, um sistema de correspondência que ela mesma possa ajustar e defender, além do registro de cada decisão. O monitoramento de transações é uma atividade diferente, com seus próprios critérios de compra; consulte o nosso guia sobre como escolher um software de monitoramento de transações. A escolha de um software de prevenção à lavagem de dinheiro (PLD) como um todo, do qual a triagem de sanções é apenas uma parte, envolve uma avaliação mais ampla com critérios próprios.

1. Cobertura de listas e a velocidade com que as atualizações são aplicadas

O que é: A cobertura de listas refere-se a quais listas de sanções o software utiliza para a triagem, incluindo a Lista SDN, outras listas do OFAC, quaisquer outras listas exigidas pela sua avaliação de risco e suas próprias listas de monitoramento internas. A velocidade de atualização é o tempo que leva para uma nova designação de sanção chegar à triagem em ambiente de produção. O documento de diretrizes do OFAC aponta isso como uma causa raiz de falhas de conformidade, sob o título "Falhas em Filtros ou Softwares de Triagem de Sanções": as organizações "falharam em atualizar seu software de triagem de sanções para incorporar atualizações da Lista SDN ou da Lista SSI".

Os dados das listas e o motor de correspondência são compras separadas, e muitas instituições hoje em dia os adquirem de forma independente. O arquiteto principal de sistemas de crimes financeiros de um grande banco descreveu a estratégia: "nossos feeds de listas... provavelmente serão de um dos maiores players... mas nossa [ferramenta] que realmente faz a triagem é o que estamos pensando em substituir. E não queremos que eles estejam rigidamente interligados". Uma ferramenta que só funciona com seus próprios dados de lista acaba tomando as duas decisões por você.

As listas internas precisam ter o mesmo alcance das oficiais. Um líder de sanções do OFAC em um banco regional descreveu uma ferramenta que conseguia cruzar a lista interna do próprio banco com dados de clientes, mas não com transferências em tempo real, fazendo com que a lista interna só fosse útil no momento do onboarding.

O que perguntar a um provedor:

• Contra quais listas vocês fazem a triagem? Podemos adicionar nossas próprias listas internas e cruzá-las tanto com clientes quanto com pagamentos?

• Podemos usar os dados de listas que já licenciamos e trocar de provedor de listas no futuro sem precisar substituir a ferramenta de triagem?

• Quando o OFAC adiciona uma designação, quanto tempo leva para ela entrar em vigor na triagem em produção e quem aciona essa atualização?

• Como podemos provar a um auditor qual versão da lista estava ativa em determinado momento?

Um vice-presidente sênior de operações da Unidade de Inteligência Financeira (UIF) de um banco comunitário fez exatamente essa última pergunta: "Como mostramos aos auditores ou examinadores que a lista foi atualizada, apresentando carimbos de data/hora ou dados semelhantes? Temos essa funcionalidade?".

Como soa uma resposta fraca: Uma garantia de que as listas são atualizadas todas as noites, mas sem apresentar um registro de data/hora (timestamp) de quando cada versão da lista entrou em operação. Um recurso de lista interna que cobre apenas a triagem de clientes também é um sinal de alerta.

Como testar com seus próprios dados: Pegue uma designação de sanção recente, processe novamente o arquivo de seus clientes e um dia de pagamentos contra as versões da lista de antes e depois da atualização, e verifique em que momento o software teria gerado o primeiro alerta. Em seguida, solicite o log que comprove qual versão da lista estava ativa em cada momento.

2. Cruzamento de nomes que você pode visualizar e ajustar

O que é: O cruzamento de nomes é a forma como o software decide se o nome em um registro ou pagamento é semelhante o suficiente a um nome sancionado para gerar um alerta. Os métodos incluem correspondência fonética e difusa (fuzzy), comparação de partes do nome, transliteração, grafias alternativas e pseudônimos. O mesmo líder de sanções do OFAC no banco regional explicou de forma simples: "sei que a lógica difusa está se tornando ultrapassada, mas você ainda precisa dela".

A maneira como os nomes são comparados importa tanto quanto o fato de serem comparados. Tratar um nome completo como uma única linha de texto deixa passar casos que a comparação separada de nome e sobrenome identificaria, tanto para correspondências reais quanto para falsos positivos. O documento do OFAC lista a falha em "considerar grafias alternativas de países ou partes proibidos" entre as falhas de triagem, citando exemplos como Habana para Havana e Soudan para Sudão.

Algumas escolhas cabem explicitamente à instituição. A FAQ 5 do OFAC diz: "Alguns pseudônimos listados podem ser classificados pelo OFAC como 'pseudônimos fracos', e sua ferramenta de triagem pode excluir esses pseudônimos como parte de uma decisão baseada em risco". O Manual de Exame do FFIEC BSA/PLD afirma que "o banco deve definir claramente seus critérios para comparar os nomes fornecidos na lista do OFAC com os nomes nos arquivos do banco ou nas transações". Uma configuração tão importante quanto essa precisa ser visível e documentada, e não ficar oculta nos padrões pré-definidos do fornecedor.

A correspondência também precisa de contexto além da semelhança dos caracteres. O mesmo chefe de triagem do grande banco questionou sobre um alerta específico: "por que o nome de uma embarcação estaria no campo de nome de uma pessoa?". Um diretor de conformidade e riscos de uma empresa de pagamentos internacionais traçou o mesmo limite entre a lista e o cruzamento de dados: "não se trata apenas de dados. É a lógica que eles construíram para avaliar esses dados".

O que perguntar a um provedor:

• Quais métodos de correspondência vocês utilizam, em quais campos, e podemos ver qual método gerou cada alerta?

• Como vocês lidam com a ordem dos nomes, partes do nome, transliteração e pseudônimos? Podemos escolher se os pseudônimos fracos serão triados?

• Nossa equipe pode alterar as configurações de correspondência? Cada alteração é registrada com o responsável e o motivo?

• Que contexto além do nome (como o campo onde o nome apareceu ou a data de nascimento) é utilizado para diferenciar os alertas?

Como soa uma resposta fraca: Uma pontuação de correspondência proprietária que ninguém no fornecedor consegue explicar para um auditor, ou configurações de correspondência que somente o fornecedor pode alterar.

Como testar com seus próprios dados: Crie um conjunto de variações de designações recentes, incluindo nomes em ordens diferentes, transliterações, exclusão de partes do nome e pseudônimos, e insira-os em uma cópia da sua base de dados de clientes e pagamentos. Verifique quais variações cada candidato consegue capturar e se ele consegue mostrar o motivo.

3. Propriedade e a Regra dos 50%

O que é: De acordo com a orientação de 2014 do OFAC sobre entidades pertencentes a pessoas bloqueadas, "qualquer entidade que pertença, direta ou indiretamente, em 50% ou mais, no total, a uma ou mais pessoas bloqueadas é considerada, ela própria, uma pessoa bloqueada". Os bens de tal entidade devem ser bloqueados "independentemente de a própria entidade constar ou não na lista". Uma triagem apenas pelo nome não consegue encontrar essa informação, porque o nome da entidade não está em lista nenhuma.

A propriedade é agregada. A FAQ 399 do OFAC traz o seguinte exemplo: "se a Pessoa Bloqueada X possui 25% da Entidade A, e a Pessoa Bloqueada Y possui outros 25% da Entidade A, a Entidade A é considerada bloqueada". Ela acrescenta que "as participações societárias de pessoas bloqueadas sob diferentes programas de sanções do OFAC são somadas". Mesmo abaixo do limite, a orientação de 2014 recomenda que os cidadãos e empresas dos EUA "ajam com cautela ao considerar uma transação com uma entidade não bloqueada na qual uma ou mais pessoas bloqueadas tenham uma participação societária significativa inferior a 50%".

Os dados de beneficiários finais que uma instituição coleta para a devida diligência do cliente (CDD) respondem a uma questão diferente. A regra de CDD do FinCEN identifica cada indivíduo que "detém 25% ou mais das participações societárias" de um cliente que seja pessoa jurídica, além de um indivíduo com controle significativo. A regra do OFAC soma as participações de pessoas bloqueadas, por menor que seja cada participação individual. Portanto, os dados de CDD, por si só, não respondem à questão da Regra dos 50%.

A estrutura de propriedade também pode conter várias camadas. Um gerente assistente (AVP) de KYC e sanções de um banco comunitário perguntou se a estrutura societária poderia ser verificada em todas as camadas durante o onboarding (por exemplo, uma empresa que pertence a outra empresa que pertence a pessoas físicas) e se as camadas intermediárias seriam monitoradas novamente de forma contínua.

O que perguntar a um provedor:

• Vocês fazem a triagem dos proprietários de uma entidade, por meio de todas as camadas societárias, e agregam as participações de pessoas bloqueadas em diferentes programas de sanções?

• De onde vêm os dados de propriedade societária? Trata-se de uma contratação à parte?

• Quando um proprietário é sancionado após a integração, a entidade gera um alerta na próxima retriagem automática?

Como soa uma resposta fraca: Uma proposta para realizar a triagem apenas dos beneficiários finais que você mesmo fornecer. Isso apenas consulta os proprietários identificados na CDD pelo nome, deixando a questão da agregação societária sem solução.

Como testar com seus próprios dados: Selecione uma amostra de seus clientes corporativos que possuam camadas societárias complexas, simule uma sanção fictícia a um proprietário em cada nível e verifique se o software sinaliza a entidade e como ele exibe o caminho societário que gerou o alerta.

4. Clientes e pagamentos, não apenas um ou outro

O que é: A triagem de sanções cobre dois fluxos distintos. A triagem de clientes verifica nomes no momento da integração e sempre que uma lista muda; a triagem de pagamentos verifica todas as partes e campos envolvidos em uma transação antes que o dinheiro seja transferido. O mesmo gerente de sanções de uma fintech de pagamentos explicou a importância da retriagem contínua: "já integramos alguém, a pessoa já é um cliente ativo e novas sanções são publicadas. Agora ela foi sancionada e precisamos tomar a medida apropriada".

A triagem de pagamentos deve abranger toda a mensagem da transação, e não apenas os campos escolhidos pelo fornecedor. O líder de sanções do OFAC no banco regional comentou: "não me importa onde a palavra Irã está no pagamento. Você faz a triagem de todo o... pagamento em busca dessa palavra". O documento de diretrizes do OFAC inclui a falha em "incluir identificadores pertinentes, como os códigos de identificação de negócios SWIFT (BICs)" entre as falhas comuns de triagem.

Além disso, a triagem de pagamentos corre contra o tempo. O chefe de triagem do grande banco descreveu a situação: um cliente liga perguntando por que o pagamento está retido, a área de negócios pressiona a área de operações, e a área de operações culpa o setor de sanções. A orientação de 2022 do OFAC sobre sistemas de pagamentos instantâneos afirma que "a velocidade exigida por essa facilidade comercial não deve desestimular as instituições financeiras de implementar controles de conformidade de sanções baseados em risco" e que o OFAC "incentiva o uso de tais ferramentas e de outras tecnologias e soluções emergentes para gerenciar riscos de sanções que possam surgir no contexto de pagamentos instantâneos".

O que perguntar a um provedor:

• Vocês fazem a triagem de clientes no onboarding, a retriagem de toda a base de dados quando uma lista muda e a triagem de pagamentos em tempo real e em lote?

• Quais campos de cada formato de mensagem de pagamento vocês analisam, incluindo texto livre e identificadores como os BICs do SWIFT?

• Nossas listas internas são aplicadas aos pagamentos e também aos clientes?

• Quanto tempo um pagamento fica retido enquanto um alerta é revisado e o que o analista de revisão visualiza na tela?

Como soa uma resposta fraca: Listas internas que se aplicam apenas a clientes, triagem de pagamentos limitada apenas a alguns campos específicos ou uma retriagem realizada em datas fixas do calendário, em vez de ocorrer imediatamente quando uma lista muda.

Como testar com seus próprios dados: Execute uma amostra de suas próprias mensagens de pagamento em cada candidato inserindo um nome sancionado em um campo de texto livre. Também simule uma alteração de lista em sua base de clientes para ver quais clientes ativos seriam reavaliados e em quanto tempo.

5. Como os falsos positivos são liberados

O que é: A maioria dos alertas gerados não são correspondências reais. A FAQ 5 do OFAC diz que "muitas correspondências em potencial identificadas por meio de triagem são falsos positivos". A FAQ, atualizada em 9 de setembro de 2026, define seis etapas para analisar uma possível correspondência: determinar se o alerta refere-se a uma lista do OFAC; determinar com o que ele possivelmente coincide; avaliar a qualidade da correspondência; determinar as próximas etapas para uma correspondência válida; determinar se deve bloquear ou rejeitar a transação; e reportar as correspondências válidas ao OFAC e manter os registros.

A etapa de avaliação da qualidade é onde o software faz a maior diferença para o analista. A FAQ 5 afirma: "Para verificar ou descartar um alerta em potencial, compare todos os detalhes da listagem do OFAC com as informações disponíveis sobre os dados da sua transação ou atividade que gerou o 'alerta'". Esses detalhes incluem "nomes completos, nomes anteriores, pseudônimos conhecidos, nacionalidades, passaporte, CPF/CNPJ, números de identidade, local de nascimento, data de nascimento, números de registro comercial ou endereços conhecidos". Um bom software coloca esses identificadores lado a lado para o analista, mostrando quais coincidiram, quais diferiram e quais estavam ausentes.

O volume de falsos positivos é, por si só, um sinalizador em auditorias. A seção de OFAC do manual do FFIEC afirma: "Um alto volume de falsos positivos pode indicar a necessidade de revisar o programa de interdição do banco".

A forma como um alerta liberado é tratado no futuro é tão importante quanto o modo como ele foi resolvido na primeira vez. O mesmo líder de sanções do OFAC no banco regional comentou sobre a funcionalidade de supressão de alertas de uma ferramenta: "Ela basicamente cria uma regra de redução de falsos positivos. No entanto, não gosto das regras de parâmetros dessa redução. Elas resolvem apenas uma vez e pronto". Uma supressão sem prazo de validade e sem uma nova triagem quando a lista de sanções sofre alteração pode ocultar um alerta que deveria voltar a ser analisado.

Se houver alertas liberados de forma automática, alguém precisa ser capaz de auditá-los. Um especialista sênior em PLD de uma fintech de pagamentos internacionais questionou: "Temos a capacidade de revisar as decisões que a IA tomou para encerrar os casos?". Como os agentes de IA podem organizar essa revisão para um analista é um tema abordado no nosso guia sobre como os agentes de IA analisam alertas de sanções.

O que perguntar a um provedor:

• Para cada alerta, mostre-nos os identificadores comparados, quais coincidiram, quais diferiram, quais estavam ausentes, além do item da lista e o pseudônimo que geraram o alerta.

• Como um alerta liberado é mantido no sistema? Ele expira e passa por nova triagem quando o item da lista correspondente muda?

• O que pode ser liberado sem intervenção humana, quem define essas regras e de que forma podemos auditar e analisar essas decisões por amostragem?

Como soa uma resposta fraca: Uma lista de nomes liberados ou uma regra de supressão que é configurada uma única vez e nunca mais é reavaliada, ou processos de liberação automática sem qualquer registro do que foi comparado.

Como testar com seus próprios dados: Selecione uma amostra de alertas que sua equipe já tenha liberado, passe-os por cada candidato e compare as evidências que o software apresenta com os dados que seus analistas precisaram para tomar a decisão. Em seguida, altere um item de lista que esteja vinculado a um alerta suprimido e verifique se o alerta volta a aparecer.

6. Limites de corte que você controla e quem pode alterá-los

O que é: O limite de corte (threshold) define o quão próximo um nome precisa estar de um nome sancionado para que o software gere um alerta. Nenhum órgão regulador estabelece esse número. Questionado se recomenda uma pontuação de limite específica para sua própria ferramenta de pesquisa de listas, o OFAC respondeu na FAQ 250: "O OFAC não pode fazer tal recomendação porque cada pesquisa envolve um conjunto único de fatos". O manual do FFIEC afirma: "As decisões de usar softwares de interdição e o grau de sensibilidade desses softwares devem ser baseados na avaliação de risco do banco e no volume de suas transações".

Isso coloca a responsabilidade do limite, e a sua justificativa técnica, nas mãos da instituição. O chefe de triagem do grande banco explicou o que as auditorias esperam: "Meus reguladores... esperam que o controle esteja sob a minha gestão. Que eu faça o ajuste, que eu escreva as regras e que eu seja capaz de explicar cada detalhe de seu funcionamento".

Aumentar o limite de corte não é uma forma mágica e sem custos para reduzir falsos positivos. Um limite mais alto reduz os alertas, mas também diminui a cobertura, enquanto a inclusão de um contexto melhor (como datas de nascimento, endereços e o campo em que o nome apareceu) reduz os alertas falsos sem perder a segurança da cobertura. Quando houver alteração em um limite, verifique por amostragem as transações que ficaram logo acima da nova linha para confirmar se os alertas restantes de fato merecem revisão, e faça o mesmo com as transações logo abaixo para garantir que nenhum alerta importante tenha sido perdido. Essa amostragem abaixo da linha de corte é o que prova ao auditor que a cobertura de segurança foi mantida.

O que perguntar a um provedor:

• Quem pode alterar os limites de corte e as configurações de correspondência? Cada alteração gera uma nova versão com o motivo registrado?

• Podemos testar uma alteração de limite em nossos dados históricos antes de colocá-la em produção?

• Podemos definir limites de corte diferentes por lista, por segmento de cliente ou por tipo de pagamento?

Como soa uma resposta fraca: A alegação de que o limite padrão do fornecedor funciona bem para a maioria dos bancos. Um limite de corte que só o fornecedor consegue alterar, ou que não pode ser testado antes de entrar em operação, é outro sinal de alerta.

Como testar com seus próprios dados: Execute o histórico de transações com o limite atual e com o limite proposto, e avalie com atenção os alertas que deixariam de existir antes de comemorar a queda no volume de trabalho.

7. Qualidade de correspondência testada com seus próprios dados

O que é: A qualidade de correspondência refere-se à precisão com que o software encontra correspondências verdadeiras e evita alertas falsos usando os dados de seus próprios clientes e pagamentos, e não um conjunto de dados fictícios de demonstração. O documento de diretrizes do OFAC espera que as instituições tenham "selecionado e calibrado as soluções de maneira adequada para atender ao perfil de risco e às necessidades de conformidade da organização, testando-as rotineiramente para garantir sua eficácia".

O formato de teste mais robusto é aquele que os compradores experientes já utilizam. O chefe de triagem do grande banco estruturou um processo de seleção direta (bake-off) composto por um período de testes com alertas previamente analisados e classificados para aprendizado do fornecedor, seguido por um período com dados sem classificação prévia, para depois comparar os resultados do fornecedor com as decisões reais do banco. O diretor de conformidade de pagamentos internacionais também planejou testar o fornecedor em uma grande amostra de seus próprios registros antes de assinar o contrato, pois, sem confiança no sistema, não há sentido em fechar o negócio.

Analise os resultados observando duas métricas, nesta ordem. A primeira são as perdas críticas: correspondências verdadeiras que o software teria deixado passar ou liberado automaticamente (e a tolerância aqui é zero). A segunda é a quantidade de falsos positivos removidos, o que indica o tempo de análise economizado para a equipe. Em seguida, analise cada divergência caso a caso, pois algumas serão falhas do software, outras serão causadas por dados que o analista possuía mas a ferramenta não, e algumas serão práticas informais que ninguém havia colocado em regras escritas.

Nomes de controle funcionam como um primeiro filtro simples. O arquiteto de sistemas de crimes financeiros do banco descreveu o teste para verificar se o sistema do fornecedor captura nomes de controle exatos de uma lista importante em um limite rigoroso, chamando isso de "um filtro inicial eliminatório para a escolha de um fornecedor". Os auditores usam o mesmo método: os procedimentos de exame do FFIEC orientam que, "se houver qualquer dúvida quanto à eficácia do filtro do OFAC, deve-se realizar testes no sistema inserindo nomes de contas de teste que sejam idênticos ou semelhantes aos adicionados recentemente à lista do OFAC".

O que perguntar a um provedor:

• Podemos rodar o software com nosso histórico já analisado antes de assinar o contrato e, em seguida, rodar com dados inéditos para checar contra nossas decisões anteriores?

• Vocês reportam as perdas críticas de forma separada dos falsos positivos eliminados?

• Podemos manter um ambiente de testes ativo após a implementação, para que cada mudança de limite ou de lista possa ser testada antes de ir para a produção?

Como soa uma resposta fraca: Uma garantia de que você não precisará de um ambiente de testes. O líder de sanções do OFAC no banco regional mencionou um fornecedor que dizia que o banco não precisaria de um ambiente de homologação, mas o banco descobriu que precisava, pois um ambiente espelhado no qual não se pode realizar testes reais não serve como ambiente de testes.

Como testar com seus próprios dados: Realize testes retrospectivos (backtesting) em seu histórico de transações e, depois, execute o novo sistema em modo paralelo (shadow) com o tráfego em tempo real ao lado da sua ferramenta atual para comparar ambas com os mesmos clientes e pagamentos. Inclua nomes de controle e variações de designações de sanção recentes em ambas as rodadas.

8. Um registro fácil de ser auditado por um examinador

O que é: O registro é a documentação que o software armazena sobre cada alerta e decisão tomada, e é exatamente o que o OFAC solicita. A FAQ 5 do OFAC diz: "As organizações devem manter registros completos e precisos que detalhem as etapas seguidas para investigar a correspondência em potencial e as informações utilizadas para determinar se o alerta era de fato válido". Segundo a norma 31 CFR 501.601, os registros devem estar "disponíveis para exame por pelo menos 10 anos após a data da transação"; a mudança de cinco para 10 anos foi publicada em 13 de setembro de 2024 e entrou em vigor em 12 de março de 2025. Bens bloqueados e transações rejeitadas também devem ser reportados ao OFAC em até 10 dias úteis (31 CFR 501.603 e 501.604), e o registro do sistema precisa dar suporte a esses relatórios.

Os apontamentos de auditoria costumam ser sobre a justificativa apresentada, e não apenas sobre a triagem em si. Uma diretora responsável por sanções, integração e garantia de qualidade em um banco comunitário explicou: "os apontamentos que costumamos ver na área de sanções são de usuários que esquecem de realizar a triagem... ou, quando realizam, liberam o alerta com a justificativa errada". O documento de diretrizes coloca a correção disso como responsabilidade da instituição: "é dever da organização aprimorar seu programa, incluindo todos os softwares, sistemas e demais tecnologias relacionadas, para sanar eventuais lacunas de conformidade identificadas".

O registro de um alerta liberado deve conter:

• a lista, o item específico e o pseudônimo que geraram o alerta, bem como a versão ou data da lista

• cada identificador comparado (partes do nome, data de nascimento, nacionalidade, endereço, números de documento) e o resultado: correspondência, divergência ou dado ausente

• quaisquer informações adicionais que tenham sido solicitadas e recebidas

• a recomendação do sistema e sua justificativa, caso o software ofereça uma

• a decisão e a justificativa preenchidas pelo analista

• quem confirmou a decisão e em qual data/hora

• para casos de correspondência real confirmada: o histórico de escalonamento e a decisão humana de bloqueio ou rejeição da transação

O que perguntar a um provedor:

• Mostre-nos o registro completo de um alerta liberado e de um escalonado, exatamente no formato em que um auditor o receberia.

• Por quanto tempo os registros são guardados? Podemos exportá-los? Eles continuam disponíveis se decidirmos encerrar o contrato?

• Cada alteração em listas, limites de corte e configurações de correspondência é registrada em log junto com os alertas que foram impactados por ela?

Como soa uma resposta fraca: Registros que só podem ser acessados mediante solicitação ao fornecedor, ou uma conclusão que salva o resultado final do alerta, mas não a justificativa da decisão.

Como testar com seus próprios dados: Selecione alguns alertas liberados durante o período de teste e peça para um colega que não participou do processo reconstruir cada decisão apenas com base nos registros salvos.

Onde a Oscilar se encaixa, avaliada pelos mesmos critérios

A Oscilar elaborou este guia, então apresentamos aqui a Oscilar avaliada sob os mesmos oito critérios, incluindo aqueles que ela não atende diretamente.

Critérios 1 e 2, cobertura de listas e correspondência de nomes: A Oscilar não resolve esses itens por conta própria. Os dados de listas e o motor de correspondência vêm da ferramenta de triagem e do provedor de listas que a instituição contrata, e este guia não afirma que a Oscilar substitui nenhum deles. Avalie esses serviços sob seus próprios termos utilizando as perguntas listadas anteriormente. Como os agentes da Oscilar "podem rodar dentro da plataforma completa da Oscilar ou como uma camada independente integrada ao seu sistema atual", escolher a Oscilar não prende a instituição a um provedor de listas ou ferramenta de triagem específica.

Critérios 3, 4 e 6, propriedade societária, clientes e pagamentos, e limites de corte: Essas são funcionalidades da ferramenta de triagem que gera os alertas, incluindo onde o limite de correspondência é definido; portanto, avalie-as diretamente nessa ferramenta.

Critério 5, como os falsos positivos são liberados: É aqui que a Oscilar atua. Na visão que norteia o design da Oscilar, a ferramenta de triagem gera os alertas contra as listas licenciadas e o agente de IA analisa cada alerta comparando-o com o item da lista de sanções e os dados do cliente ou pagamento, recomendando a liberação ou o escalonamento do caso e apresentando todo o seu raciocínio de forma clara. O Agent Hub da Oscilar descreve seu agente de Triagem de Sanções como um sistema que oferece "orientações de decisão explicáveis e pré-preenchidas para cada alerta de sanção". A decisão final continua sendo humana: "Os agentes de IA nunca fecham ou escalonam alertas de forma autônoma", atendendo exatamente ao que a gerência de KYC e sanções do banco comunitário solicitou: "a aprovação final precisa vir de um analista, e não da IA".

Critério 7, qualidade da correspondência em seus próprios dados: Teste a Oscilar da mesma forma que este guia recomenda testar qualquer outra solução: realize testes retrospectivos com alertas que sua equipe já decidiu, depois execute em modo paralelo (shadow) junto com seu processo atual e avalie as possíveis perdas críticas antes mesmo de contabilizar o tempo de trabalho economizado. Para os modelos que utiliza, a Oscilar monitora desvios de dados, conceitos e funcionalidades (drift), bem como os principais indicadores de desempenho (KPIs) de resultados por segmento.

Critério 8, o registro histórico: A Oscilar oferece um histórico de auditoria completo para cada decisão, com justificativas armazenadas no sistema e foco total na atuação humana integrada ao processo (human-in-the-loop).

Dois pontos adicionais apresentados de forma clara e objetiva: A plataforma Oscilar é dimensionada para tomar decisões em menos de 100 milissegundos; essa é uma especificação técnica da plataforma, não o tempo que um alerta de sanções leva para ser triado ou revisado por uma pessoa. A Chartis incluiu a Oscilar no ranking FCC50 de 2026, com premiações nas categorias de Inovação em IA Agêntica e Customização Low-Code/No-Code; esse é o reconhecimento de uma consultoria de mercado, e não uma classificação de produtos feita neste guia.

Visão geral dos oito critérios

Utilize a segunda coluna como roteiro para as conversas com seus provedores e a última coluna como plano de testes práticos.

Perguntas frequentes

O que um software de triagem de sanções deve fazer que a ferramenta de pesquisa gratuita do OFAC não faz?

A pesquisa gratuita do OFAC aplica lógica difusa apenas ao campo de nome, combinando correspondência fonética e de caracteres. O software de triagem de sanções precisa gerenciar todo o fluxo ao redor disso: realizar a triagem de toda a base de clientes e pagamentos contra todas as listas necessárias, refazer a triagem de forma contínua quando as listas mudam, permitir que a instituição visualize e ajuste as configurações de correspondência e manter o registro documentado de cada decisão. A FAQ 27 do OFAC destaca que os pacotes comerciais de software "variam muito em custo e capacidade".

O OFAC recomenda algum limite de correspondência ou produto de triagem específico?

Não. A FAQ 250 do OFAC esclarece que o órgão "não pode fazer tal recomendação" sobre pontuações de limites e que os usuários "devem fazer suas próprias determinações com base em suas avaliações internas de risco e práticas de conformidade estabelecidas". Sobre a necessidade de adquirir sistemas caros, a FAQ 27 diz que essa "é uma questão que cabe principalmente ao seu órgão regulador" e a FAQ 31 reforça que o tamanho e as necessidades de cada instituição definem o que ela deve buscar no mercado.

A triagem de PEP é a mesma coisa que a triagem de sanções?

Não. A triagem de sanções cruza os dados de clientes e pagamentos com listas de sanções e, caso seja identificada uma correspondência real, a instituição deve bloquear ou rejeitar a operação de forma mandatória. A triagem de PEP identifica Pessoas Politicamente Expostas, o que apenas eleva o nível de risco do cliente e exige medidas de due diligence reforçadas, e não uma proibição automática. Nosso guia sobre o que as regras dos EUA exigem para triagem de PEP aborda esse tema detalhadamente.

Por quanto tempo os registros de triagem de sanções devem ser mantidos?

De acordo com a norma de manutenção de registros do OFAC (31 CFR 501.601), os registros devem ser guardados para fins de auditoria por pelo menos 10 anos a partir da data da transação. Esse prazo foi estendido de cinco para 10 anos por uma regra publicada em 13 de setembro de 2024, que entrou em vigor em 12 de março de 2025. A FAQ 5 do OFAC estabelece que os registros de uma possível correspondência devem detalhar os passos investigativos seguidos e as informações utilizadas.

A Oscilar é uma provedora de triagem de sanções?

O Agent Hub da Oscilar inclui um agente de Triagem de Sanções, que atua como um sistema de "orientações de decisão explicáveis e pré-preenchidas para cada alerta de sanção". Ele atua diretamente na análise dos alertas gerados, trabalhando em conjunto com as listas e ferramentas de triagem que a sua instituição já licencia, e cada recomendação do agente é confirmada por um analista. Como a Oscilar escreveu este guia, teste a solução com seus próprios alertas exatamente como faria com qualquer outro candidato do mercado.

O melhor software de triagem de sanções é aquele que apresenta resultados reais com seus próprios clientes e pagamentos. Ele cobre as listas que você precisa e as atualiza de forma ágil, faz o cruzamento de nomes com regras que você pode visualizar e calibrar, identifica estruturas de propriedade indireta, realiza a triagem de clientes e pagamentos com a mesma eficiência, libera falsos positivos apresentando as justificativas, mantém o controle dos limites de corte em suas mãos, passa com sucesso por testes em sua base de dados real e deixa um histórico fácil de ser auditado por um examinador. Para entender como as orientações de tomada de decisão em alertas de sanções funcionam integradas à sua ferramenta atual, conheça o agente de Triagem de Sanções no Agent Hub da Oscilar e submeta-o ao mesmo processo de testes de qualquer outro candidato.