Última atualização: outubro de 2026

A triagem de sanções da OFAC é a verificação de clientes, contrapartes e transações em relação às listas de sanções do Office of Foreign Assets Control (OFAC) e a entidades detidas em 50% ou mais por pessoas bloqueadas, para que uma instituição nunca transacione com uma pessoa bloqueada. A OFAC não exige uma ferramenta de triagem ou calendário específicos, mas a responsabilidade é objetiva, pelo que cada instituição desenha e comprova o seu próprio programa: quais as listas, com que rapidez chegam as atualizações, o que é triado e como são avaliadas as correspondências. O que a OFAC estipula é a comunicação no prazo de 10 dias úteis e a conservação de registos durante pelo menos 10 anos.

Resumo

• A OFAC define o resultado e deixa o método ao critério da instituição: nunca negociar com uma pessoa bloqueada e nunca concluir uma transação antes de analisar uma correspondência. A responsabilidade é objetiva.

• Faça a triagem com a Lista SDN, decida com base no risco como tratar as seis listas não SDN e lembre-se de que algumas partes bloqueadas não surgem em nenhuma lista.

• Nenhuma regra da OFAC define um prazo para aplicar uma atualização da lista; a instituição define o seu próprio prazo e comprova-o.

• Faça a triagem de pagamentos e contrapartes, bem como de clientes.

• Bloqueie quando uma pessoa bloqueada tiver um interesse; rejeite quando uma transação for proibida sem a existência desse interesse. Comunique qualquer uma das situações no prazo de 10 dias úteis.

• Mantenha os registos durante pelo menos 10 anos e alinhe o programa com os cinco componentes do Enquadramento da OFAC.

O que a triagem de sanções da OFAC tem de detetar

A triagem de sanções da OFAC tem de impedir que uma instituição processe uma transação para, ou retenha bens de, uma pessoa bloqueada ou de uma entidade bloqueada por via da titularidade. Também tem de intercetar transações que um programa da OFAC proíba expressamente, para que possam ser rejeitadas. Tudo o resto num programa de conformidade da OFAC serve estes dois resultados.

A OFAC não prescreve o método. A FAQ 124 afirma que "os regulamentos da OFAC não exigem explicitamente nenhum regime de triagem específico", a FAQ 43 indica que não há qualquer requisito legal para utilizar software ou fazer verificações, e o relatório do Tesouro ao Congresso de março de 2026 sobre tecnologias inovadoras refere que a OFAC não exige uma ferramenta de triagem específica. O que a FAQ 43 exige é que uma instituição não faça negócios com um alvo nem deixe de bloquear bens, e que não conclua uma transação antes de analisar uma correspondência.

A responsabilidade é objetiva. De acordo com a FAQ 65 da OFAC e o seu guia introdutório de junho de 2026, uma pessoa pode ser considerada civilmente responsável sem saber que uma transação era proibida, embora a OFAC possa considerar atenuante um programa de conformidade baseado no risco. O mesmo guia aponta a triagem de clientes, intermediários, contrapartes, documentos e transações, normalmente através de software, como o controlo interno mais comum.

Que listas da OFAC devem ser triadas

Faça a triagem com base na Lista de Cidadãos Especialmente Designados (SDN) e, em seguida, decida pelo risco como tratar as listas não SDN da OFAC.

A obrigação de bloquear pode decorrer de uma inclusão na lista, de uma cadeia de participações ou das próprias definições de um programa.

As seis listas não SDN são a Lista de Identificações de Sanções Setoriais (SSI), a Lista de Evasores de Sanções Estrangeiras (FSE), vazia desde 18 de dezembro de 2025, e as listas NS-PLC, CAPTA, NS-MBS e NS-CMIC. A FAQ 10 da OFAC, alterada a 26 de outubro de 2026, descreve-as como impondo "proibições que não implicam bloqueio sobre pessoas visadas". A OFAC não esclarece se estas devem ser triadas; o seu guia introdutório de junho de 2026 diz apenas que as ações "variam de acordo com a lista aplicável". A FAQ 91 acrescenta que algumas sanções bloqueiam categorias inteiras de pessoas, como governos bloqueados, quer estejam ou não listadas.

As listas para além da OFAC resultam de outras obrigações da instituição. Um diretor de risco e responsável por BSA num banco comunitário (programas de cartões e fintech de tesouraria) mencionou que as suas listas críticas são as da OFAC, da ONU e da UE, com as listas do Reino Unido a serem exigidas para parte da sua atividade de cartões por regra de rede. As pessoas politicamente expostas não constituem uma lista de sanções; o nosso artigo explicativo sobre triagem de PEP aborda o que as regras dos EUA exigem.

A Regra dos 50 Por Cento da OFAC

Nos termos da Regra dos 50 Por Cento da OFAC, qualquer entidade detida em 50% ou mais no total, direta ou indiretamente, por uma ou mais pessoas bloqueadas é também bloqueada, independentemente de constar ou não de uma lista. A regra provém das orientações revistas da OFAC de 13 de agosto de 2014, tendo a OFAC integrado esta norma nos regulamentos de programas, como o 31 CFR 594.412.

A OFAC soma as participações de todas as pessoas bloqueadas, incluindo pessoas bloqueadas ao abrigo de programas distintos: segundo a FAQ 399, duas pessoas bloqueadas com 25% cada tornam a entidade bloqueada. A titularidade indireta só conta através de entidades que sejam, elas próprias, detidas em 50% ou mais por pessoas bloqueadas (FAQ 401).

O controlo por si só não bloqueia uma entidade. A FAQ 398 refere que a regra "diz respeito apenas à propriedade e não ao controlo", embora a OFAC possa ainda assim designar uma entidade controlada e apele à cautela. A FAQ 400 acrescenta que pessoas dos EUA não podem transacionar com uma entidade não bloqueada através de um indivíduo bloqueado, por exemplo, celebrando um contrato assinado por um indivíduo bloqueado.

Um desinvestimento inteiramente fora da jurisdição dos EUA que reduza a participação de pessoas bloqueadas para menos de 50% põe fim ao bloqueio automático, mas os bens já bloqueados permanecem bloqueados (FAQ 402). O aviso de sanções da OFAC de 31 de março de 2026 sobre transações fictícias estabelece critérios para verificar se um desinvestimento realmente ocorreu.

Os dados existentes sobre titularidade podem não resolver a questão. A regra de diligência devida relativa a clientes (CDD) em 31 CFR 1010.230 identifica indivíduos com 25% ou mais de um cliente pessoa coletiva, um critério diferente do da OFAC, e a base de dados de BOI da FinCEN não é fonte para cadeias de titularidade nos EUA, dado que as empresas norte-americanas estão isentas de comunicação ao abrigo da norma final da FinCEN de 14 de agosto de 2026. A forma de avaliar uma ferramenta de triagem quanto aos dados de titularidade, bem como quanto a outros critérios relevantes, é abordada no nosso guia sobre o melhor software de triagem de sanções.

Com que rapidez devem ser aplicadas as atualizações das listas

Nenhum regulamento, FAQ ou orientação da OFAC define um número de horas ou dias para que a atualização de uma lista passe a ser usada na triagem. A OFAC deixa a frequência ao critério da avaliação de risco de cada instituição e alerta para o facto de as atualizações estarem a chegar mais depressa: segundo a FAQ 88, as instituições "decidem com que frequência precisam de descarregar as listas para cumprir a legislação dos EUA" e "a OFAC está a atualizar as suas listas de sanções a um ritmo cada vez maior".

A Lista SDN muda com "nenhum calendário predeterminado" (FAQ 20). O Sanctions List Service da OFAC disponibiliza ficheiros completos, um ficheiro delta de alterações e uma API (as FAQs 89 e 90 cobrem os ficheiros completos e delta), e a OFAC envia e-mails aos subscritores quando as listas mudam (FAQ 86).

O documento da OFAC "A Framework for OFAC Compliance Commitments" (maio de 2019) espera um programa "capaz de se ajustar rapidamente às alterações publicadas pela OFAC" e aponta o software de triagem não atualizado perante alterações nas listas como uma das causas principais de infrações passadas. A secção da OFAC do Manual de Exame BSA/AML da FFIEC exige aos bancos a atualização atempada das listas em todas as suas operações, também sem um prazo fixado.

Trate a gestão de listas como um controlo autónomo

Como a OFAC define o resultado e não o calendário, a gestão de listas de sanções funciona melhor como um controlo autónomo, separado da triagem e da revisão de alertas. A gestão de listas abrange quais as listas no âmbito, como cada inclusão, remoção e alteração chega ao sistema de triagem, quando é feita nova triagem dos clientes e que versão da lista se aplicava em que data. Um arquiteto principal de crimes financeiros num grande banco descreveu essa separação: "Há uma aplicação responsável pela gestão de listas, outra responsável pela ingestão de dados de várias fontes. Depois, há uma aplicação responsável pela geração efetiva dos alertas."

Quando fazer uma nova triagem dos clientes

Faça a triagem de novos clientes antes da abertura de conta ou logo a seguir, e volte a triar clientes existentes sempre que as listas mudarem, com uma periodicidade definida pela avaliação de risco. A secção da OFAC do manual da FFIEC não permite transações para além do depósito inicial até que a verificação feita após a abertura esteja concluída, e a FAQ 28 da OFAC deixa a frequência de varrimento para as "políticas e procedimentos internos" da organização.

O apelo mais claro da OFAC a uma nova triagem surge na sua FAQ 65 sobre seguros, que aponta as atualizações de listas como um momento para fazer triagem e alerta que "A triagem apenas no momento da emissão da apólice pode expor as seguradoras ao risco de sanções". A FAQ 65 foi elaborada para seguradoras, mas a lógica aplica-se a qualquer base de clientes: um cliente aprovado na integração pode ser designado mais tarde.

Um requerente bloqueado nunca deve obter uma conta. A FAQ 42 da OFAC, alterada a 26 de outubro de 2026, afirma que um banco que receba um pedido e depósito inicial de uma pessoa constante da Lista SDN "tem a obrigação de recusar a abertura da conta e bloquear o depósito inicial", depois de confirmar que o requerente é a pessoa listada.

Alguns programas param após a integração: um diretor de tesouraria e conformidade numa fintech de pagamentos e aceitação de cartões descreveu que triava clientes apenas na adesão, enviando depois a lista de clientes todos os meses para ser verificada manualmente. Uma verificação da OFAC apenas na integração mantém a exposição que a FAQ 65 descreve. Quando bem executada, a nova triagem também gera menos ruído: um gestor de OFAC num banco prefere que uma correspondência já analisada não volte a despertar alertas, a menos que a entrada na lista ou os dados do cliente tenham mudado.

Triagem de pagamentos e contrapartes, não apenas de clientes

As regras da OFAC abrangem tanto transações como titulares de contas. A FAQ 45 afirma que "Todas as transações realizadas por uma instituição financeira dos EUA estão sujeitas aos regulamentos da OFAC", e a secção da OFAC do manual da FFIEC determina que transferências de fundos e transações de não clientes sejam verificadas antes da execução. Seguem-se pontos de triagem específicos:

• Beneficiários. A FAQ 95 considera prudente fazer a triagem dos beneficiários de contas na abertura, em atualizações, em triagens periódicas e, "com toda a certeza, no momento do desembolso de fundos".

• Bancos intermediários. A FAQ 116 refere que um banco intermediário sem qualquer relação com uma parte sem conta numa transferência, e sem conhecimento de que essa parte está bloqueada, não tem de investigar partes sem conta que não constem da Lista SDN. O banco deve, ainda assim, conhecer os seus próprios clientes.

• ACH. Segundo o manual da FFIEC, o banco de origem (ODFI) verifica o Ordenante e o banco de destino (RDFI) o Beneficiário, sendo o RDFI responsável pelas transações ACH internacionais de entrada (IATs).

• Pagamentos imediatos. As orientações da OFAC de setembro de 2022 para sistemas de pagamentos imediatos deixam a decisão de triar e o modo como fazê-lo ao critério da avaliação de risco de cada instituição.

Por conseguinte, um programa verifica o que as regras abrangem: clientes na integração e quando as listas ou os seus dados sofrem alterações, e pagamentos e contrapartes à medida que circulam. As contrapartes são a parte mais difícil. O mesmo gestor de OFAC no banco referiu que a equipa terá "alertas tanto sobre os nossos clientes como sobre as contrapartes", e que "por vezes as informações da contraparte são mais difíceis" de obter, pelo que os alertas de transferências implicam frequentemente investigar uma contraparte a partir do zero.

Ajuste de correspondências e falsos positivos

A OFAC deixa a avaliação de cada potencial correspondência ao critério da instituição. A FAQ 5, reformulada a 9 de setembro de 2026, pede às organizações que utilizem toda a informação disponível "para tomar uma decisão baseada no risco sobre a validade de uma correspondência potencial" segundo as suas próprias políticas e perfil de risco, e que mantenham registos da investigação. A OFAC não valida correspondências potenciais nem falsos positivos.

Pseudónimos vagos (weak aliases) recebem um tratamento mais leve. A OFAC não exige a triagem de pseudónimos vagos (FAQ 124). O processamento de uma transação não autorizada que envolva uma entrada na lista continua a ser uma infração, mas a OFAC normalmente não aplicará uma coima civil caso um pseudónimo vago seja a única referência a sanções e o processador mantenha um programa rigoroso baseado no risco (FAQ 125).

A própria Sanctions List Search da OFAC combina correspondência de texto e fonética para nomes (FAQs 246 e 249). O Enquadramento prevê que a tecnologia de triagem seja calibrada para o perfil de risco da instituição e testada regularmente, responsabilizando a instituição pela resolução do que os testes identificarem.

Uma parametrização de correspondência demasiado ampla é uma fonte comum de falsos positivos. Um gestor de BSA numa cooperativa de crédito descreveu um exemplo: "é literalmente o que consideraríamos um alerta sem valor. Baseia-se exclusivamente numa sequência de caracteres e gera correspondência apenas com uma letra dessa sequência". A forma como os alertas são analisados e tratados, inclusive com recurso a agentes, é detalhada no nosso guia sobre agentes de IA para triagem de sanções.

Bloquear ou rejeitar: o que fazer perante uma correspondência confirmada

Uma correspondência confirmada é bloqueada ou rejeitada, e cada ação requer a sua própria comunicação.

Ambas as comunicações são submetidas através do OFAC Reporting System, e os respetivos registos são guardados durante pelo menos 10 anos.

Os bens bloqueados ficam congelados, não confiscados. A FAQ 32, alterada a 26 de outubro de 2026, refere que os fundos bloqueados "devem ser colocados numa conta segregada e remunerada nos registos de uma instituição financeira dos EUA, da qual apenas podem ser feitos débitos autorizados pela OFAC". A exigência de remuneração reside nos regulamentos de cada programa específico, como o 31 CFR 594.203, e não nas regras gerais de comunicação da OFAC constantes da Parte 501.

A rejeição aplica-se quando uma transação é proibida, mas nenhum elemento da mesma é passível de bloqueio. A FAQ 36, alterada a 26 de outubro de 2026, diz que essa transação "deve ser rejeitada e devolvida ao ordenante". Os exemplos apresentados ilustram o limite: um pagamento a um banco iraniano bloqueado é bloqueado, enquanto um pagamento a uma empresa não bloqueada em Teerão é rejeitado.

Um esclarecimento colocado por um cliente difere de uma instrução de pagamento. A FAQ 53, alterada a 26 de outubro de 2026, afirma que um cliente perguntar apenas se pode enviar dinheiro para um local sancionado não é motivo de rejeição, enquanto uma ordem para pagar a uma pessoa bloqueada é bloqueada e comunicada.

Comunicação à OFAC: prazos e o relatório anual

Comunique bens bloqueados à OFAC no prazo de 10 dias úteis a contar da data do bloqueio (31 CFR 501.603), comunique uma transação rejeitada no prazo de 10 dias úteis após a rejeição (31 CFR 501.604) e submeta um relatório anual de todos os bens bloqueados a 30 de junho até ao dia 30 de setembro. Estes são os requisitos essenciais de comunicação da OFAC.

Todos estes relatórios são enviados através do OFAC Reporting System (ORS), obrigatório desde uma norma final provisória com efeitos a 8 de agosto de 2024. A FAQ 49, alterada a 26 de outubro de 2026, indica que os relatórios devem ser submetidos via ORS "no prazo de 10 dias úteis a contar da data da ação", com cópias de documentos de suporte, como instruções de pagamento. Desde uma regra em vigor a 21 de junho de 2019, a comunicação de rejeições abrange todas as transações rejeitadas e não apenas transferências de fundos.

O relatório anual é fácil de esquecer. O lembrete da OFAC de 1 de julho de 2026 refere que "A não apresentação do ARBP até 30 de setembro constitui uma violação do RPPR", o Regulamento de Comunicação, Procedimentos e Sanções da OFAC. A FAQ 50, alterada a 26 de outubro de 2026, reafirma essa obrigação.

A comunicação é a etapa que mais sobrecarrega muitos programas. Um diretor sénior de conformidade (responsável pela OFAC) numa fintech de cartões pré-pagos e pagamentos de consumo afirmou: "A comunicação é um grande foco de dor para mim neste momento". Atividades suspeitas que não correspondam a sanções levantam uma questão distinta, nomeadamente se deve ser submetido um SAR; o nosso guia sobre requisitos de comunicação de SAR abrange os limiares e prazos aplicáveis.

Conservação de registos: 10 anos

Mantenha os registos de transações sujeitas aos regulamentos da OFAC disponíveis para inspeção durante pelo menos 10 anos após a transação, e os registos de bens bloqueados durante todo o período de bloqueio e pelo menos 10 anos após o desbloqueio (31 CFR 501.601). O guia introdutório da OFAC de junho de 2026 indica o mesmo período de 10 anos.

Os requisitos de conservação de registos da OFAC mudaram em 2025. Uma norma final provisória publicada a 13 de setembro de 2024 alargou o período de cinco para 10 anos, com efeitos a 12 de março de 2025, e uma norma definitiva em vigor a 21 de março de 2025 adotou-a sem alterações. A mudança alinha-se com o prazo de prescrição de 10 anos que a lei 21st Century Peace through Strength Act, assinada a 24 de abril de 2024, fixou para infrações às leis de sanções executadas pela OFAC. Orientações mais antigas que ainda refiram cinco anos para registos da OFAC são anteriores à regra dos 10 anos.

Um registo deve também responder a um auditor: quando foi triado um cliente ou pagamento, face a que versão da lista e como foi decidida cada correspondência e por quem. Sem um sistema adequado, essa evidência acaba por ser improvisada: um responsável de assuntos corporativos numa empresa recente de plataforma (não bancária) descreveu fazer triagem manual no site de cada governo e guardar capturas de ecrã com resultados de pesquisa em branco como registo comprovativo.

O Enquadramento da OFAC para Compromissos de Conformidade

O documento "A Framework for OFAC Compliance Commitments" da OFAC, divulgado a 2 de maio de 2019, estipula que cada programa de conformidade de sanções baseado no risco deve incorporar pelo menos cinco componentes essenciais:

1. Compromisso da gestão

2. Avaliação de risco

3. Controlos internos

4. Testes e auditoria

5. Formação

O guia introdutório da OFAC de junho de 2026 continua a remeter para o Enquadramento e reitera os cinco componentes, pelo que este continua a ser a orientação de referência para um programa de conformidade da OFAC.

A triagem insere-se nos controlos internos. No âmbito de testes e auditoria, o Enquadramento estabelece que é responsabilidade da organização "melhorar o seu programa, incluindo todo o software, sistemas e restante tecnologia associados, por forma a suprir quaisquer falhas de conformidade identificadas". A lista de causas principais de infrações passadas no Enquadramento inclui falhas de filtros ou de software de triagem: atualizações perdidas das listas SDN ou SSI, falta de identificadores para bancos designados e omissão de grafias alternativas.

O programa também é tido em conta nas ações sancionatórias. As Diretrizes de Aplicação de Sanções Económicas (Apêndice A ao 31 CFR Parte 501) elencam a existência, natureza e adequação de um programa de conformidade da OFAC baseado no risco como um fator geral, mantendo-se essas diretrizes em vigor segundo os Regulamentos de Sanções da OFAC (31 CFR Parte 505, com efeitos a 25 de setembro de 2026).

Como a Oscilar se enquadra

A Oscilar é a plataforma de risco baseada em agentes para fraude, crédito, integração e conformidade, utilizada por bancos, cooperativas de crédito e fintechs. É uma plataforma unificada: estrutura de dados em tempo real, inteligência de dispositivos e de comportamento, regras e gestão de casos num único ecossistema, com agentes nativos integrados.

Num programa de sanções, o elemento mais determinante é o registo. A Oscilar preserva uma pista de auditoria completa por cada decisão com a fundamentação armazenada, integrando intervenção humana (human-in-the-loop) por conceção, para que uma instituição possa demonstrar como chegou a uma decisão sobre uma correspondência e quem a tomou. Veja como a Oscilar apoia a conformidade AML para bancos.

Perguntas frequentes

A triagem da OFAC é obrigatória por lei?

Nenhuma lei ou regulamento da OFAC exige um regime ou software de triagem específico (FAQs 43 e 124 da OFAC). A lei exige, sim, que uma instituição nunca transacione com uma pessoa bloqueada nem deixe de bloquear bens, sendo a responsabilidade por incumprimento objetiva.

As listas não SDN têm de ser triadas?

A OFAC não toma uma posição vinculativa. As listas não SDN impõem proibições não impeditivas que variam consoante a lista, pelo que a medida certa perante um alerta depende da lista e dos seus regulamentos. Triar ou não cada uma delas é uma decisão baseada no risco que deve ser documentada.

O mero controlo torna uma entidade bloqueada ao abrigo da Regra dos 50 Por Cento?

Não. A FAQ 398 da OFAC indica que a Regra dos 50 Por Cento abrange a propriedade e não o controlo; logo, uma entidade que seja controlada por pessoas bloqueadas, mas da qual estas não detenham 50% ou mais, não fica bloqueada automaticamente. A OFAC pode, contudo, designá-la.

Com que frequência os clientes devem ser submetidos a nova triagem face às listas da OFAC?

A OFAC não estabelece uma frequência fixa. Faça nova triagem dos clientes sempre que as listas da OFAC mudarem, segundo uma periodicidade fixada pela avaliação de risco e pelas políticas escritas da instituição (FAQs 28 e 88 da OFAC).

Quanto tempo tem um banco para comunicar uma transação bloqueada à OFAC?

No prazo de 10 dias úteis a contar da data de bloqueio dos bens (31 CFR 501.603), através do OFAC Reporting System. As transações rejeitadas partilham o mesmo prazo ao abrigo do 31 CFR 501.604.

Durante quanto tempo devem ser conservados os registos de conformidade da OFAC?

Pelo menos 10 anos. Desde 12 de março de 2025, o 31 CFR 501.601 passou a exigir a conservação de registos de transações durante pelo menos 10 anos após a transação, e de registos de bens bloqueados durante 10 anos após o seu desbloqueio; anteriormente, o período era de cinco anos.

Quais são os cinco componentes de um programa de conformidade da OFAC?

O Enquadramento para Compromissos de Conformidade da OFAC de 2019 identifica cinco: compromisso da gestão, avaliação de risco, controlos internos, testes e auditoria, e formação.

A triagem de PEP faz parte da triagem de sanções da OFAC?

Não. As pessoas politicamente expostas não constituem uma lista de sanções, pelo que uma correspondência de PEP, por si só, não motiva um bloqueio ou rejeição. A triagem de PEP é uma questão distinta de diligência devida, explicada no nosso guia sobre triagem de PEP.