Integração Baseada em Risco: Um Guia Prático

Última atualização: Setembro de 2026

A integração baseada em risco significa que todos os candidatos passam pelo mesmo nível mínimo de identidade, e o risco que cada candidato apresenta decide o que é adicionado sobre ele. A regra do Programa de Identificação de Clientes (CIP) define as informações mínimas que um banco coleta e verifica para cada cliente. Acima desse nível mínimo, o perfil de risco do cliente, exigido pela regra de due diligence de clientes (CDD) e desenvolvido pela instituição, decide quais verificações adicionais de identidade, KYC e fraude se aplicam, quando a due diligence aprimorada é iniciada, com que frequência a classificação é revisada e o que o arquivo deve conter quando um auditor perguntar como a classificação foi definida.

Este guia baseia-se nas fontes primárias: as regras de CIP e CDD, as seções relevantes do Manual de Exame do FFIEC BSA/AML e a declaração conjunta de 2022 das agências bancárias federais sobre a abordagem baseada em risco. Ele foi escrito para líderes de risco, fraude e conformidade que desenvolvem ou defendem um fluxo de integração.

Resumo (TL;DR)

• A integração baseada em risco nunca reduz o nível mínimo. Cada candidato atende aos requisitos mínimos do CIP em 31 CFR 1020.220; o risco decide o que é adicionado acima deles.

• A regra de CDD, 31 CFR 1020.210(a)(2)(v), exige um perfil de risco do cliente construído a partir da natureza e do propósito do relacionamento. A seção de CDD do manual do FFIEC (2018) afirma que não há categorias obrigatórias de perfil de risco, portanto, a definição dos níveis cabe à instituição.

• A declaração conjunta das agências de julho de 2022 afirma que nenhum tipo de cliente apresenta um nível de risco único e uniforme. Trata-se de uma orientação e não adiciona novas exigências.

• As verificações em camadas movem-se em ambas as direções: aumentam a exigência quando o perfil justifica, mesmo após a aprovação no KYC, e reduzem a fricção para candidatos que o perfil mostra serem de baixo risco.

• A due diligence aprimorada significa mais informações e revisões mais próximas e frequentes para clientes de maior risco, na abertura da conta e durante toda a duração do relacionamento.

• A classificação, seus motivos, cada etapa de aumento de exigência (step-up) e exceção de sistema (override), bem como o histórico de cada alteração pertencem ao arquivo do cliente, pois um auditor perguntará como a classificação foi determinada.

A resposta curta: o que significa a integração baseada em risco

A integração baseada em risco é a prática de adequar as verificações que um candidato recebe ao risco que ele apresenta, além de um mínimo fixo que se aplica a todos. Cada candidato atende ao nível mínimo do CIP. O perfil de risco do cliente decide então o que é adicionado: verificações extras de identidade, KYC e fraude, um aumento de exigência para mais verificações, due diligence aprimorada e a frequência de revisão do relacionamento após a abertura da conta.

As regras exigem essa abordagem, mas deixam o desenvolvimento a cargo da instituição. A regra de CDD exige procedimentos baseados em risco e um perfil de risco do cliente, e a seção de CDD do manual do FFIEC (2018) afirma que "não há categorias obrigatórias de perfil de risco e o número e detalhamento dessas categorizações variarão com base no tamanho e complexidade do banco". Quantos níveis existem, o que enquadra um candidato em cada um e o que cada nível adiciona é uma política que a instituição escreve, aplica e registra.

A aprovação nas verificações de identidade resolve uma questão mais restrita do que aquela que a integração precisa responder. Uma verificação de KYC confirma que uma identidade declarada existe e coincide com seus documentos em um determinado momento. Ela não estabelece intenção e não comprova que a identidade não foi criada especificamente para passar na verificação. O perfil de risco é onde a instituição registra como espera que seja o relacionamento e o quão arriscado ele é.

Um diretor de BSA em um banco de BaaS definiu todo o trabalho em uma única frase: o AML consiste em "saber quem você é e observar o que você faz". A integração baseada em risco é a primeira metade dessa frase, construída de forma a alimentar a segunda.

O nível mínimo que todo candidato atende

A regra do CIP para bancos, 31 CFR 1020.220, exige que o banco obtenha, no mínimo e antes de abrir uma conta, o nome do cliente, data de nascimento (para pessoas físicas), endereço e um número de identificação, além de verificar a identidade do cliente sob procedimentos baseados em risco. Esses mínimos se aplicam a cada candidato em cada nível. Uma classificação de menor risco nunca remove nenhum deles.

O risco já entra neste nível, na forma como a identidade é verificada. A seção de CIP do manual do FFIEC (2021) afirma que o programa "deve incluir procedimentos baseados em risco para verificar a identidade de cada cliente na extensão razoável e praticável", com base na avaliação do banco sobre os riscos relevantes, incluindo os tipos de contas que mantém e seus métodos de abertura de contas. A mesma seção acrescenta: "Com base em sua avaliação de risco de BSA/AML, um banco pode exigir informações de identificação, além das informações obrigatórias, para determinados clientes ou linhas de produtos".

Portanto, a estrutura da integração baseada em risco está escrita na própria seção do CIP: um conjunto fixo de mínimos e, em seguida, informações e verificações adicionais onde a avaliação de risco exigir. A mecânica do CIP e a sequência de verificação são abordadas em nosso guia para construir um programa de conformidade de KYC. O restante deste guia aborda o que acontece acima do nível mínimo.

O que a abordagem baseada em risco muda e o que ela não muda

Em 6 de julho de 2022, o Federal Reserve Board, o FDIC, o FinCEN, a NCUA e o OCC emitiram uma Declaração Conjunta sobre a Abordagem Baseada em Risco para Avaliar Relacionamentos com Clientes e Realizar Due Diligence de Clientes (FDIC FIL-28-2022, Boletim OCC 2022-18, Federal Reserve SR 22-5). A declaração afirma que "nenhum tipo de cliente apresenta um nível único de risco uniforme ou um perfil de risco específico" e que "os bancos devem aplicar uma abordagem baseada em risco à CDD, inclusive ao desenvolver os perfis de risco de seus clientes".

A instrução prática da declaração é avaliar o relacionamento e não a categoria. Ela diz que os bancos devem "gerenciar relacionamentos com clientes e mitigar riscos com base nos relacionamentos com os clientes, em vez de se recusarem a fornecer serviços bancários a categorias inteiras de clientes". Um tipo de cliente pode elevar o ponto de partida de um perfil, mas a classificação ainda precisa ser alcançada individualmente para aquele cliente.

A declaração é uma orientação, não uma regra. Em seus próprios termos, ela "não altera os requisitos legais ou regulatórios existentes da Lei de Sigilo Bancário/Antilavagem de Dinheiro (BSA/AML), nem estabelece novas expectativas de supervisão". Ela apenas expõe como as agências interpretam os requisitos que já existem.

Os bancos que patrocinam programas de fintech atendem à mesma expectativa em um nível superior. Um vice-presidente sênior de operações de inteligência financeira de um banco com um programa de fintech banking disse que os auditores continuam pedindo à equipe para mostrar como sua abordagem se aplica a cada parceiro de fintech e ao risco desse parceiro. A lógica por relacionamento da declaração de 2022 se aplica tanto ao parceiro quanto aos clientes dele.

Construindo um perfil de risco do cliente

O perfil de risco do cliente é a visão documentada da instituição sobre a finalidade de um relacionamento, como se espera que ele se comporte e quanto risco de lavagem de dinheiro, financiamento ao terrorismo e fraude ele traz. A regra de CDD torna isso um requisito: o programa de um banco deve incluir "procedimentos apropriados baseados em risco para realizar due diligence contínua de clientes", incluindo "compreender a natureza e a finalidade dos relacionamentos com os clientes com o objetivo de desenvolver um perfil de risco do cliente" (31 CFR 1020.210(a)(2)(v)). A regra exige o perfil e deixa seu conteúdo a cargo do banco.

A seção de CDD do manual do FFIEC (2018) estabelece o padrão pelo qual o design é avaliado. O programa para determinar os perfis de risco dos clientes "deve ser suficientemente detalhado para distinguir variações significativas nos riscos de lavagem de dinheiro e financiamento ao terrorismo de seus clientes". Também alerta que "qualquer indicador único não é necessariamente determinante da existência de um risco de cliente menor ou maior" e permite que um perfil de menor risco seja deduzido de "informações inerentes ou autoevidentes, como o tipo de cliente, o tipo de conta aberta ou o serviço ou produto oferecido".

A atividade esperada faz parte do perfil, e é aí que começa grande parte da fricção na integração. Um diretor de BSA em um banco descreveu o problema: "quando integramos um cliente, a forma como fazemos isso ou descobrimos a atividade esperada é muito trabalhosa. Isso cria um processo de integração ruim". Fazer a todos os candidatos o mesmo conjunto longo de perguntas sobre a atividade esperada é um dos motivos pelos quais um fluxo parece pesado; fazer as perguntas que cada nível realmente precisa faz parte do desenvolvimento do processo.

Um perfil construído a partir dos dados de apenas um produto perde a visão do cliente. Um líder de conformidade de AML e MLRO de uma empresa global de transferência de dinheiro disse que a pontuação de risco do cliente não era holística: era fortemente focada em transações, com as transações de varejo de cada perfil pontuadas individualmente. O melhor design é um perfil de risco do cliente único, que a integração, a prevenção à fraude, o crédito e a conformidade possam ler e alimentar, garantindo que a classificação obtida na abertura seja a mesma que a equipe de monitoramento verá mais tarde.

Um perfil de risco do cliente em três níveis

A tabela abaixo é uma forma de organizar os níveis. O manual do FFIEC não exige um número fixo de categorias, portanto, a instituição define os níveis de acordo com seus próprios clientes e produtos.

A tabela descreve a frequência de revisão em relação aos outros níveis. Os intervalos em si são políticas que cada instituição define e documenta para sua própria avaliação de risco.

Separando em camadas as verificações de identidade, KYC e fraude por risco

A separação em níveis significa que o conjunto de verificações que um candidato recebe muda de acordo com seu perfil de risco, em vez de ser executado como um único fluxo fixo. Um gerente de produto técnico que lidera uma reestruturação de KYB em uma empresa de pagamentos descreveu o requisito: "Precisamos que o fluxo de verificação seja dinâmico", com "diferentes modelos de verificação dependendo do setor, nível de risco, país ou outros parâmetros". Cada modelo é a resposta de um nível ao que o candidato precisa comprovar.

Aumente a exigência diante do risco, mesmo após a aprovação no KYC

Uma verificação de KYC aprovada deixa a questão do risco em aberto. Um diretor sênior de gestão de risco de fraude em uma empresa de pagamentos disse: "Eu gostaria de acionar um aumento de exigência (step-up) quando tiver preocupações com fraudes na integração, beneficiários ou verificação do proprietário, mesmo que passem pelo KYC". O perfil de risco aciona o aumento de exigência, independentemente do resultado de qualquer verificação individual.

A fraude de primeira pessoa (first-party fraud) mostra o porquê. Um diretor de risco e conformidade em uma plataforma de empréstimos baseada em IA disse que a fraude que a equipe mais vê é a de primeira pessoa: candidatos que são quem dizem ser, que passarão na verificação de identidade e que não têm a intenção de pagar. As verificações de identidade não conseguem ver a intenção, de modo que o nível precisa se basear em outros sinais, como dados do dispositivo e comportamento, conexões entre propostas e a adequação entre o propósito declarado e o produto.

Reduza a fricção para os candidatos de menor risco

A abordagem baseada em risco funciona nas duas direções. Um diretor sênior de análise de fraude em uma instituição de crédito ao consumidor disse: "se pudéssemos identificar propostas de risco muito baixo para reduzir a fricção na perspectiva de autenticação, acho que isso nos ajudaria". Se um nível nunca remove uma etapa para um candidato de baixo risco, o sistema apenas acumula verificações.

A baixa fricção para a maioria dos candidatos depende de observar o comportamento após a abertura da conta. O CEO de uma fintech de consumo em fase de pré-lançamento descreveu essa compensação: para manter a integração simples, a empresa precisa de "algo que preste atenção a tudo o que o cliente está fazendo", para que possa aumentar a verificação mais tarde se a atividade parecer suspeita. Remover uma etapa na abertura é mais seguro quando o monitoramento está pronto para adicioná-la novamente.

Desenvolva o aumento de exigência pensando nos clientes legítimos

Alguns dos candidatos que passarão pelo aumento de exigência (step-up) serão legítimos. Um chefe de risco de fraude de cartão em uma instituição de crédito ao consumidor disse: "inevitavelmente haverá momentos em que precisaremos aumentar as exigências para clientes legítimos". O processo de step-up deve ser algo que um candidato legítimo possa concluir rapidamente, com um motivo claro e uma próxima etapa evidente.

A orientação de 2021 do FFIEC, "Autenticação e Acesso a Serviços e Sistemas de Instituições Financeiras", apoia essa mesma abordagem em camadas. Ela descreve a segurança em camadas como a incorporação de "múltiplos controles preventivos, de detecção e corretivos", projetados "para compensar possíveis fraquezas em qualquer controle individual", e espera que uma avaliação de risco apoie as decisões sobre quais técnicas de autenticação usar. Os controles de fraude individuais e o que cada um pode ou não detectar são abordados em nosso guia sobre as camadas de uma estrutura de prevenção de fraudes na abertura de contas.

Onde as verificações em camadas falham

• Um único fluxo fixo para todos. Cada candidato passa pelas verificações mais pesadas, clientes legítimos de baixo risco encontram uma fricção desnecessária e o fluxo não gera um nível que a instituição possa usar para classificar o relacionamento.

• Todas as falhas de verificação enviadas para revisão manual. Um líder de risco em uma empresa de remessas disse que, para falhas de verificação de identidade, a revisão manual muitas vezes não tem dados sobre os quais agir, e "o cliente deveria ser orientado a tentar novamente". Encaminhe para revisão apenas o que um revisor puder decidir.

• Um nível definido por um único indicador. O manual do FFIEC diz que nenhum indicador único é necessariamente determinante. Uma classificação baseada em um único ponto de dados é difícil de defender e fácil de burlar.

• Uma classificação que para na abertura da conta. Um sinal de aumento de exigência que nunca chega à equipe de monitoramento ou conformidade é perdido no momento em que a conta é aberta.

• Exceções manuais (overrides) sem registro de motivo. As exceções às vezes são corretas, mas uma alteração manual sem um motivo registrado e sem um aprovador torna a classificação impossível de ser explicada mais tarde.

Quando aplicar a due diligence aprimorada

A due diligence aprimorada (EDD) é a coleta de informações adicionais sobre clientes que apresentam maior risco, seguida de uma revisão mais próxima e frequente. A seção de CDD do manual do FFIEC (2018) descreve desta forma: "A coleta de informações adicionais sobre clientes que apresentam maior risco, conhecida como due diligence aprimorada (EDD), por exemplo, no contexto de correspondentes bancários privados e estrangeiros, faz parte de um programa de due diligence eficaz". Acrescenta que as informações de clientes com perfil de risco mais elevado e suas transações "devem ser revisadas mais de perto na abertura da conta e com maior frequência ao longo do relacionamento com o banco". As contas de private banking e de correspondentes estrangeiros têm regras próprias de due diligence, separadas da prática de integração descrita aqui.

Os gatilhos para EDD são definidos pela instituição, por escrito, e aplicados da mesma forma todas as vezes. Os gatilhos comuns incluem:

• Uma classificação no nível mais alto. O perfil de risco do cliente coloca o candidato no nível que a política atribui ao EDD.

• Informações contraditórias ou que não podem ser verificadas. Informações de identidade, comerciais ou de atividade esperada que não fazem sentido juntas ou que a instituição não consegue confirmar em seus procedimentos de verificação.

• Um produto ou relacionamento de maior risco. Um tipo de produto, canal ou relacionamento que a própria avaliação de risco de BSA/AML da instituição classifica como de maior risco.

• Uma combinação de indicadores. Nenhum indicador individual é necessariamente determinante, portanto, a política define quando vários indicadores juntos são suficientes para mover um candidato para o EDD.

Um gerente de conformidade de parceria bancária em uma instituição de financiamento de automóveis disse que as propostas de maior risco são encaminhadas para a equipe de EDD, cujos analistas verificam a renda, confirmam se o KYC está correto e têm autoridade para recusar a proposta. Essa autoridade deve constar na política, junto com os gatilhos.

O EDD não termina quando a conta é aberta. Um gerente de fraude e conformidade em uma cooperativa de crédito disse que a instituição tem a obrigação de realizar uma revisão de EDD em todos os seus membros de alto risco em um ciclo definido. Cada cliente no nível mais alto deve ter uma data para a próxima revisão de EDD registrada em seu cadastro desde o dia em que a conta é aberta.

Para candidatos que são pessoas jurídicas, os beneficiários finais são identificados e suas identidades são verificadas sob procedimentos baseados em risco (31 CFR 1010.230), e a escolha de um provedor de KYB para candidatos comerciais é uma avaliação separada.

Mantendo a classificação atualizada após a abertura

A regra de CDD tem uma segunda vertente que começa assim que a conta é aberta: "realizar monitoramento contínuo para identificar e reportar transações suspeitas e, com base no risco, manter e atualizar as informações dos clientes" (31 CFR 1020.210(a)(2)(v)). O perfil de risco do cliente é mantido durante toda a vida do relacionamento, e a classificação pode mudar para cima ou para baixo.

A frequência de revisão acompanha a classificação. Um membro da equipe de due diligence de clientes em um processador de pagamentos resumiu a prática em uma frase: "Temos uma revisão periódica baseada em risco". Clientes de maior risco são revisados com mais frequência do que os de menor risco, e qualquer evento que contrarie o perfil, como uma atividade muito fora do que o cliente previu, aciona uma revisão própria.

A população de maior risco está sempre mudando, por isso a lista não pode ser estática. Um diretor de conformidade, BSA e estratégia em um banco comunitário explicou por que uma lista fixa não funciona: "você realmente não pode usar o sistema para manter uma lista de clientes de alto risco porque ela está sempre mudando". A classificação precisa viver no cadastro do cliente e se atualizar conforme o cadastro muda.

A classificação de integração deve acompanhar o cliente até o monitoramento e a conformidade. Um líder de orquestração de fraudes em um grande banco regional descreveu o caso: uma conta é aberta com alguma fricção e alguns alertas de atenção e, logo depois, chega um cheque ou uma transferência; a equipe que processa esse pagamento precisa saber que a conta é nova e que sua abertura não foi simples. Uma identidade sintética sinalizada na integração terá pouca utilidade se o alerta nunca chegar à equipe de monitoramento de transações ou de conformidade.

O mesmo se aplica ao cronograma de EDD. Um analista de BSA em um banco comunitário descreveu o rastreamento manual da lista de clientes de alto risco, de quando vence a revisão de EDD de cada cliente e de quando as visitas presenciais devem ocorrer. As datas de vencimento do EDD e as visitas devem constar no cadastro do cliente, onde a classificação, as revisões e o histórico ficam juntos.

O que registrar para cada decisão de risco na integração

Cada decisão de risco na integração deve deixar um registro escrito que mostre como a classificação foi obtida. Um diretor de conformidade, BSA e estratégia em um banco comunitário descreveu a pergunta do auditor e por que o registro é importante: "como o sistema determinou isso? E se eu não tiver por escrito, não poderei defender". O registro é a resposta para essa pergunta, preparado antes mesmo de ela ser feita.

O arquivo de cada candidato deve mostrar:

• As entradas (inputs). As informações de identidade, KYC, fraude e atividade esperada nas quais a classificação se baseou, com a fonte de cada uma.

• A classificação e seu motivo. O nível atribuído e os fatores que enquadraram o candidato ali, em palavras compreensíveis para um revisor.

• As verificações executadas e seus resultados. Quais verificações foram executadas, em que ordem e o que cada uma retornou, incluindo qualquer nova tentativa.

• Qualquer aumento de exigência (step-up) e o motivo. O que o acionou, o que foi solicitado ao candidato e o resultado.

• Qualquer exceção manual (override), com o motivo e o aprovador. Quem alterou a classificação ou a decisão, quando e por quê.

• A data de vencimento do EDD. Para um cliente de nível superior, a data da próxima revisão de EDD.

• O histórico de cada mudança de classificação. Cada movimentação entre níveis, com data e motivo, e não apenas a classificação atual.

O histórico importa tanto quanto a classificação atual. Um analista de BSA em um banco perguntou se um sistema poderia mostrar cada alteração entre baixo, médio e alto, um "nível de auditoria de seu histórico de classificação de risco". Uma classificação que só pode ser vista em seu estado atual não consegue mostrar a um auditor como chegou lá.

A forma como os fatores são ponderados deve ser documentada de maneira legível para um revisor. Um gerente de conformidade de AML em uma operadora de apostas esportivas online perguntou se a escolha dos coeficientes para um fator de risco "estava documentada de forma clara e legível para reguladores ou auditores". Quando um modelo gera a classificação, a instituição precisa ser capaz de explicá-lo a si mesma primeiro. Um diretor de conformidade em uma financeira de automóveis disse: "Para que possamos garantir que nós mesmos estamos compreendendo".

A explicação também precisa chegar à pessoa que está analisando o caso. Cada decisão deve trazer seus motivos, para que um analista na fila de revisão possa ver por que o candidato passou por um step-up ou foi encaminhado para análise sem precisar reconstruir o caso. Um chefe de risco e conformidade em uma instituição de crédito hipotecário descreveu isso como a parte de governança: como a instituição terá "supervisão sobre a tomada de decisões e geração de evidências" e entregará essas evidências ao regulador.

As exceções manuais (overrides) são permitidas, mas são a exceção. O diretor de conformidade, BSA e estratégia do banco comunitário citado acima descreveu ter encontrado um grande número de clientes pontuados manualmente dentro de um sistema de classificação de risco e questionou qual era o sentido do sistema se a pontuação automática havia sido desativada dessa forma. Cada override deve conter um motivo e um aprovador, e um número crescente de exceções manuais é um sinal de que os níveis precisam ser revistos.

Cada arquivo de EDD deve estar completo em um único lugar. Um analista de BSA em um banco disse que quando os auditores solicitam um arquivo de EDD, todas as informações, incluindo o histórico descritivo, precisam estar juntas. Um funcionário de BSA em um banco comercial comunitário descreveu o padrão para a entrega: "Tudo o que o relatório final precisa ter é o que quer que os reguladores estejam pedindo".

Quem é o dono dos níveis de risco

Os níveis expressam o apetite ao risco, e a instituição é a dona dele. Um vice-presidente de transformação de risco em uma credenciadora de cartões descreveu as taxas de aprovação como política: "É um apetite ao risco". Quando os candidatos ficam fora do que a instituição decidiu aceitar, "sua taxa de aprovação é a sua taxa de aprovação". Os níveis, os gatilhos e a autoridade de aprovação são políticas, aprovadas pelas pessoas responsáveis por esse apetite ao risco.

Para uma fintech que opera por meio de um banco parceiro, o padrão pode ser definido pelo banco patrocinador. Um gerente de produto em uma administradora de programas BaaS descreveu o arranjo: "Temos um processo ditado pelo nosso banco patrocinador". Nesse modelo, a administradora do programa executa o fluxo de integração e a política do banco decide o que cada nível deve incluir.

As equipes de risco devem ser capazes de alterar níveis, gatilhos e tratamentos sem depender da equipe de engenharia. Uma estrutura de níveis que precisa de uma atualização de sistema por parte da engenharia para ser ajustada afasta-se do risco para o qual foi escrita, e o histórico do porquê mudou torna-se mais difícil de manter.

As regras do programa podem mudar. A proposta de regra de programa de AML/CFT do FinCEN, publicada em 10 de abril de 2026, ainda é uma proposta: até 30 de setembro de 2026 nenhuma regra final foi emitida e nada nela constitui ainda uma obrigação.

Executando a integração baseada em risco na Oscilar

A Oscilar executa decisões de integração, fraude, crédito e AML em uma única plataforma, e seu produto de integração de clientes foi desenvolvido para a abordagem em camadas descrita neste guia. A página da Oscilar sobre integração de clientes baseada em risco descreve processos de integração que se adaptam ao perfil de risco de cada usuário e verificações de step-up que acionam a due diligence aprimorada e etapas de verificação adicionais quando necessárias. A Oscilar integra as soluções de KYC e verificação de identidade que a instituição já usa, adiciona inteligência de dispositivos, biometria comportamental e enriquecimento de dados como sinais, e decide sobre o resultado combinado. As verificações de identidade e documentos em si vêm desses provedores.

Para o registro que um auditor solicitará, a Oscilar mantém uma trilha de auditoria completa por decisão com justificativa armazenada e intervenção humana por design. Sua gestão de casos orientada por IA oferece aos analistas filas priorizadas, uma visão holística de cada usuário e uma explicação em linguagem natural do motivo pelo qual o caso de integração foi criado. As equipes de risco podem testar um novo processo com dados históricos e fazer testes A/B nas alterações antes de implantá-las. A interface sem código (no-code) ou com pouco código (low-code) da plataforma permite que ajustem níveis e gatilhos sem esperar pela engenharia.

A Oscilar possui monitoramento automático de modelos abrangendo desvio de dados (data drift), desvio de recursos (feature drift) e desvio de conceito (concept drift), além de KPIs de resultados medidos por segmento, para que uma classificação orientada por modelo possa ser acompanhada conforme a população de clientes muda. A plataforma é especificada para decisões em menos de 100 milissegundos. A Oscilar foi incluída no FCC50 de 2026 da Chartis, seu ranking de fornecedores de tecnologia de conformidade e combate a crimes financeiros, vencendo nas categorias de Customização Sem Código/Pouco Código (Low-Code/No-Code Customization) e Inovação em IA Agêntica (Agentic AI Innovation).

A escolha do software de integração que executa um fluxo baseado em risco é uma avaliação separada, com seus próprios critérios.

Perguntas frequentes

A integração baseada em risco é um requisito regulatório?

As regras exigem a abordagem baseada em risco, mas não um modelo específico para ela. A regra do CIP (31 CFR 1020.220) exige procedimentos baseados em risco para verificar a identidade, e a regra de CDD (31 CFR 1020.210(a)(2)(v)) exige um perfil de risco do cliente e due diligence contínua baseada em risco. A seção de CDD do manual do FFIEC (2018) afirma que não há categorias obrigatórias de perfil de risco, portanto, o número de níveis e o que cada um adiciona cabe à instituição decidir e documentar.

Um nível de baixo risco significa menos verificações de identidade?

Não. Os mínimos do CIP em 31 CFR 1020.220 (nome, data de nascimento para pessoas físicas, endereço e um número de identificação, com identidade verificada sob procedimentos baseados em risco) se aplicam a cada cliente em cada nível. Um perfil de menor risco significa menos verificações adicionadas acima desse nível mínimo, menos fricção na autenticação e revisões menos frequentes após a abertura da conta.

O que deve acionar a due diligence aprimorada na abertura da conta?

A due diligence aprimorada deve começar quando o perfil de risco do cliente coloca o candidato no nível mais alto que a política da instituição atribui ao EDD. Os gatilhos típicos são um produto ou relacionamento que a avaliação de risco da instituição classifica como de maior risco, informações que se contradizem ou não podem ser verificadas e uma combinação de indicadores que, juntos, superam as explicações. A seção de CDD do manual do FFIEC (2018) diz que nenhum indicador individual é necessariamente determinante, portanto, os gatilhos devem ser definidos em política e aplicados de forma consistente.

Com que frequência a classificação de risco de um cliente deve ser revisada?

A classificação de risco de um cliente deve ser revisada em um cronograma definido pela própria classificação, sendo os clientes de maior risco revisados com mais frequência do que os de menor risco, e sempre que ocorrer um evento que contrarie o perfil. A regra de CDD exige monitoramento contínuo e, com base no risco, a manutenção e atualização das informações dos clientes (31 CFR 1020.210(a)(2)(v)). A regra não define um intervalo, portanto, cada instituição estabelece e documenta o seu, e os clientes sob EDD são revisados em um ciclo fixo.

Um banco pode tratar uma categoria inteira de clientes como de alto risco?

Um banco pode usar o tipo de cliente como uma das informações de entrada para um perfil, mas não deve classificar ou recusar uma categoria inteira apenas com base nisso. A declaração conjunta das agências de julho de 2022 afirma que "nenhum tipo de cliente apresenta um nível único de risco uniforme ou um perfil de risco específico" e que os bancos devem gerenciar e mitigar o risco caso a caso, em vez de recusar atendimento a categorias inteiras de clientes. A declaração é apenas uma orientação e não adiciona novas exigências.

O que um auditor esperará ver por trás de uma classificação de risco na integração?

Um auditor esperará ver como a classificação foi determinada, por escrito. Isso significa as entradas de dados, o nível e seus motivos, as verificações executadas e seus resultados, qualquer step-up ou override com o respectivo motivo e aprovador, a próxima data de revisão de EDD para clientes de nível superior e o histórico de cada mudança de classificação. A seção de CDD do manual do FFIEC (2018) espera que o perfil seja detalhado o suficiente para distinguir variações significativas de risco, portanto, o arquivo deve mostrar por que o cliente se enquadrou naquele nível.

A integração baseada em risco se sustenta quando o nível mínimo é o mesmo para todos, os níveis acima dele estão documentados e cada classificação pode ser explicada a partir do arquivo. Para ver como isso funciona na prática, leia sobre a abordagem da Oscilar para a integração de clientes.