Última atualização: outubro de 2026

Os requisitos de envio de SAR resumem-se a um critério: uma instituição financeira dos EUA deve apresentar um relatório de atividade suspeita (SAR) à FinCEN quando uma transação realizada ou tentada por, na ou através dela atingir o seu limite monetário e a instituição souber, suspeitar ou tiver motivos para suspeitar de fundos ilícitos, evasão à Lei de Sigilo Bancário (Bank Secrecy Act), ausência de objetivo lícito aparente ou utilização da instituição para facilitar crimes. Um banco tem 30 dias de calendário a contar da deteção inicial para submeter o relatório, até 60 dias quando não for identificado nenhum suspeito, e deve conservar o SAR e a documentação de apoio durante cinco anos. As FAQ da FinCEN de 9 de outubro de 2025 confirmaram que uma revisão pós-SAR de 90 dias e o registo de uma decisão de não envio não são obrigatórios — aspeto em que as práticas de muitos programas diferem agora das regras.

Resumo

• Os bancos submetem a partir de 5000 $ ao abrigo da regra da FinCEN, e o respetivo regulador federal acrescenta abusos de informação privilegiada em qualquer montante. As empresas de serviços monetários submetem a partir de 2000 $; a maioria das restantes instituições abrangidas a partir de 5000 $.

• O envio deve ocorrer no prazo de 30 dias de calendário a contar da deteção inicial; os bancos têm até 60 dias se não houver suspeito, enquanto as empresas de serviços monetários não beneficiam de prorrogação.

• Um SAR é composto por cinco partes, é submetido eletronicamente à FinCEN, é confidencial, beneficia de proteção legal (safe harbor) e é conservado durante cinco anos.

• Desde outubro de 2025, a revisão de atividade contínua de 90 dias é opcional e não é exigido qualquer memorando de não envio de SAR.

• Dois projetos de lei pretendem aumentar os limites; até 28 de outubro de 2026, nenhum deles se tornou lei.

O que motiva um relatório de atividade suspeita

É obrigatório apresentar um SAR quando uma transação realizada ou tentada por, na ou através da instituição envolver ou totalizar pelo menos o limite aplicável — 5000 $ para bancos nos termos da norma 31 CFR 1020.320 — e a instituição souber, suspeitar ou tiver motivos para suspeitar de uma de três condições. Estes requisitos de comunicação de SAR determinam quando avançar com o envio, e as regras presentes nesta página são indicadas com a redação em vigor a 28 de outubro de 2026.

1. Os fundos provêm de atividade ilegal ou a transação destina-se a ocultar tais fundos ou a evitar um requisito de comunicação.

2. A transação foi concebida para contornar os requisitos da Lei de Sigilo Bancário, o que abrange o fracionamento de montantes (structuring).

3. A transação não tem qualquer objetivo comercial ou lícito aparente e a instituição não encontra uma justificação razoável após a análise dos factos.

As Instruções de Envio de SAR da FinCEN (abril de 2026) e as regras de SAR para entidades não bancárias acrescentam um quarto motivo: a utilização da instituição para facilitar atividades criminosas. Uma movimentação no limite ou perto do limite de 10 000 $ para comunicação de transações em numerário (CTR) não é suficiente por si só; um SAR só é exigido caso a instituição saiba, suspeite ou tenha motivos para suspeitar de evasão à comunicação de CTR (FAQ 1, 9 de outubro de 2025).

A regra da NCUA, 12 CFR 748.1(d), tem um âmbito mais amplo, abrangendo qualquer crime conhecido ou suspeito, ou transação suspeita ligada a atividades de branqueamento de capitais ou violação da Lei de Sigilo Bancário.

Uma correspondência com uma lista de sanções rege-se pelas normas da OFAC e não pela regra de SAR; o nosso guia sobre triagem de sanções da OFAC e gestão de listas aborda este tema.

Quem deve apresentar um SAR e os limites monetários por tipo de instituição

Todas as instituições sujeitas a uma regra de SAR da FinCEN devem efetuar o envio, de acordo com o limite definido para a respetiva categoria.

Cada montante refere-se ao valor que a transação ou padrão de transações envolve ou totaliza.

Uma fintech que disponibilize contas através de um banco parceiro geralmente não é a entidade declarante; cabe ao banco parceiro fazê-lo. «Não, nós não submetemos relatórios SAR», indicou um responsável de conformidade de uma fintech de pagamentos (programa de banco patrocinador); «se tivéssemos de o fazer, a responsabilidade seria provavelmente do nosso banco patrocinador». Um líder de operações de fraude e BSA num banco explicou o ponto de vista da instituição bancária: é esta quem assume a comunicação de SAR pelas suas fintechs parceiras, pelo que valida se eventuais alterações na monitorização não omitem atividade que deva ser comunicada. Uma fintech que seja, em si mesma, uma empresa de serviços monetários submete os seus próprios relatórios SAR a partir de 2000 $.

Qual é o prazo para submeter: a contagem de 30 dias

Um banco deve submeter um SAR no prazo máximo de 30 dias de calendário a contar da data da deteção inicial dos factos que possam justificar o envio; caso não tenha sido identificado nenhum suspeito nessa data, pode utilizar outros 30 dias de calendário para o identificar, não excedendo em caso algum 60 dias após a deteção inicial (31 CFR 1020.320(b)(3)). As regras aplicáveis a entidades não bancárias seguem a mesma lógica, exceto a regra das empresas de serviços monetários: a norma 31 CFR 1022.320(b)(3) concede a estas empresas 30 dias de calendário, sem prorrogação.

Uma infração que exija intervenção imediata, como um esquema de branqueamento de capitais em curso, exige também um contacto telefónico urgente para as autoridades judiciais (e para o OCC nos termos da norma 12 CFR 21.11(d)), devendo o SAR continuar a ser submetido dentro do prazo legal.

Quando começa a contagem

O prazo de submissão do SAR conta-se a partir do momento em que se determina, após análise do alerta, que a atividade é suspeita. A secção de SAR do Manual de Exame FFIEC BSA/AML (texto de 2014) indica que o período «não se inicia até que seja realizada uma análise adequada e se chegue à conclusão de que a transação em análise é 'suspeita' nos termos do regulamento do SAR». A mesma secção estipula que essa análise deve ser concluída num período de tempo razoável.

Assim, a data da decisão funciona como mecanismo de controlo: inicia um prazo passível de auditoria por parte de um examinador, devendo ser registada no local onde os prazos são monitorizados. Um responsável de BSA numa cooperativa de crédito descreveu a falha: o sistema só monitorizava o prazo depois de um SAR ser criado; logo, um caso classificado como suspeito mas ainda sem SAR criado podia ficar sem acompanhamento, arriscando uma entrega fora do prazo.

Fontes: 31 CFR 1020.320(b)(3) e 1022.320(b)(3); FAQ 3 (9 de outubro de 2025) para as linhas opcionais.

Quem decide se deve avançar com o envio

A instituição decide através de um processo que possa demonstrar a um examinador. A secção de SAR do manual da FFIEC (texto de 2014) qualifica a decisão como um juízo inerentemente subjetivo e orienta os examinadores a avaliarem a eficácia do processo de tomada de decisão de SAR, e não cada decisão individualmente. O manual enumera cinco etapas interdependentes: identificação de atividade incomum, gestão de alertas, tomada de decisão sobre o SAR, preenchimento e submissão do SAR e monitorização com envio de SAR para atividade contínua.

Muitos bancos reencaminham cada caso para um comité de SAR, onde, como referiu um membro da equipa de conformidade BSA/AML de um banco, o «responsável determina se submete um SAR ou não». Um elemento da equipa de BSA de outro banco descreveu a verificação prévia à submissão: «quando estamos prontos para colocar o processo em fila para envio, temos alguém a fazer uma segunda revisão».

Um líder de equipa de gestão de casos de um banco referiu que cada processo concluído termina com a decisão de envio ou não envio de SAR, juntamente com a informação de suporte. O trabalho prévio de análise de alertas antes de um caso chegar a esta decisão é abordado no nosso guia sobre automação da revisão de alertas de L1.

Atividade contínua e decisões de não envio, após as FAQ de outubro de 2025

Desde 9 de outubro de 2025, a FinCEN e as agências bancárias federais esclareceram que as instituições financeiras não são obrigadas a realizar uma revisão autónoma após a submissão de um SAR para verificar a continuidade da atividade, nem têm de seguir o calendário de revisão de 90 dias e envio de SAR de atividade contínua aos 120 dias; as instituições que prefiram manter esse calendário podem fazê-lo. As FAQ esclarecem que estas indicações não alteram qualquer obrigação legal da BSA nem estabelecem novas expectativas de supervisão.

A origem da revisão de 90 dias

O prazo de 90 dias surgiu inicialmente como uma recomendação da FinCEN em outubro de 2000, tendo a FAQ 2 indicado que, com o tempo, passou a ser interpretado como uma obrigação ou expectativa de revisão independente após o SAR. Um diretor de prevenção de fraude de um banco descreveu a situação exatamente nesses termos durante uma chamada gravada.

Se optar por seguir o calendário

As instituições que optam pelo calendário facultativo da FinCEN seguem os prazos da FAQ 3 apresentados na tabela acima, e as Instruções de Envio de SAR da FinCEN (abril de 2026) determinam que as datas da atividade do relatório de continuidade devem abranger todo o período de 90 dias. Um membro da equipa de conformidade de AML numa cooperativa de crédito partilhou que continuava a fazer essa verificação manualmente ao fim de 90 dias após cada SAR.

Decisões de não envio

Não existe qualquer exigência ou expectativa ao abrigo da BSA ou dos respetivos regulamentos de aplicação no sentido de documentar uma decisão de não envio de um SAR (FAQ 4, 9 de outubro de 2025); a FinCEN tinha incentivado esta prática no passado, mas sem caráter vinculativo. Quando as políticas internas exigem um registo, uma justificação curta e sucinta é normalmente suficiente na maioria dos casos. O manual da FFIEC ainda não foi atualizado: o seu texto de 2014 sobre SAR continua a indicar que os bancos devem fundamentar documentalmente as decisões sobre SAR, apresentando uma nota que remete os examinadores para as FAQ de 19 de janeiro de 2021 e 9 de outubro de 2025 como orientações mais recentes.

Formalizar a escolha nas políticas internas

Ambas as abordagens são aceitáveis, desde que estejam formalizadas nas políticas internas e sejam cumpridas: manter o ciclo de 90 dias ou recorrer a uma monitorização baseada no risco, avançando para a comunicação sempre que necessário dentro dos prazos habituais. Os registos de não envio funcionam da mesma forma; nenhum é legalmente exigido, mas os examinadores continuam a avaliar o modo como as decisões são tomadas.

O que contém um SAR e como é submetido

Um SAR da FinCEN começa pela indicação do tipo de submissão (inicial, correção ou alteração, atividade contínua ou conjunta) e tem cinco partes, de acordo com as Instruções de Envio de SAR da FinCEN (abril de 2026):

1. Parte I: dados do visado, com uma secção para cada entidade ou indivíduo identificado.

2. Parte II: informações sobre a atividade suspeita.

3. Parte III: instituição financeira onde ocorreu a atividade.

4. Parte IV: contactos da instituição declarante.

5. Parte V: a descrição narrativa dos factos.

A Parte V é a mais importante: uma descrição clara, completa e concisa da atividade, detalhando o que foi fora do comum ou irregular para suscitar a suspeita. As orientações para redigir este texto e como validar uma proposta elaborada por uma ferramenta de suporte estão no nosso guia sobre automação da narrativa do SAR.

O envio do SAR é eletrónico, através do Sistema BSA E-Filing da FinCEN, podendo ser submetido como formulário individual, em lote por XML ou por integração direta entre sistemas. Só é permitido um anexo: um ficheiro CSV com dados em formato de tabela; restantes elementos probatórios devem ser referidos no texto descritivo e arquivados pela instituição, não devendo ser anexados.

Instituições distintas podem submeter um único SAR conjunto sobre uma atividade que envolva todas elas, desde que cada uma valide o documento na íntegra. A submissão conjunta não é permitida quando o visado for administrador, dirigente, colaborador ou proprietário de uma das entidades; nesses casos, cada entidade apresenta o seu próprio relatório SAR.

«O envio do SAR depois de preparado e redigido não é propriamente difícil», afirmou um responsável de conformidade de AML num banco. Já um gestor de risco e conformidade numa entidade de crédito à habitação (não bancária) descreveu o processo manual: descarregar o formulário, preenchê-lo, guardá-lo e carregá-lo com um código PIN. Um diretor de conformidade de uma empresa de gestão de cartões pré-pagos (empresa de serviços monetários) mencionou que os examinadores comparam cada campo do formulário em branco com os registos da instituição e exigem justificações para qualquer divergência.

Confidencialidade, salvaguarda de responsabilidade (safe harbor) e comunicação ao conselho de administração

O SAR, bem como qualquer informação que evidencie a sua existência, é confidencial (31 CFR 1020.320(e)), estando expressamente proibido informar qualquer pessoa envolvida na transação de que esta foi reportada (31 U.S.C. 5318(g)(2)). É permitida a divulgação à FinCEN, a autoridades policiais e a examinadores, bem como a partilha dentro da estrutura societária ou com outra instituição com a qual se elabore um SAR conjunto. A secção de SAR do manual da FFIEC reforça que até a simples confirmação da existência ou inexistência de um SAR está sujeita a confidencialidade.

Salvaguarda de responsabilidade (safe harbor)

Nos termos do artigo 31 U.S.C. 5318(g)(3), a instituição e os seus colaboradores não podem ser responsabilizados perante terceiros por nenhuma via legal ou contratual, incluindo acordos de arbitragem, em virtude do relatório ou pelo facto de não informarem o visado. A regra bancária da FinCEN reafirma esta proteção no artigo 31 CFR 1020.320(f). Esta salvaguarda não impede, contudo, ações sancionatórias instauradas por entidades governamentais.

Comunicação ao conselho de administração

A administração tem o dever de notificar com rapidez o conselho de administração, ou uma comissão por este designada, sempre que o banco submeter um SAR (12 CFR 21.11(h) para bancos nacionais, existindo disposições semelhantes para os restantes bancos e cooperativas de crédito). Se o suspeito for um administrador ou dirigente de topo, o banco apenas notifica os membros do conselho que não sejam visados, nunca o visado.

Um gestor de risco e conformidade de uma entidade de crédito hipotecário (não bancária) sublinhou que apenas um número restrito de pessoas tem acesso à informação de SAR internamente, pelo que o acesso concedido a fornecedores externos foi decisivo na escolha das ferramentas. As condições em que as instituições podem partilhar informações entre si ao abrigo da secção 314(b) sem comprometer o sigilo de um SAR são abordadas no nosso artigo sobre a atualização da secção 314(b) da FinCEN.

Conservação de registos de SAR durante cinco anos

Mantenha arquivada uma cópia de cada SAR e o documento original (ou equivalente comercial válido) da respetiva documentação de suporte durante cinco anos a contar da data de submissão (31 CFR 1020.320(d)). Considera-se que a documentação de apoio acompanha a entrega do SAR, devendo ser facultada mediante pedido à FinCEN, às autoridades policiais e aos reguladores responsáveis pela verificação do cumprimento da Lei de Sigilo Bancário, sem necessidade de notificação judicial formal (subpoena). O manual da FFIEC define esses elementos como todos os documentos ou registos que ajudaram a instituição a concluir que a atividade justificava um SAR.

O que os examinadores procuram num programa de SAR

O manual da FFIEC reconhece que nenhum banco consegue intercetar todas as transações ilícitas, orientando os examinadores para a análise de políticas, procedimentos e processos, validados através de decisões concretas. Um programa devidamente estruturado evidencia:

• Submissões de SAR realizadas no prazo de 30 dias a partir da data de determinação documentada, ou 60 dias na ausência de suspeito.

• Relatórios SAR completos, rigorosos e entregues dentro do prazo.

• Um processo de decisão documentado que é efetivamente aplicado, desde o alerta inicial até à decisão de envio ou não envio de SAR.

• Acompanhamento de atividade contínua de acordo com as regras estabelecidas internamente.

• Controlo de acessos, conservação dos registos por cinco anos e notificação ao conselho de administração para cada SAR.

Falhas mais frequentes

• Iniciar a contagem do prazo no momento em que o formulário SAR é criado, em vez de quando a suspeita é determinada.

• Conceder a uma empresa de serviços monetários o prazo alargado de 30 dias adicionais que só se aplica a outras tipologias de entidades.

• Abandonar o modelo de revisão aos 90 dias sem formalizar a abordagem alternativa nas políticas internas.

• Anexar documentos comprovativos diretamente ao envio do SAR em vez de mantê-los arquivados internamente.

«A última coisa que quero ver é um conjunto de formulários SAR gerados por IA sem validação humana integrada no processo», sublinhou um responsável de garantia de qualidade numa empresa de gestão de cartões pré-pagos (empresa de serviços monetários). Um diretor de conformidade de uma operadora de jogos online (casino/apostas desportivas) comentou que a equipa afere a eficácia do seu programa de SAR pelo que surge após a comunicação: mandados e pedidos de informação de autoridades e reguladores.

Os limites monetários de SAR vão mudar?

Para já, não: a 28 de outubro de 2026, os valores mínimos de SAR mantêm-se inalterados. O projeto de lei H.R. 1799 (Financial Reporting Threshold Modernization Act) propõe subir o limite base de 5000 $ para 10 000 $ e o de 2000 $ para 3000 $; foi apresentado na Câmara dos Representantes a 19 de março de 2026, sem registo de votação em plenário até 28 de outubro de 2026. O projeto S. 3017 (STREAMLINE Act) prevê as mesmas alterações, tendo dado entrada e seguido para comissão em 20 de outubro de 2025. Nenhum dos diplomas foi aprovado como lei.

A proposta da FinCEN de 10 de abril de 2026 destinada a rever as normas dos programas de AML/CFT permanecia em fase de proposta a 28 de outubro de 2026, não prevendo alterações aos limites monetários nem aos prazos de SAR. Em audição a 21 de julho de 2026, o diretor da FinCEN referiu que as FAQ de outubro de 2025 representavam a medida adotada para atenuar a carga operacional do SAR, não tendo anunciado novos limites.

Como a Oscilar ajuda

A Oscilar é a plataforma de risco com recurso a agentes focada em fraude, crédito, integração de clientes (onboarding) e conformidade para bancos, cooperativas de crédito e fintechs. É uma solução unificada: arquitetura de dados em tempo real, inteligência comportamental e de dispositivos, motor de regras e gestão de casos num ambiente único com agentes nativos integrados.

No âmbito de um programa de SAR, o aspeto determinante é o histórico probatório. A Oscilar preserva uma pista de auditoria completa por cada decisão com a justificação arquivada — mantendo intervenção humana por conceção —, permitindo que a data de determinação, as provas e a identificação do decisor estejam sempre acessíveis no caso quando um examinador as solicitar. A responsabilidade da decisão de comunicação, bem como o próprio SAR, mantêm-se nas mãos da sua equipa. Veja como a Oscilar apoia a conformidade em AML para bancos.

Perguntas frequentes

O que é um SAR na atividade bancária?

Um SAR (Suspicious Activity Report), ou relatório de atividade suspeita, é o documento que um banco submete à FinCEN quando sabe, suspeita ou tem motivos razoáveis para suspeitar que uma transação de 5000 $ ou mais envolve capitais ilícitos, contorno à Lei de Sigilo Bancário ou não tem justificação lícita aparente (31 CFR 1020.320). Deve ser submetido por via eletrónica no prazo de 30 dias de calendário a contar da deteção inicial e mantido sob estrita confidencialidade.

Qual das seguintes situações pode exigir o envio de um SAR?

Qualquer uma das seguintes, assim que o valor atinja o limite mínimo: fundos decorrentes de atos ilícitos, estruturação de operações ou outro contorno à Lei de Sigilo Bancário, transações sem propósito económico ou lícito evidente, ou o uso da instituição para fins criminosos. No caso dos bancos, o abuso de informação privilegiada obriga à comunicação para qualquer montante.

Um banco pode exceder os 30 dias se não conseguir identificar um suspeito?

Sim. O banco dispõe de mais 30 dias de calendário para identificar o suspeito, até ao limite total de 60 dias após a deteção inicial (31 CFR 1020.320(b)(3)); as empresas de serviços monetários não beneficiam de prorrogação.

É obrigatório submeter um SAR de atividade contínua a cada 90 dias?

Não. Desde as FAQ publicadas pela FinCEN a 9 de outubro de 2025, não é obrigatório efetuar uma revisão autónoma pós-SAR nem cumprir o ciclo de verificação aos 90 dias com submissão aos 120 dias; contudo, a instituição pode optar por manter esse calendário se assim o desejar.

Os bancos têm de documentar uma decisão de não submeter um SAR?

Não. A FAQ 4 das orientações de 9 de outubro de 2025 indica expressamente que não existe essa obrigação legal ou expectativa; se as normas internas exigirem registo, uma breve justificação é normalmente suficiente.

Os bancos são obrigados a bloquear ou encerrar uma conta quando submetem um SAR?

Não. As FAQ interagências de 19 de janeiro de 2021 estabelecem que a BSA não impõe a cessação da relação de negócio com o cliente, independentemente do número de relatórios SAR emitidos; a decisão cabe à própria instituição. O banco pode aceder a um pedido formal por escrito das autoridades para manter uma conta aberta, sem que a tal esteja legalmente obrigado, continuando a ter o dever de emitir relatórios SAR sobre a mesma (FinCEN FIN-2007-G002, 13 de junho de 2007; 31 U.S.C. 5333).

É possível avisar um cliente de que foi submetido um SAR a seu respeito?

Não. O artigo 31 U.S.C. 5318(g)(2) proíbe expressamente que se informe qualquer pessoa interveniente numa transação reportada sobre esse envio, e a norma 31 CFR 1020.320(e) determina o sigilo absoluto sobre quaisquer dados que revelem a existência de um SAR.

Quem submete o SAR quando uma fintech disponibiliza contas através de um banco?

Regra geral, a obrigação recai sobre o banco parceiro, visto que a regulamentação abrange transações realizadas por, no ou através do banco. Se a própria fintech estiver registada como empresa de serviços monetários, terá de emitir os seus próprios relatórios SAR para montantes a partir de 2000 $ (31 CFR 1022.320).