Regras de Monitoramento de Transações vs. Modelos de Machine Learning

Última atualização: Setembro de 2026

Regras de monitoramento de transações versus machine learning raramente é uma decisão de exclusão em programas de prevenção à lavagem de dinheiro (AML). As regras trazem cobertura: as tipologias conhecidas de AML e as linhas de políticas que um fiscal pode mapear para um sinal de alerta. Os modelos de machine learning trazem contexto e prioridade onde os limites fixos falham. O que mais difere é a evidência que cada abordagem deve a um fiscal, e as diretrizes revisadas sobre risco de modelos de abril de 2026 mudaram a forma como essa pergunta é feita.

Resumo

• As regras cobrem tipologias e diretrizes políticas conhecidas. Os modelos de machine learning comparam cada cliente com seu próprio histórico e com seus pares, e classificam os alertas por risco.

• Sob as diretrizes revisadas de risco de modelos (SR 26-2, Boletim OCC 2026-13 e FDIC FIL-15-2026), a exclusão de regras determinísticas se aplica apenas quando nenhuma teoria estatística, econômica ou financeira fundamenta seu design ou uso. Cada instituição classifica seus próprios cenários e documenta a decisão.

• As diretrizes nunca mencionam BSA/AML, e o manual do FFIEC ainda prevê que o sistema de monitoramento seja validado de forma independente, independentemente de como seus cenários sejam chamados.

• Uma regra deve um mapeamento de tipologia, uma justificativa de limite e testes quando é alterada. Um modelo deve validação, monitoramento após o lançamento e contestação eficaz. Ambos devem um registro de decisão que um fiscal consiga reconstruir.

Qual é a diferença entre o monitoramento de transações baseado em regras e por machine learning?

A diferença entre o monitoramento de transações baseado em regras e o por machine learning está na origem da lógica que gera um alerta. No monitoramento baseado em regras, uma pessoa define uma condição, como um valor, uma contagem ou um padrão ao longo de um período, e o sistema gera um alerta quando a atividade atende a essa condição. No monitoramento por machine learning, um modelo aprende como é a atividade normal a partir de dados históricos, pontua a nova atividade em relação a essa expectativa para o cliente ou seus pares, e sinaliza ou classifica o que parece incomum.

Os fiscais bancários seguem a mesma linha. O manual de fiscalização publicado pelo Conselho Federal de Exame de Instituições Financeiras (FFIEC) afirma que "os sistemas de monitoramento de vigilância incluem sistemas baseados em regras e sistemas inteligentes", e que os sistemas inteligentes "são adaptáveis e podem filtrar transações, com base no histórico de atividade da conta ou comparar a atividade do cliente com um grupo de pares pré-estabelecido ou outros dados relevantes". Os fornecedores costumam chamar uma regra de cenário.

Os programas geralmente executam ambos, de modo que a pergunta mais útil para um diretor de risco é o que cada abordagem precisa provar a um fiscal. Se o monitoramento ocorre em tempo real ou em lotes é uma escolha separada, abordada em um guia de monitoramento de transações em tempo real.

O que as regras fazem bem e onde elas falham?

As regras de monitoramento de transações, muitas vezes chamadas de regras ou cenários de AML, funcionam melhor quando uma tipologia ou linha de política pode ser definida com precisão. Uma regra é mapeada diretamente para um sinal de alerta específico, e uma equipe pode alterá-la e explicar a mudança no mesmo dia. Os fiscais sabem como ler as regras: um líder de conformidade de BSA/AML em um banco comunitário disse que os fiscais tratam um fornecedor de monitoramento estabelecido como já auditado e se concentram em como o banco o calibrou.

O manual do FFIEC associa uma obrigação a essa clareza: "A gestão deve documentar e ser capaz de explicar os critérios de filtragem, os limites utilizados e como ambos são adequados aos riscos do banco". As regras falham quando esses limites envelhecem. Um oficial de estratégia de risco de conformidade em um banco regional descreveu regras tão antigas que a carteira e os dados do banco já haviam superado o propósito para o qual foram escritas, gerando um grande volume de alertas e pouco trabalho produtivo. Um limite compartilhado por segmentos de clientes que se comportam de maneira diferente também perde a comparação entre pares que separa a atividade normal da incomum.

Um conjunto de regras só é explicável se a instituição puder visualizá-lo. Um gerente de conformidade de BSA/AML/OFAC em uma cooperativa de crédito disse que, quando os reguladores perguntam como os alertas são gerados, a equipe não pode mostrar as regras específicas, porque seu fornecedor de monitoramento oferece apenas uma visão de alto nível. Os validadores querem a mesma visibilidade: um gerente de sistemas de tecnologia de BSA/AML/OFAC em um banco comunitário disse que eles vão querer "ver obviamente todas as regras subjacentes e a lógica das consultas", além de consultar o banco de dados por conta própria.

Como testar e documentar uma alteração de limite para que a cobertura seja mantida é abordado em um guia separado sobre redução de falsos positivos em AML.

O que os modelos de machine learning fazem bem e onde eles falham?

Os modelos de machine learning são mais úteis onde um limite fixo não consegue diferenciar uma atividade normal de uma incomum. Um modelo pode comparar um cliente com seu próprio histórico e com pares de comportamento semelhante, identificar padrões que nenhuma regra previu e classificar os alertas para que os analistas vejam os de maior risco primeiro. Um diretor de engenharia em uma fintech resumiu o caso de forma simples: "as máquinas são melhores para calibrar limites do que os humanos".

Os modelos trazem seus próprios custos: exigem dados históricos de boa qualidade, rotulados com resultados anteriores, e são mais difíceis de explicar. O mesmo diretor de engenharia definiu o limite: "Você não quer algo supercomplicado, um modelo que não seja compreensível por humanos, porque muitas vezes você não tem dados suficientes para seguir por esse caminho". Um modelo deve permanecer tão simples quanto os dados permitirem, pois um fiscal não pode acompanhar um modelo que ninguém consegue explicar.

A explicabilidade é testada duas vezes. Um validador ou fiscal perguntará como o modelo foi construído, e um gerente de conformidade de AML em uma operadora de jogos online espera que o regulador pergunte como a equipe determinou "quais coeficientes principais usar para este fator de risco" e se isso foi documentado claramente. O analista que avalia o alerta também precisa dos motivos, portanto, cada decisão do modelo deve conter códigos de motivo que o analista possa ver na fila de trabalho.

Empilhar sistemas opacos torna o modelo ainda mais difícil de explicar. Um executivo sênior de risco de modelos em um banco regional disse que as equipes de risco de modelos costumavam reclamar que abordagens de machine learning, como redes neurais, eram caixas-pretas e que agora "é como uma caixa-preta em cima de outra caixa-preta, certo? Portanto, não há transparência nas tomadas de decisão que estão ocorrendo". Quando um sistema opaco avalia a saída de outro, os testes de resultados precisam carregar a maior parte do peso.

Regras e modelos, lado a lado

As regras e os modelos de machine learning diferem principalmente nas evidências que cada um precisa produzir.

Independentemente da coluna em que o cenário se enquadre, o manual do FFIEC prevê que o sistema de monitoramento como um todo seja validado de forma independente.

Uma regra de monitoramento é considerada um modelo sob as diretrizes revisadas?

Uma regra de monitoramento de transações pode ficar fora da definição revisada de modelo, mas a exclusão é condicional: ela cobre processos determinísticos baseados em regras apenas quando nenhuma teoria estatística, econômica ou financeira fundamenta seu design ou uso. Se um determinado cenário atende a essa condição é uma classificação que cada instituição deve fazer e documentar.

Em 17 de abril de 2026, o Federal Reserve, o OCC e o FDIC emitiram diretrizes revisadas de gestão de risco de modelos como SR 26-2, Boletim OCC 2026-13 e FDIC FIL-15-2026. Elas substituem a SR 11-7 e a SR 21-8, a declaração interinstitucional de 2021 sobre risco de modelos para sistemas de BSA/AML. As diretrizes definem um modelo como "um método, sistema ou abordagem quantitativa complexa que aplica teorias estatísticas, econômicas ou financeiras para processar dados de entrada em estimativas quantitativas". O termo "exclui cálculos aritméticos simples, como os encontrados em planilhas, bem como processos determinísticos baseados em regras e softwares nos quais não existam teorias estatísticas, econômicas ou financeiras que fundamentem seu design ou uso".

Analisando de perto, a exclusão de regras traz uma condição. Um limite fixo definido por política, sem base estatística, parece excluído. Um limite derivado de análises estatísticas dos próprios dados da instituição não é coberto pela exclusão, de modo que, sob uma interpretação, essa regra pode se enquadrar na definição, assim como um modelo de pontuação ou segmentação. As agências não publicaram perguntas frequentes junto com as diretrizes, portanto, esta continua sendo uma interpretação do texto e não há motivo para tratar qualquer conjunto de regras como fora do escopo.

A nota de rodapé 3, anexada à definição, acrescenta dois pontos. As próprias "práticas de governança e gestão de risco do banco devem orientar a determinação de governança e controles apropriados para quaisquer ferramentas, processos ou sistemas não cobertos neste documento", o que parece abranger também uma regra excluída. Os princípios das diretrizes "aplicam-se a modelos estatísticos e quantitativos tradicionais e modelos de IA não generativos e não baseados em agentes", o que engloba modelos de machine learning que pontuam e classificam alertas. A IA generativa e a baseada em agentes estão fora de seu escopo, e as agências informaram que planejam emitir uma solicitação de informações sobre o uso de IA pelos bancos.

As diretrizes revisadas nunca mencionam o Bank Secrecy Act, AML, monitoramento de transações ou sanções, de modo que a classificação da lógica de monitoramento apoia-se na definição geral. Algumas instituições gerenciam tudo como modelos de qualquer forma: um oficial de estratégia de risco de conformidade de um banco regional disse que o banco trata cada cenário de monitoramento como um modelo para fins de governança, embora apenas alguns dependam de machine learning ou de técnicas de modelagem mais sofisticadas. Espera-se que as diretrizes "sejam mais relevantes para organizações bancárias com mais de US$ 30 bilhões em ativos totais", embora também possam ser relevantes para bancos menores com exposição significativa ao risco de modelos.

Como um modelo de monitoramento é validado de ponta a ponta é abordado em um guia separado sobre validação de modelos de AML.

Quais evidências cada abordagem deve apresentar a um fiscal?

As regras e os modelos de machine learning exigem do fiscal um conjunto diferente de evidências, e ambos devem um registro de decisão que o fiscal possa reconstruir a partir de suas entradas e justificativas.

Uma regra deve:

• um mapeamento documentado para a tipologia ou sinal de alerta que se propõe a identificar

• uma justificativa de limite que demonstre por que o limite é adequado aos riscos da instituição

• testes sempre que houver alteração e revisões periódicas para mostrar que continua funcionando

• um motivo claro que o analista possa ler quando o alerta for acionado

Um modelo deve:

• validação de sua solidez conceitual, de seus dados e de seus resultados

• monitoramento após o lançamento para desvios de dados, de variáveis e de conceito, bem como para resultados por segmento de clientes

• contestação eficaz por parte de pessoas com experiência para questioná-lo, "independência suficiente para manter a objetividade, bem como prestígio e influência organizacional para efetuar qualquer mudança", nas palavras das diretrizes revisadas

• códigos de motivo claros que cheguem ao analista que avalia o alerta

Uma expectativa abrange regras e modelos igualmente, independentemente do que diz a definição. O manual do FFIEC afirma que "a metodologia de programação e a eficácia do sistema de monitoramento devem ser validadas de forma independente para garantir que os modelos estejam detectando atividades potencialmente suspeitas". Essa frase é anterior às diretrizes revisadas, chama os sistemas de monitoramento de "modelos" e não depende do tamanho dos ativos.

O modelo de um fornecedor ainda é de responsabilidade da instituição para validação: as diretrizes revisadas reconhecem que os bancos "podem não receber do fornecedor o código subjacente, os dados ou a metodologia" e afirmam que "os princípios de gestão de risco de modelos continuam aplicáveis". A mudança de abordagem é, por si só, uma alteração que o fiscal desejará ver documentada. Como disse um oficial de BSA em uma transmissora de fundos: "É uma mudança e só precisamos provar aos nossos fiscais e bancos parceiros que é uma mudança para melhor, certo?"

Como as regras e os modelos funcionam juntos na prática?

Regras e modelos geralmente trabalham juntos em um de dois padrões: um modelo encontra um padrão e uma regra o implementa, ou as regras geram os alertas e um modelo os classifica. Em ambos, a cobertura das tipologias permanece em regras que um fiscal consegue ler.

Um gerente de análise de risco em um banco regional descreveu o primeiro padrão: a equipe executa análises de cluster para encontrar padrões e, em seguida, converte o resultado em regras e tabelas porque o sistema de monitoramento do banco só consegue executar regras. Esse modelo híbrido também confunde a questão do modelo, pois quando a análise estatística define os parâmetros de uma regra, o design da regra se baseia no tipo de teoria da qual depende a exclusão.

O segundo padrão permite que a atenção do analista acompanhe o risco enquanto a cobertura permanece ativa. Um gerente de governança de risco de AML em um banco regional descreveu o problema que isso resolve: monitoramento baseado em perfil que cobria as tipologias esperadas pelos reguladores, mas gerava um grande volume de alertas. Alguma lógica permanece nas regras de qualquer forma, como disse um diretor de risco em um banco digital: "Existem analistas que vão calibrar regras o tempo todo porque nem tudo pode estar em um modelo".

As agências anteciparam o caso em que um modelo encontra o que as regras não viram. Sua declaração conjunta de 2018 sobre inovação diz que quando "sistemas de monitoramento de transações baseados em inteligência artificial" encontram atividades suspeitas que os processos existentes teriam perdido, "as Agências não presumirão automaticamente que os processos existentes dos bancos são deficientes".

O que acontece com um alerta depois que ele é gerado, independentemente da abordagem que o criou, é abordado em um guia separado sobre automação de alertas de L1 em AML. Para a detecção de fraudes, em que a decisão é uma autorização e não um alerta, a mesma comparação aparece em um guia separado sobre detecção de fraudes por machine learning versus regras.

Onde estão as fontes primárias?

As fontes primárias sobre regras, modelos e monitoramento de transações são quatro documentos, cada um publicado por sua respectiva agência emissora:

• SR 26-2 e seu anexo (Federal Reserve), com o Boletim OCC 2026-13 e FDIC FIL-15-2026, emitidos em 17 de abril de 2026: a definição de modelo e exclusões, nota de rodapé 3, modelos de fornecedores e contestação eficaz.

• O Manual de Fiscalização de BSA/AML do FFIEC, na sua seção de relatórios de atividades suspeitas: sistemas baseados em regras e inteligentes, limites e validação independente. O texto sobre monitoramento permanece inalterado em substância desde 2014.

• A Declaração Conjunta de 2018 sobre Esforços Inovadores para Combater a Lavagem de Dinheiro e o Financiamento ao Terrorismo, ainda em vigor: projetos-piloto e monitoramento de transações baseado em IA.

• A proposta de regra do programa de AML/CFT do FinCEN (91 FR 18704, abril de 2026), que ainda é uma proposta. Ela "não faz referência nem exige o uso de nenhuma tecnologia específica" e questiona quais componentes do programa, como "regras e parâmetros de monitoramento de transações", devem ser exigidos por escrito.

Nenhuma das abordagens é obrigatória. A declaração de 2018 afirma que as agências "não defenderão um método ou tecnologia específica", e o manual do FFIEC diz que a sofisticação dos sistemas de monitoramento "deve ser ditada pelo perfil de risco do banco". No entanto, as perguntas dos fiscais mudaram: um diretor global de operações de conformidade em uma empresa de criptomoedas disse que os fiscais antes avaliavam um programa pela quantidade de alertas e de pessoas que os revisavam, e agora perguntam se o programa está sendo estratégico, incluindo se IA e machine learning estão em uso.

Como a Oscilar aborda regras e modelos

A Oscilar executa regras configuráveis ao lado de históricos de comportamento, detecção de anomalias e priorização de alertas, de modo que os modelos adicionam contexto enquanto as regras permanecem explicáveis e uma pessoa revisa o resultado. Tanto as regras quanto os modelos podem passar por testes retroativos, testes A/B e testes unitários em relação a dados históricos antes de entrarem em operação, e o modelo de priorização de alertas da Oscilar classifica os alertas "com base em sua relevância e risco potencial".

Após o lançamento, a Oscilar monitora desvios de dados, de variáveis e de conceito, juntamente com KPIs de resultados por segmento, além de monitorar vieses. Cada decisão mantém uma trilha de auditoria completa com justificativas armazenadas, e a plataforma é projetada com intervenção humana contínua por padrão. Os bancos operam sob as diretrizes interinstitucionais de gestão de risco de modelos, e a plataforma foi desenhada para se adaptar a elas; o banco mantém seus próprios padrões de validação, autoridade de aprovação e responsabilidade regulatória.

Perguntas frequentes

O machine learning pode substituir as regras no monitoramento de transações de AML?

O machine learning raramente substitui as regras por completo no monitoramento de transações de AML, pois as regras ainda trazem as tipologias e linhas de política que um fiscal espera ver mapeadas. Os modelos adicionam contexto e priorização, e a declaração conjunta sobre inovação de 2018 das agências afirma que elas não presumirão automaticamente que os processos existentes são deficientes quando um sistema baseado em IA encontrar atividades suspeitas que esses processos perderam.

Que testes e validações cada abordagem precisa?

Uma regra precisa de um mapeamento de tipologia documentado, uma justificativa de limites, testes sempre que for alterada e revisões periódicas. Um modelo de machine learning precisa de validação de sua solidez conceitual, dados e resultados, monitoramento após o lançamento e contestação eficaz por revisores independentes. Independentemente de como o cenário seja chamado, o manual do FFIEC prevê que a metodologia de programação e a eficácia do sistema de monitoramento sejam validadas de forma independente.

Qual abordagem é mais fácil de explicar a um fiscal?

Uma regra costuma ser mais fácil de explicar a um fiscal, que pode ler a condição, o limite e a atividade que a acionou. Um modelo pode ser igualmente explicável quando cada alerta traz códigos de motivo e a instituição consegue mostrar como as entradas do modelo foram escolhidas e validadas, enquanto um conjunto de regras oculto no sistema de um fornecedor pode ser mais difícil de explicar do que ambos.

Como é um modelo híbrido de regras e modelos na prática?

Um modelo híbrido de regras e modelos geralmente assume uma de duas formas. Ou um modelo, como uma análise de cluster, encontra um padrão que a equipe converte em uma regra que o sistema de monitoramento consegue executar, ou as regras geram os alertas e um modelo os classifica para que os analistas trabalhem primeiro nos de maior risco.

Onde as equipes podem encontrar as fontes regulatórias primárias sobre monitoramento e risco de modelos?

As fontes primárias são o documento SR 26-2 e seu anexo do Federal Reserve, com o Boletim OCC 2026-13 e o FDIC FIL-15-2026; a seção de relatórios de atividades suspeitas do Manual de Fiscalização de BSA/AML do FFIEC; e a Declaração Conjunta de 2018 sobre Esforços Inovadores para Combater a Lavagem de Dinheiro e o Financiamento ao Terrorismo. A regra do programa de AML/CFT do FinCEN, publicada em abril de 2026 em 91 FR 18704, ainda é uma proposta.

Regras e modelos de machine learning respondem a perguntas diferentes no monitoramento de transações de AML, e um programa defensável documenta ambas as respostas junto com o registro por trás de cada decisão. Para ver regras e modelos configuráveis funcionando lado a lado com uma trilha de auditoria completa, leia sobre monitoramento de transações de AML para bancos.