Plano de remediação PLD na Espanha: encerrar os achados com evidências

De três lugares, e muitas vezes dos três ao mesmo tempo: da ata de uma atuação do SEPBLAC, do relatório do perito externo que examina o seu sistema e da sua própria revisão interna ou auditoria de PLD. Eles também aparecem por via indireta, quando um banco correspondente ou um parceiro envia um questionário e detecta lacunas.

A primeira coisa que fazemos é consolidá-los em uma lista única, porque costumam vir com linguagens diferentes e duplicidades: o que o perito chama de ressalva e o inspetor descreve como descumprimento às vezes é o mesmo buraco descrito duas vezes.

A auditoria observa e diagnostica; a remediação conserta e demonstra. São trabalhos diferentes, e convém não misturá-los nem encomendá-los por inércia à mesma pessoa sem pensar.

Na verdade, a ordem lógica é: diagnóstico (auditoria ou relatório de perito) → plano de remediação priorizado → execução com evidências → verificação independente do encerramento. Se falta o primeiro passo, começamos por ele; se você já tem a lista de achados, entramos diretamente no segundo e não cobramos para redescobrir o que você já sabe.

Um documento datado que permite a alguém de fora comprovar, sem a sua ajuda, que a ação foi feita. Exemplos reais: a ata do órgão de controle interno que aprova o novo procedimento, a versão do manual com a data de entrada em vigor, a lista de presença do treinamento, o print do sistema com o controle ativado, o dossiê de cliente completo com a data de revisão ou o e-mail com que a mudança foi comunicada à equipe.

O que não é evidência: um “feito” em uma planilha, um e-mail interno dizendo que algo será feito e uma política aprovada que ninguém distribuiu.

Não de uma vez nem por ordem alfabética. A remediação da carteira é atacada por lotes de risco: primeiro os clientes de maior risco segundo a sua autoavaliação (estruturas societárias opacas, jurisdições sensíveis, pessoas politicamente expostas, operações com dinheiro em espécie ou volumes anômalos), depois o restante, em ondas planejadas.

Essa abordagem tem duas vantagens: reduz o risco real antes do risco formal e produz evidência desde o primeiro lote revisado. Além disso, permite explicar ao supervisor um critério, que é justamente o que se espera de um sujeito obrigado que age com base no risco, e não por inércia.

O plano é proposto pela área de compliance, mas aprovado lá em cima: órgão de administração e órgão de controle interno, com ata. Essa aprovação não é burocracia: é o que transforma uma lista de boas intenções em um compromisso da entidade, com recursos atribuídos e com alguém que responde por cada ação.

Depois, o acompanhamento volta ao mesmo lugar: cada revisão periódica do estado do plano é levada ao órgão, documenta-se o que foi encerrado e decide-se o que fazer com o que atrasou. Esse ciclo, registrado em atas, é metade da credibilidade do plano.

Sim, e é até recomendável. O que você não pode fazer de jeito nenhum é mexer na documentação do passado para que pareça que estava tudo certo. A remediação é feita daqui para a frente, com a data real de cada ação, e é documentada como correção posterior.

Feita assim, é uma das poucas coisas que jogam a seu favor enquanto o processo está em curso. Feita de outro modo, arruína a defesa inteira. Explicamos em detalhe em defesa em processo sancionador.

Depende de duas variáveis, e nenhuma delas é o número de achados: o tamanho da carteira histórica que precisa ser revisada e a capacidade real da equipe que vai executar. Um plano com muitos achados documentais pode ser encerrado rápido; um com poucos achados, mas que obriga a refazer milhares de dossiês de clientes, é um projeto de longo prazo.

Por isso o plano é desenhado em ondas e com marcos parciais verificáveis: interessa poder demonstrar avanço sustentado desde o início, em vez de chegar com tudo encerrado na véspera do dia em que alguém pergunta.

Podemos executar as partes terceirizáveis (revisão e complementação de dossiês de clientes, reescrita de procedimentos, treinamento, preparação de evidências, acompanhamento do plano) e trabalhar lado a lado com a sua equipe no restante. É o que fazemos na terceirização de PLD.

Mas a regra é a de sempre: a responsabilidade não se terceiriza. A sua entidade continua sendo o sujeito obrigado, o seu órgão de administração continua aprovando e o seu representante perante o SEPBLAC continua respondendo. Nós contribuímos com braços, critério e método; a titularidade do sistema fica dentro de casa.

Ele é documentado, o que é muito diferente de escondê-lo. Há ações que dependem de um desenvolvimento de TI, de um fornecedor ou de uma decisão de negócio e que não se resolvem no prazo previsto. Nesse caso, registra-se o motivo, a medida compensatória que você aplica enquanto isso e a nova data comprometida, aprovada pelo órgão correspondente.

Um plano com um atraso explicado e mitigado é perfeitamente defensável. Um plano com um encerramento falso, não: é exatamente o tipo de achado que transforma uma revisão de rotina em um problema sério.