5 melhores práticas para uma governança de dados eficaz em PLD

Os dados são a espinha dorsal de qualquer programa eficaz de Prevenção à Lavagem de Dinheiro (PLD/FT). A qualidade, a consistência e a integridade desses dados determinam se uma instituição consegue detectar operações suspeitas em tempo hábil, cumprir obrigações perante o BACEN e o COAF e, no limite, evitar fiscalização, sanções e responsabilização civil da própria diretoria.

A Circular BACEN 3.978/2020 não fala em "governança de dados" com essas palavras. O que ela exige é resultado: uma avaliação interna de risco consistente, monitoramento efetivo e comunicações confiáveis ao COAF. O ponto que costuma passar despercebido é que nenhum desses resultados se sustenta sobre um dado incompleto, desatualizado ou não rastreável. Tratar a qualidade do dado como fundamento do programa não é uma exigência literal da norma. É o caminho mais seguro para cumpri-la, e a oportunidade de ir além dela em confiabilidade e defensabilidade.

A governança de dados em PLD se resume a garantir que cinco camadas funcionem juntas: propriedade definida por domínio, qualidade e linhagem verificáveis, IA com decisão explicável, auditoria contínua e uma trilha imutável pronta para o regulador. Quando o fiscal do Sistema Financeiro Nacional (SFN) pergunta por que uma decisão foi tomada, a resposta não pode depender de memória ou de planilha reconstruída depois do fato. Precisa estar documentada, íntegra e disponível na hora.

A seguir, as cinco práticas que separam uma governança formal e defensável de um conjunto informal de regras que não resiste a uma auditoria.

Prática 1: Defina propriedade e responsabilização por domínio de dado

Governança começa por saber quem responde pelo quê. Sem propriedade definida, um problema de qualidade não tem dono, e, quando o regulador aponta a inconsistência, a instituição não tem a quem recorrer internamente para corrigir e explicar.

Na prática, isso significa atribuir responsáveis (data owners) para cada domínio relevante à PLD:

• Cadastro de clientes e documentação de KYC.
• Histórico de transações que alimenta o monitoramento.
• Scores e classificações de risco internas.

Para a diretoria, essa é a camada que reduz a exposição pessoal. Uma estrutura formal, com comitê de governança reunindo Compliance, Tecnologia, Operações e Riscos, e com políticas publicadas de qualidade, linhagem e retenção, demonstra ao supervisor que a instituição exerce controle real sobre suas informações. Não improvisa a cada demanda de fiscalização.

Prática 2: Garanta qualidade e linhagem em duas camadas de dados

Um erro comum é tratar todos os dados de PLD como iguais. Eles não são, e confundir as duas camadas subestima o rigor que cada uma exige.

Dados primários (cadastro, transações, KYC e scores internos) são de responsabilidade integral da instituição. Aqui a governança precisa de validação automatizada que sinalize anomalias: registros sem campos obrigatórios para pontuação de risco, classificações não revisadas após mudança relevante no comportamento do cliente, inconsistências entre sistemas.

Dados de referência (listas de sanções, cadastros de PEP e mídias negativas) são obtidos e mantidos por bureaus e provedores especializados. Aqui vale uma distinção importante: a responsabilidade pela decisão final continua sendo da instituição, mesmo quando a lista é mantida por um terceiro. O que se terceiriza é o trabalho operacional de manter as listas atualizadas, não o dever de entender e justificar como elas entram na decisão.

A boa prática é orquestrar múltiplas fontes de referência em uma visão única de risco e documentar a linhagem: de onde o dado veio, como foi transformado e como chegou à decisão final. É essa rastreabilidade que dá base concreta para demonstrar explicabilidade ao BACEN. Na VAAS, a orquestração parte de mais de 40 bureaus integrados e mais de 1.400 variáveis de risco prontas em um único ambiente.

Prática 3: Use IA com governança de modelo e decisão explicável

Inteligência artificial e aprendizado de máquina já transformam a análise de PLD: identificam padrões em volumes que a revisão manual jamais alcançaria, reduzem falsos positivos e permitem segmentação dinâmica de risco. Mas IA sem governança é passivo regulatório, não ativo.

O ponto de atenção no cenário brasileiro é a explicabilidade. Um modelo que produz um alerta ou uma decisão de risco precisa justificar por quê, em termos que um analista humano, um auditor interno e um fiscal externo compreendam. Isso exige:

• Inventário de modelos com responsáveis nomeados.
• Validação periódica contra as tipologias de crime financeiro vigentes.
• Homologação humana das decisões relevantes, com o analista validando a justificativa gerada pela IA.
• Alinhamento à LGPD, sobretudo quanto ao tratamento de dados pessoais e ao direito à revisão de decisões automatizadas.

A regra prática: se a instituição não consegue explicar como o modelo chegou a uma conclusão, ela não deveria estar usando aquele modelo em produção. Decisão de PLD que não se explica é decisão que não se defende.

Prática 4: Realize auditoria e monitoramento contínuos

Governança de dados não é projeto pontual, é disciplina contínua. Auditorias frequentes identificam problemas de qualidade antes que eles contaminem os resultados de PLD e apareçam numa fiscalização.

O monitoramento deve acompanhar métricas que revelam a saúde do programa ao longo do tempo:

• Taxa de falsos positivos no monitoramento de transações.
• Taxa de conversão de alertas em comunicações de operações suspeitas (COS) ao COAF.
• Desvio de modelo (model drift), que mostra quando a performance começa a degradar.

Vale reforçar a distinção da Prática 2: a auditoria dos dados primários foca na integridade e completude dos registros da própria instituição. Já a auditoria dos dados de referência foca em verificar se a configuração de triagem ingere corretamente os feeds atualizados e se os resultados entram com precisão nas decisões. São tarefas distintas, e combiná-las mascara a fragilidade do dado primário, que é justamente o que está sob responsabilidade direta da instituição. Os achados devem alimentar a estrutura de governança, com planos de remediação, responsáveis e prazos definidos.

Prática 5: Garanta rastreabilidade imutável, pronta para o regulador

Aqui está a prática que fecha o ciclo, e a que faz a diferença entre uma instituição que acredita estar em conformidade e uma que prova estar.

De nada adianta ter propriedade definida, dado de qualidade, IA explicável e auditoria contínua se, no momento em que o fiscal do SFN faz a pergunta, a instituição não consegue reconstruir com precisão o que aconteceu. A Circular 3.978/2020 exige guarda de registros e capacidade de demonstrar a eficácia do programa. A comprovação precisa ser íntegra, recuperável e resistente a contestação.

É exatamente esse o problema que a plataforma da VAAS resolve. Cada workflow e cada decisão disparada geram, de forma instantânea, uma trilha com hash criptográfico. Essa trilha arquiva, com imutabilidade:

• a versão das regras vigentes no exato momento da decisão;
• as consultas realizadas (sanções, PEP, mídia negativa, bureaus);
• a justificativa lógica estruturada gerada pela IA e homologada pelo analista humano.

Perguntas frequentes sobre governança de dados em PLD

Governança de dados em PLD é responsabilidade de TI ou de compliance?

De ambos, mas o resultado perante o regulador é responsabilidade de compliance e da diretoria. A Circular BACEN 3.978/2020 não define "governança de dados", mas exige monitoramento efetivo e comunicações confiáveis ao COAF, e é a qualidade do dado que torna isso possível. TI executa a infraestrutura; compliance responde pela eficácia do programa.

A instituição pode terceirizar a governança dos dados de sanções e PEP?

Pode terceirizar a operação, não a responsabilidade. Bureaus mantêm as listas de sanções e PEP atualizadas, mas cabe à instituição entender e justificar como esses dados entram em suas decisões. Perante o BACEN, a responsabilidade pela eficácia do programa de PLD permanece integralmente interna.

Como comprovar ao BACEN que uma decisão de PLD foi bem fundamentada?

A Circular 3.978/2020 exige guarda de registros e capacidade de demonstrar a eficácia do programa. Na prática, isso significa recuperar a versão da regra aplicada, as consultas feitas e a justificativa do alerta no momento da decisão. Uma trilha íntegra e imutável atende a esse dever e vai além dele.

Governança de dados é a base, e também a defesa

Quando os dados de PLD são precisos, completos, explicáveis e rastreáveis, todo o programa se fortalece: menos falsos positivos, scores fiéis à exposição real, comunicações ao COAF confiáveis e uma posição regulatória sólida.

As cinco práticas formam uma progressão lógica: propriedade define quem responde; qualidade e linhagem garantem o insumo; a IA explicável dá inteligência defensável; a auditoria contínua mantém tudo sob controle; e a rastreabilidade imutável transforma esse controle em prova. É esse último elo, a trilha imutável com hash criptográfico da VAAS, que converte um bom programa de governança em uma defesa concreta diante do SFN, reduzindo drasticamente a exposição a questionamentos por falta de comprovação.

Quer entender como a VAAS blinda a governança de dados da sua instituição com trilhas auditáveis e imutáveis? Fale com nosso time.