Como construir um programa de conformidade documental do zero

Um programa de conformidade documental não se constrói da noite para o dia. Exige uma abordagem metódica, partindo de um diagnóstico do estado atual, definindo políticas claras e implementando controlos proporcionais aos riscos reais da organização. Em Portugal, as obrigações decorrentes da Lei n.o 83/2017 (prevenção do branqueamento de capitais e do financiamento do terrorismo), do Regulamento Geral sobre a Proteção de Dados (RGPD) e da regulamentação setorial impõem às entidades obrigadas a recolha, verificação e conservação de documentos segundo regras estritas. O Banco de Portugal aplicou 18 coimas em 2024 por deficiências nos sistemas de controlo documental de instituições financeiras, com valores que atingiram os 2,8 milhões de euros num único caso (Banco de Portugal, Relatório de Supervisão Comportamental 2024).

Este guia propõe uma abordagem em cinco etapas para construir um programa de conformidade documental robusto, com um modelo de maturidade que permite avaliar a progressão e identificar as prioridades de ação.

Este artigo tem caráter informativo e não constitui assessoria jurídica, financeira ou regulatória.

Porquê estruturar um programa de conformidade documental

A verificação documental não é um ato isolado. É um processo contínuo que abrange toda a cadeia de valor: integração de clientes, KYC, diligência devida de fornecedores, gestão de recursos humanos, contratação. Sem um programa formalizado, as empresas expõem-se a três riscos principais.

O primeiro é o risco regulatório. O artigo 3.o da Lei n.o 83/2017 enumera as entidades obrigadas às medidas de diligência devida. O Banco de Portugal, a CMVM e a ASF supervisionam a qualidade dos dispositivos de verificação. As sanções podem atingir os 5 milhões de euros para pessoas singulares e o dobro da vantagem económica obtida para pessoas coletivas.

O segundo é o risco operacional. Processos manuais, não documentados e não padronizados geram inconsistências. Um dossiê rejeitado por documentação incompleta prolonga os prazos de tratamento em 5 a 15 dias úteis em média.

O terceiro é o risco reputacional. Uma empresa incapaz de demonstrar a rastreabilidade dos seus controlos documentais perde a confiança dos parceiros bancários, reguladores e clientes. Para uma análise detalhada do quadro regulatório, consulte o nosso guia de conformidade documental.

O modelo de maturidade em 5 níveis

Antes de definir um plano de ação, importa avaliar o nível de maturidade atual do dispositivo. A tabela seguinte apresenta cinco níveis, desde o tratamento ad hoc até à otimização contínua, com as características observáveis e as ações prioritárias em cada estágio.

Este modelo não é linear. Uma empresa pode estar no nível 3 para o KYC de clientes mas no nível 1 para a verificação de fornecedores. A avaliação deve ser conduzida por domínio (integração de clientes, RH, compras, contratação) para identificar as lacunas mais críticas.

Etapa 1: mapear as obrigações e os documentos

O primeiro passo consiste em elaborar um inventário exaustivo dos documentos recolhidos, tratados e conservados pela empresa, e vinculá-los às obrigações regulatórias correspondentes.

Identificar os textos aplicáveis

Em Portugal, as principais fontes de obrigações documentais são:

• Lei n.o 83/2017 e regulamentação do Banco de Portugal: obrigações de diligência devida, identificação do cliente e do beneficiário efetivo, conservação de documentos durante 7 anos após o término da relação de negócio
• RGPD e Lei n.o 58/2019: minimização de dados, prazos de conservação proporcionados, direitos de acesso e apagamento
• Código do Trabalho: obrigações documentais relativas à contratação
• Código Comercial: conservação de documentação contabilística durante 10 anos

Para um enquadramento detalhado das obrigações antibranqueamento, consulte o nosso guia AML. Os aspetos RGPD aplicáveis à gestão documental são tratados no nosso guia RGPD.

Elaborar a cartografia documental

Para cada processo de negócio, enumere os documentos recolhidos, a sua base legal, o prazo de conservação e o responsável pelo controlo. Esta cartografia constitui a base do programa e deve ser formalizada num registo consultável por todas as partes interessadas.

Etapa 2: definir as políticas e os procedimentos

Uma vez estabelecida a cartografia, é necessário traduzir as obrigações em regras operacionais claras.

A política documental

A política documental é o documento de referência que fixa os princípios gerais: que documentos são aceites, que formatos são admissíveis (originais, cópias autenticadas, documentos digitais), quais são os prazos de conservação e as condições de destruição. Deve ser aprovada pela administração e difundida entre todos os colaboradores envolvidos.

Os procedimentos operacionais

Cada processo (integração de clientes, contratação laboral, diligência devida de fornecedores) deve dispor de um procedimento detalhado que especifique as etapas de recolha, os pontos de controlo, os critérios de aceitação ou rejeição e os circuitos de escalamento em caso de anomalia. Um dossiê KYC, por exemplo, requer verificações específicas detalhadas no nosso guia KYC.

As matrizes de responsabilidade

Quem recolhe, quem verifica, quem valida, quem arquiva. A matriz RACI (Responsible, Accountable, Consulted, Informed) aplicada a cada processo documental elimina as zonas cinzentas e as sobreposições de controlo.

Etapa 3: implementar os controlos e as ferramentas

Os controlos documentais articulam-se em três níveis, em linha com as melhores práticas do setor financeiro supervisionado pelo Banco de Portugal.

Controlo de primeiro nível

É o controlo operacional realizado pelo profissional que trata o dossiê: verificação da completude do dossiê, controlo visual do documento de identidade, verificação da coerência da informação entre documentos. Este nível pode ser amplamente automatizado através de ferramentas de validação documental que detetam inconsistências, documentos caducados e falsificações.

Controlo de segundo nível

É realizado pela função de conformidade ou por um supervisor. Incide sobre uma amostra de dossiês tratados e verifica se os procedimentos são corretamente aplicados. As anomalias detetadas alimentam um plano de ação corretivo.

Controlo de terceiro nível

A auditoria interna ou uma firma externa avalia periodicamente a eficácia global do dispositivo. As conclusões são reportadas ao comité de auditoria ou à administração. O quadro COSO fornece uma referência para estruturar estes três níveis de controlo.

Etapa 4: formar e sensibilizar as equipas

Um programa de conformidade documental só funciona se as pessoas que o aplicam compreenderem o porquê e o como. A formação deve cobrir três dimensões.

A dimensão regulatória explica as obrigações legais, os riscos em caso de incumprimento e as sanções aplicáveis. As equipas devem compreender por que razão se recolhe determinado documento e não outro.

A dimensão procedimental detalha os gestos profissionais: como verificar a autenticidade de um documento de identidade, como detetar uma inconsistência entre um recibo de vencimento e uma declaração de IRS, quando escalar um dossiê suspeito.

A dimensão instrumental forma os colaboradores na utilização das soluções de verificação documental, dos fluxos de validação e dos painéis de controlo de acompanhamento.

A formação não deve ser um evento pontual. O GAFI recomenda uma frequência mínima anual, com atualizações específicas perante alterações regulatórias ou procedimentais.

Etapa 5: pilotar, medir e melhorar

Os indicadores-chave de desempenho

Um programa de conformidade documental deve ser pilotado por indicadores objetivos e mensuráveis:

• Taxa de completude dos dossiês na primeira submissão (objetivo: superior a 85 %)
• Prazo médio de tratamento de um dossiê completo (objetivo: inferior a 48 horas)
• Taxa de deteção de anomalias pelos controlos de primeiro nível
• Número de não conformidades detetadas pelos controlos de segundo e terceiro nível
• Taxa de formação do pessoal (objetivo: 100 % do pessoal relevante formado anualmente)

A revisão periódica do dispositivo

O programa deve ser objeto de uma revisão pelo menos anual, cobrindo a adequação dos procedimentos às obrigações em vigor, a análise de incidentes e não conformidades, a pertinência dos indicadores e as evoluções regulatórias a integrar. Esta revisão produz um plano de ação que alimenta o ciclo de melhoria.

A automatização como alavanca de maturidade

A passagem do nível 3 ao nível 4 do modelo de maturidade assenta em grande medida na automatização dos controlos. As soluções de verificação documental baseadas em inteligência artificial permitem tratar volumes elevados com uma coerência que o controlo manual não consegue garantir. CheckFile.ai disponibiliza ferramentas de validação adaptadas às exigências das empresas reguladas. Para uma análise do retorno sobre o investimento, consulte a nossa página de preços.

Perguntas frequentes

Quanto tempo é necessário para implementar um programa de conformidade documental?

A duração depende do nível de maturidade inicial e da complexidade da organização. Para uma empresa que parte do nível 1 (ad hoc), deve contar com 6 a 12 meses para atingir o nível 3 (definido), com um responsável de projeto dedicado e uma abordagem por domínios prioritários. Atingir o nível 4 (gerido) exige normalmente 12 a 18 meses adicionais, incluindo a implementação de ferramentas automatizadas.

Quais são as sanções por ausência de programa de conformidade documental em Portugal?

Em matéria de prevenção do branqueamento, a Lei n.o 83/2017 prevê coimas até 5 milhões de euros para pessoas singulares e até ao dobro do benefício económico obtido para pessoas coletivas (artigo 169.o). O Banco de Portugal pode ainda aplicar sanções acessórias como a interdição de exercício de atividade. A CNPD pode sancionar incumprimentos do RGPD com coimas até 20 milhões de euros ou 4 % do volume de negócios global.

É necessário nomear um responsável dedicado à conformidade documental?

Para as entidades obrigadas pela Lei n.o 83/2017, a designação de um responsável pelo cumprimento normativo é obrigatória (artigo 16.o). Para além desta exigência legal, nomear um responsável pelo programa de conformidade documental, vinculado à direção de compliance ou jurídica, é uma boa prática indispensável para assegurar a coerência e a governação do dispositivo.

Pode-se externalizar total ou parcialmente o programa de conformidade documental?

A externalização de certas tarefas operacionais (digitalização, controlo de primeiro nível) é possível, mas a empresa mantém a responsabilidade regulatória integral. O Banco de Portugal recorda que a subcontratação não exime a entidade obrigada das suas obrigações de diligência devida. O contrato com o prestador deve especificar os níveis de serviço, as modalidades de controlo e as condições de auditoria.

Como articular conformidade documental e proteção de dados pessoais?

O programa de conformidade documental deve integrar as exigências do RGPD desde a sua conceção (privacidade desde a conceção). Isto implica recolher apenas os documentos estritamente necessários (minimização), definir prazos de conservação proporcionados, assegurar os acessos e as transferências, e prever os procedimentos de resposta aos pedidos de exercício de direitos dos titulares. O nosso guia RGPD detalha estes requisitos.