Política de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo

1. OBJETIVO

A presente Política de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo estabelece diretrizes, procedimentos e controles internos destinados à prevenção, detecção e mitigação de riscos relacionados à utilização da AVOI (“Instituição”), pessoa jurídica de direito privado, devidamente inscrita no CNPJ sob o nº 55.063.975/0001-50, para a prática dos crimes previstos na Lei nº 9.613, de 3 de março de 1998, bem como de condutas associadas ao financiamento do terrorismo e da proliferação de armas de destruição em massa. A Instituição atua como prestadora de serviços de ativos virtuais na modalidade de intermediação, não realizando a custódia, guarda, administração ou controle direto de ativos virtuais ou recursos de clientes. Esta Política tem como finalidade assegurar que a Instituição atue em conformidade com a legislação e regulamentação aplicáveis, especialmente a Lei nº 9.613/1998, a Lei nº 13.810/2019, a Circular BCB nº 3.978/2020 e demais normas correlatas, contribuindo para a integridade, transparência e confiabilidade do Sistema Financeiro Nacional e do mercado de ativos virtuais. O documento estabelece diretrizes para a implementação de abordagem baseada em risco na prevenção à lavagem de dinheiro e ao financiamento do terrorismo, definindo responsabilidades, procedimentos de identificação e monitoramento de clientes e operações, critérios para avaliação interna de risco e efetividade dos controles, além de diretrizes para seleção e contratação de colaboradores e prestadores de serviços, bem como para capacitação contínua dos profissionais da Instituição sobre os temas relacionados à prevenção desses ilícitos.

2. CONCEITOS

Para fins desta Política, considera-se lavagem de dinheiro o conjunto de operações destinadas a ocultar ou dissimular a natureza, origem, localização, disposição, movimentação ou propriedade de bens, direitos ou valores provenientes, direta ou indiretamente, de infração penal, com o objetivo de conferir aparência de licitude a recursos de origem ilícita, conforme tipificado na Lei nº 9.613/1998. O processo de lavagem de dinheiro costuma ocorrer por meio de 3 (três) etapas inter-relacionadas, ainda que não necessariamente sequenciais: 1) Colocação: etapa inicial em que os recursos de origem ilícita são introduzidos no sistema financeiro ou econômico formal, por meio de depósitos, aquisição de bens ou instrumentos financeiros, realização de operações comerciais ou outras transações destinadas a inserir os valores no circuito econômico; 2) Ocultação (ou dissimulação): etapa caracterizada pela realização de múltiplas transações ou operações estruturadas com o objetivo de dificultar o rastreamento da origem dos recursos, fragmentando ou transferindo valores entre diferentes contas, instituições ou jurisdições; 3) Integração: etapa final em que os recursos já distanciados de sua origem ilícita são reinseridos no sistema econômico formal, por meio de investimentos, aquisição de ativos ou outras operações que lhes conferem aparência de legitimidade. O financiamento do terrorismo, por sua vez, consiste na coleta, provisão ou disponibilização de recursos, bens ou valores com o propósito de apoiar, direta ou indiretamente, a realização de atos terroristas ou o funcionamento de organizações terroristas. Diferentemente da lavagem de dinheiro, os recursos utilizados podem ter origem lícita ou ilícita, sendo caracterizados pelo seu destino ou finalidade. No contexto desta Política, o risco de lavagem de dinheiro e financiamento do terrorismo (LD/FT) corresponde à possibilidade de a Instituição ser utilizada, intencionalmente ou não, para a realização, ocultação ou facilitação dessas atividades ilícitas por meio dos produtos, serviços, operações ou canais por ela disponibilizados.

3. BASE NORMATIVA

A presente Política foi elaborada com fundamento na legislação e regulamentação aplicáveis à prevenção e ao combate à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa, bem como nas diretrizes internacionais de integridade financeira. Constituem referências normativas para esta Política, em especial:

• Lei nº 14.478, de 21 de dezembro de 2022, que dispõe sobre diretrizes a serem observadas na prestação de serviços de ativos virtuais e na regulamentação das prestadoras de serviços de ativos virtuais, dentre outras diretrizes;
• Resolução BCB nº 520, de 10 de novembro de 2025, que disciplina a constituição e o funcionamento das sociedades prestadoras de serviços de ativos virtuais;
• Circular BCB nº 3.978, de 23 de janeiro de 2020, que dispõe sobre a política, os procedimentos e os controles internos voltados à prevenção à lavagem de dinheiro e ao financiamento do terrorismo no âmbito das instituições autorizadas a funcionar pelo Banco Central do Brasil;
• Carta Circular nº 4.001, de 29 de janeiro de 2020, que divulga relação de operações e situações que podem configurar indícios de ocorrência dos crimes de “lavagem” ou ocultação de bens, direitos e valores, de que trata a

Lei nº 9.613, de 3 de março de 1998, e de financiamento ao terrorismo, previstos na Lei nº 13.260, de 16 de março de 2016, passíveis de comunicação ao Conselho de Controle de Atividades Financeiras (Coaf);

• Lei nº 9.613, de 3 de março de 1998, que dispõe sobre os crimes de lavagem ou ocultação de bens, direitos e valores e estabelece obrigações de prevenção e comunicação às autoridades competentes;
• Lei nº 13.810, de 8 de março de 2019, que dispõe sobre o cumprimento de sanções impostas por resoluções do Conselho de Segurança das

Nações Unidas;

• Recomendações do Grupo de Ação Financeira Internacional

(GAFI/FATF), que estabelecem padrões internacionais para prevenção e combate à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa. A Instituição observa, ainda, demais normas e orientações emitidas pelas autoridades competentes que tratem de prevenção à lavagem de dinheiro, financiamento do terrorismo e integridade do sistema financeiro, bem como eventuais atualizações ou substituições das normas acima mencionadas.

4. ESTRUTURA DE GOVERNANÇA

A Instituição mantém estrutura de governança e controles internos destinada à prevenção e ao combate à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa, em conformidade com a legislação e regulamentação aplicáveis, especialmente a Circular BCB nº 3.978/2020. A Instituição mantém Diretor formalmente designado e responsável pela área de Compliance e PLD/FT, que atua como responsável perante o Banco Central do Brasil pelo cumprimento das obrigações relacionadas à prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Compete a esse diretor assegurar a implementação, supervisão e atualização contínua das políticas, procedimentos e controles internos destinados à identificação, avaliação, monitoramento e mitigação dos riscos de LD/FT associados às atividades da Instituição. A área de Compliance e PLD/FT possui autonomia técnica e independência funcional para o desempenho de suas atribuições, atuando de forma segregada das áreas de negócio e sem participação em atividades que possam gerar conflito de interesses. A gestão dos riscos de LD/FT na Instituição é estruturada com base no modelo de 3 (três) linhas de defesa, que estabelece a segregação de responsabilidades entre as áreas responsáveis pela execução das atividades, pelo monitoramento de conformidade e pela avaliação independente dos controles.

• Primeira Linha de Defesa – Áreas de Negócio e Analistas Técnicos:

Compreende as áreas operacionais e de negócios responsáveis pela execução das atividades da Instituição. Essas áreas devem observar os procedimentos de PLD/FT aplicáveis, realizar a identificação e qualificação de clientes e comunicar à área de Compliance quaisquer situações atípicas ou indícios de irregularidade;

• Segunda Linha de Defesa – Riscos, Controles Internos e Compliance:

Responsável pela implementação, supervisão e monitoramento do programa de PLD/FT da Instituição. Compete a essa estrutura estabelecer diretrizes e controles, realizar a avaliação interna de riscos, monitorar operações, analisar situações suspeitas, recomendar comunicações ao Coaf e promover treinamentos e orientações às áreas da Instituição;

• Terceira Linha de Defesa – Auditoria Interna: Responsável pela avaliação independente da efetividade da estrutura de governança, controles internos e procedimentos de PLD/FT adotados pela Instituição, mediante revisões periódicas e testes de aderência, com reporte dos resultados à alta administração e recomendação de eventuais melhorias.

A estrutura de PLD/FT da Instituição é compatível com o porte, a complexidade e o perfil de risco de suas atividades.

5. RESPONSABILIDADES

A prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa constitui responsabilidade institucional compartilhada por todos os colaboradores da Instituição, em todos os níveis hierárquicos. Nesse sentido, todas as áreas devem atuar de forma diligente na identificação, prevenção e comunicação de situações potencialmente relacionadas a tais ilícitos, assegurando a correta aplicação desta Política e da regulamentação aplicável.

5. 1. Alta Administração

Compete à Alta Administração assegurar a efetividade da estrutura de governança e dos controles internos relacionados à prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Entre suas principais atribuições destacam-se:

• estabelecer diretrizes institucionais e assegurar a aderência da

Instituição à legislação e regulamentação aplicáveis;

• aprovar políticas, procedimentos e controles relacionados à gestão dos riscos de LD/FT;
• garantir a existência de estrutura organizacional adequada para o gerenciamento desses riscos;
• designar o Diretor responsável pelas funções de Compliance e PLD/FT;
• assegurar a alocação de recursos humanos, tecnológicos e financeiros necessários ao adequado funcionamento da estrutura de controles;
• acompanhar a efetividade dos controles internos e a implementação de eventuais medidas de aprimoramento.

5. 2. Diretor de Compliance e PLD/FT

Compete ao Diretor responsável pela área de Compliance e PLD/FT assegurar a implementação, supervisão e efetividade da estrutura de prevenção à lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação de armas de destruição em massa da Instituição, bem como garantir a aderência das políticas, procedimentos e controles internos à legislação e regulamentação aplicáveis. Entre suas principais atribuições estão:

• atuar como responsável técnico perante o Banco Central do Brasil pelas atividades de Compliance e PLD/FT da Instituição;
• assegurar a implementação, manutenção e aprimoramento contínuo do programa de prevenção à lavagem de dinheiro e financiamento do terrorismo;
• elaborar, revisar e aprovar diretrizes, políticas e procedimentos relacionados à gestão dos riscos de PLD/FT;
• supervisionar as atividades da área de Compliance e o cumprimento desta Política pelas demais áreas da Instituição;
• assegurar a análise adequada de situações atípicas e, quando aplicável, a comunicação tempestiva de operações suspeitas às autoridades competentes;
• reportar à alta administração situações relevantes relacionadas aos riscos de LD/FT, bem como recomendações de aprimoramento dos controles internos.

5. 3. Departamento de Compliance, Riscos e Controles Internos

Compete ao Departamento de Compliance, Riscos e Controles Internos, sob a supervisão do Diretor responsável por Compliance e PLD/FT, implementar, executar e monitorar os mecanismos de controle destinados à prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa, assegurando a adequada aplicação desta Política e da regulamentação aplicável. Entre suas principais atribuições estão:

• desenvolver e manter atualizadas as políticas, procedimentos e controles de PLD/FT, sob coordenação do Diretor responsável;
• monitorar operações e identificar situações atípicas ou suspeitas;
• analisar alertas gerados por sistemas de monitoramento e conduzir investigações internas;
• recomendar a comunicação de operações suspeitas às autoridades competentes;
• manter ferramentas e parâmetros adequados de monitoramento de transações;
• interagir com órgãos reguladores e atender demandas de supervisão;
• promover programas periódicos de treinamento e conscientização em

PLD/FT;

• identificar inconsistências ou irregularidades que não tenham sido detectadas pelas áreas operacionais.

5. 4. Auditoria Interna

Compete à Auditoria Interna avaliar de forma independente a efetividade da estrutura de controles e procedimentos de PLD/FT da Instituição. Entre suas atribuições estão:

• revisar periodicamente a aderência das práticas institucionais à legislação, regulamentação e políticas internas;
• avaliar a efetividade dos controles internos relacionados à prevenção à lavagem de dinheiro;
• realizar testes e auditorias nos sistemas e processos de monitoramento de operações;
• reportar os resultados de suas avaliações à alta administração;
• recomendar melhorias nos controles e procedimentos adotados pela

Instituição.

5. 5. Departamento de Operações

Compete ao Departamento de Operações assegurar a correta execução das atividades operacionais da Instituição, observando os procedimentos de PLD/FT. Entre suas principais atribuições estão:

• garantir que as operações sejam executadas em conformidade com as políticas e procedimentos internos;
• assegurar a rastreabilidade e consistência das transações realizadas pelos clientes;
• monitorar operações para identificação de movimentações incompatíveis com o perfil do cliente;
• comunicar imediatamente à área de Compliance quaisquer indícios de irregularidade ou inconsistência operacional;
• cooperar com auditorias internas e externas e implementar melhorias nos processos operacionais.

5. 6. Departamento de Cadastro

Compete ao Departamento de Cadastro assegurar a adequada identificação e qualificação dos clientes da Instituição. Entre suas atribuições estão:

• realizar procedimentos de identificação, qualificação e classificação de clientes no processo de onboarding;
• verificar a autenticidade, consistência e completude das informações cadastrais apresentadas;
• manter atualizados os dados cadastrais dos clientes;
• aplicar os procedimentos de Conheça Seu Cliente (KYC) estabelecidos pela Instituição;
• apoiar a área de Compliance na obtenção e validação de informações cadastrais quando necessário.

5. 7. Departamento de Recursos Humanos

Compete ao Departamento de Recursos Humanos apoiar a estrutura de prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa por meio da adequada gestão de colaboradores, parceiros e prestadores de serviços terceirizados, em articulação com a área de Compliance. Entre suas principais atribuições estão:

• promover, em conjunto com a área de Compliance, programas periódicos de treinamento e conscientização em PLD/FT destinados aos colaboradores da Instituição;
• assegurar que os colaboradores estejam devidamente capacitados e orientados quanto às suas responsabilidades regulatórias e às diretrizes desta Política;
• conduzir procedimentos de Conheça Seu Funcionário (Know Your

Employee – KYE), incluindo verificações de integridade, idoneidade, antecedentes e consistência cadastral no processo de contratação e ao longo da relação de trabalho;

• conduzir, em conjunto com a área de Compliance, procedimentos de

Conheça Seu Parceiro (Know Your Partner – KYP) e Conheça Seu Fornecedor (Know Your Supplier – KYS), aplicáveis a parceiros comerciais e prestadores de serviços terceirizados;

• verificar a regularidade documental, reputacional e de integridade de parceiros e fornecedores antes da contratação e durante a vigência da relação contratual;
• manter atualizadas as informações cadastrais e funcionais de colaboradores, parceiros e prestadores de serviços;
• comunicar tempestivamente à área de Compliance quaisquer alterações ou fatos relevantes que possam impactar o risco operacional ou os riscos de LD/FT associados a colaboradores, parceiros ou prestadores de serviços.

No âmbito do Conheça Seu Funcionário (KYE), o departamento deve realizar verificações de integridade, idoneidade e consistência cadastral desde o processo de contratação, renovando essas análises conforme necessário, especialmente para funções sensíveis. Além disso, deve manter atualizadas as informações e reportar ao compliance quaisquer alterações que possam impactar o risco operacional ou de PLD/FT. Quanto ao Conheça Seu Fornecedor (KYS), cabe ao RH avaliar e acompanhar prestadores de serviços terceirizados, garantindo que atendam aos requisitos de integridade, conformidade e regularidade documental.

5. 8. Departamento Comercial

Compete ao Departamento Comercial conduzir o relacionamento com clientes observando os procedimentos de identificação e qualificação aplicáveis. Suas responsabilidades incluem:

• coletar e registrar informações relevantes no processo de relacionamento e onboarding de clientes;
• assegurar que as informações fornecidas pelos clientes sejam completas e consistentes;
• encaminhar corretamente os dados e documentos ao Departamento de

Cadastro;

• observar sinais de alerta, como resistência ao fornecimento de informações ou inconsistências no perfil do cliente;
• comunicar à área de Compliance comportamentos ou operações potencialmente atípicas.

O departamento deve manter conformidade com as normas de onboarding, perfil de risco e suitability, reportando ao compliance qualquer comportamento, proposta ou operação com características atípicas.

5. 9. Demais Departamentos e Gestores de Processos

Os demais departamentos e gestores são responsáveis por assegurar que as atividades sob sua supervisão sejam conduzidas em conformidade com esta Política e com a regulamentação aplicável. Entre suas responsabilidades estão:

• garantir a correta aplicação dos procedimentos de PLD/FT em suas áreas de atuação;
• manter-se atualizados quanto às obrigações regulatórias aplicáveis;
• orientar e supervisionar suas equipes quanto ao cumprimento desta

Política;

• comunicar à área de Compliance quaisquer situações suspeitas ou incompatíveis com os padrões estabelecidos pela Instituição.

Os gerentes e gestores de áreas são responsáveis por assegurar a adequada implementação e observância desta Política no âmbito de suas respectivas unidades, devendo supervisionar as atividades de suas equipes e garantir que os procedimentos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo sejam corretamente aplicados. Compete-lhes, ainda, manter-se devidamente capacitados e promover a disseminação das diretrizes desta Política entre os colaboradores sob sua gestão. Todos os colaboradores devem observar e cumprir as normas e procedimentos relacionados ao processo de cadastro de clientes e à comercialização de produtos e serviços, assegurando a adequada coleta, verificação e atualização das informações cadastrais. Nesse contexto, devem buscar conhecer as atividades exercidas pelos clientes, suas fontes de renda, a origem e o destino dos recursos, bem como seu perfil econômico-financeiro e padrões de movimentação, em consonância com os procedimentos de Conheça Seu Cliente adotados pela Instituição. Qualquer colaborador que identifique proposta, operação ou situação que apresente indícios de irregularidade ou incompatibilidade com os padrões operacionais ou regulatórios da Instituição deve comunicar imediatamente o fato ao seu superior hierárquico ou diretamente à área de Compliance, assegurando o reporte tempestivo para análise e eventual adoção das medidas cabíveis.

6. AVALIAÇÃO DE NOVOS PRODUTOS, SERVIÇOS E TECNOLOGIAS

Em conformidade com o art. 2º, inciso I, alínea “b”, da Circular BCB nº 3.978/2020, a Instituição estabelece procedimentos destinados à avaliação e análise prévia de novos produtos, serviços, modelos de negócio e tecnologias, com o objetivo de identificar, avaliar e mitigar riscos de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação de armas de destruição em massa antes de sua implementação. A avaliação deverá considerar a natureza do produto ou serviço, o público-alvo, os canais de distribuição, a estrutura operacional envolvida, bem como eventuais riscos adicionais decorrentes do uso de novas tecnologias ou da interação com terceiros, parceiros ou prestadores de serviços. A análise prévia deverá ser conduzida pelas áreas responsáveis pela proposição da iniciativa, com a participação da área de Compliance, Riscos e Controles Internos, que deverá avaliar os riscos de LD/FT associados e recomendar, quando aplicável, a adoção de medidas de mitigação ou ajustes nos processos e controles internos da Instituição.

6. 1. Avaliação de Novos Produtos e Serviços

Antes da introdução de novos produtos ou serviços, a Instituição deverá realizar processo estruturado de avaliação de riscos, contemplando, no mínimo, os seguintes aspectos:

• realização de análise prévia dos potenciais riscos de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação de armas de destruição em massa associados ao produto ou serviço proposto;
• verificação da aderência do produto ou serviço à legislação e regulamentação aplicáveis, incluindo as normas relacionadas à prevenção à lavagem de dinheiro e ao financiamento do terrorismo;
• avaliação do público-alvo, canais de distribuição, volumes operacionais esperados e possíveis vulnerabilidades associadas ao produto ou serviço;
• definição ou revisão de controles operacionais, parâmetros de monitoramento e procedimentos de identificação de clientes aplicáveis ao novo produto ou serviço;
• avaliação do impacto do novo produto ou serviço nos processos operacionais, nos controles internos e na estrutura de gerenciamento de riscos da Instituição;
• atualização das políticas, procedimentos e controles internos, sempre que necessário, para contemplar as características do novo produto ou serviço;
• capacitação e orientação das áreas envolvidas na comercialização, operação e monitoramento do produto ou serviço quanto às obrigações relacionadas à prevenção à lavagem de dinheiro e financiamento do terrorismo;
• estabelecimento de mecanismos de monitoramento contínuo das operações relacionadas ao produto ou serviço, com vistas à identificação de atividades atípicas ou suspeitas.

Após sua implementação, o produto ou serviço deverá ser periodicamente avaliado quanto à efetividade dos controles adotados e à adequação das medidas de mitigação de riscos de LD/FT.

6. 2. Novas Tecnologias

A adoção de novas tecnologias no âmbito das atividades da Instituição também deverá ser precedida de avaliação específica de riscos, considerando eventuais impactos sobre os controles de prevenção à lavagem de dinheiro, financiamento do terrorismo e segurança operacional. Essa avaliação deverá contemplar, no mínimo:

• análise dos riscos de LD/FT associados à utilização da tecnologia, incluindo eventuais vulnerabilidades que possam facilitar o uso indevido dos produtos e serviços da Instituição;
• avaliação dos controles de segurança da informação e de segurança cibernética relacionados à tecnologia a ser implementada;
• verificação da conformidade da tecnologia com a legislação e regulamentação aplicáveis;
• avaliação da capacidade da tecnologia de suportar os mecanismos de identificação, registro e monitoramento de operações exigidos pela regulamentação de PLD/FT;
• análise da resiliência operacional da tecnologia e de sua capacidade de manter a continuidade das operações em caso de incidentes ou falhas;
• verificação da compatibilidade e integração segura da tecnologia com os sistemas existentes da Instituição, especialmente aqueles relacionados ao monitoramento de transações e à gestão de riscos;
• capacitação dos profissionais envolvidos na operação ou gestão da tecnologia quanto aos aspectos relevantes de PLD/FT;
• estabelecimento de procedimentos de monitoramento contínuo do desempenho, segurança e integridade da tecnologia implementada.

Sempre que a adoção de novas tecnologias envolver a contratação de terceiros, parceiros ou prestadores de serviços, deverão ser observados os procedimentos de diligência e avaliação previstos nas políticas internas da Instituição, incluindo a verificação de integridade, capacidade técnica e aderência regulatória desses fornecedores.

7. AVALIAÇÃO INTERNA DE RISCO – AIR

A Instituição realiza Avaliação Interna de Risco (AIR) com o objetivo de identificar, mensurar e compreender os riscos de utilização de seus produtos, serviços e estruturas operacionais para a prática de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação de armas de destruição em massa, em conformidade com as disposições da Circular BCB nº 3.978/2020. A AIR constitui instrumento central da abordagem baseada em risco adotada pela Instituição, orientando a definição de controles, procedimentos de monitoramento e medidas de mitigação proporcionais ao nível de risco identificado nas atividades desenvolvidas. A avaliação interna de risco considera, no mínimo, os seguintes perfis de risco:

• perfil de risco dos clientes, considerando características cadastrais, atividades econômicas, origem de recursos, perfil transacional, estrutura societária, exposição a jurisdições de risco e eventual enquadramento como pessoas politicamente expostas ou clientes de maior risco;
• perfil de risco da Instituição, incluindo seu modelo de negócio, estrutura organizacional, porte das operações e áreas geográficas de atuação;
• perfil de risco das operações, transações, produtos e serviços oferecidos, abrangendo todos os canais de distribuição utilizados pela

Instituição, bem como a utilização de novas tecnologias e infraestruturas digitais associadas às atividades envolvendo ativos virtuais;

• perfil de risco relacionado às atividades desempenhadas por funcionários, parceiros comerciais e prestadores de serviços terceirizados que possam, direta ou indiretamente, impactar a exposição da Instituição aos riscos de PLD/FT.
• · riscos associados à atuação como intermediadora, incluindo a intermediação entre partes, fluxos transacionais indiretos e eventual utilização da estrutura como canal para ocultação de origem ou destino de recursos;

Os riscos identificados no processo de AIR são avaliados considerando, cumulativamente:

• a probabilidade de ocorrência de eventos relacionados à lavagem de dinheiro ou financiamento do terrorismo; e
• a magnitude dos potenciais impactos financeiro, jurídico, reputacional e socioambiental para a Instituição.

A classificação do risco deve observar metodologia estruturada baseada em matriz de risco que considere, no mínimo, os critérios de probabilidade de ocorrência e magnitude do impacto, permitindo a categorização dos riscos em níveis previamente definidos, tais como baixo, médio e alto risco.

7. 1. Matriz de Classificação de Risco

Para adequada Avaliação Interna de Riscos, a Instituição deverá observar os parâmetros estabelecidos na tabela de classificação apresentada abaixo:

IMPACTO

Sem impacto Leve Médio Grave Gravíssimo P R O B A B I L I D A D E Muito Provável Risco Elevado Risco Elevado Risco Extremo Risco Extremo Risco Extremo Provável Risco Moderado Risco Elevado Risco Elevado Risco Extremo Risco Extremo Possível Risco Baixo Risco Moderado Risco Elevado Risco Extremo Risco Extremo Improvável Risco Baixo Risco Baixo Risco Moderado Risco Elevado Risco Extremo Raro Risco Baixo Risco Baixo Risco Moderado Risco Elevado Risco Elevado Sem prejuízo do modelo adotado nesta Política, a área responsável pela AIR poderá, sempre que entender necessário, adotar metodologias, matrizes ou critérios complementares de avaliação de riscos, desde que tecnicamente adequados e compatíveis com o porte, a complexidade e o perfil de risco da Instituição, bem como com as diretrizes desta Política. Com base nessa análise, a Instituição classifica os riscos identificados em categorias previamente definidas, de modo a permitir a aplicação proporcional de controles e medidas de mitigação. Situações classificadas como de maior risco estão sujeitas à adoção de procedimentos de controle e monitoramento reforçados, enquanto situações de menor risco podem ser submetidas a controles simplificados, observadas as disposições regulatórias aplicáveis.

7. 2. Utilização dos Resultados da AIR

Os resultados da Avaliação Interna de Risco devem orientar a definição e o nível de intensidade dos procedimentos de prevenção à lavagem de dinheiro e financiamento do terrorismo adotados pela Instituição, incluindo, entre outros, os procedimentos de identificação e qualificação de clientes, classificação de risco, monitoramento de operações e definição de controles reforçados ou simplificados conforme o nível de risco identificado.

7. 3. Fontes de Informação e Referências para a AIR

Sempre que disponíveis, a Instituição utiliza como subsídio à Avaliação Interna de Risco estudos, avaliações e relatórios elaborados por autoridades públicas, organismos internacionais e entidades especializadas relativos aos riscos de lavagem de dinheiro e financiamento do terrorismo, incluindo avaliações nacionais de risco divulgadas por autoridades competentes.

7. 4. Aprovação e Governança da AIR

A AIR deve ser formalmente documentada e aprovada pelo Diretor responsável por Compliance e PLD/FT. Após sua aprovação, o documento deve ser encaminhado para ciência das instâncias de governança da Instituição, incluindo, quando aplicável, comitê interno de risco ou auditoria e, na ausência desses, à Diretoria.

7. 5. Periodicidade de Revisão da AIR

A AIR deve ser revisada periodicamente, no mínimo a cada 2 (dois) anos, bem como sempre que ocorrerem alterações relevantes nos perfis de risco da Instituição, tais como mudanças no modelo de negócio, na oferta de produtos ou serviços, na utilização de novas tecnologias, na base de clientes ou nas áreas geográficas de atuação.

7. 6. Registro, Guarda e Disponibilidade da AIR

A Instituição deverá assegurar a guarda e disponibilidade da documentação relacionada à AIR, bem como das informações, premissas, metodologias e evidências utilizadas em sua elaboração, pelo prazo mínimo de 5 (cinco) anos, contado a partir da sua elaboração ou da última atualização realizada, devendo tais documentos permanecer à disposição do Banco Central do Brasil para fins de supervisão.

8. AVALIAÇÃO DE EFETIVIDADE

A Instituição realiza avaliação periódica da efetividade da política, dos procedimentos e dos controles internos destinados à prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa, com o objetivo de verificar a adequação e a eficiência dos mecanismos adotados para mitigação desses riscos. A avaliação de efetividade deve considerar a aderência das práticas institucionais à legislação e regulamentação aplicáveis, bem como a capacidade dos controles implementados de identificar, prevenir e detectar situações potencialmente relacionadas à lavagem de dinheiro e ao financiamento do terrorismo. A Instituição não realiza custódia, guarda, administração ou controle de ativos ou recursos de clientes, limitando sua atuação à intermediação de operações envolvendo ativos virtuais, nos termos de seu modelo de negócio.

8. 1. Independência da Avaliação

A avaliação de efetividade deve ser conduzida por profissionais ou áreas que possuam independência funcional em relação às atividades avaliadas, de modo a assegurar objetividade e imparcialidade na análise dos controles e procedimentos de PLD/FT, podendo contar, quando aplicável, com a participação da Auditoria Interna ou de outras instâncias de controle da Instituição.

8. 2. Relatório de Avaliação de Efetividade

A avaliação de efetividade deve ser formalizada em relatório específico. O relatório deve:

• ser elaborado anualmente, com data-base de 31 de dezembro;
• ser encaminhado, para ciência, até 31 de março do ano seguinte ao da data-base: (i) ao comitê de auditoria, quando houver; e (ii) ao conselho de administração ou, na inexistência deste, à Diretoria da Instituição.

O relatório de avaliação de efetividade deve conter, no mínimo:

• descrição da metodologia utilizada na avaliação;
• descrição dos testes e procedimentos aplicados;
• qualificação técnica dos responsáveis pela realização da avaliação;
• identificação de eventuais deficiências ou fragilidades nos controles avaliados.

8. 3. Escopo da Avaliação

A avaliação de efetividade deve abranger, no mínimo, a análise dos seguintes aspectos:

• procedimentos destinados ao conhecimento de clientes (KYC), incluindo verificação, validação e atualização das informações cadastrais;
• procedimentos de monitoramento de operações e transações (KYT), incluindo os critérios de seleção, análise e comunicação de operações ou situações suspeitas às autoridades competentes;
• efetividade dos parâmetros e ferramentas utilizadas para identificação de operações atípicas ou suspeitas;
• estrutura de governança relacionada à política de prevenção à lavagem de dinheiro e financiamento do terrorismo;
• iniciativas destinadas ao desenvolvimento da cultura organizacional voltada à prevenção de LD/FT;
• programas de treinamento e capacitação periódica de colaboradores;
• procedimentos de conhecimento e avaliação de funcionários (KYE), parceiros comerciais e prestadores de serviços terceirizados (KYP e KYS);
• tratamento e regularização de apontamentos oriundos de auditoria interna, supervisão do Banco Central do Brasil ou outras avaliações de controle.

8. 4. Plano de Ação para Regularização de Deficiências

Sempre que identificadas deficiências ou oportunidades de melhoria na avaliação de efetividade, a Instituição deve elaborar plano de ação destinado à sua regularização. O plano de ação deve:

• indicar as medidas corretivas a serem adotadas;
• estabelecer responsáveis pela implementação das ações;
• definir prazos para implementação das medidas corretivas.

O acompanhamento da implementação do plano de ação deve ser formalizado por meio de relatório de acompanhamento, que registre o progresso das medidas adotadas e a regularização das deficiências identificadas.

8. 5. Governança e Acompanhamento

O plano de ação e o respectivo relatório de acompanhamento devem ser encaminhados para ciência e avaliação, até 30 de junho do ano seguinte ao da data-base do relatório de avaliação de efetividade:

• ao comitê de auditoria, quando houver;
• à Diretoria da Instituição; e
• ao conselho de administração, quando existente.

8. 6. Registro, Guarda e Disponibilidade

A Instituição deverá manter arquivados os relatórios de avaliação de efetividade, os planos de ação e os relatórios de acompanhamento, bem como as evidências relacionadas à sua elaboração e implementação, pelo prazo mínimo de 5 (cinco) anos, contado a partir da sua elaboração ou da última atualização realizada, devendo tais documentos permanecer à disposição do Banco Central do Brasil para fins de supervisão.

9. PROCEDIMENTOS DE PREVENÇÃO ADOTADOS

A Instituição estabelece procedimentos destinados à identificação, qualificação, classificação, verificação, validação e atualização de informações relacionadas a clientes, funcionários, parceiros e prestadores de serviços terceirizados, bem como ao registro e monitoramento de operações, com o objetivo de prevenir a utilização de seus produtos e serviços na prática de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação de armas de destruição em massa. Esses procedimentos são estruturados de acordo com a abordagem baseada em risco adotada pela Instituição e contemplam mecanismos de diligência e monitoramento destinados a assegurar a adequada identificação das partes envolvidas nos relacionamentos comerciais, bem como a detecção de comportamentos, operações ou padrões que possam representar riscos de utilização indevida da Instituição para fins ilícitos. No âmbito desses procedimentos, a Instituição adota mecanismos de verificação e monitoramento que incluem, entre outros aspectos:

• a consulta a listas restritivas, listas de sanções, bases públicas e bases reputacionais internacionais, utilizadas para fins de avaliação de riscos reputacionais e de integridade, conforme elencadas no ANEXO I – Listas

Consultivas no Âmbito da Classificação de Riscos de Clientes;

• a verificação de atividades econômicas, modelos de negócio e setores de atuação, observando as restrições estabelecidas pela Instituição para determinados segmentos considerados incompatíveis com seu apetite de risco ou com suas obrigações regulatórias, conforme disposto no ANEXO

II – Atividades e Setores Proibidos;

• a consideração de fatores geográficos e jurisdicionais relevantes para fins de avaliação de risco, incluindo a classificação de países e territórios com base nas publicações periódicas do Grupo de Ação Financeira

Internacional (GAFI/FATF), conforme descrito no ANEXO III – Jurisdições de Monitoramento Restritas;

• a utilização de ferramentas tecnológicas especializadas, próprias ou contratadas de terceiros, destinadas à realização de procedimentos de diligência, monitoramento e análise de risco, devidamente avaliadas pela

Instituição e em conformidade com as diretrizes internas e a regulamentação aplicável. Nesse contexto, os procedimentos de diligência adotados pela Instituição compreendem, entre outros, os seguintes mecanismos:

• Conheça Seu Cliente (Know Your Customer – KYC);
• Conheça Seu Funcionário (Know Your Employee – KYE);
• Conheça Seu Parceiro (Know Your Partner – KYP);
• Conheça Seu Fornecedor (Know Your Supplier – KYS); e
• Conheça Sua Transação (Know Your Transaction – KYT).

Os procedimentos descritos neste capítulo visam assegurar a adequada coleta, verificação, validação, atualização e registro de informações relevantes, de forma a permitir a identificação e o gerenciamento dos riscos de utilização dos produtos e serviços da Instituição para fins ilícitos. Considerando o modelo de atuação da Instituição como intermediadora, os procedimentos descritos nesta seção não envolvem a custódia, guarda ou administração de ativos ou recursos de clientes.

9. 1. Conheça Seu Cliente – KYC

Os procedimentos de Conheça Seu Cliente (Know Your Customer – KYC) têm por objetivo estabelecer diretrizes para identificação, qualificação, classificação e monitoramento de clientes, de modo a assegurar que a Instituição conheça adequadamente o perfil de seus clientes e avalie os riscos associados ao relacionamento comercial, incluindo a identificação das contrapartes envolvidas nas operações intermediadas, quando aplicável. Esses procedimentos visam prevenir o estabelecimento ou a manutenção de relações de negócio com pessoas envolvidas, direta ou indiretamente, em atividades ilícitas, bem como assegurar a conformidade com as normas aplicáveis à prevenção à lavagem de dinheiro e ao financiamento do terrorismo. A Instituição deve assegurar a coleta, verificação, validação, atualização e registro tempestivo de informações cadastrais e transacionais de seus clientes, de forma a permitir a identificação do perfil do cliente, de suas atividades econômicas, da origem e do destino dos recursos movimentados, bem como de eventuais inconsistências ou indícios de irregularidade. Os procedimentos de KYC devem ser aplicados no momento do estabelecimento da relação de negócio (onboarding) e mantidos ao longo de todo o relacionamento com o cliente, incluindo processos de atualização cadastral e monitoramento contínuo das operações realizadas. 9.1.1.Identificação e Qualificação dos Clientes A Instituição adota procedimentos destinados a confirmar a identidade dos clientes e verificar a veracidade das informações fornecidas no processo de cadastro ou atualização cadastral. A verificação das informações é realizada mediante análise documental e consultas a bases de dados públicas e privadas, bem como outras fontes de informação consideradas adequadas para fins de validação cadastral. Durante o processo de cadastro, a Instituição busca compreender o propósito e a natureza da relação de negócio, avaliando a compatibilidade entre as atividades econômicas do cliente, sua capacidade financeira e o perfil de utilização esperado dos produtos e serviços oferecidos. Serão coletadas, no mínimo, as seguintes informações dos clientes, conforme sua classificação: Pessoa Física

• Identificação:

⎯ nome completo; ⎯ número de inscrição no Cadastro de Pessoas Físicas (CPF); ⎯ quando residente no exterior, documento de viagem válido na forma da legislação aplicável, contendo país emissor, número e tipo do documento.

• Qualificação

⎯ endereço residencial; ⎯ informações sobre renda mensal ou patrimônio. Pessoa Jurídica

• Identificação

⎯ firma ou denominação social; ⎯ número de inscrição no Cadastro Nacional da Pessoa Jurídica (CNPJ); ⎯ quando sediada no exterior, número de registro ou identificação equivalente no país de origem.

• Qualificação

⎯ endereço da sede ou filial; ⎯ informações sobre faturamento médio mensal ou patrimônio. As informações acima representam o conjunto mínimo de dados cadastrais exigidos. Documentos e informações adicionais poderão ser solicitados conforme os procedimentos estabelecidos no Manual de KYC da Instituição e de acordo com a classificação de risco atribuída ao cliente. É vedado à Instituição iniciar relação de negócios ou permitir a realização de operações sem que os procedimentos de identificação e qualificação estejam concluídos, exceto nos casos em que haja insuficiência apenas de informações relativas à qualificação do cliente, desde que:

• a situação seja previamente analisada e aprovada pela área de

Compliance; e

• a ausência dessas informações não prejudique os procedimentos de monitoramento e seleção de operações.

Nesses casos, as informações pendentes deverão ser obtidas no prazo máximo de 30 (trinta) dias. 9.1.2.Pessoas Expostas Politicamente – PEP A Instituição adota procedimentos específicos para identificação e tratamento de clientes classificados como Pessoas Expostas Politicamente (PEP). A identificação de PEP ocorre por meio de:

• autodeclaração no processo cadastral; e
• consultas a bases de dados públicas e privadas e sistemas especializados de verificação reputacional.

Devem ser considerados como PEP os indivíduos que desempenham ou tenham desempenhado, nos últimos cinco anos, no Brasil ou no exterior, cargos, empregos ou funções públicas relevantes, bem como seus representantes, familiares ou estreitos colaboradores, conforme critérios definidos na regulamentação aplicável. A Instituição deve adotar procedimentos reforçados de diligência quando identificada a condição de PEP, incluindo:

• verificação da origem dos recursos envolvidos nas transações;
• monitoramento reforçado das operações realizadas;
• aprovação prévia da Diretoria de Compliance e PLD/FT para o estabelecimento ou manutenção da relação de negócio.

9.1.3.Classificação de Clientes Os clientes são classificados de acordo com o risco de utilização dos produtos e serviços da Instituição para fins de lavagem de dinheiro ou financiamento do terrorismo. A classificação de risco é realizada com base nos critérios definidos na Avaliação Interna de Risco da Instituição e considera, entre outros fatores:

• perfil do cliente;
• natureza da atividade econômica;
• volume e padrão esperado de transações;
• área geográfica de atuação;
• estrutura societária;
• canais de relacionamento utilizados;
• resultados de consultas a listas restritivas, listas de sanções nacionais e internacionais e bases de risco reputacional.

A verificação das informações relacionadas ao perfil de risco do cliente, incluindo consultas a listas restritivas, listas de sanções e bases de risco reputacional, é realizada mediante análise conduzida pela Instituição, com o apoio de ferramentas tecnológicas especializadas fornecidas por prestadores de serviços devidamente homologados. Essas ferramentas incluem soluções de verificação cadastral, monitoramento reputacional e triagem em bases públicas e privadas, utilizadas como suporte aos procedimentos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo adotados pela Instituição. Clientes classificados como de risco inaceitável não poderão manter relacionamento com a Instituição, devendo ser recusado o estabelecimento ou determinada a descontinuidade da relação de negócios. Nos casos de clientes classificados em médio e alto risco, a Instituição poderá adotar medidas reforçadas de diligência, incluindo a realização de análise jurídica especializada independente. Para esse fim, a Instituição poderá contar com assessoria jurídica externa especializada em compliance, investigações reputacionais e due diligence, responsável pela elaboração de pareceres jurídicos opinativos sobre clientes classificados como de maior risco. Essa análise tem por objetivo avaliar riscos jurídicos, reputacionais e regulatórios associados ao relacionamento pretendido ou em curso, bem como apoiar a área de Compliance e PLD/FT na tomada de decisão quanto à aceitação, manutenção ou eventual encerramento do relacionamento com o cliente. Os pareceres emitidos no âmbito desse processo passam a integrar a documentação de diligência do cliente e devem ser considerados como elemento de apoio na avaliação de risco conduzida pela Instituição. Tais pareceres possuem natureza exclusivamente opinativa, não tendo caráter vinculante ou decisório. A decisão final quanto ao estabelecimento, manutenção ou encerramento do relacionamento com o cliente permanece sob responsabilidade da Instituição, por meio de suas instâncias internas de governança e da área de Compliance e PLD/FT. A utilização de análise jurídica externa constitui medida complementar de reforço dos controles internos, não afastando a responsabilidade da Instituição pela condução de seus próprios procedimentos de diligência, classificação de risco e monitoramento contínuo do cliente. A classificação atribuída ao cliente deve ser revista periodicamente e atualizada sempre que ocorrerem alterações relevantes em seu perfil ou em sua relação com a Instituição. A revisão da classificação de risco pode ocorrer automaticamente, por exemplo, nos seguintes casos:

• alteração significativa no volume ou padrão de transações;
• alteração na atividade econômica ou na estrutura societária do cliente;
• mudança de jurisdição ou início de operações envolvendo países ou regiões de maior risco;
• identificação de vínculos com pessoas expostas politicamente;
• inclusão do cliente ou de partes relacionadas em listas restritivas ou bases de risco reputacional.

9.1.4.Beneficiário Final Nos casos de clientes pessoa jurídica, a Instituição deve identificar e qualificar os respectivos beneficiários finais. Consideram-se beneficiários finais as pessoas naturais que, direta ou indiretamente:

• detenham participação relevante na pessoa jurídica; ou
• exerçam controle ou influência significativa sobre suas decisões.

Para fins desta política, considera-se como referência a participação societária mínima de 20% (vinte por cento), considerada de forma direta ou indireta, sem prejuízo da identificação de pessoas que exerçam controle de fato sobre a entidade. Devem ser aplicados aos beneficiários finais os mesmos procedimentos de identificação, qualificação e classificação de risco previstos para clientes, observadas as exceções estabelecidas na regulamentação aplicável. As informações cadastrais relativas aos beneficiários finais devem ser mantidas atualizadas e revisadas periodicamente ao longo do relacionamento com o cliente. 9.1.5.Administradores e Representantes de Clientes A Instituição deve aplicar os procedimentos de identificação, qualificação e classificação de risco também aos administradores de clientes pessoas jurídicas e aos representantes que atuem em nome dos clientes no relacionamento com a Instituição.

• Consideram-se administradores: as pessoas naturais que exerçam funções de direção, gestão ou administração no âmbito da pessoa jurídica cliente, incluindo diretores, administradores estatutários, membros de órgãos de administração ou quaisquer outras pessoas que detenham poderes de gestão;
• Consideram-se representantes: as pessoas naturais autorizadas a atuar em nome do cliente perante a Instituição, tais como procuradores, mandatários ou quaisquer outros indivíduos que possuam poderes formais de representação.

Os procedimentos aplicáveis a administradores e representantes devem ser compatíveis com a função exercida e com a abrangência dos poderes de representação concedidos, especialmente quando houver autorização para movimentação de recursos ou contratação de produtos e serviços. As informações relativas a administradores e representantes devem ser verificadas no momento do cadastro e mantidas atualizadas ao longo do relacionamento com o cliente. 9.1.6.Manual de KYC Os procedimentos operacionais detalhados relativos à identificação, qualificação, verificação, classificação e atualização cadastral de clientes encontram-se descritos no Manual de KYC da Instituição, documento complementar a esta Política, incluindo a identificação das contrapartes envolvidas nas operações intermediadas, quando aplicável. O Manual de KYC estabelece os fluxos operacionais, critérios técnicos, parâmetros de análise, documentação exigida, periodicidade de revisões cadastrais, ferramentas de verificação utilizadas e demais procedimentos necessários à adequada implementação dos controles de Conheça Seu Cliente. Esse documento deverá ser mantido permanentemente atualizado e aprovado pela Diretoria da Instituição, assegurando sua aderência às diretrizes desta Política, à Avaliação Interna de Risco e às normas aplicáveis à prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Compete à área de Compliance supervisionar a manutenção e atualização do Manual de KYC, bem como assegurar que suas diretrizes sejam devidamente observadas pelas áreas responsáveis pelos processos de cadastro, relacionamento e monitoramento de clientes.

9. 2. Conheça Seu Funcionário – KYE

A Instituição adota procedimentos de Conheça Seu Funcionário (Know Your Employee – KYE) destinados a assegurar que seus colaboradores possuam reputação e conduta compatíveis com os princípios de integridade, ética e conformidade exigidos pelas normas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Os procedimentos de KYE têm por objetivo prevenir riscos associados à atuação de colaboradores que possam comprometer a integridade das operações da Instituição, incluindo riscos relacionados a fraude, vazamento de informações, conflitos de interesse ou eventual envolvimento em atividades ilícitas. Para esse fim, a Instituição estabelece controles e diligências aplicáveis aos processos de contratação, acompanhamento e desligamento de colaboradores, em articulação com as áreas de Recursos Humanos, Compliance e demais áreas responsáveis. 9.2.1.Procedimentos de Identificação e Avaliação de Colaboradores No processo de seleção e contratação de colaboradores, a Instituição adota procedimentos destinados a avaliar a idoneidade, integridade e qualificação profissional dos candidatos. Entre os principais procedimentos aplicáveis estão:

• análise curricular e verificação da experiência profissional declarada;
• verificação documental e validação das informações cadastrais fornecidas;
• avaliação de qualificação técnica e aderência ao perfil da função;
• análise de eventuais conflitos de interesse ou riscos reputacionais.

A Instituição poderá, quando aplicável, realizar consultas a bases de dados públicas e privadas, bem como procedimentos de verificação reputacional e background check, de forma proporcional à natureza da função exercida e ao nível de risco associado à posição. 9.2.2.Monitoramento e Acompanhamento de Colaboradores A Instituição mantém procedimentos contínuos de acompanhamento da conduta e do perfil de risco de seus colaboradores ao longo da relação de trabalho. Esses procedimentos incluem:

• avaliações periódicas de integridade e conformidade;
• realização de treinamentos obrigatórios em prevenção à lavagem de dinheiro e financiamento do terrorismo;
• monitoramento de eventuais situações que possam caracterizar conflitos de interesse ou riscos reputacionais;
• aplicação de cláusulas contratuais relacionadas a ética, confidencialidade e prevenção a práticas ilícitas.

A identificação de situações que possam representar risco à integridade da Instituição deve ser comunicada às áreas competentes para análise e adoção das medidas cabíveis. 9.2.3.Manual de KYE Os procedimentos operacionais detalhados relacionados à aplicação do processo de Conheça Seu Funcionário encontram-se descritos no Manual de KYE da Instituição, documento complementar a esta Política. O Manual de KYE estabelece os critérios, parâmetros de análise, procedimentos de verificação reputacional, rotinas de monitoramento e demais controles aplicáveis à gestão de riscos relacionados aos colaboradores. Esse documento deverá ser mantido permanentemente atualizado e aprovado pela Diretoria da Instituição, assegurando sua aderência às diretrizes desta Política, à Avaliação Interna de Risco e às normas aplicáveis à prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Compete à área de Compliance supervisionar a manutenção e atualização do Manual de KYE, bem como assegurar que suas diretrizes sejam devidamente observadas pelas áreas responsáveis pelos processos de cadastro, relacionamento e monitoramento de clientes.

9. 3. Conheça Seu Parceiro e Conheça Seu Fornecedor – KYP e KYS

A Instituição adota procedimentos de Conheça Seu Parceiro (Know Your Partner – KYP) e Conheça Seu Fornecedor (Know Your Supplier – KYS) destinados a avaliar a idoneidade, integridade e conformidade regulatória de parceiros comerciais e prestadores de serviços terceirizados que mantenham relacionamento com a Instituição., incluindo a identificação das contrapartes envolvidas nas operações intermediadas, quando aplicável. Esses procedimentos são aplicados de forma proporcional ao nível de risco associado às atividades desempenhadas por esses terceiros, especialmente quando possam impactar os controles de prevenção à lavagem de dinheiro e ao financiamento do terrorismo ou participar, direta ou indiretamente, das atividades operacionais da Instituição, e têm como finalidade prevenir riscos associados à utilização da Instituição para práticas de lavagem de dinheiro, financiamento do terrorismo ou outras atividades ilícitas por meio de terceiros, bem como assegurar que as relações comerciais sejam estabelecidas com entidades que observem padrões adequados de governança, integridade e conformidade. Os processos de KYP e KYS devem ser aplicados antes do estabelecimento da relação contratual e mantidos ao longo de todo o relacionamento com parceiros e fornecedores, com base na abordagem baseada em risco adotada pela Instituição. Nos casos em que os parceiros ou fornecedores participem direta ou indiretamente da infraestrutura tecnológica ou operacional relacionada à negociação, liquidação ou monitoramento de ativos virtuais — incluindo provedores de tecnologia, plataformas, integradores, provedores de liquidez, serviços de análise de blockchain ou outros prestadores de serviços especializados — a Instituição deverá realizar diligência compatível com os riscos associados a essas atividades, avaliando aspectos de governança, integridade, conformidade regulatória e segurança operacional. 9.3.1.Conheça Seu Parceiro – KYP Os procedimentos de KYP são aplicáveis às entidades que estabeleçam relacionamento comercial ou operacional com a Instituição em caráter de parceria, incluindo, entre outros, parceiros estratégicos, intermediários, integradores tecnológicos, plataformas ou outros agentes que participem direta ou indiretamente da oferta de produtos ou serviços da Instituição. No âmbito do processo de KYP, a Instituição poderá realizar diligências destinadas a verificar, entre outros aspectos:

• a identidade e a regularidade jurídica da entidade parceira;
• a estrutura societária e seus beneficiários finais;
• a reputação e o histórico de atuação no mercado;
• a existência de sanções, restrições ou registros negativos em bases públicas ou privadas;
• a aderência da entidade a padrões adequados de governança, integridade e conformidade regulatória.

Dependendo do nível de risco identificado, poderão ser aplicadas diligências adicionais ou controles reforçados antes da formalização da parceria, incluindo a adoção cláusulas contratuais específicas relacionadas à conformidade regulatória, confidencialidade, integridade e prevenção à lavagem de dinheiro. 9.3.2.Conheça Seu Fornecedor – KYS Os procedimentos de KYS são aplicáveis aos prestadores de serviços terceirizados contratados pela Instituição, incluindo fornecedores que forneçam soluções tecnológicas, serviços operacionais ou outras atividades de suporte às operações da Instituição. No âmbito do processo de KYS, a Instituição adota medidas destinadas a avaliar a idoneidade e a capacidade técnica dos fornecedores, bem como a existência de riscos relacionados à integridade, conformidade regulatória e prevenção à lavagem de dinheiro. Entre os principais aspectos considerados estão:

• identificação e qualificação da entidade fornecedora;
• verificação da regularidade jurídica e reputacional;
• análise da estrutura societária e dos beneficiários finais, quando aplicável;
• verificação em listas restritivas e bases de risco reputacional;
• avaliação da capacidade técnica e da aderência a padrões de segurança, governança e conformidade.

A depender da natureza do serviço contratado e do nível de risco identificado, a Instituição poderá exigir cláusulas contratuais específicas relacionadas à conformidade regulatória, confidencialidade, integridade e prevenção à lavagem de dinheiro. 9.3.3.Manual de KYP e KYS Os procedimentos operacionais detalhados relativos às diligências de parceiros e fornecedores encontram-se descritos no Manual de KYP e KYS da Instituição, documento complementar a esta Política. O manual estabelece os critérios de avaliação, parâmetros de análise, procedimentos de verificação reputacional, rotinas de monitoramento e demais controles aplicáveis à gestão de riscos relacionados a terceiros. Esse documento deverá ser mantido permanentemente atualizado e aprovado pela Diretoria da Instituição, assegurando sua aderência às diretrizes desta Política, à Avaliação Interna de Risco e às normas aplicáveis à prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Compete à área de Compliance supervisionar a manutenção e atualização do Manual de KYP e KYS, bem como assegurar que suas diretrizes sejam devidamente observadas pelas áreas responsáveis pelos processos de cadastro, relacionamento e monitoramento de clientes.

9. 4. Conheça Sua Transação – KYT

Os procedimentos de Conheça Sua Transação (Know Your Transaction – KYT) têm por objetivo assegurar o monitoramento contínuo das operações intermediadas da Instituição, de modo a identificar, analisar e reportar transações que possam apresentar indícios de lavagem de dinheiro, financiamento do terrorismo ou outras irregularidades. No contexto da atuação da Instituição como intermediadora, o monitoramento transacional não envolve controle direto sobre ativos ou execução própria de operações, sendo baseado nas informações disponíveis sobre as transações intermediadas e nas partes envolvidas. O KYT está diretamente vinculado aos procedimentos de Conheça Seu Cliente (KYC), sendo utilizado para verificar a compatibilidade entre as transações realizadas e o perfil cadastral, econômico-financeiro e comportamental previamente identificado no processo de identificação, qualificação e classificação de risco do cliente. A Instituição adota processo estruturado de monitoramento transacional contínuo, baseado em abordagem baseada em risco e alinhado às obrigações de prevenção à lavagem de dinheiro e financiamento do terrorismo previstas na regulamentação aplicável. 9.4.1.Monitoramento Transacional A Instituição realiza monitoramento das operações intermediadas, com base nas informações disponíveis, com o objetivo de identificar padrões atípicos ou incompatíveis com o perfil dos clientes e das contrapartes envolvidas, com o objetivo de identificar operações incompatíveis com o perfil do cliente ou que apresentem características potencialmente atípicas ou suspeitas. O monitoramento tem por finalidade identificar e selecionar operações ou situações que possam apresentar indícios de irregularidade ou incompatibilidade com o perfil do cliente, para posterior análise pela área de Compliance. Esse monitoramento considera, entre outros aspectos:

• compatibilidade entre as transações realizadas e o perfil cadastral e econômico-financeiro do cliente;
• volume, frequência e padrão das transações realizadas;
• natureza das operações e dos ativos envolvidos;
• jurisdição de origem ou destino dos recursos;
• características das contrapartes envolvidas nas operações.

Nas operações envolvendo ativos virtuais, a Instituição poderá considerar adicionalmente elementos como a rastreabilidade dos ativos, a interação com endereços de carteira de maior risco e o histórico transacional associado às operações. 9.4.2.Classificação e Análise das Transações As transações realizadas pelos clientes são analisadas de acordo com sua natureza e características operacionais, podendo incluir, entre outras:

• operações intermediadas de compra, venda ou troca de ativos virtuais;
• transferências entre contas ou carteiras de ativos virtuais;
• operações de conversão entre ativos virtuais e moeda fiduciária;
• transferências para ou a partir de carteiras de auto custódia;
• operações envolvendo contrapartes externas ou outras plataformas;
• operações relacionadas a serviços de pagamento ou movimentação de recursos, quando aplicável.

A análise das transações considera a compatibilidade entre a operação realizada, o perfil do cliente e sua classificação de risco, bem como eventuais padrões atípicos de volume, frequência ou comportamento transacional. Todas as análises realizadas pela área de Compliance devem ser devidamente registradas e documentadas, de forma a permitir rastreabilidade e eventual auditoria ou supervisão pelas autoridades competentes. 9.4.3.Estrutura de Monitoramento e Investigação O processo de monitoramento transacional envolve a utilização de ferramentas tecnológicas especializadas, integradas aos sistemas da Instituição e parametrizadas de acordo com os critérios definidos na Avaliação Interna de Risco e na classificação de risco dos clientes e operações. As transações são analisadas em duas camadas complementares:

I – Análise automatizada: Realizada por meio de ferramentas tecnológicas

de monitoramento transacional e análise de risco, responsáveis pela identificação de padrões atípicos, geração de alertas e análise preliminar das operações; e

II – Análise humana especializada: Realizada pela área de Compliance,

responsável pela revisão dos alertas gerados pelas ferramentas, análise contextual das operações e condução das investigações necessárias. Sempre que uma transação for identificada como potencialmente suspeita, ela será submetida a processo de investigação conduzido pela área de Compliance, com o objetivo de avaliar a legitimidade da operação e verificar a existência de indícios de irregularidade. Esse processo de investigação inclui, entre outros procedimentos:

• análise dos alertas e relatórios gerados pelas ferramentas de monitoramento;
• análise da origem e do destino, com base nas informações disponíveis;
• cruzamento de informações com bases de dados internas e externas;
• consulta a ferramentas adicionais de análise de risco ou rastreabilidade;
• avaliação do histórico transacional e do perfil do cliente.

Com base nessa análise, a área de Compliance poderá determinar a adoção das medidas cabíveis, incluindo:

• solicitação de informações ou esclarecimentos adicionais ao cliente;
• aplicação de restrições operacionais;
• registro da análise e documentação das conclusões;
• comunicação às autoridades competentes, incluindo o Conselho de

Controle de Atividades Financeiras (COAF), quando aplicável.. Os parâmetros, regras e indicadores utilizados no monitoramento transacional deverão ser periodicamente avaliados quanto à sua efetividade, de modo a assegurar a adequada identificação de operações ou situações potencialmente suspeitas. Essa avaliação considera, entre outros fatores, os resultados das análises realizadas pela área de Compliance, os relatórios de avaliação de efetividade da política de PLD/FT e eventuais recomendações decorrentes de auditorias internas ou processos de supervisão regulatória. 9.4.4.Registro e Rastreabilidade das Operações A Instituição mantém registros completos, consistentes e auditáveis das operações realizadas por seus clientes, de forma a permitir o adequado acompanhamento das movimentações, a rastreabilidade das transações e a eventual investigação ou reporte às autoridades competentes. Os registros das operações devem conter, no mínimo:

• identificação do cliente ou beneficiário envolvido na operação;
• tipo e natureza da operação realizada;
• valor da transação;
• data e horário da operação;
• canal utilizado para realização da transação;
• identificadores de carteiras ou endereços utilizados em operações com ativos virtuais;
• demais informações necessárias para rastreabilidade e auditoria das operações.

No caso de operações relacionadas a pagamentos, recebimentos ou transferências de recursos — incluindo, quando aplicável, operações realizadas por meio de contas de pagamento, transferências eletrônicas ou outros instrumentos de movimentação de recursos — a Instituição deverá manter registros que permitam identificar de forma clara a origem e o destino dos recursos envolvidos na transação. Para esses fins, os registros deverão conter, sempre que aplicável, informações que permitam identificar as partes envolvidas na operação, incluindo remetente, destinatário ou beneficiário, bem como as instituições participantes da transação e os instrumentos utilizados para sua realização. Quando aplicável, no caso de operações realizadas no mercado de câmbio, a Instituição deverá manter registro e guarda dos documentos comprobatórios exigidos para a realização dessas operações, observados os critérios definidos com base na Avaliação Interna de Risco da Instituição e na regulamentação aplicável ao mercado de câmbio. A Instituição não realiza operações em espécie no âmbito de suas atividades, razão pela qual não se aplicam procedimentos relacionados ao registro ou controle de movimentações em dinheiro físico. Todos os registros e informações relativos às operações deverão ser mantidos organizados, íntegros e acessíveis, permanecendo à disposição do Banco Central do Brasil para fins de supervisão. Esses registros deverão ser conservados pelo prazo mínimo de 10 (dez) anos, contado a partir do primeiro dia do ano seguinte ao da realização da operação. 9.4.5.Manual de KYT Os procedimentos operacionais detalhados relativos ao monitoramento de transações encontram-se descritos no Manual de KYT da Instituição, documento complementar a esta Política. O Manual de KYT estabelece os parâmetros de monitoramento, critérios de geração e análise de alertas, procedimentos investigativos, rotinas de documentação e demais controles relacionados à análise transacional. Esse documento deverá ser mantido permanentemente atualizado e aprovado pela Diretoria da Instituição, assegurando sua aderência às diretrizes desta Política, à Avaliação Interna de Risco e às normas aplicáveis à prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Compete à área de Compliance supervisionar a manutenção e atualização do Manual de KYT, bem como assegurar que suas diretrizes sejam devidamente observadas pelas áreas responsáveis pelos processos de cadastro, relacionamento e monitoramento de clientes.

9. 6 Travel Rule para Transferências de Ativos Virtuais

9.6.1 Objetivo A Instituição adota procedimentos destinados ao cumprimento da denominada Travel Rule, princípio internacional estabelecido pelas Recomendações do Grupo de Ação Financeira Internacional (GAFI/FATF), que exige a coleta, verificação e transmissão de informações relacionadas às partes envolvidas em transferências de ativos virtuais entre prestadores de serviços de ativos virtuais, quando aplicável e na medida em que a Instituição participe do fluxo informacional das operações intermediadas. A aplicação da Travel Rule tem como objetivo:

• aumentar a transparência das transferências de ativos virtuais;
• permitir a identificação das partes envolvidas nas transações;
• facilitar a rastreabilidade das operações;
• fortalecer os mecanismos de prevenção à lavagem de dinheiro e financiamento do terrorismo.

9.6.2 Escopo de Aplicação Os procedimentos descritos nesta seção aplicam-se às transferências de ativos virtuais realizadas:

• entre clientes da Instituição e prestadores de serviços de ativos virtuais localizados no Brasil ou no exterior;
• entre a Instituição e outras plataformas de negociação;
• entre contas mantidas por clientes da Instituição e carteiras externas controladas por terceiros.

Sempre que aplicável, a Instituição deverá assegurar a coleta e transmissão das informações mínimas exigidas pelas melhores práticas internacionais e pela regulamentação aplicável. 9.6.3 Informações do Originador Antes da intermediação de operações de ativos virtuais, a Instituição deverá assegurar a coleta e manutenção das seguintes informações relacionadas ao originador da transferência:

• nome completo do cliente remetente;
• número de identificação do cliente (CPF ou CNPJ, conforme aplicável);
• endereço residencial ou sede;
• identificação da conta ou carteira utilizada na transação;
• demais informações cadastrais necessárias para identificação inequívoca do cliente.

Essas informações devem estar previamente verificadas por meio dos procedimentos de Conheça Seu Cliente (KYC). 9.6.4 Informações do Beneficiário Sempre que aplicável, a Instituição deverá coletar e manter informações relacionadas ao beneficiário da transferência, incluindo:

• nome completo do beneficiário;
• identificação da conta ou endereço de carteira destinatária;
• identificação da instituição ou plataforma de destino, quando aplicável.

Nos casos em que o beneficiário mantenha relacionamento com outra prestadora de serviços de ativos virtuais, a Instituição deverá buscar assegurar que as informações relevantes sejam transmitidas ou disponibilizadas de forma segura à instituição receptora. 9.6.5 Transferências para Outras VASP Quando uma transferência envolver outra prestadora de serviços de ativos virtuais, a Instituição deverá adotar medidas destinadas a:

• identificar a instituição contraparte da transação;
• avaliar sua reputação e conformidade regulatória;
• assegurar a transmissão segura das informações exigidas pela Travel

Rule. Sempre que possível, a Instituição poderá utilizar soluções tecnológicas especializadas destinadas ao compartilhamento seguro de informações entre prestadores de serviços de ativos virtuais. 9.6.6 Transferências para Carteiras de Autocustódia Nas transferências destinadas a carteiras de autocustódia, nas quais não exista uma instituição intermediária responsável pela recepção das informações, a Instituição deverá adotar medidas adicionais de controle, podendo incluir:

• avaliação da compatibilidade entre a carteira utilizada e o perfil do cliente, com base em informações disponíveis e ferramentas de análise de risco;
• análise de risco do endereço de carteira por meio de ferramentas de análise de blockchain;
• avaliação da compatibilidade da operação com o perfil do cliente;
• aplicação de limites operacionais adicionais para transferências dessa natureza.

Quando identificado risco elevado associado à carteira de destino ou ao padrão transacional do cliente, a Instituição poderá:

• solicitar informações adicionais;
• suspender temporariamente a transação;
• aplicar restrições operacionais;
• comunicar a operação às autoridades competentes, quando aplicável.

A Instituição não possui ingerência, controle ou acesso às carteiras de autocustódia dos clientes, limitando sua atuação à análise de risco das operações intermediadas. 9.6.7 Monitoramento e Análise de Risco As transferências sujeitas à Travel Rule são monitoradas pela Instituição como parte dos procedimentos de Conheça Sua Transação (KYT). A análise das transações considera, entre outros fatores:

• jurisdição da instituição contraparte;
• histórico transacional do cliente;
• risco associado aos endereços de carteira envolvidos;
• volume e frequência das transferências realizadas.

As ferramentas de análise de blockchain utilizadas pela Instituição poderão classificar os endereços de carteira de acordo com seu nível de risco, permitindo a identificação de vínculos com:

• mercados ilícitos;
• atividades fraudulentas;
• entidades sancionadas;
• serviços de mistura (mixers) ou mecanismos destinados à ocultação da origem dos ativos.

9.6.8 Registros e Guarda de Informações A Instituição mantém registros completos das informações coletadas no âmbito da Travel Rule, incluindo dados relacionados ao originador, beneficiário e instituições envolvidas na transferência. Esses registros devem ser mantidos pelo prazo mínimo previsto na regulamentação aplicável, de 05 (cinco) anos e permanecer disponíveis para eventual solicitação por autoridades competentes, incluindo o Banco Central do Brasil e o Conselho de Controle de Atividades Financeiras (COAF). 9.6.9 Ferramentas Tecnológicas A Instituição poderá utilizar ferramentas tecnológicas especializadas destinadas à implementação da Travel Rule, incluindo soluções de:

• compartilhamento seguro de informações entre prestadores de serviços de ativos virtuais;
• análise de blockchain;
• verificação de endereços de carteira;
• monitoramento de transações.

Essas ferramentas devem ser avaliadas quanto à sua confiabilidade, segurança da informação e aderência às melhores práticas internacionais de prevenção à lavagem de dinheiro. 9.6.10 Governança e Responsabilidades A área de Compliance é responsável por supervisionar o cumprimento dos procedimentos relacionados à Travel Rule, incluindo:

• definição de parâmetros operacionais;
• monitoramento de transações;
• análise de operações atípicas;
• recomendação de comunicações às autoridades competentes quando aplicável.

A área de Tecnologia da Informação deverá assegurar que os sistemas da Instituição sejam capazes de suportar os requisitos operacionais e de registro necessários para a implementação da Travel Rule.

10. ABORDAGEM BASEADA NO RISCO

Em compasso com as recomendações do GAFI/FATF e demais normas referência, a Instituição adota uma abordagem baseada em risco para classificar e gerenciar os riscos associados aos seus clientes e operações. Essa abordagem permite que a empresa mantenha um ambiente seguro e em conformidade com a legislação vigente, ajustando os níveis de diligência de acordo com o risco apresentado por cada cliente. Cada cliente e parceiro recebe uma designação de risco de acordo com o seu perfil, o que orienta, em grande parte, as diligências a serem aplicadas de maneira específica. Os riscos são classificados da seguinte forma:

• Risco Baixo: Os riscos classificados como “Baixo” representam o nível base de risco, no qual os clientes apresentam perfil compatível com os requisitos cadastrais e regulatórios aplicáveis. Nesses casos, aplicam-se os procedimentos padrão de identificação, diligência e monitoramento definidos pela Instituição;
• Risco Médio: Os riscos classificados como “Médio” representam situações que demandam atenção adicional em relação ao risco base, podendo requerer diligências complementares ou monitoramento mais frequente, de forma proporcional às características do relacionamento ou das operações realizadas;
• Risco Alto: Os riscos classificados como “Alto” correspondem a situações que apresentam maior exposição potencial aos riscos de lavagem de dinheiro ou financiamento do terrorismo, exigindo a adoção de procedimentos reforçados de diligência, monitoramento intensificado e acompanhamento mais rigoroso por parte da Instituição.
• Risco Inaceitável: Os riscos classificados como “Inaceitável” correspondem a situações em que o nível de risco identificado é incompatível com as políticas, controles internos ou requisitos regulatórios aplicáveis, não sendo permitido o estabelecimento ou a manutenção de relação de negócios com a Instituição.

Independentemente da classificação de risco atribuída ao cliente ou parceiro, sempre que forem identificadas operações ou situações que apresentem indícios de irregularidade ou suspeita de lavagem de dinheiro ou financiamento do terrorismo, a Instituição adotará os procedimentos internos de análise e, quando aplicável, as providências cabíveis para comunicação às autoridades competentes, nos termos da legislação e regulamentação aplicáveis. A tabela a seguir apresenta, de forma resumida, os níveis de risco adotados pela Instituição e os correspondentes procedimentos de diligência, controles e periodicidades de revisão cadastral e monitoramento aplicáveis a cada categoria: Risco Baixo Risco Médio Risco Alto Risco Inaceitável Atualização Cadastral A cada 18 meses A cada 12 meses A cada 6 meses Recusa ou bloqueio do cliente/operação Dossiê – Parecer Técnico de Análise Registro simplificado no sistema Parecer técnico quando houver evento relevante Parecer obrigatório no onboarding e atualizações Elaboração de parecer para apreciação pela Diretoria, em sede de comitê Diligência Reforçada Não aplicável Facultativo conforme risco Aplicável Não aplicável Monitoramento Monitoramento automatizado padrão Monitoramento automatizado e revisão periódica Monitoramento reforçado contínuo por 6 meses Não aplicável Comunicação ao COAF Sempre que houver indícios relevantes Sempre que houver indícios relevantes Sempre que houver indícios relevantes Obrigatória A classificação de risco e os procedimentos correspondentes devem ser observados por todas as áreas envolvidas no processo de cadastro, relacionamento e monitoramento de clientes. A Instituição deve assegurar a revisão periódica das classificações atribuídas, bem como a atualização dos procedimentos aplicáveis sempre que identificadas alterações relevantes no perfil do cliente, no padrão de operações ou nos fatores de risco considerados na Avaliação Interna de Risco, garantindo a adequada aplicação da abordagem baseada em risco ao longo de todo o relacionamento.

11. MECANISMOS E MÉTRICAS DE AVALIAÇÃO DE RISCO

A Instituição utiliza mecanismos estruturados para avaliação e mensuração dos riscos de lavagem de dinheiro e financiamento do terrorismo associados aos seus clientes, operações, produtos e contrapartes. Essa avaliação é realizada por meio de matriz de risco integrada, baseada em critérios e indicadores objetivos e qualitativos que permitem analisar, de forma sistemática, o grau de exposição da Instituição a riscos de LD/FT. Entre os principais fatores considerados na avaliação de risco estão, entre outros:

• a natureza da atividade econômica exercida pelo cliente;
• a origem e a compatibilidade dos recursos utilizados nas operações;
• o volume, frequência e padrão das transações realizadas;
• a jurisdição de origem ou destino dos recursos e das contrapartes;
• o tipo de ativo virtual negociado e suas características de rastreabilidade;
• o perfil e a natureza das contrapartes envolvidas nas operações.

A análise desses fatores permite identificar padrões de risco e subsidiar a classificação de clientes e operações no âmbito da abordagem baseada em risco adotada pela Instituição.

11. 1. Fatores Relevantes de Risco

Na avaliação de risco, a Instituição atribui especial atenção a determinados fatores que podem indicar maior exposição a riscos de lavagem de dinheiro ou financiamento do terrorismo, incluindo, entre outros: a) Pessoas Expostas Politicamente (PEP): Clientes ou partes relacionadas enquadradas como pessoas expostas politicamente são submetidas a procedimentos reforçados de diligência e monitoramento, em razão da maior exposição potencial a riscos de corrupção, suborno ou outras práticas ilícitas; b) Jurisdições de Maior Risco: Operações ou clientes relacionados a países ou jurisdições que apresentem deficiências relevantes em seus sistemas de prevenção à lavagem de dinheiro ou financiamento do terrorismo, ou que estejam sujeitos a alertas de organismos internacionais, podem ser submetidos a análise reforçada e a controles adicionais; c) Listas Restritivas e Sanções Internacionais: A Instituição realiza consultas periódicas a listas restritivas e regimes de sanções nacionais e internacionais, incluindo listas emitidas por autoridades e organismos multilaterais. Clientes, parceiros ou transações associados a essas listas serão objeto de análise aprofundada e poderão ser bloqueados, reportados ou recusados, conforme aplicável; d) Informações Reputacionais e Mídia Negativa: A Instituição monitora informações públicas e bases de dados reputacionais que possam indicar envolvimento de clientes, parceiros ou contrapartes em atividades ilícitas ou suspeitas. A identificação de mídia negativa relevante pode ensejar revisão da classificação de risco, aplicação de diligências adicionais ou eventual encerramento do relacionamento; e) Indícios de Crimes Antecedentes: A análise de risco também considera a existência de indícios ou vínculos com crimes antecedentes à lavagem de dinheiro, tais como corrupção, fraude, tráfico ilícito, crimes financeiros ou outras atividades ilícitas previstas na legislação aplicável. A identificação de qualquer desses fatores pode resultar na aplicação de medidas de diligência reforçada, restrições operacionais ou na recusa ou encerramento da relação de negócios, conforme avaliação da área de Compliance.

11. 2. Setores e Atividades com Maior Exposição a Riscos de LD/FT

No processo de avaliação de risco, a Instituição considera que determinados setores econômicos, atividades ou estruturas operacionais podem apresentar maior exposição a riscos de lavagem de dinheiro e financiamento do terrorismo, em razão de características como elevada liquidez, maior complexidade transacional, dificuldade de rastreabilidade de recursos, subjetividade na avaliação de ativos ou fragilidades de controle e registro das operações. Além disso, fatores como a utilização intensiva de novas tecnologias, a crescente digitalização dos serviços financeiros e a realização de transações em ambientes transfronteiriços podem ampliar a velocidade de circulação de recursos e aumentar a complexidade do monitoramento das operações, exigindo controles adicionais por parte da Instituição. Nesse contexto, a Instituição atribui atenção especial, entre outros, a clientes, operações ou contrapartes relacionadas a atividades ou setores que, segundo práticas de mercado e avaliações de risco amplamente reconhecidas, possam apresentar maior vulnerabilidade à utilização para fins ilícitos, tais como:

• Estruturas Financeiras Complexas: operações com movimentação financeira intensiva ou estruturas societárias complexas;
• Exposição Política: operações envolvendo pessoas expostas politicamente (PEP) ou entidades com vinculação político-partidária;
• Jurisdições de Maior Risco: transações relacionadas a jurisdições offshore ou países considerados de maior risco;
• Captação e Distribuição de Recursos por Doações: organizações que realizem captação ou distribuição de recursos por meio de doações, contribuições ou campanhas de arrecadação, incluindo entidades religiosas, organizações sem fins lucrativos e partidos políticos;
• Comércio Eletrônico e Serviços Digitais: atividades associadas a comércio eletrônico ou serviços digitais com alto volume de transações;
• Ativos de Alto Valor e Avaliação Subjetiva: setores caracterizados por maior subjetividade na avaliação de ativos, como comércio de obras de arte, joias, antiguidades ou outros bens de alto valor;
• Jogos de Azar e Apostas: atividades relacionadas a jogos de azar, apostas ou loterias, especialmente quando realizadas por meio de plataformas digitais ou estruturas com elevada circulação de recursos e baixa rastreabilidade financeira;
• Intermediação de Serviços e Estruturas Opacas: atividades envolvendo intermediação de serviços ou estruturas empresariais com baixa transparência operacional.

A identificação de exposição a esses setores ou atividades não implica, por si só, irregularidade, mas constitui fator relevante para fins de classificação de risco e definição do nível de diligência e monitoramento aplicável, no âmbito da abordagem baseada em risco adotada pela Instituição.

12. MONITORAMENTO, SELEÇÃO, ANÁLISE E Comunicação De Operações E Situações Suspeitas

A Instituição adota procedimentos estruturados para monitoramento, seleção, análise e comunicação de operações e situações potencialmente suspeitas de lavagem de dinheiro ou financiamento do terrorismo, em conformidade com a regulamentação aplicável e com a abordagem baseada em risco adotada no âmbito desta Política. Esses procedimentos têm por finalidade permitir a identificação tempestiva de operações ou comportamentos atípicos, possibilitando a análise adequada das situações identificadas e, quando cabível, a comunicação às autoridades competentes.

12. 1. Monitoramento e Seleção de Operações e Situações Suspeitas

A Instituição mantém mecanismos estruturados de monitoramento contínuo das operações e situações relacionadas às atividades de seus clientes, com o objetivo de identificar transações ou comportamentos que possam indicar indícios de lavagem de dinheiro ou financiamento do terrorismo. 12.1.1.Escopo do Monitoramento Os procedimentos de monitoramento abrangem todas as operações realizadas no âmbito dos produtos e serviços oferecidos pela Instituição, incluindo, entre outras:

• operações envolvendo ativos virtuais;
• transferências de recursos;
• operações relacionadas a contas de pagamento ou instrumentos de pagamento, quando aplicável;
• operações de câmbio;
• propostas de operações;
• quaisquer outras movimentações financeiras realizadas por intermédio da Instituição.

12.1.2. Situações e Fatores de Risco Considerados Os mecanismos de monitoramento e seleção consideram, no mínimo, as seguintes situações e fatores de risco:

• Identificação Inconsistente ou Incompleta: operações realizadas com clientes ou contrapartes cuja identificação não possa ser adequadamente verificada ou validada;
• Incompatibilidade com o Perfil do Cliente: operações incompatíveis com o perfil cadastral, econômico-financeiro ou com o histórico transacional do cliente, considerando o padrão esperado de movimentações;
• Indícios de Ocultação ou Dissimulação: operações ou propostas de operações que apresentem indícios de tentativa de ocultação ou dissimulação da natureza, origem, localização, disposição ou propriedade de recursos;
• Exposição a Jurisdições de Maior Risco: operações que envolvam jurisdições ou contrapartes associadas a riscos elevados de lavagem de dinheiro ou financiamento do terrorismo;
• Fatores de Risco Relevantes: operações ou situações relacionadas a pessoas expostas politicamente ou a outros fatores de risco identificados na Avaliação Interna de Risco da Instituição.

12.1.3.Sistemas de Monitoramento A Instituição utiliza sistemas e ferramentas tecnológicas de monitoramento transacional devidamente parametrizados com base na abordagem baseada em risco adotada, capazes de identificar padrões atípicos de comportamento e gerar alertas para análise pela área de Compliance. Os sistemas utilizados no monitoramento e na seleção de operações e situações suspeitas devem conter informações detalhadas sobre as operações realizadas e sobre os envolvidos nas transações, incluindo dados de identificação e qualificação dos clientes e demais partes envolvidas. Além disso, devem ser periodicamente avaliados quanto à sua adequação e efetividade, mediante verificações internas, auditorias ou processos de supervisão regulatória. 12.1.4.Documentação dos Parâmetros de Monitoramento A Instituição manterá documentação detalhada dos parâmetros, variáveis, regras e cenários utilizados nos sistemas de monitoramento, assegurando a rastreabilidade e a transparência dos critérios utilizados para a geração de alertas e identificação de situações potencialmente suspeitas. 12.1.5.Prazo para Monitoramento e Seleção O período para execução dos procedimentos de monitoramento e de seleção de operações e situações suspeitas não poderá exceder 45 (quarenta e cinco) dias, contados a partir da data de ocorrência da operação ou da situação identificada. 12.1.6.Encaminhamento para Análise As ocorrências identificadas pelos mecanismos de monitoramento deverão ser encaminhadas à área de Compliance para análise do Diretor de Compliance e PLD/FT e do Comitê competente, quando instituído, conforme os procedimentos estabelecidos nesta Política e no Manual de Monitoramento, Seleção, Análise e Comunicação de Operações Suspeitas (MSAC) da Instituição.

12. 2. Análise de Operações e Situações Suspeitas

As operações e situações identificadas nos processos de monitoramento e seleção são submetidas a procedimento de análise com o objetivo de caracterizá-las ou não como suspeitas de lavagem de dinheiro e de financiamento do terrorismo. O processo de análise tem por finalidade avaliar a consistência e a legitimidade das operações ou situações identificadas, considerando o perfil do cliente, o contexto da transação e os fatores de risco identificados no âmbito da abordagem baseada em risco adotada pela Instituição. Essa análise busca verificar se a operação ou situação identificada apresenta características compatíveis com o relacionamento mantido com o cliente ou se existem elementos que possam indicar tentativa de ocultação ou dissimulação da origem, natureza ou destinação dos recursos. 12.2.1.Procedimentos de Análise A análise deve envolver, minimamente, os seguintes procedimentos:

• revisão das informações cadastrais do cliente e de sua classificação de risco;
• verificação da compatibilidade da operação com o histórico transacional do cliente;
• análise da origem e do destino dos recursos envolvidos na transação;
• avaliação da natureza da atividade econômica do cliente e de sua capacidade financeira;
• consulta a bases de dados públicas e privadas, listas restritivas e informações reputacionais;
• análise de eventuais vínculos com pessoas expostas politicamente ou com jurisdições de maior risco;
• utilização de ferramentas especializadas de análise transacional e, quando aplicável, de rastreamento de ativos virtuais;
• solicitação de informações ou documentos adicionais ao cliente, quando necessário para esclarecimento da operação.

12.2.2.Prazo para Execução da Análise Os procedimentos de análise das operações e situações suspeitas deverão ser concluídos no prazo máximo de 45 (quarenta e cinco) dias, contados a partir da data de seleção da operação ou situação identificada no processo de monitoramento. 12.2.3.Registro e Documentação da Análise As análises realizadas devem ser devidamente documentadas, com a elaboração de dossiê contendo os elementos e evidências considerados na avaliação, incluindo, quando aplicável:

• descrição da operação ou situação analisada;
• informações cadastrais relevantes do cliente;
• análise do contexto da operação;
• verificações realizadas em bases de dados e sistemas internos;
• conclusões da análise realizada;
• recomendação quanto à comunicação ou arquivamento do caso.

O dossiê deve permitir a rastreabilidade das decisões adotadas e permanecer disponível para verificação pelos órgãos de governança da Instituição, auditoria interna e autoridades supervisoras pelo prazo mínimo de 10 (dez) anos. 12.2.4.Deliberação Após a conclusão da análise técnica, a decisão quanto à comunicação ou arquivamento da situação identificada deverá ser submetida à instância responsável pela governança do programa de PLD/FT. Quando existente, caberá ao Comitê de Compliance, Riscos e PLD/FT analisar os elementos apresentados e deliberar sobre a comunicação da operação ou situação suspeita às autoridades competentes ou sobre o arquivamento do caso. Na ausência de comitê formalmente constituído, essa deliberação caberá ao Diretor responsável pelas áreas de Compliance e PLD/FT, observadas as diretrizes desta Política e os procedimentos internos da Instituição. 12.2.5.Vedações Relativas à Análise É vedada a contratação de terceiros para a realização da análise de operações e situações suspeitas, bem como a realização dessas atividades fora do território nacional. Essa vedação não impede a contratação de terceiros para prestação de serviços auxiliares ou ferramentas tecnológicas de apoio à análise, desde que a avaliação final e a tomada de decisão permaneçam sob responsabilidade da Instituição. 12.2.6.Recursos e Estrutura para a Análise A Instituição deve assegurar a disponibilidade, no País, de recursos humanos, tecnológicos e competências técnicas adequadas para a realização das análises de operações e situações suspeitas. Essa estrutura deve permitir a execução tempestiva das análises, a adequada documentação das avaliações realizadas e o cumprimento das obrigações regulatórias relacionadas à prevenção à lavagem de dinheiro e ao financiamento do terrorismo.

12. 3. Contratação de Serviços de Processamento e Armazenamento de

Dados e de Computação em Nuvem A Instituição poderá contratar serviços de processamento e armazenamento de dados ou de computação em nuvem para suporte às atividades de monitoramento, seleção e análise de operações e situações suspeitas. Nesses casos, deverão ser observadas as disposições regulamentares aplicáveis, assegurando-se que os contratos e controles adotados garantam a integridade, confidencialidade, disponibilidade e rastreabilidade das informações utilizadas nos processos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. A contratação desses serviços não exime a Instituição de sua responsabilidade pela adequada implementação e funcionamento dos mecanismos de monitoramento e análise previstos nesta Política.

12. 4. Comunicação ao COAF

Quando identificadas operações ou situações que apresentem indícios de lavagem de dinheiro ou financiamento do terrorismo, a Instituição deverá proceder à comunicação ao Conselho de Controle de Atividades Financeiras (COAF), por meio dos sistemas e canais eletrônicos disponibilizados para essa finalidade. 12.4.1.Prazo para Comunicação Considerando que os procedimentos de análise das operações ou situações suspeitas devem ser concluídos no prazo máximo de 45 (quarenta e cinco) dias, contados da data de seleção da operação ou situação no processo de monitoramento, a comunicação deverá ocorrer imediatamente após a conclusão da análise, respeitado o prazo máximo de até 24 horas para sua formalização. 12.4.2.Responsabilidade pela Comunicação A decisão de comunicação compete à instância responsável pela governança do programa de PLD/FT da Instituição, conforme previsto nesta Política, cabendo ao Comitê de Compliance, Riscos e PLD/FT, quando constituído, ou à Diretoria responsável pelas áreas de Compliance e PLD/FT, deliberar sobre o envio da comunicação ao COAF, registrar e documentar os fundamentos da decisão adotada. 12.4.3.Conteúdo das Comunicações As comunicações realizadas ao COAF deverão conter informações completas e suficientes para possibilitar a adequada compreensão das operações ou situações identificadas. Sempre que aplicável, a comunicação deverá especificar se a pessoa objeto da comunicação:

• é pessoa exposta politicamente (PEP) ou representante, familiar ou estreito colaborador dessa pessoa;
• é pessoa que reconhecidamente praticou, intentou praticar, participou ou facilitou a prática de atos terroristas;
• possui ou controla, direta ou indiretamente, recursos na Instituição, no caso de pessoa relacionada à prática ou tentativa de prática de atos terroristas.

12.4.4. Alteração ou Cancelamento de Comunicações Caso seja necessária a alteração ou o cancelamento de comunicação já realizada, após o 5º (quinto) dia útil seguinte ao seu envio, a Instituição deverá apresentar justificativa formal para a ocorrência, nos termos da regulamentação aplicável. 12.4.5. Sigilo das Comunicações A Instituição, seus administradores e colaboradores devem manter estrito sigilo sobre as comunicações realizadas ao COAF, sendo vedado informar ao cliente ou a terceiros sobre a existência ou o conteúdo dessas comunicações, bem como sobre quaisquer procedimentos relacionados à análise de operações suspeitas. 12.4.6.Declaração Negativa Anual Nos casos em que a Instituição não tiver realizado comunicações ao COAF durante determinado ano civil, deverá ser enviada declaração negativa, atestando a inexistência de operações ou situações passíveis de comunicação no período. Essa declaração deverá ser encaminhada até 10 (dez) dias úteis após o encerramento do respectivo ano civil, por meio dos sistemas eletrônicos disponibilizados pelo COAF para essa finalidade. 12.4.7.Registro e Guarda das Comunicações As comunicações realizadas ao COAF, bem como os documentos e registros relacionados às análises que lhes deram origem, deverão ser mantidos organizados e acessíveis, permanecendo à disposição do Banco Central do Brasil pelo prazo mínimo de 10 (dez) anos, contados da data de sua realização.

12. 5. Manual de Monitoramento, Seleção, Análise e Comunicação de

Operações Suspeitas – MSAC Os procedimentos operacionais detalhados relativos ao monitoramento, seleção, análise e comunicação de operações e situações suspeitas encontram- se descritos no Manual de Monitoramento, Seleção, Análise e Comunicação de Operações Suspeitas (Manual MSAC) da Instituição. Esse manual estabelece os fluxos operacionais, parâmetros de monitoramento, critérios de análise, responsabilidades das áreas envolvidas e demais procedimentos necessários à adequada implementação dos controles de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. O Manual MSAC deve ser formalmente aprovado pela Diretoria da Instituição, mantido permanentemente atualizado e conservado pelo prazo mínimo de 5 (cinco) anos, permanecendo à disposição do Banco Central do Brasil para fins de supervisão.

13. COMUNICAÇÃO DE INDISPONIBILIDADE DE ATIVOS Sancionados Pelo Conselho De Segurança Das NAÇÕES UNIDAS – CSNU

A Instituição observa as disposições da Lei nº 13.810/2019, da Resolução BCB nº 44/2020 e da Instrução Normativa BCB nº 262/2022, que estabelecem os procedimentos para o cumprimento das sanções impostas por resoluções do Conselho de Segurança das Nações Unidas (CSNU), incluindo medidas de indisponibilidade de ativos de pessoas naturais, pessoas jurídicas ou entidades sancionadas. Tais medidas visam garantir o cumprimento tempestivo das determinações legais, especialmente no que tange à prevenção do financiamento ao terrorismo e à proliferação de armas de destruição em massa.

13. 1. Monitoramento das Determinações

A Instituição realiza monitoramento contínuo das determinações de indisponibilidade de ativos decorrentes de resoluções do CSNU e das designações de seus comitês de sanções. Para esse fim, são acompanhadas de forma direta e atualizada as informações divulgadas:

• pelo Conselho de Segurança das Nações Unidas (CSNU);
• pelo Ministério da Justiça e Segurança Pública; e
• por outras fontes oficiais relacionadas ao regime internacional de sanções.

O monitoramento abrange inclusões, exclusões e alterações nas listas de sanções, de modo a assegurar a identificação tempestiva de pessoas, entidades ou ativos sujeitos a medidas restritivas. A Instituição acompanha de forma direta e atualizada as informações divulgadas no sítio do CSNU, pelo endereço eletrônico https://www.un.org/securitycouncil/.

13. 2. Cumprimento das Medidas de Indisponibilidade

Identificada a existência, no âmbito da Instituição, de ativos direta ou indiretamente vinculados a pessoas naturais, pessoas jurídicas ou entidades sujeitas a sanções do CSNU, deverá ser adotada imediatamente a medida de indisponibilidade dos ativos, sem comunicação prévia ao cliente ou às partes envolvidas. Para fins desta Política, entende-se por indisponibilidade de ativos a proibição de transferir, converter, trasladar, disponibilizar ou de qualquer forma dispor, direta ou indiretamente, de ativos pertencentes às pessoas ou entidades sancionadas, nos termos da legislação aplicável. A medida aplica-se tanto às relações de negócio existentes quanto àquelas que venham a ser iniciadas posteriormente com pessoas ou entidades alcançadas pelas sanções internacionais.

13. 3. Procedimentos de Deslistagem e Desbloqueio

A Instituição também monitora eventuais exclusões de pessoas ou entidades das listas de sanções (delisting) ou outras decisões que determinem o levantamento da indisponibilidade de ativos. Uma vez identificada a exclusão da pessoa ou entidade das listas de sanções do CSNU, a Instituição deverá adotar as providências necessárias para cessar as medidas de indisponibilidade anteriormente aplicadas (unfreezing), observadas as determinações das autoridades competentes e os procedimentos internos aplicáveis.

13. 4. Comunicação às Autoridades Competentes

Nos casos de identificação de ativos sujeitos à indisponibilidade ou de tentativa de transferência de ativos vinculados a pessoas ou entidades sancionadas, a Instituição deverá realizar comunicação imediata às autoridades competentes. Essa comunicação deverá ser encaminhada:

• ao Banco Central do Brasil, por meio do sistema BC Correio;
• ao Ministério da Justiça e Segurança Pública, por meio do endereço institucional csnu@mj.gov.br; e
• ao Conselho de Controle de Atividades Financeiras (COAF), na forma prevista para as comunicações de operações suspeitas.

As comunicações devem ocorrer imediatamente após a identificação da indisponibilidade ou da tentativa de movimentação dos ativos, conforme estabelecido na regulamentação aplicável. Caso a Instituição identifique situação em que não tenha sido possível dar cumprimento imediato às medidas de indisponibilidade de ativos determinadas por resoluções do CSNU ou por designações de seus comitês de sanções, deverá comunicar sem demora o fato ao Ministério da Justiça e Segurança Pública, informando as razões que motivaram o descumprimento ou atraso na adoção das medidas cabíveis.

13. 5. Controles Internos e Monitoramento

A Instituição mantém controles internos e sistemas de monitoramento destinados a assegurar o cumprimento das medidas de sanções internacionais, incluindo:

• verificação periódica de clientes, parceiros e contrapartes em listas restritivas;
• monitoramento de transações para identificação de tentativas de transferência de ativos vinculados a pessoas sancionadas;
• bloqueio imediato de ativos identificados; e
• registro e documentação das medidas adotadas.

Esses controles devem integrar o conjunto de mecanismos de prevenção à lavagem de dinheiro e financiamento do terrorismo da Instituição. Os registros e documentos relacionados ao cumprimento das medidas de indisponibilidade de ativos determinadas por resoluções do Conselho de Segurança das Nações Unidas serão mantidos pela Instituição pelo prazo mínimo de 10 (dez) anos, com disponibilidade para fins de fiscalização e auditoria regulatória.

14. MONITORAMENTO DE LISTAS RESTRITIVAS E Regimes De Sanções Internacionais

Como parte de seus mecanismos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, a Instituição realiza o monitoramento de listas restritivas e regimes de sanções internacionais, com o objetivo de identificar eventuais vínculos entre seus clientes, parceiros, contrapartes ou operações e pessoas naturais, pessoas jurídicas ou entidades sujeitas a sanções internacionais. Nesse contexto, a Instituição realiza consultas periódicas a bases de dados e listas restritivas amplamente reconhecidas no sistema financeiro internacional. Para esses fins, a Instituição observa as listas indicadas no Anexo I – Listas Consultivas no Âmbito da Classificação de Riscos de Clientes. Essas listas podem incluir indivíduos, empresas, organizações ou outras entidades designadas por envolvimento em atividades ilícitas, tais como terrorismo, financiamento do terrorismo, proliferação de armas de destruição em massa, narcotráfico, corrupção ou outras condutas sujeitas a regimes de sanções internacionais. O monitoramento dessas listas é realizado no âmbito dos procedimentos de Conheça seu Cliente (KYC), Conheça Seu Empregado (KYE), Conheça seu Parceiro (KYP), Conheça seu Fornecedor (KYS) e monitoramento transacional (KYT), bem como por meio de ferramentas tecnológicas especializadas utilizadas pela Instituição. Caso sejam identificadas correspondências ou ocorrências envolvendo pessoas ou entidades constantes dessas listas, a situação deverá ser submetida à análise da Alta Administração, que avaliará a materialidade da correspondência identificada e a natureza da relação ou operação envolvida. Com base nessa análise, poderão ser adotadas as medidas apropriadas de gestão de risco, incluindo, quando aplicável:

• aplicação de diligência reforçada;
• restrição ou bloqueio de operações;
• recusa de estabelecimento ou manutenção da relação de negócios;
• encerramento do relacionamento com o cliente ou contraparte; e
• realização das comunicações cabíveis às autoridades competentes, quando exigido pela legislação ou regulamentação aplicável.

O monitoramento de listas restritivas integra o conjunto de controles adotados pela Instituição para mitigação de riscos de lavagem de dinheiro, financiamento do terrorismo e exposição a regimes internacionais de sanções econômicas e financeiras.

15. MECANISMOS DE ACOMPANHAMENTO E CONTROLE

A Instituição mantém mecanismos estruturados de acompanhamento e controle destinados a assegurar a adequada implementação, funcionamento e atualização da presente Política de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo, bem como dos procedimentos e controles internos dela decorrentes. Esses mecanismos compreendem processos contínuos de monitoramento e verificação conduzidos pela área de Compliance, incluindo, entre outros:

• monitoramento periódico da aderência dos procedimentos internos às normas aplicáveis de PLD/FT e às políticas internas da Instituição;
• acompanhamento da execução dos procedimentos de KYC, KYP, KYS,

KYE e KYT, incluindo a verificação da adequada classificação de risco de clientes, parceiros e operações;

• revisão periódica de parâmetros, regras e cenários utilizados nos sistemas de monitoramento transacional, de modo a assegurar sua aderência ao perfil de risco da Instituição;
• análise de indicadores e métricas de desempenho dos controles de

PLD/FT, incluindo volume de alertas gerados, alertas analisados, comunicações realizadas às autoridades competentes e tempo médio de tratamento das ocorrências;

• verificação da efetividade dos controles relacionados a listas restritivas e sanções internacionais;
• registro, tratamento e acompanhamento de eventuais deficiências ou fragilidades identificadas nos controles internos, com definição de planos de ação para sua correção.

Os mecanismos de acompanhamento e controle devem manter trilhas de auditoria e documentação adequada que permitam verificar a execução dos controles e a rastreabilidade das decisões adotadas no âmbito dos processos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Quando aplicável, esses mecanismos são submetidos a testes periódicos pela Auditoria Interna, de forma compatível com a estrutura de controles internos da Instituição e com o porte, a complexidade e o perfil de risco de suas atividades.

16. CULTURA ORGANIZACIONAL, TREINAMENTOS E Comprometimento Da Alta Administração

A Instituição promove cultura organizacional orientada à prevenção à lavagem de dinheiro e ao financiamento do terrorismo, de modo a assegurar que seus administradores, colaboradores, parceiros e prestadores de serviços terceirizados compreendam a importância dos controles de PLD/FT e atuem de forma alinhada às normas legais, regulatórias e às diretrizes internas estabelecidas nesta Política. A promoção dessa cultura organizacional envolve a disseminação de princípios éticos, padrões de conduta e práticas de integridade voltadas à identificação, prevenção e mitigação de riscos relacionados à lavagem de dinheiro e ao financiamento do terrorismo, bem como à observância das obrigações regulatórias aplicáveis à Instituição. Nesse contexto, a Instituição mantém programas periódicos de capacitação e treinamento destinados aos seus colaboradores, com o objetivo de assegurar que estejam devidamente informados e atualizados sobre:

• a legislação e regulamentação aplicáveis à prevenção à lavagem de dinheiro e ao financiamento do terrorismo;
• as políticas, procedimentos e controles internos adotados pela

Instituição;

• os mecanismos de identificação, prevenção e reporte de operações ou situações suspeitas; e
• as responsabilidades individuais no âmbito do programa de PLD/FT.

Os treinamentos poderão ser realizados por meio de programas internos, cursos especializados, treinamentos periódicos ou outras iniciativas de capacitação, devendo ser compatíveis com o porte, a complexidade e o perfil de risco das atividades desenvolvidas pela Instituição. A Instituição também busca assegurar que parceiros e prestadores de serviços terceirizados que atuem em atividades relevantes para o funcionamento de seus serviços estejam cientes das diretrizes e expectativas relacionadas à prevenção à lavagem de dinheiro e ao financiamento do terrorismo, quando aplicável. A Alta Administração da Instituição assume compromisso permanente com a efetividade do programa de PLD/FT, assegurando a implementação, manutenção e melhoria contínua desta Política, bem como dos procedimentos e controles internos a ela associados. Esse comprometimento inclui, entre outros aspectos:

• o apoio institucional à implementação e ao fortalecimento dos controles de PLD/FT;
• a disponibilização de recursos humanos, tecnológicos e financeiros adequados para o funcionamento do programa de prevenção;
• a supervisão das atividades relacionadas ao gerenciamento dos riscos de lavagem de dinheiro e financiamento do terrorismo; e
• o acompanhamento de eventuais deficiências identificadas nos controles internos e das medidas corretivas adotadas para sua regularização.

Por meio dessas ações, a Instituição busca assegurar que a prevenção à lavagem de dinheiro e ao financiamento do terrorismo esteja integrada à sua estrutura de governança, à gestão de riscos e às práticas de integridade corporativa.

17. CANAL DE DENÚNCIAS

A Instituição mantém canal de denúncias destinado ao recebimento de comunicações relacionadas a indícios de irregularidades, incluindo, mas não se limitando, a situações que possam caracterizar lavagem de dinheiro, financiamento do terrorismo, fraudes, violações de normas internas ou outras condutas incompatíveis com as diretrizes de integridade e compliance da Instituição. O canal está disponível para utilização por administradores, colaboradores, parceiros, prestadores de serviços, clientes e demais terceiros, devendo ser utilizado para o reporte de situações que possam representar risco ao cumprimento das obrigações legais e regulatórias aplicáveis. A Instituição assegura que as denúncias poderão ser realizadas por meios adequados e disponibilizados internamente, observadas as diretrizes aplicáveis ao tratamento dessas comunicações. A Instituição assegura que as denúncias recebidas serão tratadas com confidencialidade, independência e imparcialidade, sendo analisadas pelas áreas competentes, incluindo a área responsável por PLD/FT, quando aplicável. A Instituição também assegura proteção contra retaliações aos denunciantes que realizarem comunicações de boa-fé.

18. SANÇÕES

O descumprimento das disposições desta Política, bem como de normas, procedimentos e controles a ela relacionados, sujeitará os responsáveis à aplicação das medidas disciplinares internas cabíveis, sem prejuízo das responsabilidades civis, administrativas e, quando aplicável, penais, nos termos da legislação e da regulamentação vigentes.

19. VIGÊNCIA, REVISÃO E ATUALIZAÇÃO

Esta Política entra em vigor na data de sua aprovação pela Diretoria da Instituição, permanecendo válida por prazo indeterminado até que seja formalmente revisada, substituída ou revogada, nos termos dos procedimentos internos da Instituição. Suas disposições são de observância obrigatória por todos os administradores, colaboradores e prestadores de serviços envolvidos, direta ou indiretamente, nas atividades relacionadas à prestação de serviços de ativos virtuais.

19. 1. Periodicidade da Revisão

A presente Política deverá ser revisada no mínimo anualmente, ou em periodicidade inferior sempre que necessário, especialmente nos casos de:

• alterações relevantes na legislação ou regulamentação aplicável;
• mudanças significativas no modelo de negócios ou nos serviços prestados;
• alterações relevantes na estrutura organizacional ou tecnológica da

Instituição;

• identificação de oportunidades de aprimoramento da estrutura de prevenção à lavagem de dinheiro e ao financiamento do terrorismo da

Instituição. A revisão periódica tem por objetivo assegurar que a Política permaneça alinhada à regulamentação aplicável, ao perfil de risco da Instituição e às melhores práticas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo.

19. 2. Processo de Atualização

Sempre que identificada a necessidade de atualização desta Política, deverão ser adotados procedimentos formais de revisão, incluindo:

• análise técnica das alterações necessárias, considerando mudanças regulatórias, operacionais ou relacionadas ao perfil de risco da Instituição;
• atualização do texto da Política;
• validação das alterações pelas áreas responsáveis, especialmente pela área de Compliance e PLD/FT;
• submissão das alterações às instâncias de governança competentes para aprovação.

As alterações realizadas deverão ser devidamente registradas, com a identificação da versão atualizada da Política e da data de sua aprovação.

19. 3. Aprovação e Alterações

As alterações realizadas nesta Política deverão ser submetidas à aprovação do Conselho de Administração ou, na sua inexistência, da Diretoria da Instituição, ou de instância de governança equivalente responsável pela supervisão da estrutura de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. A aprovação formal assegura que as alterações estejam alinhadas às diretrizes estratégicas da Instituição, ao seu perfil de risco e às exigências legais e regulatórias aplicáveis.

19. 4. Registro de Versões da Política

A Instituição deverá manter registro histórico das versões desta Política, de forma a permitir a rastreabilidade das alterações realizadas. Esse registro deverá conter, no mínimo:

• a data de aprovação de cada versão;
• a descrição das alterações realizadas;
• a identificação das áreas ou responsáveis pela revisão.

A manutenção desse histórico contribui para a transparência e rastreabilidade da evolução da estrutura de prevenção à lavagem de dinheiro e ao financiamento do terrorismo da Instituição.

19. 5. Comunicação Interna das Atualizações

Sempre que ocorrer atualização relevante desta Política, a Instituição deverá assegurar que as alterações sejam devidamente comunicadas às áreas responsáveis por sua implementação e observância, incluindo, quando aplicável:

• área de Compliance e PLD/FT;
• área de gestão de riscos;
• áreas operacionais e tecnológicas;
• demais áreas envolvidas nas atividades relacionadas à prevenção à lavagem de dinheiro e ao financiamento do terrorismo.

Essa comunicação tem por objetivo assegurar a adequada compreensão e aplicação das diretrizes estabelecidas nesta Política.

19. 6. Registro e Manutenção

A Instituição deverá manter devidamente registrados, organizados e arquivados o presente documento e suas versões atualizadas, bem como os demais documentos relacionados à governança do programa de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, pelo prazo mínimo de 5 (cinco) anos, contados da data de sua substituição ou atualização. A documentação deverá ser mantida preferencialmente em formato eletrônico, de forma íntegra, organizada, acessível e protegida contra alteração indevida, assegurando sua rastreabilidade e disponibilidade para fins de governança, controles internos, auditoria e supervisão regulatória. Esses documentos deverão permanecer à disposição do Banco Central do Brasil sempre que solicitados, observadas as diretrizes internas de governança documental e segurança da informação da Instituição.

20. APROVAÇÃO

A presente Política foi aprovada pela Diretoria Executiva da Instituição, passando a vigorar na data de sua aprovação.

Diretor Presidente Salomon Saldarriaga Osorio

Diretor de Compliance e PLD/FT Hector Mauricio Garcia

ANEXO I – LISTAS CONSULTIVAS NO ÂMBITO DA Classificação De Riscos De Clientes

Organismos internacionais e multilaterais

• Grupo de Ação Financeira Internacional (GAFI/FATF) – listas de jurisdições de alto risco ou sob monitoramento reforçado;
• Conselho de Segurança das Nações Unidas (CSNU) – listas consolidadas de sanções internacionais;
• Banco Mundial – registros e bases relacionadas a sanções e medidas restritivas aplicadas a empresas e indivíduos;
• INTERPOL – listas de notificações internacionais, incluindo alertas e notificações vermelhas.

Autoridades e regimes internacionais de sanções

• Office of Foreign Assets Control (OFAC) – lista de pessoas e entidades sancionadas (SDN List e listas correlatas);
• União Europeia – listas de sanções e medidas restritivas internacionais;
• HM Treasury – listas de sanções financeiras do Reino Unido;
• Autoridade de Conduta Financeira do Reino Unido (Financial Conduct Authority

– FCA) – registros e bases regulatórias. Autoridades e registros públicos nacionais

• Cadastro Nacional de Empresas Inidôneas e Suspensas (CEIS);
• Cadastro Nacional de Empresas Punidas (CNEP);
• Cadastro de Entidades Privadas Sem Fins Lucrativos Impedidas (CEPIM);
• Cadastro de Expulsões da Administração Federal (CEAF);
• Cadastro de Empregadores que tenham submetido trabalhadores a condições análogas à de escravo (lista de trabalho escravo);
• Bases públicas de sanções administrativas ou registros restritivos mantidos por autoridades regulatórias e órgãos de controle.

Outras fontes relevantes

• Avaliação Nacional de Riscos de Lavagem de Dinheiro e Financiamento do

Terrorismo (ANR);

• bases de dados reputacionais e de mídia adversa;
• registros públicos e bases de dados mantidas por autoridades policiais, regulatórias ou judiciais.

ANEXO II - ATIVIDADES E SETORES PROIBIDOS

Como parte do compromisso da Instituição com a integridade de suas operações, com o cumprimento das obrigações regulatórias aplicáveis e com a adequada gestão de riscos de lavagem de dinheiro, financiamento do terrorismo, fraude e outros ilícitos financeiros, são estabelecidas limitações e restrições quanto a determinados setores de atividade ou modelos de negócio. Solicitações de abertura de relacionamento ou manutenção de relacionamento comercial envolvendo clientes que atuem nos setores ou atividades abaixo descritos deverão ser automaticamente recusadas ou encerradas, conforme avaliação da área de Compliance e PLD/FT. São consideradas atividades ou setores proibidos, entre outros: Atividades ilícitas ou relacionadas a práticas ilegais

• atividades que envolvam ou facilitem práticas ilícitas, incluindo fraude, corrupção, lavagem de dinheiro, financiamento do terrorismo ou outros crimes financeiros;
• comercialização, intermediação ou distribuição de bens ou serviços cuja produção, comercialização ou utilização seja proibida pela legislação aplicável;
• atividades relacionadas à exploração sexual, incluindo pornografia infantil ou qualquer forma de exploração sexual ilegal;
• tráfico de pessoas, tráfico de armas, tráfico de entorpecentes ou qualquer outra atividade criminosa organizada.

Atividades sujeitas a sanções ou restrições internacionais

• pessoas físicas ou jurídicas incluídas em listas de sanções nacionais ou internacionais;
• entidades ou indivíduos vinculados a organizações terroristas ou a atividades relacionadas ao financiamento do terrorismo;
• empresas ou estruturas controladas direta ou indiretamente por pessoas ou entidades sancionadas.

Atividades envolvendo armas e materiais controlados

• comércio ou intermediação de armas de fogo, munições ou explosivos, quando realizado sem autorização legal ou em desacordo com a legislação aplicável;
• fabricação ou comercialização de armamentos militares ou equipamentos de uso restrito sem as autorizações exigidas pelas autoridades competentes.

Atividades relacionadas a jogos de azar ilegais

• exploração de jogos de azar, apostas ou loterias quando realizados em desacordo com a legislação aplicável;
• plataformas ou estruturas operacionais destinadas à exploração de jogos ilegais ou não autorizados.

Atividades associadas a substâncias ilícitas

• produção, distribuição ou comercialização de substâncias ilícitas ou entorpecentes proibidos;
• comercialização de produtos químicos ou substâncias controladas sem as autorizações exigidas pela legislação aplicável.

Atividades envolvendo esquemas fraudulentos ou modelos de negócio de alto risco

• esquemas de pirâmide financeira ou esquemas de marketing multinível caracterizados como fraudulentos;
• estruturas destinadas a facilitar fraudes financeiras, evasão fiscal, ocultação de patrimônio ou outras práticas ilícitas;
• empresas de fachada ou estruturas empresariais sem atividade econômica real.

Atividades relacionadas a ativos virtuais de risco elevado

• serviços de mistura ou ocultação de transações em blockchain (mixers ou tumblers) utilizados com o objetivo de dificultar a rastreabilidade de ativos virtuais;
• plataformas ou serviços relacionados a ativos virtuais que operem sem qualquer estrutura mínima de transparência ou conformidade regulatória.

A área de Compliance e PLD/FT poderá, sempre que necessário, avaliar outros setores ou atividades que apresentem riscos incompatíveis com o apetite de risco da Instituição, podendo classificá-los como proibidos ou sujeitos a restrições adicionais.

ANEXO III – JURISDIÇÕES DE MONITORAMENTO RESTRITAS

Este Anexo estabelece a classificação de jurisdições consideradas relevantes para fins de avaliação de risco no âmbito da prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT), com base nas publicações periódicas do Grupo de Ação Financeira Internacional (GAFI/FATF). O GAFI identifica jurisdições que apresentam deficiências estratégicas em seus regimes de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, classificando-as em diferentes níveis de risco conforme o grau de comprometimento e o estágio de implementação das medidas corretivas. Para fins deste Manual, as jurisdições são classificadas conforme os seguintes níveis de risco.

JURISDIÇÃO ESTADO (BANIDO)

MENOR RISCO RISCO MÉDIO ALTO RISCO República Popular Democrática da Coreia (RPDC) X Irã X Myanmar X Argélia X Namíbia X Angola X Bolívia X Bulgária X Camarões X República Democrática do Congo X Costa do Marfim X Haiti X Ilhas Virgens Britânicas X Kuwait X Laos X Líbano X Mônaco X Nepal X

JURISDIÇÃO ESTADO (BANIDO)

MENOR RISCO RISCO MÉDIO ALTO RISCO Papua-Nova Guiné X Quênia X Sudão do Sul X Síria X Iêmen X Venezuela X Vietnã X Fonte: Jurisdictions under Increased Monitoring - 13 February 2026 e High-Risk Jurisdictions subject to a Call for Action - 13 February 2026 Critérios de classificação Banido: Corresponde às jurisdições sujeitas a chamado do GAFI para aplicação de contramedidas. Nessas hipóteses, a Instituição adota reprovação imediata de potenciais clientes, parceiros ou fornecedores vinculados à jurisdição, vedando o estabelecimento de relação comercial. Menor risco: Corresponde a países que apresentaram compromisso político formal de alto nível para corrigir deficiências identificadas e que desenvolveram plano de ação com o GAFI, inclusive aqueles que já concluíram substancialmente esse plano e aguardam verificação adicional. Risco médio: Corresponde a países ou territórios com fragilidades estratégicas em seus regimes de PLD/FT, já submetidos a monitoramento intensificado pelo GAFI e comprometidos, em alto nível, com a implementação de plano de ação. Alto risco: Corresponde a países com problemas persistentes e substanciais de lavagem de dinheiro e financiamento do terrorismo, sujeitos a chamado do GAFI para aplicação de medidas de diligência reforçada proporcionais ao risco, em razão do reiterado descumprimento das obrigações de remediação. Diretrizes de Aplicação A Instituição poderá optar por realizar negócios com entidades localizadas nas jurisdições classificadas como menor risco, risco médio ou alto risco, desde que seja aplicado nível de due diligence proporcional ao risco identificado, observadas as diretrizes internas de prevenção à lavagem de dinheiro e financiamento do terrorismo. Sem prejuízo disso, a Instituição não incentiva a prospecção comercial ativa de clientes estabelecidos em tais jurisdições, especialmente quando classificadas como de risco médio ou alto. Nos casos em que a área de Compliance e PLD/FT entender cabível o avanço do relacionamento, a entidade em análise deverá ser capaz de apresentar informações e documentação suficientes para demonstrar a legitimidade de suas atividades, a origem dos recursos e, quando aplicável, compromisso de aderência a requisitos internacionais de conformidade. As jurisdições classificadas como Banidas não serão consideradas para fins de relacionamento comercial, sendo expressamente proibidas discussões comerciais, onboarding ou manutenção de relacionamento com clientes, parceiros ou fornecedores a elas vinculados. Atualização Esta classificação deverá ser revisada periodicamente pela área de Compliance e PLD/FT, com base nas publicações oficiais do GAFI/FATF e na avaliação interna de risco da Instituição.