Listas restritivas internacionais: como fortalecer a due diligence com monitoramento contínuo?

A efetividade de uma diligência não depende apenas do que é verificado no início da relação, mas da capacidade de acompanhar como o risco evolui ao longo do tempo.  

Assim, listas restritivas internacionais deixam de ser uma fonte de checagem pontual e passam a funcionar como um controle contínuo para identificar vínculos com sanções, jurisdições de alto risco, beneficiários finais sensíveis e tentativas de evasão. 

Nesse caso, os principais desafios são monitorar mudanças constantes, reduzir falsos positivos e sustentar as decisões com evidências documentadas.  

Para compliance officers e equipes, o grande diferencial nesse processo está em conseguir combinar tecnologia, governança e uma abordagem baseada em risco. 

Por que monitorar listas restritivas? 

Principalmente, para evitar relacionamento, ligação ou contratação de pessoas, empresas, países, grupos ou estruturas ligadas a sanções, lavagem de dinheiro, financiamento ao terrorismo e financiamento da proliferação de armas de destruição e massa.

Vale ressaltar que essa análise não deve ocorrer apenas no início da associação, mas continuamente.

Listas são atualizadas periodicamente, controles mudam, beneficiários finais se alteram e riscos geopolíticos podem transformar um cliente aparentemente regular em uma exposição relevante.

Em termos práticos, o monitoramento deve responder a quatro perguntas críticas: 

1. Este cliente, terceiro, colaborador ou beneficiário final aparece em alguma lista restritiva? 

2. Há vínculo direto ou indireto com país, entidade, pessoa ou setor sancionado? 

3. A relação exige due diligence reforçada, bloqueio, escalonamento ou comunicação aos órgãos competentes? 

4. A empresa consegue provar, com trilha de auditoria, que pesquisou, analisou, decidiu e revisou o caso? 

A relevância do tema também tem crescido porque sanções deixaram de ser um assunto restrito apenas aos bancos globais.  

Hoje, impactam fintechs, gestoras, seguradoras, empresas de tecnologia, exportadores, plataformas digitais, meios de pagamento, escritórios de investimento, marketplaces e companhias que operam com cadeias internacionais de fornecedores. 

O próprio GAFI (Grupo de Ação Financeira Internacional, ou FATF em inglês) mantém documentos públicos sobre jurisdições de alto risco e jurisdições sob monitoramento aumentado, atualizados regularmente, com foco em deficiências estratégicas de PLD/FTP. 

Em junho de 2026, por exemplo, a lista de jurisdições de alto risco sujeitas a chamado para ação incluía Coreia do Norte, Irã e Myanmar, com exigências de due diligence reforçada e, nos casos mais graves, contramedidas proporcionais ao risco. 

Quais são as principais fontes e listas internacionais? 

As bases oficiais ou regulatórias identificam pessoas físicas, pessoas jurídicas, embarcações, aeronaves, grupos, governos, setores, países ou estruturas sujeitas a sanções, restrições financeiras, congelamento de ativos, bloqueios comerciais ou medidas reforçadas de controle. 

Podem ser publicadas por organismos multilaterais, autoridades nacionais ou blocos econômicos.  

Entre as mais relevantes para programas de compliance e risco, estão: 

A Lista Consolidada da ONU reúne indivíduos e entidades sujeitos a medidas impostas pelo Conselho de Segurança. Em agosto de 2026, a ONU informou que sua lista consolidada continha 736 indivíduos e 275 entidades ou grupos. 

Esse dado é importante por duas razões. Primeiro, listas restritivas não são estáticas. Segundo os campos de identificação podem ser incompletos, variar por idioma, conter aliases (apelidos), nomes em escrita original, nacionalidade, passaporte, data de nascimento e informações complementares.  

A própria ONU informa que, quando determinado dado não está disponível, o campo pode aparecer como “na”, ou seja, informação não disponível. Para uma equipe de compliance, isso significa que uma busca literal por nome raramente é suficiente. 

Falha de sanções não é hipótese remota 

Em 2024, o OFAC registrou 12 ações de enforcement, com total de US$ 48.790.404 em penalidades e acordos. Entre os casos listados, havia empresas de logística, serviços financeiros, tecnologia, energia, bens de consumo e pessoas físicas.  

Esse dado ajuda a afastar uma crença perigosa: a de que risco sancionatório pertence apenas a bancos ou grandes multinacionais.  

O enforcement mostra que qualquer empresa com exposição internacional, pagamentos em dólares, fornecedores externos, tecnologia, transporte, importação, exportação ou investidores estrangeiros pode ser afetada. 

Um nome “limpo” ainda pode representar risco? 

Imagine uma empresa brasileira que está avaliando um novo fornecedor internacional. A razão social não aparece em listas da ONU, OFAC ou União Europeia. Em uma análise superficial, o fornecedor seria aprovado. 

Na due diligence aprofundada, porém, aparecem alguns sinais, como: 

• O beneficiário final atua por meio de uma holding situada em jurisdição sob monitoramento aumentado pelo GAFI. 

• O volume de transações proposto é incompatível com o histórico público da empresa. 

• Um dos administradores usa variações de nome que se aproximam de um alias em lista sancionatória. 

Nenhum desses elementos, isoladamente, prova uma violação. Mas, juntos, exigem investigação adicional, documentação e decisão formal.  

A pergunta de compliance não deve ser apenas “deu match?”. A pergunta correta é “há exposição direta, indireta ou circunstancial que justifique tratamento reforçado?”. 

É justamente nesse ponto que a consulta em listas restritivas internacionais deixa de ser apenas uma consulta operacional e passa a integrar a governança de risco das organizações. 

Por que o tema ganha cada vez mais importância? 

O monitoramento de listas se tornou mais complexo por três movimentos simultâneos. 

1. Sanções passaram a mirar redes de facilitação 

Sanções modernas não atingem apenas governos ou indivíduos proeminentes, mas alcançam intermediários, empresas de fachada, estruturas societárias, embarcações, operadores logísticos, instituições financeiras, provedores de ativos virtuais e redes de apoio. 

Para empresas brasileiras, isso amplia o escopo da due diligence. Não basta verificar o cliente direto; é necessário entender quem controla, quem financia, quem intermedeia, quem entrega e quem se beneficia economicamente da relação. 

2. A regulação passou a exigir resposta mais estruturada 

A União Europeia, por exemplo, aprovou a Diretiva 2024/1226 para estabelecer regras mínimas sobre crimes e penalidades relacionados à violação e à evasão de medidas restritivas. A norma inclui condutas como não congelar ativos, violar embargos de armas, fornecer serviços econômicos ou financeiros proibidos e transferir recursos para ocultar fundos que deveriam estar congelados. 

A mesma regra prevê que pessoas jurídicas possam ser responsabilizadas e menciona multas máximas de pelo menos 5% do faturamento mundial ou 40 milhões de euros, conforme o tipo de infração. 

Já a Resolução CVM nº 245/26 reforça as regras de PLD ao exigir que instituições reguladas pela autarquia adotem diligência reforçada para clientes e investidores com ligação a países ou jurisdições listados pelo GAFI como deficientes em controles de PLD/FT.  

Nesses casos, podem ser aplicadas medidas como exigência de documentação adicional, restrições para abertura ou manutenção de relacionamento, limitação ou recusa de operações de maior risco e até encerramento do relacionamento quando o risco for considerado inaceitável.  

A regra não se limita a quem reside nesses países, mas também alcança clientes com beneficiários finais, estruturas societárias, controladores ou representantes vinculados direta ou indiretamente a essas jurisdições. 

No mesmo sentido, o BCB publicou em julho de 2026 a Instrução Normativa nº 761/26, que divulga orientações sobre a aplicação das medidas reforçadas previstas na Circular nº 3.978/20 em operações e relações de negócio que envolvam clientes, instituições financeiras correspondentes e parceiros localizados em países ou territórios com deficiências estratégicas na implementação das Recomendações do GAFI, como adotar medidas de diligência e monitoramento contínuo e reforçado. 

3. A supervisão nacional também está mais orientada a dados 

Ainda no Brasil, o Coaf (Conselho de Controle de Atividades Financeiras) informou que produziu 20.548 Relatórios de Inteligência Financeira em 2025, número 9,52% superior aos 18.762 relatórios de 2024.  

O órgão também registrou 786 Processos Administrativos Sancionadores instaurados em 2025 e R$ 96,9 milhões em multas aplicadas.  

Esses dados não tratam exclusivamente de sanções, mas indicam uma maior intensidade analítica e sancionadora no ecossistema de PLD/FTP.  

Para as empresas obrigadas, é um lembrete de que controles formais, parametrização de risco, registro de decisão e capacidade de resposta são tão relevantes quanto a política escrita. 

Relação entre GAFI, países de risco e due diligence 

Apenas um adendo: o GAFI não é uma fonte de lista de sanções no mesmo sentido da ONU ou do OFAC. A organização identifica nações com deficiências estratégicas em seus regimes de PLD/FTP, cujas classificações impactam diretamente uma due diligence. 

Entretanto, vigiar clientes ligados a países da lista do GAFI não significa bloquear a todos eles. O princípio central é abordagem baseada em risco. 

Alguém conectado a uma jurisdição sob monitoramento aumentado não deve ser automaticamente recusado apenas por essa conexão. O que deve ocorrer é uma avaliação proporcional, documentada e atualizada. 

A due diligence deve verificar, por exemplo: 

• Qual é a natureza do vínculo com o país? Comercial, societário, operacional, familiar, financeiro ou logístico? 

• Há beneficiário final localizado no país? 

• Há pagamentos, recebimentos ou intermediação por instituições daquele país? 

• O produto ou serviço pode ser usado para evasão de sanções? 

• O cliente atua em setor sensível, como defesa, energia, tecnologia, transporte, criptoativos, mineração, commodities, câmbio ou comércio exterior? 

• Há notícias adversas, processo regulatório, alias ou uso de intermediários sem justificativa econômica? 

O ponto dessa análise não é criar barreiras indiscriminadas, mas calibrar o nível de diligência conforme risco, materialidade e exposição regulatória. 

Como listas restritivas entram no ciclo de due diligence? 

Uma due diligence ideal usa listas restritivas em todo o ciclo de relacionamento, não apenas no cadastro inicial. 

Uma sugestão de passo a passo para aplicar listas restritivas na due diligence inclui: 

Definir listas aplicáveis: ONU, OFAC, UE, GAFI e listas nacionais relevantes. Ajuste conforme jurisdição, setor, tipo de cliente e produtos oferecidos. 

Mapear todos os nomes pesquisáveis: razão social, nome fantasia, administradores, procuradores, beneficiários finais, sócios relevantes, representantes, grupos econômicos, embarcações, domínios, carteiras de ativos virtuais e intermediários. 

Refinar dados antes da busca: padronizar acentos, abreviações, transliterações, campos incompletos, datas de nascimento, documentos e endereços. 

Usar busca aproximada, mas com critério: a ferramenta de busca do OFAC, por exemplo, usa correspondência aproximada para identificar possíveis matches e permite ajuste de limiar de similaridade. 

Classificar alertas por criticidade: separar falsos positivos, potenciais matches, matches prováveis matches confirmados, vínculos indiretos e exposições geográficas ou setoriais. 

Escalonar casos sensíveis: definir quem decide, quais documentos são exigidos, quando jurídico deve participar e quando a operação deve ser interrompida. 

Documentar a decisão: registrar a data da pesquisa, listas consultadas, parâmetros usados, evidências analisadas, parecer, decisão e revisão. 

Monitorar continuamente: refazer buscas quando listas forem atualizadas, houver alteração cadastral, novo produto, mudança societária, operação atípica ou evento geopolítico relevante. 

Testar a efetividade do controle: avaliar volume de alertas, tempo de tratamento, falsos positivos, casos escalados, qualidade das decisões e aderência à política. 

Integrar listas ao apetite de risco: alimentar classificação de risco, regras de relacionamento, limites operacionais e periodicidade de revisão cadastral. 

Principais desafios do monitoramento contínuo 

O monitoramento contínuo de sanções enfrenta desafios como as frequentes atualizações das listas internacionais, que podem alterar rapidamente o status de clientes e parceiros. 

Também há divergências entre diferentes regimes sancionatórios, exigindo análises mais abrangentes. Além disso, falsos positivos gerados por nomes semelhantes e variações de grafia aumentam o volume de alertas, enquanto vínculos indiretos, como relações de controle, propriedade ou beneficiários finais, ampliam a complexidade da avaliação.  

A eficácia do processo também depende da qualidade dos dados cadastrais e da integração entre áreas da empresa. Por fim, a crescente pressão por agilidade nas operações exige equilibrar rapidez na tomada de decisão com o cumprimento dos requisitos de compliance. 

Recursos que elevam a maturidade do processo 

Por isso, uma operação efetiva precisa de mais do que uma planilha de consultas, mas deve combinar operação e tecnologia com ferramentas que ofereçam: 

• Base atualizada de fontes e listas 

• Screening automatizado  

• Monitoramento contínuo com alertas em tempo real  

• Regras de workflow para escalonamento  

• Registro de evidências e histórico de decisões 

• Painéis para indicadores  

• Relatórios para auditoria, supervisão e comitês de risco 

Um software sozinho, porém, não substitui cem porcento um processo completo de governança. Auxilia a reduzir esforço manual, aumentar a rastreabilidade e melhorar a consistência da operação, sim. Porém, a decisão final de risco continua exigindo política, responsabilidades bem definidas e análises técnicas. 

Como transformar o monitoramento em vantagem operacional? 

Organizações maduras usam o processo para melhorar decisão comercial, seleção de parceiros e conformidade. Isso ocorre quando o screening contínuo permite: 

• Identificar risco antes da assinatura de contrato; 

• Priorizar revisões de clientes de maior exposição; 

• Reduzir retrabalho em auditorias; 

• Responder rapidamente a mudanças geopolíticas; 

• Demonstrar diligência para bancos, investidores, reguladores e parceiros; e 

• Apoiar decisões de bloqueio, recusa, manutenção ou encerramento de relação. 

O impacto prático é óbvio: menos decisões baseadas em impressão e mais decisões baseadas em evidência. 

Checklist prático para Compliance Officers 

Antes de concluir que sua empresa monitora listas restritivas internacionais de forma adequada e efetiva, valide: 

• A política define quais listas são obrigatórias? 

• A empresa monitora clientes, fornecedores, parceiros e beneficiários finais? 

• Há regra para países da lista do GAFI? 

• A base cadastral tem dados suficientes para pesquisa qualificada? 

• Existe monitoramento contínuo após o onboarding? 

• Alertas têm nível de criticidade e prazo de tratamento? 

• Falsos positivos são documentados? 

• Casos críticos são escalados para instâncias adequadas? 

• A decisão fica registrada com evidências? 

• O processo é testado periodicamente? 

• Mudanças em listas disparam reavaliação? 

• A área comercial entende quando não pode seguir com a relação? 

• Auditoria consegue reconstruir uma decisão tomada meses atrás? 

Se a resposta for negativa em vários desses pontos, o risco provavelmente não está na ausência de consulta, mas na falta de controle ponta a ponta. 

Conclusão 

Listas Restritivas Internacionais são uma camada essencial da due diligence moderna, mas seu valor depende da forma como são usadas.

Consultas isoladas reduzem pouco risco. Monitoramento contínuo, critérios de match, análise de vínculos indiretos, avaliação de países do GAFI, trilha de auditoria e integração com o ciclo completo de relacionamento tornam o controle mais defensável e prático. 

Para diretores de compliance, a discussão já não é se a empresa deve consultar listas.  

A discussão é se o processo consegue acompanhar a velocidade das atualizações, a complexidade das estruturas societárias e a expectativa crescente de supervisores, bancos, investidores e parceiros internacionais. 

Conheça o Sanctions Screening 

O Compliasset conecta esse desafio à rotina real das equipes de compliance. Com o Sanctions Screening, sua empresa transforma a checagem de listas restritivas em um processo monitorável, documentado e integrado à gestão de risco.  

Para entender como essa solução pode fortalecer suas due diligences, agende uma demonstração agora mesmo e saiba mais. 

Faq 

O que são listas restritivas? 

São bases que reúnem pessoas, empresas, grupos, países, ativos ou estruturas sujeitos a sanções, bloqueios, congelamento de bens, restrições comerciais ou medidas reforçadas de controle. 

Por que verificar listas restritivas em due diligences? 

Porque elas ajudam a identificar riscos antes e durante o relacionamento com clientes, fornecedores, parceiros e beneficiários finais. O uso adequado reduz exposição regulatória, reputacional, financeira e operacional. 

Qual é a diferença entre fontes de sanções e o GAFI? 

As fontes identificam alvos específicos de medidas restritivas, como pessoas, entidades ou ativos. O GAFI identifica países com deficiências estratégicas em PLD/FTP. 

Um cliente ligado a país da lista do GAFI deve ser recusado automaticamente? 

Não necessariamente. A recomendação é aplicar abordagem baseada em risco. O vínculo deve ser analisado conforme natureza da relação, beneficiário final, setor, transações, jurisdição, finalidade econômica e presença de outros sinais de alerta. 

O que é due diligence reforçada em sanções? 

É uma análise mais profunda aplicada a clientes, parceiros ou operações de maior risco. Pode incluir coleta adicional de documentos, verificação de beneficiário final, análise de origem de recursos, revisão jurídica, aprovação superior e monitoramento mais frequente. 

O que é falso positivo? 

Falso positivo ocorre quando um nome pesquisado se parece com um nome listado, mas não corresponde à pessoa ou entidade sancionada. A análise deve considerar documentos, data de nascimento, país, endereço, aliases e outros identificadores. 

Com que frequência as listas restritivas devem ser monitoradas? 

A frequência deve ser definida por risco. Em operações de maior exposição, o ideal é monitoramento contínuo ou próximo de tempo real. Em riscos menores, revisões periódicas podem ser suficientes, desde que exista rechecagem quando listas mudarem ou dados cadastrais forem atualizados. 

Quais áreas da empresa devem participar do processo? 

Compliance deve liderar a metodologia, mas jurídico, cadastro, comercial, operações, compras, tecnologia, auditoria e gestão de riscos precisam atuar de forma integrada.  

Quais evidências devem ser guardadas? 

Devem ser mantidos registros da data da consulta, listas verificadas, parâmetros utilizados, alertas gerados, documentos analisados, pareceres, aprovações, decisões, justificativas e revisões posteriores. 

Como tecnologia ajuda no monitoramento de listas restritivas? 

A tecnologia melhora atualização de bases, busca aproximada, rastreabilidade, priorização de alertas, workflow de aprovação, padronização de critérios e geração de relatórios.