Conformidade com o OFAC para Fintechs: Por que a fiscalização não é mais problema de terceiros

Em Dezembro de 2025, o Escritório de Controle de Ativos Estrangeiros (OFAC) O OFAC (Escritório de Controle de Ativos Estrangeiros dos EUA) fechou um acordo de US$ 3.1 milhões em um processo de fiscalização contra a Exodus, uma provedora de carteiras digitais não custodiantes com sede nos EUA, por processar transações envolvendo usuários em jurisdições sujeitas a sanções abrangentes. A carteira não era um banco, e a empresa não era uma instituição financeira tradicional. Mesmo assim, o OFAC constatou violações. As fintechs que processam pagamentos, ativos digitais ou transferências internacionais não podem tratar a conformidade com as sanções como obrigação de terceiros, e o histórico de fiscalização de 2025 torna essa posição mais difícil de sustentar do que em qualquer outro momento anterior.

O OFAC é um órgão do Tesouro dos EUA que administra e aplica sanções econômicas e comerciais contra governos, entidades e indivíduos estrangeiros. Todas as pessoas físicas e jurídicas dos EUA, incluindo empresas constituídas nos Estados Unidos e suas filiais no exterior, devem cumprir as regulamentações do OFAC. Para a maioria das fintechs, essa exigência abrange a verificação das listas de sanções do OFAC antes do processamento de transações e o bloqueio ou rejeição de qualquer transação envolvendo uma parte designada.

O que é o OFAC e a quem se aplica?

O OFAC deriva sua autoridade de poderes e leis presidenciais de emergência, incluindo a Lei de Poderes Econômicos de Emergência Internacional (IEEPA) e a Lei de Comércio com o Inimigo (TWEA). Sua principal ferramenta de fiscalização é a Lista de Nacionais Especialmente Designados e Pessoas Bloqueadas (SDN), um banco de dados de indivíduos, entidades e endereços de carteiras de criptomoedas com os quais pessoas dos EUA estão proibidas de realizar transações. O OFAC também administra programas de sanções em nível nacional, abrangendo Cuba, Irã, Coreia do Norte, Rússia e outros, onde categorias inteiras de transações são proibidas ou exigem uma autorização especial. Licença OFACEntender a quem as regras se aplicam e por meio de quais estruturas é a primeira questão de conformidade que toda fintech precisa responder.

Quem é considerado uma “pessoa dos EUA” segundo as regras do OFAC?

De acordo com a estrutura do OFAC, uma pessoa dos EUA inclui cidadãos americanos e residentes permanentes, independentemente de onde estejam localizados, entidades constituídas sob a lei dos EUA e todas as pessoas fisicamente presentes nos Estados Unidos. Filiais estrangeiras de entidades americanas estão cobertas pela maioria dos programas de sanções. Subsidiárias estrangeiras estão sujeitas à cobertura total sob regimes específicos de cada país, como Cuba e Coreia do Norte. Para fintechs com bases de usuários globais, isso significa que a triagem do OFAC se aplica a qualquer transação que passe por uma entidade constituída nos EUA ou por um relacionamento bancário correspondente nos EUA, mesmo que a própria fintech esteja sediada fora dos Estados Unidos.

O que a OFAC exige especificamente das fintechs?

No mínimo, as fintechs devem verificar clientes, contrapartes e transações em relação à Lista SDN e outras listas de sanções administradas pelo OFAC antes que essas transações sejam processadas. Qualquer propriedade de uma parte designada que entre no controle da fintech deve ser bloqueada e relatada ao OFAC em até 10 dias úteis. Transações proibidas, mas que não envolvam bens bloqueáveis, devem ser rejeitadas, também com um relatório enviado em até 10 dias úteis. Os registros de itens bloqueados e rejeitados devem ser mantidos por pelo menos cinco anos. O Manual BSA/AML da FFIEC observa que a conformidade com o OFAC é uma obrigação separada e adicional. Lei de Segredos Bancários (BSA) e Requisitos de LBCNo entanto, um programa de conformidade fintech eficaz precisa abordar os três aspectos de forma integrada. Para uma análise mais detalhada do que isso significa na prática para triagem da lista de sançõesOs regimes globais envolvidos vão além da Lista SDN.

Por que as fintechs enfrentam um risco maior de fiscalização do OFAC?

O calendário de ações de fiscalização do OFAC para 2025 confirmou uma mudança no foco da agência. Foram movidas ações contra uma corretora de ativos digitais, uma empresa de tecnologia financeira e uma corretora eletrônica global, demonstrando que conformidade com as sanções do OFAC As expectativas se aplicam a todo o setor financeiro. Isso é importante para qualquer fintech que presumia que sua exposição regulatória residia principalmente em seus parceiros bancários, e não em seu próprio programa de conformidade.

De que forma os dados de fiscalização de 2025 refletem as prioridades do OFAC?

De acordo com a análise da Sidley Austin sobre a aplicação das sanções dos EUA em 2025, o total de multas e acordos do OFAC ultrapassou US$ 265 milhões em 2025, em comparação com aproximadamente US$ 49 milhões em 2024. O OFAC emitiu 14 ações de fiscalização, contra 12 em 2024, e emitiu três notificações de penalidade, em vez de uma única notificação emitida em cada um dos dois anos anteriores. A análise de 2026 identificou quatro temas recorrentes nas ações de fiscalização: violações de sanções relacionadas à Rússia, responsabilidade de consultores e intermediários que atuam como gatekeepers, rejeição de análises de propriedade excessivamente formalistas e maior escrutínio de instituições financeiras não bancárias, incluindo empresas de ativos digitais. O quarto tema é o mais diretamente relevante para as equipes de compliance de fintechs.

Por que os pagamentos internacionais e as criptomoedas estão sujeitos a regulamentações específicas do OFAC?

Uma fintech que processa altos volumes de transações por meio de um filtro de triagem baseado em regras, executado em uma lista que é atualizada semanalmente, apresenta três riscos simultaneamente. Falsos negativos podem surgir devido à cobertura incompleta de dados. Falso-positivo A lógica imprecisa de correspondência de nomes gera atrasos nas revisões. Além disso, há uma defasagem entre o momento em que o OFAC designa uma parte e o momento em que o sistema de triagem reflete essa designação. As Diretrizes de Conformidade com Sanções do OFAC para o Setor de Moedas Virtuais destacam o bloqueio geográfico de IP e a triagem de endereços de blockchain como controles básicos para empresas ligadas a criptomoedas, e não como aprimoramentos opcionais. A ausência de qualquer um desses controles aumenta a probabilidade de violação e torna uma autodenúncia voluntária menos convincente para o OFAC no cálculo da resposta de fiscalização.

Construindo um programa de conformidade com o OFAC que resista ao teste.

O OFAC não exige uma estrutura de programa específica por regulamentação, mas seu Quadro de Compromissos de Conformidade do OFAC e as diretrizes de exame do FFIEC apontam para os mesmos cinco componentes como indicadores de um programa sólido. A elaboração de um programa baseado nesses componentes é importante tanto na prática quanto em termos regulatórios: o OFAC avalia a adequação do programa ao determinar as respostas de fiscalização, o que significa que um programa documentado e em funcionamento pode reduzir a penalidade resultante, mesmo quando uma violação ocorreu.

Os cinco componentes principais

As diretrizes de exame da OFAC da FFIEC identificam cinco elementos que definem um programa confiável. O comprometimento da gestão significa a apropriação documentada por parte da alta administração, com o escopo e os recursos do programa aprovados em nível sênior. Avaliação de risco Significa mapear quais produtos, tipos de clientes e regiões geográficas apresentam maior exposição ao OFAC, para que o programa de triagem reflita o risco real em vez de categorias genéricas. Os controles internos abrangem as políticas, os procedimentos e a tecnologia para triagem de clientes e transações, identificação de correspondências, resolução de pendências, bloqueio de bens quando necessário e envio de relatórios dentro do prazo de 10 dias úteis.

Testes independentes significam uma revisão objetiva do programa, proporcional ao perfil de risco da fintech, conduzida por auditoria interna ou por uma entidade externa. Treinamento significa instrução específica para cada função, destinada a qualquer funcionário que lide com integração de clientes, pagamentos ou dados de clientes. Profissionais de compliance que desenvolvem ou auditam esses programas também podem encontrar informações operacionais detalhadas sobre o assunto. guia de triagem de sanções Para profissionais de conformidade, abordando como cada controle normalmente funciona em produção.

Onde os programas OFAC para fintechs geralmente deixam a desejar?

Quatro lacunas surgem consistentemente nos programas de fintech. A atualização da lista é a mais comum: muitas fintechs utilizam uma cópia da lista SDN que é atualizada semanalmente ou mensalmente, enquanto o OFAC atualiza a lista após cada designação, frequentemente em tempo quase real. Um atraso de 24 horas em uma plataforma de alto volume representa uma janela de exposição real, não teórica. A cobertura de dados é a segunda lacuna: verificar os nomes dos clientes sem verificar as contrapartes, os beneficiários e, no caso de produtos de criptomoedas, os endereços de carteiras blockchain, torna o programa incompleto. A resolução de correspondências é a terceira: ter a lógica de verificação, mas não um processo documentado para investigar, escalar e encerrar uma correspondência sinalizada, significa que o sistema não pode demonstrar que os resultados foram avaliados corretamente. O fluxo de trabalho de relatórios é a quarta lacuna: o prazo de 10 dias úteis para o envio de relatórios de transações bloqueadas e rejeitadas ao OFAC exige um processo operacional estruturado, e não apenas uma política declarada.

Como a Shufti ajuda as fintechs a cumprir os requisitos de verificação de sanções?

O desafio operacional para as equipes de compliance de fintechs é executar a verificação OFAC em conjunto com as obrigações mais amplas de sanções e AML em tempo real, em altos volumes de transações, sem sobrecarregar os analistas com alertas não resolvidos. Shufti's AML screening Abrange mais de 215 regimes de sanções, incluindo as listas de sanções do OFAC, da ONU, da UE e do Reino Unido, com dados atualizados a cada 15 minutos. Essa frequência de atualização elimina a discrepância entre a lista e a moeda vigente, que está na raiz de muitas violações no setor fintech: a verificação reflete o estado atual da Lista SDN, em vez de um retrato semanal.

O AML screening Utiliza a mesma API que as verificações de identidade, permitindo que uma fintech execute verificação de documentos, correspondência biométrica e verificação de sanções em um único fluxo de trabalho de integração, em vez de combinar processos separados. Para cobertura em nível de pagamento e transação, triagem de transações de Shufti A plataforma realiza verificações de contraparte e endereço de carteira. Quando uma correspondência é sinalizada, ela exibe a entrada correspondente na lista e o motivo da sinalização, fornecendo aos analistas o contexto necessário para resolvê-la, em vez de encaminhar cada ocorrência para revisão manual.