Até onde bancos, fintechs e instituições de pagamento são vítimas do crime digital, e quando a falha nos controles passa a gerar responsabilidade?
A recente Operação Klonen, da Polícia Federal, contra fraudes bancárias eletrônicas e lavagem de dinheiro, desenvolvida a partir de informações obtidas no âmbito do Projeto Tentáculos, recoloca em debate essa questão sensível para o mercado financeiro.
Nesse contexto, é evidente que instituições financeiras também podem ser vítimas de organizações criminosas sofisticadas, sobretudo em fraudes eletrônicas que envolvem ataques cibernéticos, uso de documentos falsos, contas de passagem, engenharia social, ocultação patrimonial e posterior lavagem de valores.
Entretanto, exigir que a instituição impeça todo golpe seria transformar o dever de segurança em garantia absoluta contra a criminalidade, de modo que o mero reconhecimento da condição de vítima não encerra a discussão jurídica.
Isso porque o sistema financeiro moderno não é apenas alvo de fraudes, mas também infraestrutura indispensável para que o dinheiro ilícito circule, seja fracionado, ocultado, convertido e retirado do alcance imediato das vítimas e das autoridades.
Nessa linha, a pergunta relevante não é apenas se houve fraude contra o banco ou contra seus clientes, mas se os mecanismos internos de prevenção, monitoramento e resposta eram compatíveis com o risco da atividade. Quando movimentações atípicas utilizam contas recém-criadas, pessoas interpostas, operações incompatíveis com o perfil econômico e sucessivas transferências sem reação institucional adequada, a falha pode deixar de ser vista como mero acidente operacional, podendo gerar responsabilidade para a instituição.
À vista disso, é necessário diferenciar três situações ilustradas no contexto em análise: na primeira, a instituição é efetivamente vítima de uma ação criminosa externa, praticada com recursos técnicos ou fraudulentos capazes de superar controles razoáveis.
Na segunda, há falha operacional, decorrente de deficiência pontual, atraso de resposta ou insuficiência de procedimentos internos aptos a mitigar o risco de prática de ilícitos.
Na terceira, a qual pode-se considerar como a mais grave, surge o risco de responsabilização a partir da omissão, tolerância ou deficiência deliberada de controles que contribui para a permanência de um esquema de fraudes.
A adequada distinção entre esses cenários é fundamental para evitar, de um lado, excessos de responsabilização que transformem instituições financeiras em garantidoras universais contra fraudes eletrônicas praticadas por terceiros e, de outro, que a complexidade tecnológica seja utilizada como escudo por instituições que operam com velocidade, escala e automação, mas deixam de estruturar mecanismos de controle compatíveis com os riscos inerentes à própria atividade.
Dessa forma, a responsabilidade não deve nascer do simples fato de o dinheiro ilícito ter passado por determinada conta, plataforma ou instituição, mas, ao invés disso, deve-se verificar se havia sinais objetivos de alerta, se eles foram identificados, se os procedimentos foram acionados, se houve comunicação adequada e se a instituição adotou providências concretas para interromper a circulação dos valores.
Por conseguinte, a fronteira entre instituição vítima e facilitadora não pode ser definida por discursos genéricos de compliance, mas pela análise concreta da governança implementada, da efetividade dos alertas, da rastreabilidade das decisões internas e da compatibilidade entre o risco assumido e o controle exercido.
Não se trata de criminalizar a atividade financeira nem de presumir culpa empresarial diante de fraudes sofisticadas. O que se sustenta é que, em uma economia cada vez mais digital, a instituição financeira pode ser vítima do crime, mas não pode permanecer indiferente quando sua própria estrutura se transforma no caminho mais procurado para a prática de ilícitos digitais.