FinCEN corta BOI e pressiona bancos

A FinCEN eliminou de forma permanente as obrigações de reporte de informações de beneficiário final para empresas domésticas e pessoas dos Estados Unidos sob a Corporate Transparency Act, e confirmou que apagará de sua base de dados todas as declarações históricas enviadas por essas entidades e por solicitantes agora isentos. Para bancos e outras instituições financeiras, a mudança corta uma fonte centralizada de verificação e transfere mais peso para seus próprios controles de due diligence, com impacto direto em correspondências em dólar que atendem estruturas complexas na América Latina.

¿Qué cambia con la regla final de FinCEN?

A regra final restringe o dever de reporte a certas entidades estrangeiras registradas para fazer negócios em jurisdições dos EUA que não se enquadram em uma isenção estatutária. Segundo análises especializadas, essas entidades estrangeiras continuam obrigadas a revelar informações sobre seus proprietários estrangeiros, mas não sobre solicitantes norte-americanos. Mesmo uma entidade estrangeira integralmente controlada por pessoas dos EUA pode apresentar o reporte sem identificar nenhum proprietário no formulário de declaração de beneficiário final.

Esse corte também afeta a qualidade da informação disponível para o mercado. O American Banker alertou que a redução do regime de reporte elimina ou encolhe uma ferramenta de due diligence que bancos e outras instituições financeiras usavam para avaliar riscos de clientes e contrapartes, especialmente em operações em dólar com estruturas societárias complexas.

¿Cómo impacta en bancos y corresponsalías?

A eliminação do reporte doméstico deixa as instituições financeiras sem o registro federal como apoio para verificar a propriedade de clientes corporativos norte-americanos. A Global RADAR apontou que, daqui em diante, os bancos precisam depender quase totalmente de seus próprios arquivos de CDD, do monitoramento transacional, de registros estaduais e de cadastros estrangeiros para comprovar titularidade e controle.

O mesmo relatório descreveu os dossiês internos de CDD como a "única evidência de propriedade" em muitos casos, com maior risco operacional e probatório para correspondências em dólar que trabalham com estruturas societárias complexas com vínculos a Argentina e México. Também recomendou que os bancos com exposição aos EUA informem seus conselhos e comitês de auditoria de que a verificação na base da FinCEN deixa de ser uma opção, e ajustem antes do fim do trimestre seus procedimentos de onboarding e checklists de CDD para eliminar dependências de consultas ao registro.

A Commerce Security Authority afirmou que a retirada do reporte doméstico coloca os EUA fora de sintonia com a Recomendação 24 do GAFI e aumenta as expectativas de due diligence própria para bancos que operam transfronteiriçamente com os EUA, incluindo entidades da Argentina e do México. A mesma peça destacou que a obrigação, sob a Customer Due Diligence Rule, de identificar e verificar beneficiários finais segue intacta, por isso o registro de BOI continua sendo um recurso mais útil para entidades estrangeiras registradas em estados dos EUA do que para a massa de clientes domésticos de bancos correspondentes.

¿Qué pasa con CDD, terceros y ciberseguridad?

A regra da FinCEN não altera as obrigações de Customer Due Diligence sob a BSA/AML, então os bancos continuam obrigados a identificar, verificar e avaliar o risco dos beneficiários finais de clientes de pessoas jurídicas, mesmo sem apoio de uma base federal. A FinCrime Central afirmou ainda que a ausência de registros ou a existência de isenções não deve ser interpretada como sinal de baixo risco, porque a avaliação segue apoiada em informações próprias, comportamento transacional e sinais de jurisdição.

A discussão coincide com outra frente regulatória. A Secure Systems identificou como marcos-chave para instituições financeiras dos EUA a GLBA Safeguards Rule, a orientação FFIEC aplicada por examinadores do Federal Reserve, da OCC e da FDIC, e o marco de cibersegurança do NYDFS para entidades licenciadas em Nova York, com exigências como CISO designado, certificação anual de conformidade, padrões de criptografia e notificação de incidentes em 72 horas. Para filiais ou sucursais de entidades argentinas e mexicanas nos EUA, esses padrões seguem funcionando como referências de fato.

A Shumaker acrescentou que a FDIC propôs em 2024 uma "Synapse rule" para obrigar os bancos a manter registros precisos de beneficiários finais em contas de custódia, mas a proposta foi retirada. A mesma peça lembrou que contratos entre bancos e fintechs precisam deixar explícito que a responsabilidade por BSA/AML, fair lending e segurança e solidez não é delegada e continua no banco, com necessidade de cláusulas de acesso a dados, direitos de auditoria e padrões de cibersegurança em acordos com terceiros localizados em jurisdições latino-americanas.

¿Por qué México aparece en el centro del contraste?

A ShuftiPro descreveu uma assimetria regulatória entre México e Estados Unidos. No México, a reforma da LFPIORPI de julho de 2025 e seu ajuste regulatório de março de 2026 reduziram o limite de beneficiário final para 25%, exigiram identificação direta do beneficiário e impuseram monitoramento automatizado contínuo, com reporte de operações suspeitas em no máximo 24 horas.

A mesma análise indicou que entidades mexicanas estão migrando para modelos de KYC e KYB fortemente automatizados e de retenção de registros por dez anos. Esse aperto local contrasta com o encolhimento do BOI nos EUA e obriga bancos mexicanos com correspondências nos EUA a reconciliar padrões distintos, em um cenário no qual os Estados Unidos reduzem seu reporte centralizado e o México exige mais rastreabilidade de propriedade e controle.