Bank of America: multa AML de $1,2 Bi e o novo compliance

Em 13 de outubro de 2026, a Rede de Controle de Crimes Financeiros do Tesouro dos Estados Unidos (FinCEN) anunciou uma penalidade civil de 1,2 bilhão de dólares contra o Bank of America — a terceira maior sanção da história do FinCEN, atrás do acordo de 4,3 bilhões de dólares com a Binance em 2023 e da penalidade de 1,3 bilhão contra o TD Bank em 2024. O Escritório do Controlador da Moeda (OCC) impôs simultaneamente uma avaliação de 750 milhões — a maior de sua história — com esse valor creditado parcialmente em relação ao total do FinCEN. Um acordo separado com o OFAC de 11,6 milhões de dólares cobre violações aparentes de múltiplos programas de sanções, incluindo Irã, Rússia, redes de narcotráfico e terrorismo internacional.

O número é significativo. O que é ainda mais relevante para equipes de compliance em todo o mundo é o fundamento jurídico que o produziu: o Bank of America admitiu ter violado deliberadamente o Bank Secrecy Act (BSA). Essa admissão — rara em grandes ações regulatórias contra instituições financeiras de porte — altera o quadro interpretativo com o qual qualquer equipe de conformidade deveria analisar este caso.

Os números: o que o FinCEN efetivamente encontrou

A ação regulatória do FinCEN se baseia em falhas documentadas em larga escala, não em lacunas marginais de programa.

Indicador	Valor
Penalidade civil FinCEN	$1,2 bilhão
Penalidade civil OCC	$750 milhões (creditados ao total FinCEN)
Acordo OFAC	$11,6 milhões
Transações suspeitas não reportadas	Mais de $5 bilhões
Programas de sanções envolvidos	Irã, Rússia, narcotráfico, terrorismo global

Os 5 bilhões de dólares em transações suspeitas não reportadas não escaparam do sistema porque o banco não possuía um programa de compliance. O Bank of America opera um dos maiores departamentos de crimes financeiros dos Estados Unidos. O programa falhou, ao longo de um período prolongado, em produzir os outputs obrigatórios — Relatórios de Atividades Suspeitas (SAR) — exigidos pelo BSA.

O que a admissão de "violação dolosa" muda no cálculo

No direito regulatório americano, uma determinação de violação dolosa do BSA carrega um peso jurídico e operacional materialmente diferente de uma constatação de negligência ou controles inadequados.

O padrão de dolo do BSA não exige provar que a equipe de compliance decidiu conscientemente permitir transações ilícitas. Exige demonstrar que a instituição conhecia suas obrigações BSA, tinha ciência da lacuna de conformidade e deixou de agir para corrigi-la. No caso do Bank of America, essa base já estava estabelecida: a investigação do FinCEN decorre em parte de uma Ordem de Consentimento de 2024, o que significa que o banco havia sido formalmente notificado pelo regulador sobre a existência de deficiências materiais em seu programa AML.

Uma ordem de consentimento coloca o banco em situação de notificação formal. Continuar operando com essas lacunas após a notificação regulatória é exatamente o que estabelece a determinação de dolo. A progressão — ordem de consentimento em 2024, penalidade de 1,2 bilhão em 2026 — descreve uma janela de dois anos na qual controles deficientes persistiram depois que o regulador já os havia sinalizado por escrito.

Essa linha do tempo levanta uma questão incômoda para qualquer instituição que opera atualmente sob uma ordem de consentimento, MRA ou constatação supervisória: como seu programa se sairia sob o mesmo escrutínio de intencionalidade?

Três grandes ações regulatórias em cinco semanas

O caso Bank of America não chega de forma isolada. Três grandes ações BSA/AML foram anunciadas em um período de cinco semanas no outono de 2026:

Data	Instituição	Regulador	Penalidade
17 jun. 2026	Ikano Bank	Finansinspektionen	SEK 140M (~€13M)
8 out. 2026	American Express	OCC + Fed	$350M
13 out. 2026	Bank of America	FinCEN + OCC + OFAC	~$1,2 Bi

A ação regulatória contra o Ikano Bank documentou quatro deficiências estruturais: avaliação de risco de produtos incompleta, tipologias de lavagem desatualizadas, Diligência Devida Aprimorada inadequada e inteligência regulatória excluída do modelo de risco. Um padrão de falhas estruturalmente comparável produziu a multa de 350 milhões de dólares ao American Express uma semana antes do anúncio contra o Bank of America.

A penalidade ao Bank of America é uma ordem de magnitude superior à do American Express. O que os três casos compartilham é um arquétipo comum: um programa de conformidade que existia na documentação mas se degradou na prática, com o tempo e em escala. Reguladores em três instituições diferentes, em dois continentes, encontraram a mesma lacuna estrutural.

As populações ilícitas que o programa não detectou

O anúncio do Tesouro identificou duas populações específicas de financiamento ilícito que o programa de monitoramento do Bank of America deixou de detectar e reportar:

Redes chinesas de lavagem de dinheiro. O FinCEN citou operações de lavagem vinculadas a redes criminosas chinesas como uma categoria em que a atividade suspeita não foi identificada nem reportada de forma sistemática. Esse é um vetor de ameaça que os reguladores americanos têm escalado há vários anos, com orientações tipológicas específicas publicadas sobre padrões de transações associados a operadores de câmbio não licenciados utilizados por essas redes. As orientações existiam; a calibração contra elas estava ausente ou era inadequada.

Financiamento ilícito na fronteira sudoeste. A segunda população envolve receitas do tráfico de drogas e fluxos ilícitos relacionados na fronteira entre os EUA e o México. Essa categoria de exposição não é nova para os grandes bancos de varejo e comerciais americanos. Ela aparece em relatórios tipológicos do GAFI, alertas do FinCEN e ações regulatórias anteriores contra bancos regionais e nacionais. Sua presença em uma ação contra um banco dessa escala indica falha de monitoramento sistêmica, e não incidental.

Nenhuma das duas populações é recentemente identificada. Ambas têm sido objeto de orientações regulatórias específicas publicadas nos últimos anos. A falha de conformidade aqui não é a ausência de orientações disponíveis — é a ausência de calibração operacional contra elas.

O problema da detecção agregada

O valor de 5 bilhões de dólares requer contexto para entender o que revela sobre a arquitetura de monitoramento.

Quando um programa de monitoramento deixa de detectar 5 bilhões em transações suspeitas, o modo de falha raramente é que essa soma transitou por uma única conta que uma regra de alerta simples deveria ter detectado. O padrão mais comum — e consistente com o que o FinCEN documentou — é que a atividade suspeita se acumula ao longo de uma população de contas, cada uma das quais, individualmente, gera volumes ou padrões de transações abaixo de qualquer limite de alerta individual. O agregado a nível populacional é detectável; nenhuma conta individual aciona uma regra.

Essa é a limitação estrutural de programas de monitoramento construídos sobre conjuntos de regras estáticas aplicadas no nível da conta individual. Regras calibradas para padrões de transações individuais não conseguem detectar sistematicamente redes distribuídas que operam conscientemente abaixo desses limites no agregado.

O monitoramento contínuo e o KYC perpétuo abordam isso no nível do portfólio, e não no nível da conta. O reconhecimento de padrões aplicado a segmentos de clientes, corredores geográficos e janelas temporais — não apenas a valores de transações individuais — é a resposta arquitetônica ao modo de falha que o FinCEN documentou aqui.

O que a IA muda nas investigações AML

A penalidade contra o Bank of America chegou na mesma semana em que FIS e Anthropic anunciaram o lançamento comercial de seu Agente de Investigações AML para bancos americanos. A coincidência temporal é circunstancial, mas o contexto não é.

As instituições financeiras americanas gastam aproximadamente US$ 35–40 bilhões por ano em conformidade AML. Esse investimento não impediu ações regulatórias dessa escala. O que financiou em grande medida foi um número muito elevado de analistas realizando triagem manual diante de volumes de alertas que superam estruturalmente qualquer capacidade realista de revisão manual abrangente.

Os agentes de IA na conformidade financeira estão recebendo validação regulatória formal precisamente porque o modelo manual não fechou a lacuna de cobertura. Um sistema agêntico que revisa cada alerta de nível 1, investiga cada caso escalado e prepara narrativas SAR com documentação vinculada não substitui a supervisão humana — muda o que essa supervisão humana efetivamente analisa. Os analistas examinam anomalias confirmadas, não filas de alertas.

Os agentes autônomos de compliance da Joinble operam sobre esse modelo arquitetônico: monitoramento contínuo contra tipologias regulatórias atualizadas, pontuação de risco que se ajusta conforme novas orientações do FinCEN são publicadas, e trilhas de auditoria construídas em tempo real em vez de reconstruídas sob pressão regulatória.

O que as equipes de compliance devem fazer agora

Cinco perguntas correspondem diretamente às falhas documentadas:

Sobre exposição a ordens de consentimento e MRA. Sua instituição opera atualmente sob uma ordem de consentimento, MRA ou constatação supervisória escrita que identifica lacunas AML? Em caso afirmativo, a cronologia do Bank of America é diretamente aplicável. Os reguladores já estabeleceram o conhecimento formal. O relógio da intencionalidade começa a partir dessa notificação, não da próxima inspeção.

Sobre calibração tipológica. Quando suas regras de monitoramento de transações incorporaram pela última vez as orientações tipológicas específicas que o FinCEN publicou sobre redes chinesas de lavagem, fluxos na fronteira sudoeste e as demais populações de ameaça mais relevantes para sua base de clientes? A data de publicação de uma orientação e a data de sua implementação em regras de monitoramento em produção frequentemente não coincidem.

Sobre monitoramento específico por população. Seu programa SAR aplica lógica de monitoramento diferenciada a populações de clientes distintas — por geografia, tipo de produto e segmento de risco — ou aplica um modelo de risco generalizado sobre toda a carteira? As falhas de monitoramento específicas por população são precisamente o que o FinCEN documentou.

Sobre detecção de padrões agregados. Seus sistemas de monitoramento produzem outputs sobre padrões no nível do portfólio — comportamento de transações agregado por segmentos de clientes, janelas temporais e geografias — ou apenas alertas no nível da conta individual? O modo de falha neste caso foi populacional, não individual.

Sobre qualidade dos outputs SAR. Qual porcentagem das contas no nível de risco mais elevado de sua carteira gerou pelo menos uma revisão SAR nos últimos 12 meses? Um programa que analisa consistentemente a faixa mediana da distribuição de risco sem produzir outputs sobre a faixa mais alta não está falhando em detectar — está falhando em verificar.

Para um quadro completo do que um programa KYC e AML em padrão atual deve oferecer, nosso guia KYC 2026 cobre a base regulatória do onboarding até o monitoramento contínuo.

---

Perguntas frequentes

Qual é o tamanho da multa AML ao Bank of America e como ela se classifica historicamente?

O FinCEN impôs uma penalidade civil de 1,2 bilhão de dólares — a terceira maior da história do Tesouro americano, atrás dos 4,3 bilhões da Binance em 2023 e dos 1,3 bilhão do TD Bank em 2024. O OCC impôs simultaneamente uma avaliação de 750 milhões, a maior de sua história, creditada parcialmente ao total do FinCEN. Um acordo OFAC separado de 11,6 milhões cobre violações de sanções em múltiplos programas.

O que significa o Bank of America ter admitido violações dolosas da BSA?

O padrão de dolo da BSA exige demonstrar que a instituição conhecia suas obrigações, sabia que não as cumpria e deixou de remediar a lacuna — não que intencionalmente permitiu a lavagem. A Ordem de Consentimento de 2024 já havia formalmente notificado o banco das deficiências AML. Continuar operando com as lacunas conhecidas após essa notificação estabelece a intencionalidade. Admitir a constatação elimina disputas sobre fatos e sinaliza às instituições comparáveis que a defesa "não sabíamos" não está disponível depois que os reguladores documentaram formalmente uma lacuna.

Quais redes ilícitas específicas o Bank of America deixou de detectar?

O FinCEN citou duas populações específicas: redes chinesas de lavagem de dinheiro, incluindo atividades associadas a operadores de câmbio não licenciados; e fluxos financeiros ilícitos na fronteira sudoeste EUA-México, incluindo receitas do tráfico de drogas. Ambas foram objeto de orientações e alertas específicos do FinCEN publicados nos anos anteriores. A falha foi de calibração, não de ausência de orientações disponíveis.

Por que $5 bilhões em transações suspeitas não geraram SAR?

A constatação aponta para uma arquitetura de monitoramento onde a atividade suspeita se acumulou abaixo do limite das regras de alerta no nível da conta individual. Quando os programas se baseiam em regras estáticas aplicadas a contas individuais, redes de financiamento ilícito distribuídas que operam abaixo desses limites individualmente podem acumular exposição agregada significativa sem acionar nenhuma escalada. A detecção de padrões agregados no nível do portfólio é a resposta arquitetônica a esse modo de falha.

Essa ação regulatória afeta instituições reguladas na UE?

Indiretamente, sim. Os padrões técnicos CDD da AMLA, publicados em outubro de 2026, exigem que entidades obrigadas da UE implementem monitoramento baseado em risco com calibração documentada contra orientações tipológicas vigentes. O modo de falha do Bank of America — monitoramento não calibrado contra populações de ameaça identificadas especificamente — corresponde diretamente à obrigação de calibração que a AMLA está codificando. Instituições da UE no período transitório do AMLR devem considerar essa ação como um indicativo do padrão supervisório que a AMLA pretende aplicar a partir de 2027.

O que as equipes de compliance devem priorizar imediatamente?

Três prioridades decorrem diretamente das falhas documentadas: primeiro, verificar se as ordens de consentimento, MRA ou constatações supervisórias existentes sobre AML foram completamente remediadas — se não, a exposição à intencionalidade está ativa; segundo, confirmar que as regras de monitoramento SAR estão calibradas contra as orientações tipológicas atuais do FinCEN para os corredores geográficos e as populações de clientes mais relevantes para seu negócio; terceiro, avaliar se seu monitoramento produz outputs no nível do portfólio sobre padrões suspeitos agregados, e não apenas alertas individuais por conta.