Investigação financeira: OSINT, vínculos e dossiê

Há uma diferença de método entre o analista que recebe um alerta, consulta quatro bases, não encontra nada chamativo e encerra o caso, e o analista que formula uma hipótese, decide quais dados a testariam e documenta o que encontrou — inclusive o que contrariou a própria hipótese. O primeiro produz volume. O segundo produz conclusão defensável.

Este artigo trata do método: o fluxo, as técnicas de correlação, os limites do OSINT e a forma do dossiê. Ele detalha uma das seis etapas do programa de PLD-FT — a etapa de detecção e investigação, que é onde o programa acerta ou erra na prática.

Investigar não é consultar base de dados

O primeiro erro de desenho é tratar alerta, caso e comunicação como a mesma coisa. São três objetos distintos, com três donos e três critérios de encerramento:

Objeto	O que é	Como se encerra
Alerta	Evento gerado por uma regra ou modelo	Triagem: vira caso ou é descartado com justificativa
Caso	Conjunto de alertas e informações em análise	Conclusão analítica documentada
Comunicação	Cumprimento de obrigação legal, quando aplicável	Envio à unidade de inteligência financeira

Quando os três se confundem, aparecem dois sintomas opostos e igualmente ruins: alerta descartado sem registro do motivo, e comunicação enviada como se fosse denúncia. Nenhum dos dois sobrevive a uma supervisão.

A hipótese vem antes da coleta

Um analista experiente não sai consultando bases para ver o que aparece. Ele constrói uma hipótese investigativa, decide quais dados a confirmariam ou refutariam, coleta esses dados e registra o resultado. A hipótese pode ser simples: "esta conta funciona como ponto de passagem para recursos de terceiros". O que importa é que ela seja explícita, porque só uma hipótese explícita pode ser refutada.

A disciplina é a mesma de inteligência de ameaças operacional: hipótese, requisito de coleta, avaliação da fonte, conclusão com nível de confiança. Investigação financeira sem essa estrutura produz relatório narrativo, não análise.

O fluxo de oito passos

O fluxo abaixo é o esqueleto de qualquer investigação financeira, do alerta ao encerramento:

1. Recebimento do alerta ou da denúncia interna.
2. Identificação dos envolvidos e das entidades relacionadas.
3. Coleta de dados internos e de fontes externas autorizadas.
4. Normalização e validação dos dados.
5. Linha do tempo financeira.
6. Correlação entre pessoas, empresas, contas e transações.
7. Padrões, inconsistências e hipóteses alternativas.
8. Documentação das evidências e conclusão analítica.

A normalização é o passo que ninguém quer fazer

O passo 4 consome mais tempo do que os analistas admitem no planejamento e é o que determina a qualidade de tudo o que vem depois. Nome grafado de três formas, CNPJ com e sem máscara, data em dois formatos, valor com separador trocado, contraparte identificada só por apelido de transferência: cada inconsistência dessas quebra uma correlação que existia nos dados.

Normalizar significa padronizar formato, resolver identidade de entidade e validar o que foi padronizado — não apenas rodar um trim nas colunas. É o ponto em que a investigação depende de engenharia de dados, assunto tratado em detalhe na arquitetura de uma plataforma de PLD-FT.

As perguntas que o investigador tem de responder

Independentemente do caso, um conjunto fixo de perguntas organiza o trabalho e revela o que ainda falta coletar:

• Quem é o controlador efetivo da empresa — e não apenas o sócio formal?
• Qual é a origem econômica dos recursos?
• Por que estas contrapartes específicas estão pagando ou recebendo?
• Existe atividade comercial que justifique o volume e a frequência?
• As contrapartes têm relação societária, administrador ou endereço em comum?
• As empresas envolvidas têm estrutura operacional compatível?
• Os valores são compatíveis com contratos e documentos fiscais?
• Qual explicação legítima daria conta do mesmo padrão?

A última pergunta é a mais negligenciada e a mais importante. Uma investigação que só testa a hipótese de irregularidade não é investigação, é confirmação de viés com aparência de método.

Análise de vínculos e análise temporal

Correlacionar é o que transforma registros soltos em estrutura. Duas técnicas carregam a maior parte do resultado.

Os atributos que ligam entidades

A análise de vínculos identifica relacionamentos entre pessoas físicas, pessoas jurídicas, sócios, administradores, endereços, telefones, contas, dispositivos e contrapartes financeiras. O valor não está em um vínculo isolado, está na repetição improvável: duas empresas sem relação comercial declarada que compartilham endereço, telefone e administrador descrevem uma estrutura, não uma coincidência.

Cada tipo de vínculo tem um peso diferente como evidência:

Vínculo	Força como indício	Cuidado
Documento (CPF/CNPJ) em comum	Alta	Erro de cadastro e digitação
Participação societária	Alta	Pode ser indireta e não aparecer no primeiro nível
Administrador em comum	Média a alta	Contadores e escritórios de contabilidade aparecem em centenas de empresas
Endereço em comum	Média	Coworkings, escritórios virtuais e prédios comerciais
Telefone ou e-mail em comum	Média	Dado antigo, reaproveitado ou de terceiro
Dispositivo em comum	Média	Dispositivo compartilhado legitimamente
Nome parecido	Baixa	Homônimos — exige outro identificador

Tratar endereço compartilhado como prova de conluio, sem checar se o prédio é um escritório virtual, é o erro que mais frequentemente derruba um caso na revisão.

Análise temporal: o encadeamento importa

A sequência dos eventos costuma dizer mais do que o valor de cada um. Considere uma janela de trinta minutos:

Horário	Evento
09:00	Conta A recebe R$ 100 mil
09:04	Conta A transfere R$ 95 mil
09:08	Conta B recebe R$ 95 mil
09:15	Conta B transfere R$ 90 mil
09:30	Conta C recebe R$ 90 mil

Nenhum desses valores, isoladamente, romperia um limite relevante. O que chama atenção é o encadeamento: recebimento, repasse quase imediato, decréscimo progressivo compatível com retenção de uma fração a cada etapa e ausência de qualquer atividade econômica entre as pernas. Ainda assim, proximidade temporal pode ter explicação trivial — pagamento de fornecedor programado, repasse de intermediação legítima — e precisa ser interpretada com os demais dados.

Análise de origem e destino

Reconstruir o fluxo significa responder duas perguntas que raramente aparecem no alerta: qual é a primeira origem conhecida do recurso e qual é o destino final observado. "Conhecida" e "observado" não são excesso de cautela: o investigador quase nunca enxerga a ponta real da cadeia, e afirmar origem ou destino além do que os dados mostram é o tipo de conclusão que uma defesa desmonta em uma linha.

OSINT aplicado à investigação financeira

OSINT é a coleta e análise de informações de fontes abertas e legalmente acessíveis. Em investigação financeira, ele preenche o que os dados internos não têm: existência real da empresa, atividade declarada versus observável, relações societárias, exposição pública dos envolvidos.

Fontes utilizáveis

• Registros públicos de empresas e dados societários.
• Publicações oficiais e diários.
• Processos públicos, respeitadas as restrições de acesso.
• Dados de contratação pública e licenciamento.
• Sites corporativos e publicações institucionais.
• Notícias de veículos confiáveis.
• Listas de sanções e listas de pessoas expostas politicamente, tratadas em screening de sanções e PEP.

As técnicas de reconhecimento são as mesmas que um atacante usa para mapear uma organização — o objetivo é que difere. Quem quiser entender o repertório pelo outro lado encontra o detalhamento em como atacantes mapeiam uma empresa.

Registro de proveniência: fonte, data, contexto, confiabilidade

Toda informação coletada em fonte aberta precisa chegar ao dossiê com quatro metadados: de onde veio, quando foi coletada, em que contexto apareceu e qual o grau de confiabilidade atribuído. Sem isso, a informação é impossível de reavaliar meses depois, quando a página original já mudou.

E vale o limite que mais se ignora: uma publicação isolada não é confirmação de envolvimento criminoso. Notícia é indício de que algo foi noticiado — nada além disso.

Os limites legais e de proteção de dados

O uso de OSINT tem de observar a legislação aplicável, a finalidade declarada da investigação, a qualidade da fonte e a proteção de dados pessoais. Dado publicamente acessível não é dado livre de regime legal: ele continua sendo dado pessoal, com finalidade, necessidade e prazo de retenção, como detalha a implementação técnica da LGPD.

Na prática isso significa decidir, antes da coleta, qual pergunta justifica cada fonte consultada. Coletar "porque pode ser útil depois" é exatamente o que a norma não autoriza.

Forense de dados financeiros

A análise forense financeira é a preservação, organização e interpretação de dados para reconstruir eventos. Ela empresta integralmente os princípios da computação forense digital.

Sete princípios de preservação

1. Preservação dos dados originais, sem edição sobre a cópia de trabalho.
2. Registro da origem e do horário de coleta.
3. Controle de acesso ao material do caso.
4. Integridade verificável dos arquivos.
5. Rastreabilidade de cada transformação aplicada aos dados.
6. Registro das hipóteses consideradas, inclusive as descartadas.
7. Separação explícita entre fato e inferência.

O sexto princípio é o que distingue um dossiê auditável de uma narrativa: quem lê precisa saber o que foi testado e não se sustentou, não apenas o que sobrou.

Hash como prova de integridade

Um hash criptográfico como SHA-256, calculado no momento da coleta e registrado junto com data e origem, permite demonstrar que o arquivo não foi alterado depois. É um controle de custo quase zero e de valor alto justamente quando o caso é contestado — meses ou anos depois, quando ninguém lembra quem exportou aquela planilha.

Hash demonstra integridade, não autenticidade: ele prova que o arquivo é o mesmo, não que o conteúdo é verdadeiro. São garantias diferentes e confundi-las enfraquece o relatório.

Estudo de caso: a fintech e as 120 pessoas físicas

Um cenário fictício, mas com a forma dos casos reais. Uma fintech identifica uma empresa que:

• foi constituída há seis meses;
• declara faturamento mensal de R$ 50 mil;
• recebeu R$ 1,8 milhão em transferências em um único mês;
• recebeu valores de 120 pessoas físicas distintas;
• transferiu 90% dos recursos para quatro empresas;
• tem sócios que participam de outras empresas com movimentação semelhante.

As oito etapas aplicadas ao caso

Etapa	Atividade	Resultado esperado
1	Análise cadastral	Perfil declarado da empresa e consistência do cadastro
2	Análise societária	Sócios, administradores e beneficiários finais
3	Análise transacional	Origem e destino efetivos dos recursos
4	Análise de vínculos	Relações entre as empresas e as pessoas envolvidas
5	OSINT	Existência operacional e exposição pública
6	Análise temporal	Sequência e latência das movimentações
7	Avaliação de risco	Inconsistências priorizadas
8	Relatório	Evidências e conclusão fundamentada

Observe que as etapas 1 e 2 vêm antes da análise transacional. Olhar o extrato primeiro é tentador e produz a pior versão do caso: o analista já chega à etapa cadastral com uma conclusão formada.

O que mudaria a conclusão

O padrão descrito é compatível com conta de passagem e com incompatibilidade econômica. Também é compatível com um negócio legítimo de intermediação que cresceu rápido. O que separa as duas leituras são evidências específicas, e vale listá-las antes de investigar:

• contratos e notas fiscais que expliquem os 120 pagadores;
• relação identificável entre os pagadores (clientes de um mesmo produto, por exemplo);
• estrutura operacional nas quatro empresas destinatárias — funcionários, instalações, atividade;
• justificativa econômica para o repasse de 90% dos recursos;
• histórico que mostre crescimento gradual em vez de salto súbito;
• atualização cadastral do faturamento declarado, compatível com a nova realidade.

Se essas evidências existem e são verificáveis, o caso se encerra com justificativa registrada. Se não existem, o que se documenta é exatamente isso: não foi possível identificar justificativa econômica para o padrão observado. Perceba a diferença — a conclusão é sobre a ausência de explicação, não sobre a prática de um crime.

O dossiê: documentar sem concluir além da evidência

O relatório é parte do controle. Um caso bem investigado e mal escrito vira um problema jurídico; um caso bem escrito sobrevive à supervisão, ao contencioso e à rotatividade da equipe.

Estrutura mínima do relatório

1. Identificação do caso.
2. Identificação dos envolvidos.
3. Origem do alerta.
4. Perfil cadastral e econômico.
5. Histórico transacional.
6. Descrição dos eventos.
7. Relacionamentos identificados.
8. Evidências coletadas, com proveniência.
9. Justificativas apresentadas pelo cliente.
10. Análise de consistência.
11. Fundamentação da conclusão.
12. Decisão e encaminhamento.

Fato, inferência e hipótese alternativa

Três registros diferentes, que o texto precisa manter distinguíveis:

Registro	Exemplo
Fato	A conta recebeu R$ 1,8 milhão de 120 contrapartes pessoa física em 30 dias.
Inferência	O volume é incompatível com o faturamento declarado de R$ 50 mil mensais.
Hipótese alternativa testada	Intermediação legítima com muitos clientes — não sustentada: não foram apresentados contratos nem notas fiscais correspondentes.

A formulação que condena o relatório é a conclusão categórica: "o cliente está lavando dinheiro". A que o sustenta descreve o observado, o testado e o que não foi possível explicar, encaminhando o caso conforme o procedimento interno. A instituição não tem competência legal para afirmar a primeira — e não precisa dela para cumprir sua obrigação.

Guardar essa disciplina no texto tem um efeito colateral útil: ela expõe, para a própria área, quais casos foram encerrados por evidência e quais foram encerrados por cansaço.

Perguntas Frequentes

Conclusão

Uma investigação financeira madura se reconhece por três marcas no dossiê: a hipótese está escrita, as hipóteses alternativas testadas aparecem mesmo quando não se sustentaram, e cada evidência carrega fonte, data e grau de confiabilidade. Nenhuma das três depende de ferramenta nova.

Se a sua área precisa de um ponto de partida, comece pelo que não exige orçamento: padronizar a estrutura do relatório, exigir registro do motivo de descarte na triagem e separar fato de inferência no texto. Grafo, OSINT automatizado e priorização por modelo rendem muito mais depois disso, porque passam a operar sobre dados e conclusões que alguém consegue auditar.

Vale lembrar o limite que atravessa o artigo inteiro: tipologia, vínculo e padrão temporal são referências para investigar, não provas. A conclusão legítima de um caso costuma ser sobre a ausência de explicação econômica — e isso é suficiente para cumprir a obrigação.