Fechar contrato com alguém que está numa lista de sanções não é falha de processo — é crime, multa milionária e, em alguns casos, bloqueio total da empresa no sistema financeiro internacional. Em março de 2026, a SDN da OFAC ultrapassou 15.000 designações ativas, e a lista do Conselho de Segurança da ONU recebe atualizações com executoriedade imediata no Brasil, por força da Lei 13.810/2019. Ignorar isso deixou de ser uma opção há muito tempo.
Lista de sanções é o conjunto de registros mantidos por governos e organismos internacionais com nomes de pessoas, empresas, navios, carteiras cripto e entidades proibidas de fazer negócios — por envolvimento em terrorismo, lavagem de dinheiro, proliferação de armas, violação de direitos humanos ou ameaça à política externa de uma nação. Para a empresa brasileira, não é uma lista — são várias, sobrepostas, com regras e consequências diferentes.
Este guia cobre as seis listas que você precisa consultar (OFAC, ONU/CSNU, UE, Reino Unido, CVM e BCB), como a Lei 13.810/2019 transforma sanções da ONU em obrigação imediata no Brasil, o fluxo técnico de screening que funciona em escala e as penalidades reais quando a verificação falha.
O que é uma lista de sanções e por que ela importa para empresas brasileiras
Listas de sanções existem para bloquear dinheiro. Quando um governo designa uma pessoa ou empresa como alvo de sanção, a mensagem ao mercado é direta: qualquer instituição que mantiver relação com esse alvo vira cúmplice do que motivou a designação. Seja lavagem de dinheiro, financiamento de terrorismo, tráfico ou violação de direitos humanos — o racional é sempre o mesmo: cortar o capital na origem.
No Brasil, a obrigação de consultar essas listas vem de três fontes que atuam em paralelo:
- Regulatória nacional — a Circular BCB 3.978/2020 e a Resolução COAF 36/2021 exigem que instituições financeiras e obrigados à PLD-FT implementem controles de sanctions screening como parte do programa de compliance. Quem é fiscalizado pelo BCB ou comunica ao COAF precisa ter processo documentado e auditável.
- Regulatória internacional com alcance extraterritorial — sanções da OFAC valem para qualquer operação que toque o sistema financeiro americano. Uma empresa brasileira que recebe dólar, usa corresponder bancário nos EUA ou tem subsidiária americana está sob jurisdição da OFAC, mesmo sem CNPJ lá.
- Obrigação direta por lei — a Lei 13.810/2019, regulamentada pelo Decreto 9.825/2019, torna as resoluções do Conselho de Segurança da ONU e as designações de seus comitês dotadas de executoriedade imediata em território brasileiro. Não precisa de ordem judicial, não precisa de conversão interna. Publicou no Diário Oficial, virou obrigação.
A consequência prática: uma empresa brasileira de médio porte que faz exportação, tem investidor estrangeiro ou importa insumos está, simultaneamente, sob três regimes de sanção. Um programa de compliance que cobre só uma das frentes é um programa com furo.
Quem no Brasil é obrigado a fazer sanctions screening
A lista de quem tem obrigação formal — aquela que gera fiscalização e penalidade — se expandiu nos últimos anos:
- Instituições financeiras e demais autorizadas a funcionar pelo BCB
- Corretoras, distribuidoras, gestoras e fundos de investimento (sob CVM)
- Seguradoras, corretoras de seguros e entidades de previdência (sob SUSEP)
- Empresas de fomento comercial (factoring) e de crédito
- Imobiliárias e profissionais de intermediação de imóveis de alto valor
- Escritórios de advocacia e contabilidade quando atuam em operações sensíveis
- Concessionárias de veículos, joalherias e comerciantes de bens de luxo acima de limiares
- Qualquer entidade comunicadora ao COAF conforme Lei 9.613/1998
Na prática, basta a empresa ter exposição internacional ou fazer parte de cadeia que toca setor regulado para sanctions screening deixar de ser "boa prática" e virar requisito operacional. Um parceiro comercial, sozinho, pode fazer essa exigência descer pela cadeia — grandes multinacionais exigem comprovação de screening dos seus fornecedores brasileiros como condição contratual. Esse é um dos motivos pelos quais gestão de riscos de terceiros (TPRM) e due diligence deixaram de ser processos isolados e passaram a compartilhar o mesmo fluxo de screening.
As 6 listas restritivas que toda empresa no Brasil precisa consultar
Não existe uma "lista de sanções" única. Existe um conjunto, com regras de aplicação diferentes. Um programa de compliance maduro consulta, no mínimo, as seis abaixo.
1. Lista OFAC (EUA) — SDN e listas setoriais
O Office of Foreign Assets Control (OFAC), órgão do Departamento do Tesouro dos EUA, administra o conjunto mais agressivo de sanções unilaterais do mundo. A SDN List (Specially Designated Nationals and Blocked Persons) concentra o núcleo duro: bloqueio total. Em março de 2026, eram mais de 15.000 designações ativas — pessoas, empresas, navios, aeronaves e carteiras de criptomoedas.
A SDN não é a única. A OFAC mantém ainda:
- SSI (Sectoral Sanctions Identifications) — proíbe tipos específicos de transação (por exemplo, dívida de longo prazo com entidades russas do setor de energia), mas permite outras
- Non-SDN Menu-Based Sanctions (NS-MBS) — sanções customizadas, em cardápio, aplicadas conforme o programa (Irã, Venezuela, etc.)
- Palestinian Legislative Council (PLC) List — sanções contra Hamas e aliados
- Foreign Sanctions Evaders (FSE) — para quem contorna sanções
- Non-SDN Chinese Military-Industrial Complex Companies (NS-CMIC) — restrição de investimento
Screening que só bate contra a SDN está incompleto. Uma operação de financiamento de longo prazo para empresa russa pode ser legal na SDN (porque ela não está lá) e ilegal na SSI (porque o tipo de transação é restrito).
2. Lista do Conselho de Segurança da ONU (CSNU)
O Conselho de Segurança da ONU mantém listas consolidadas de sanções relacionadas a Al-Qaida/ISIL, Talibã, RPDC (Coreia do Norte), Irã, Iêmen, Mali, Sudão, República Centro-Africana, Haiti e outras situações específicas. Diferente da OFAC, que é sanção unilateral de um Estado, CSNU é sanção multilateral — todos os 193 membros da ONU têm obrigação de cumprir.
No Brasil, essa obrigação é operacionalizada pela Lei 13.810/2019, detalhada mais adiante. O efeito prático: se um nome entra em resolução do CSNU hoje, amanhã os ativos dessa pessoa ou entidade estão legalmente indisponíveis em qualquer instituição brasileira — sem precisar de decisão judicial.
O Banco Central do Brasil consolida e publica as resoluções do CSNU para o setor financeiro. O Ministério da Justiça, via DRCI, também mantém lista pública.
3. União Europeia e Reino Unido
A UE opera o EU Consolidated Financial Sanctions List, que agrega sanções da política externa do bloco. Desde 2020, o Reino Unido mantém regime próprio (UK OFSI Consolidated List) — pós-Brexit, as listas divergiram da UE em casos pontuais.
Empresas brasileiras com operação, exportação ou investidor europeu precisam verificar ambas. O descumprimento pode levar à perda de acesso ao mercado europeu e penalidades em países membros onde a empresa opera.
4. CVM — Sanções e Impedimentos
No Brasil, a CVM mantém registros de sanções administrativas aplicadas a participantes do mercado de capitais: administradores, gestores, analistas, consultores e empresas que descumpriram regulamentação. Não é "lista de terroristas", mas é lista de pessoas com quem uma instituição regulada não pode manter certos tipos de relacionamento.
A consulta é obrigatória em processos de contratação no mercado financeiro e em aquisições que envolvam profissionais do setor.
5. BCB — Cadastro de Sanções e CADIN
O Banco Central consolida sanções aplicadas no âmbito do Sistema Financeiro Nacional, além do CADIN (Cadastro Informativo dos créditos não quitados de órgãos e entidades federais). Para instituições financeiras, a verificação desses cadastros integra o fluxo de onboarding obrigatório.
6. Listas Setoriais e Internas
Complementam o kit: Interpol Red Notices, listas de empresas impedidas em processos do CGU — Banco de Sanções (CEIS, CNEP), Portal da Transparência do governo federal, além de listas privadas que agregam cobertura adicional (OpenSanctions, Refinitiv World-Check, Dow Jones Risk Center).
O stack mínimo de um programa sério: SDN + CSNU + UE + UK + CVM + CGU. Seis fontes, três idiomas, frequências de atualização diferentes. Ignorar qualquer uma delas deixa uma porta aberta.
A Lei 13.810/2019: por que sanções da ONU valem no Brasil sem decisão judicial
Essa é a peça que quase nenhum concorrente explica direito — e que, na experiência de quem já implementou screening em time de compliance brasileiro, é o ponto que mais gera erro operacional. Profissional lê "sanção internacional" e assume que depende de tratado, decreto específico, algo intermediário. Não depende. A Lei 13.810 já fez o caminho.
A Lei 13.810, de 8 de março de 2019 dispõe sobre o cumprimento de sanções impostas por resoluções do Conselho de Segurança das Nações Unidas. Quatro pontos definem a operação:
Executoriedade imediata. O artigo 2º estabelece que as resoluções sancionatórias do CSNU e as designações de seus comitês "são dotadas de executoriedade imediata" em território brasileiro. Não é adoção progressiva. Não passa por homologação. Publicou, vale.
Indisponibilidade automática de ativos. Quando uma pessoa física, jurídica ou entidade é designada, os ativos ficam indisponíveis por força da própria lei. Bancos, corretoras, seguradoras — qualquer instituição que custodie valores do alvo — tem obrigação legal de bloquear, comunicar ao Ministério da Justiça e manter o bloqueio até nova deliberação do CSNU.
Designação nacional. A lei também criou o instituto da designação nacional pelo juízo federal competente, para pessoas investigadas ou acusadas de terrorismo — mesmo fora da lista internacional.
Proibição de descumprimento. O artigo 7º é categórico: é vedado a brasileiros (residentes ou não) e a pessoas no território nacional descumprir, por ação ou omissão, sanções do CSNU. Descumprimento configura crime com pena de reclusão.
O Decreto 9.825/2019 regulamentou o rito: publicação das resoluções pelo MRE no Diário Oficial, manutenção da lista pública pelo DRCI, fluxo de comunicação ao MJ em caso de ativos bloqueados.
O efeito no desenho do screening: a consulta à lista CSNU não é "nice to have" — é cumprimento de lei com pena de prisão no horizonte. E o lag entre publicação no site do CSNU e atualização em bases comerciais precisa ser minimizado. Alguns players do mercado brasileiro consultam feeds oficiais várias vezes ao dia para essa lista específica.
Como consultar a lista OFAC passo a passo
Para casos pontuais — verificação manual de um alvo específico — o caminho oficial é a OFAC Sanctions List Search. O processo:
1. Acessar sanctionssearch.ofac.treas.gov. É o sistema oficial, gratuito, mantido pelo Departamento do Tesouro dos EUA.
2. Preencher o nome completo ou razão social. A busca aceita nome de pessoa física, empresa, navio ou entidade. Evite abreviações; use o nome como aparece em documento oficial.
3. Ajustar o "Minimum Name Score". O slider controla a tolerância do fuzzy matching. Default é 100 (match exato). Baixar para 85 ou 90 retorna hits parciais — úteis para capturar variações de grafia, transliteração e erros de digitação. Em contexto de compliance, nunca deixe em 100 cego; homônimos e variações são regra, não exceção.
4. Aplicar filtros opcionais. Você pode filtrar por tipo de alvo (Individual, Entity, Vessel, Aircraft), país e lista específica (SDN, SSI, etc.).
5. Interpretar o resultado. Se retornar hits, cada um vem com: nome principal, aliases (AKA), data de nascimento, nacionalidade, passaporte, endereço conhecido e o programa de sanção (a "tag" — ex: IRAN, RUSSIA-EO14024, SDGT).
6. Comparar dados secundários. É aqui que o processo falha no ad-hoc. Um nome em comum não é evidência suficiente. Cruze data de nascimento, CPF, endereço, nacionalidade e, quando possível, foto. Sem esse cruzamento, você ou bloqueia inocente (falso positivo) ou libera alvo real (falso negativo catastrófico).
7. Documentar a verificação. Mesmo em consulta manual, registre: data/hora da consulta, nome pesquisado, score mínimo usado, resultado (positivo/negativo), evidência (screenshot ou export), responsável. Sem trilha, a consulta não conta em auditoria.
Para volumes acima de 10-20 consultas por mês, consulta manual não escala. É aqui que o fluxo operacional entra em cena.
O fluxo técnico de sanctions screening que funciona em escala
Screening em produção não é "rodar a lista uma vez". É processo contínuo, com três momentos de verificação e vários controles complementares.
Onboarding: o primeiro filtro
Todo novo cliente, fornecedor, parceiro ou colaborador passa por screening antes de o relacionamento começar — é parte do fluxo de KYC (Know Your Customer). Isso significa: antes da abertura de conta, da contratação, da assinatura do contrato, da entrada em cadeia de fornecimento.
O que consultar no onboarding:
- Nome completo + CPF/CNPJ da contraparte direta
- Nome completo + CPF de todos os beneficiários finais (UBOs) — verificar sanção no beneficiário final, não só na PJ contratada
- Nome de administradores, procuradores e representantes legais
- Todas as partes relacionadas no grupo econômico — grupo econômico inteiro, não só a entidade contratante
Se um UBO está sancionado, a PJ opera um ativo do sancionado. Fechar com a PJ, mesmo que ela não esteja diretamente na lista, é violação indireta — e a OFAC aplica o "50 percent rule": entidade controlada em 50%+ por sancionado é automaticamente sancionada.
Screening transacional: o segundo filtro
Em fluxos de pagamento, transferência internacional, investimento, trade finance, câmbio e emissão de títulos, cada operação passa por nova verificação antes da execução. O motivo: partes podem ser sancionadas entre o onboarding e a transação. A SDN recebe atualizações praticamente semanais.
O screening transacional usa dados da ordem de pagamento (originador, beneficiário, banco intermediário, país de destino) e cruza contra bases atualizadas. Sistemas SWIFT e plataformas bancárias modernas fazem isso automaticamente; empresas não-financeiras precisam implementar controle equivalente.
Rescreening: o terceiro filtro (e o mais esquecido)
Base ativa de clientes e fornecedores precisa ser reprocessada periodicamente contra as listas atualizadas. Cadência usual:
- Listas críticas (SDN, CSNU): rescreening diário ou, no mínimo, semanal
- Listas UE/UK/CVM: semanal
- Listas complementares: mensal
Quando um nome cai na lista, o alerta é gerado na próxima varredura. Instituições que fazem rescreening anual descobrem sanção um ano depois da designação — o suficiente para configurar descumprimento.
Fuzzy matching e tratamento de falsos positivos
Match exato é insuficiente. "Jose Maria da Silva", "José Maria Silva" e "Jose M. da Silva" são, para humanos, a mesma pessoa; para busca literal, três nomes diferentes. Sistemas de screening usam algoritmos de fuzzy matching (Levenshtein, Jaro-Winkler, Soundex, variações fonéticas) para capturar essas variações.
O preço do fuzzy matching é o falso positivo. Em uma base de 50.000 clientes, rodar screening fuzzy contra 15.000 entradas SDN pode gerar centenas de hits por dia — a maioria irrelevantes. Um programa eficiente tem:
- Pipeline de triagem — score automático de risco por hit (match de nome + data de nascimento = alto; só nome = baixo)
- Regras de descarte — dados que claramente excluem match (ex: data de nascimento diferente em mais de 30 anos)
- Fila humana para casos duvidosos — analista decide com base em documentação
- Registro auditável — cada decisão de descarte fica documentada com justificativa e evidência
Sem essa arquitetura, ou o time afoga em alertas ou relaxa a régua e perde alvos reais.
Tratamento de match confirmado (hit positivo)
Confirmado o match — dados secundários batem, não é homônimo — o fluxo é:
- Congelar a operação. Pagamento, contrato, onboarding: tudo suspenso imediatamente.
- Se CSNU: indisponibilidade automática dos ativos. Por força da Lei 13.810/2019, os valores da contraparte ficam bloqueados.
- Comunicar o oficial de compliance. Decisões de não-congelamento precisam ser autorizadas em nível hierárquico definido pela política interna.
- Reportar aos órgãos competentes. Ao COAF quando configurar operação suspeita sob Lei 9.613/1998. Ao Ministério da Justiça em caso de bloqueio CSNU.
- Registrar trilha completa. Data, horário, dados do alvo, sistema usado, evidência (screenshot do hit, export da base), decisão e responsável.
- Encerrar ou reestruturar o relacionamento. Conforme o tipo de sanção (SDN = total; SSI = conforme escopo).
Quais penalidades sua empresa enfrenta ao violar sanções
As consequências operam em camadas, e a empresa brasileira está exposta a mais de uma jurisdição ao mesmo tempo.
Penalidades OFAC (EUA, com alcance extraterritorial)
- Multa civil: até US$ 1,5 milhão por violação ou o dobro do valor da transação, o que for maior
- Multa criminal: até US$ 20 milhões para entidades e 30 anos de reclusão para indivíduos
- Secondary sanctions: inclusão da própria empresa na SDN, bloqueando transações em dólar e acesso ao sistema financeiro americano
- Settlements públicos — a OFAC publica acordos em seu site, com nome da empresa e valor pago. Efeito reputacional é permanente
Histórico recente: bancos europeus pagaram bilhões em acordos por violação de sanções (BNP Paribas chegou a US$ 8,9 bilhões em 2014 por transações com Irã, Sudão e Cuba). Empresas não-financeiras também foram atingidas. Alcance extraterritorial é real.
Penalidades no Brasil (Lei 13.810/2019 e PLD-FT)
- Multas do BCB, CVM, SUSEP, COAF — variam conforme o regulador, mas podem chegar a percentuais significativos do patrimônio
- Reclusão — descumprimento das sanções do CSNU configura crime conforme a Lei 13.810/2019
- Responsabilização pessoal de administradores — gestores e diretores respondem solidariamente
- Perda de licença — para instituições reguladas, o caminho mais duro: revogação do funcionamento
Penalidades indiretas
- Contratuais — contratos com multinacionais e financiamentos internacionais frequentemente têm cláusulas de rescisão automática por violação de sanção
- Reputacionais — cobertura de mídia, perda de clientes, fuga de investidores
- Operacionais — correspondentes bancários encerram relação, dificultando câmbio e pagamentos
O custo do screening preventivo é ordens de grandeza menor que o custo de uma única violação.
Automatizando o screening com IA e grafo de conexões
Listas restritivas eram, há uma década, um problema de "bater nome contra base". Hoje, são um problema de rede. E aí a conversa muda.
O motivo: alvos sofisticados operam via estruturas. Um nome sancionado raramente aparece diretamente como sócio ou beneficiário da empresa em questão. Aparece três camadas acima, em uma holding offshore, com nome diferente, em jurisdição opaca. Screening plano — que só bate o nome cadastrado contra a lista — passa longe. Screening maduro trabalha em grafo.
O que o grafo resolve
Dado um CNPJ ou CPF, a técnica é:
- Levantar toda a cadeia societária — sócios, sócios dos sócios, beneficiários finais, até chegar em pessoa física ou estrutura opaca
- Identificar partes relacionadas: administradores, procuradores, sócios de outras empresas com sobreposição de endereço/e-mail/telefone
- Bater cada nó do grafo contra as listas de sanções (SDN, CSNU, UE, UK, etc.)
- Aplicar a regra dos 50% da OFAC — se qualquer nó sancionado tem 50%+ de controle direto ou indireto sobre outro nó, esse outro nó também é tratado como sancionado
- Destacar o caminho: a rota do alvo investigado até qualquer hit na rede
Sem grafo, uma busca contra a SDN pode voltar "clean" enquanto o cliente tem um sócio oculto sancionado duas camadas acima. A análise de vínculos é o que revela essas pontes.
Onde a IA acelera
- Reconciliação de entidade — identificar que "Petrobras S.A.", "Petróleo Brasileiro S.A." e "PBR" são a mesma entidade
- Desambiguação de homônimos — combinar nome + data de nascimento + endereço + foto para diferenciar pessoas
- Tradução e transliteração — capturar "Владимир Путин", "Vladimir Putin", "Wladimir Putyn" como mesmo alvo
- Análise de mídia adversa — cruzamento de listas com menções em notícias, processos judiciais e documentos vazados
- Priorização de alertas — modelar probabilidade de match real vs. falso positivo e ordenar fila
O Sherlocker combina essas camadas: screening multi-lista (OFAC, CSNU, UE, UK, CVM, CGU, Interpol), construção automática do grafo de conexões do alvo, aplicação da regra dos 50% e alertas priorizados. O analista recebe o resultado pronto para decidir, não uma pilha de hits para triagem manual.
A diferença prática para o que o mercado brasileiro está acostumado: screening plano consome 15-20 minutos por alvo em consulta manual e uma hora em investigação de falso positivo. Screening em grafo entrega a rede inteira em segundos, e a triagem fica no que importa — match real.
E vou ser honesto sobre o limite: nem toda cadeia sobe até o fim. Estruturas em jurisdições opacas (Ilhas Virgens, Belize, Panamá até as últimas revisões) simplesmente não têm disclosure pública. O grafo chega até onde os dados chegam. O que a plataforma garante é que não há atalho humano não-percorrido; se a conexão existe em fonte aberta, ela aparece.
Perguntas frequentes
O que é a lista SDN?
SDN (Specially Designated Nationals and Blocked Persons List) é a lista central de sanções da OFAC, órgão do Departamento do Tesouro dos EUA. Contém nomes de pessoas, empresas, navios e entidades com os quais cidadãos e empresas americanas — e qualquer operação que use o sistema financeiro americano — são proibidos de transacionar. Em 2026, passou de 15.000 designações ativas.
Como diferenciar sanção de PEP e de adverse media?
São três verificações distintas que compõem o tripé de KYC. Sanção é proibição (total ou parcial) por lista de governo. PEP é risco reforçado por exposição política — relação é permitida, mas exige due diligence ampliada e monitoramento contínuo. Adverse media é menção negativa em notícias (investigações, processos, corrupção) que pode não resultar em sanção formal, mas sinaliza risco reputacional e, às vezes, precede sanção oficial.
Empresa do Simples Nacional precisa fazer sanctions screening?
Se for obrigada à PLD-FT (Lei 9.613/1998), sim — e essa obrigação não depende do enquadramento tributário, mas do setor. Imobiliárias, joalherias, fomento comercial e outros setores comunicantes ao COAF estão sujeitos independente do porte. Além disso, qualquer empresa que exporte, importe ou receba investimento estrangeiro tem exposição a OFAC via correspondentes bancários, mesmo sem obrigação formal de reportar.
Com que frequência as listas de sanções são atualizadas?
A SDN da OFAC recebe atualizações praticamente toda semana — em alguns períodos, várias vezes por semana. O CSNU publica conforme novas resoluções do Conselho de Segurança, o que varia, mas designações individuais de comitês de sanção podem ocorrer a qualquer momento. UE, UK, CVM e CGU têm cadências próprias. Screening eficaz consome os feeds oficiais continuamente, não por lote manual.
Posso terceirizar sanctions screening?
Sim, mas a responsabilidade não se terceiriza. Contratar uma plataforma de screening ou bureau especializado é prática comum e eficiente. Porém, em caso de violação, a penalidade recai sobre a empresa obrigada — não sobre o fornecedor. O contrato precisa prever SLA, cobertura de listas, frequência de atualização e trilha auditável. E o processo de revisão de hits continua sendo responsabilidade da empresa.
Cripto entra no sanctions screening?
Entra. A OFAC sanciona carteiras de criptomoedas (endereços blockchain) e publica os identificadores junto com as designações tradicionais. Empresas que operam exchanges, custódia cripto ou aceitam pagamento em stablecoins precisam screenar endereços contra a SDN. Violar gera as mesmas penalidades de uma transação em dólar.
Listas de sanções não são um item de checklist de compliance. São a linha onde o seu cliente, fornecedor ou parceiro deixa de ser risco e passa a ser ilegalidade — com penalidade que pode ir de multa milionária a reclusão dos administradores. A pergunta não é mais se você precisa fazer screening. É se o seu processo atual cobre as seis listas que importam, atualiza-se na velocidade que a OFAC e o CSNU exigem, e captura os alvos que se escondem três camadas acima do nome contratado.
O Sherlocker automatiza sanctions screening contra SDN, CSNU, UE, UK, CVM, CGU e Interpol — com construção automática do grafo de conexões, aplicação da regra dos 50% da OFAC e priorização de alertas por IA. O que um time consome uma manhã inteira para rodar manualmente, a plataforma entrega em minutos, com trilha auditável pronta para o regulador. Teste grátis por 5 dias e veja a rede inteira por trás do nome que você está prestes a cadastrar.
