A monitoria de compliance no atendimento ao cliente consiste em verificar em cada conversa as etapas que as suas regras exigem, como a verificação de identidade, os avisos obrigatórios e o tratamento dos dados de cartão, e guardar as evidências. Feita por amostragem, ela mostra que existe um problema.
Feita em todas as ligações, chats e e-mails, ela mostra quais conversas foram afetadas e permite provar que as demais estavam em ordem.
Em resumo
- A monitoria de compliance verifica etapas obrigatórias em cada conversa; a monitoria de qualidade julga como a conversa foi conduzida, e as duas podem usar um único formulário.
- Uma amostra pode mostrar que os atendentes deixam de dar um aviso, mas não quais clientes foram afetados, que é a próxima pergunta de um auditor ou regulador.
- Um formulário de compliance precisa de critérios de erro crítico para as etapas que nunca podem faltar e de critérios com peso para o resto.
- O PCI DSS proíbe guardar códigos de verificação do cartão depois da autorização, inclusive em gravações, e alguns estados americanos, entre eles a Califórnia, exigem o consentimento de todos para gravar uma ligação.
- Seis etapas montam a monitoria, e o resultado é um pacote de evidências que você pode entregar quando alguém pedir.
Do lado da plataforma, a página de monitoria de qualidade no atendimento mostra como a Kaizo avalia todas as conversas com os seus critérios, e a página de compliance e risco mostra como os critérios de compliance ficam no mesmo formulário.
O que é monitoria de compliance no atendimento ao cliente?
A monitoria de compliance no atendimento ao cliente é a revisão das conversas de atendimento com base nas regras que a empresa precisa seguir: leis, exigências de reguladores, regras das bandeiras de cartão e as próprias políticas. Ela pergunta se cada etapa obrigatória aconteceu, não se a conversa foi agradável.
Ela se sobrepõe à monitoria de qualidade, mas não é a mesma coisa. A monitoria de qualidade pergunta se o atendente resolveu bem o problema.
A monitoria de compliance faz perguntas de sim ou não com consequências: o cliente foi verificado, o aviso de gravação foi dado, o aviso de risco foi lido, um número de cartão foi parar na transcrição? Em atendimentos regulados, como serviços financeiros ou apostas, essas perguntas decidem se você consegue se defender de uma reclamação.
| Monitoria de qualidade | Monitoria de compliance | |
|---|---|---|
| Pergunta | Quão bem isto foi conduzido? | Cada etapa obrigatória aconteceu? |
| Avaliação | Critérios com peso, uma nota de 0 a 100 | Aprovado ou reprovado por critério, muitas vezes erro crítico |
| Quem pergunta | Líderes de equipe, qualidade, liderança de CX | Compliance, auditores, reguladores, bandeiras de cartão |
| Quanto custa uma falha | Um momento de coaching | Uma reclamação que você não consegue contestar, uma multa, um processo de remediação |
| Evidência necessária | Uma nota e um comentário | A fala exata na transcrição, guardada pelo prazo de retenção |
As duas funcionam melhor em um único formulário, para que os atendentes recebam uma revisão e um padrão. O nosso guia sobre critérios de erro crítico (em inglês) explica como um único critério de compliance reprovado pode zerar a nota sem distorcer o resto.
Por que a amostragem falha em uma auditoria de compliance?
A amostragem falha em uma auditoria de compliance porque consegue estimar com que frequência uma etapa é pulada, mas não consegue dizer quais conversas a pularam, e é isso que o auditor ou o regulador pergunta em seguida.
Exemplo prático (números ilustrativos, não são dados da Kaizo). Uma central de atendimento recebe 30.000 ligações por mês. Em 8.000 delas, de pagamentos e alterações de conta, os atendentes precisam ler um aviso obrigatório. Eles pulam o aviso em uma a cada 50 dessas ligações: 160 ligações. A equipe de qualidade revisa uma amostra aleatória de 900 ligações.
| Valor | |
|---|---|
| Ligações por mês | 30.000 |
| Ligações que exigem o aviso | 8.000 |
| Ligações em que o aviso foi pulado | 160 |
| Ligações revisadas | 900 |
| Ligações com o aviso pulado esperadas na amostra | cerca de 5 |
| Ligações com o aviso pulado que ninguém viu | cerca de 155 |
A amostra cumpre o papel de medição: cinco falhas em cerca de 240 ligações que exigiam o aviso mostram que o problema existe.
Aí começam as perguntas. Quais clientes foram afetados? A ligação por trás desta reclamação era uma delas? A falha aconteceu em todas as equipes ou em uma só? Com uma amostra, você responde ouvindo 8.000 ligações depois do fato. Com todas as ligações avaliadas, você filtra por um critério reprovado e tem a lista.
Há uma segunda lacuna. As ligações com mais risco de compliance, como uma reclamação, um cliente vulnerável ou uma disputa sobre limites, são raras, então uma amostra aleatória é justamente a que tem menos chance de contê-las. A estatística por trás disso está em why a 3% QA sample cannot support agent-level decisions (em inglês).
Os critérios de que um formulário de compliance precisa
Um formulário de compliance reúne critérios de erro crítico para as etapas que nunca podem faltar, como a verificação de identidade e o tratamento dos dados de cartão, e critérios com peso para as etapas em que uma falha parcial é possível. Cada critério precisa poder ser respondido a partir da transcrição.
Veja um conjunto inicial que você pode adaptar. Substitua os exemplos pela redação exata que as suas regras exigem.
| Critério | Exemplo de aprovação | Tipo | Evidência |
|---|---|---|---|
| Identidade verificada antes dos dados da conta | O atendente fez as perguntas de segurança obrigatórias antes de falar do saldo | Erro crítico | As falas da verificação |
| Aviso de gravação dado | “Esta ligação está sendo gravada para fins de qualidade e treinamento” no início | Erro crítico onde há regras de consentimento | A abertura da ligação |
| Aviso obrigatório lido | O aviso de risco, de tarifas ou de condições aprovado, na íntegra | Erro crítico | A fala do aviso |
| Nenhum dado de cartão na transcrição | Nenhum número de cartão completo ou código de segurança escrito no chat ou no e-mail | Erro crítico | A ausência, verificada em cada mensagem |
| Nenhuma recomendação pessoal onde não é permitida | O atendente deu informação, não uma recomendação | Com peso ou erro crítico, conforme as suas regras | A resposta em questão |
| Reclamação reconhecida e registrada | O atendente tratou o caso como reclamação e seguiu o processo | Com peso | A reclamação e o passo seguinte |
| Vulnerabilidade sinalizada | Sinais de vulnerabilidade percebidos e tratados conforme a política | Com peso | As palavras do cliente e a resposta do atendente |
| Aviso de IA (agentes de IA) | O cliente foi informado de que estava falando com uma IA | Erro crítico onde for exigido | A primeira mensagem ou saudação |
Escreva cada critério como uma única pergunta com resposta sim ou não e defina o que conta como evidência. “O atendente leu o aviso de tarifas antes de receber o pagamento?” pode ser avaliado da mesma forma em todas as ligações. “O atendente estava em compliance?” não pode.
PCI DSS, gravação de ligações e monitoria
O PCI DSS não permite que os códigos de verificação do cartão sejam guardados depois da autorização, mesmo criptografados, e o PCI Security Standards Council diz que isso vale para gravações de áudio. A monitoria deve verificar que os dados de cartão nunca vão parar em gravações ou transcrições.
Os detalhes, a partir da fonte:
- O Requisito 3.3.1 do PCI DSS diz que os dados de autenticação sensíveis não são guardados depois da autorização, mesmo criptografados. O FAQ do PCI SSC sobre gravações de áudio diz que guardar códigos de verificação do cartão em qualquer gravação digital de áudio depois da autorização viola esse requisito, que é preciso fazer todo o possível para impedir que esses dados sejam gravados e que a supressão ou o mascaramento devem ser ativados onde a tecnologia existir.
- Se não for possível impedir a gravação, o FAQ diz que os dados devem ser apagados com segurança assim que a transação for autorizada, com controles compensatórios se isso não for viável.
- O PCI DSS v4.0.1 é a versão atual; o PCI SSC anunciou que a v4.0 seria aposentada em 31 de dezembro de 2024.
- O PCI DSS não se sobrepõe às leis locais sobre por quanto tempo as gravações devem ser guardadas, como o mesmo FAQ observa.
O que isso significa para a monitoria na prática: os controles que mantêm os dados de cartão fora das gravações pertencem à sua telefonia e à sua estrutura de pagamento, não à monitoria. O papel da monitoria é verificar que eles funcionam em todas as conversas.
Avalie se os atendentes pediram ao cliente que lesse um código de segurança em voz alta quando o processo diz que não deveriam, e se um número de cartão completo aparece na transcrição de um chat ou e-mail. A própria página de compliance da Kaizo usa “Número do cartão compartilhado” como exemplo de critério de erro crítico.
Regras americanas de consentimento para gravar ligações
A lei federal americana permite gravar com o consentimento de uma das partes, mas alguns estados exigem o consentimento de todos, por isso a maioria das centrais de atendimento dá um aviso de gravação no início de cada ligação.
- Federal: segundo o 18 U.S.C. § 2511(2)(d), não é ilegal que uma pessoa que não age sob autoridade da lei (under color of law) intercepte uma comunicação quando é parte dela ou quando uma das partes deu consentimento prévio, a menos que isso seja feito para cometer um ato criminoso ou ilícito civil.
- Califórnia: o Penal Code § 632 torna crime gravar uma comunicação confidencial sem o consentimento de todas as partes, com multa de até US$ 2.500 por violação na primeira infração.
- Outros estados: o Reporters Committee for Freedom of the Press lista cerca de 11 estados que exigem principalmente o consentimento de todas as partes e recomenda presumir que a lei do estado mais rigoroso se aplica quando uma ligação cruza fronteiras estaduais.
Este é um resumo, não uma orientação jurídica; confira as regras de cada estado e país que você atende com o seu jurídico. Para a monitoria, a etapa é concreta: transforme “aviso de gravação dado” em um critério de erro crítico no início de cada ligação gravada, para poder mostrar que ele aconteceu em cada uma.
Como montar a monitoria de compliance em todas as ligações
Para montar a monitoria de compliance em todas as ligações, liste as regras, transforme cada uma em um critério de sim ou não, acrescente os critérios ao formulário, teste a avaliação, avalie tudo e revise cada falha.
Etapa 1: Liste as regras que se aplicam
Trabalhe com a sua equipe de compliance para listar todas as regras que afetam uma conversa de atendimento: leis, exigências de reguladores, regras das bandeiras de cartão e as suas próprias políticas. Para cada uma, anote a quais conversas ela se aplica, como ligações de pagamento, reclamações ou encerramentos de conta.
Etapa 2: Transforme cada regra em um critério
Escreva uma pergunta de sim ou não por regra, com a redação ou o comportamento exato que conta como aprovação e a evidência que você espera. Decida quais critérios são de erro crítico. Seja breve: um critério que ninguém consegue avaliar de forma consistente é pior do que nenhum.
Etapa 3: Coloque os critérios no seu formulário de monitoria
Acrescente os critérios de compliance ao lado dos critérios de qualidade, para que cada conversa receba uma única revisão.
Limite cada critério às conversas a que ele se aplica, para que um critério de aviso não reprove uma ligação em que nenhum aviso era necessário. O nosso guia sobre como definir o peso dos itens da monitoria mostra como os critérios de erro crítico e os com peso se combinam.
Etapa 4: Teste a avaliação antes de confiar nela
Avalie manualmente um conjunto de conversas anteriores, com a sua equipe de compliance, e compare os resultados com as notas automáticas ou dos avaliadores. Corrija os critérios em que há divergência. É esta etapa que torna os resultados defensáveis.
Etapa 5: Avalie todas as conversas
Avalie todas as ligações, chats e e-mails a que os critérios se aplicam, com cada resultado ligado à fala da transcrição que o sustenta. O nosso guia sobre QA score traceability (em inglês) explica por que uma nota sem a evidência é difícil de defender.
Etapa 6: Revise cada falha
Encaminhe cada critério de erro crítico reprovado para uma pessoa na mesma semana. Decida se foi um erro do atendente, uma lacuna no processo ou um erro de avaliação, aja e registre o que fez. Depois, procure padrões por equipe, fila e critério.
Veja em uma demo ao vivo. A Kaizo avalia todas as conversas com os seus critérios de compliance e liga cada nota à transcrição. Vamos conversar.
O pacote de evidências para um auditor ou regulador
Mostre a regra, o critério que a verifica, a cobertura, as falhas e o que você fez com cada uma. Um pacote de evidências com essas cinco partes responde à maioria das perguntas de compliance sobre conversas de atendimento.
Use isto como modelo:
| Parte | O que contém |
|---|---|
| 1. Regra | A exigência, a fonte e a quais conversas ela se aplica |
| 2. Critério | A pergunta do formulário, o que conta como aprovação e se é erro crítico |
| 3. Cobertura | Quantas conversas no escopo foram avaliadas no período, de quantas |
| 4. Falhas | Cada conversa reprovada, com a fala da transcrição e a data |
| 5. Ações | O que você fez em cada falha: coaching, mudança de processo, remediação para o cliente, e quando |
Se a pergunta for sobre uma única conversa, como uma reclamação, o mesmo registro responde: a nota em cada critério e as falas da transcrição por trás dela. Esse é o sentido da cobertura total da monitoria em um contexto regulado: a trilha de auditoria é a própria revisão, não um relatório montado depois.
A Kaizo foi feita para esta parte. A página de compliance dela diz que avalia todas as conversas com os seus critérios de compliance e liga cada nota à transcrição, com critérios personalizados para o seu contexto regulatório, e os formulários de monitoria dela usam os critérios que você já tem, em vez de um modelo pronto.
A Kaizo tem certificação SOC 2 Type II e ISO 27001 e está em conformidade com o GDPR, com os relatórios no Trust Center. A Kaizo revisa as conversas depois que elas terminam, então não impede um erro durante uma ligação ao vivo. Para um exemplo do setor regulado de jogos, veja como a GAMING1 usa a Kaizo nas conversas sobre jogo responsável.
Como começar a monitoria de compliance
Comece por uma regra sobre a qual um regulador ou auditor perguntaria primeiro, transforme-a em um critério de erro crítico e avalie durante um mês todas as conversas a que ela se aplica. A lista de falhas é o seu primeiro pacote de evidências, e as lacunas nela mostram qual critério acrescentar em seguida.
Para equipes reguladas, a página para equipes de atendimento de fintechs mostra como a Kaizo aplica critérios de compliance a todas as conversas.
Perguntas frequentes
Qual é a diferença entre monitoria de compliance e monitoria de qualidade?
A monitoria de qualidade julga como uma conversa foi conduzida, em geral com critérios com peso e uma nota. A monitoria de compliance verifica se cada etapa obrigatória aconteceu, em geral com aprovado ou reprovado e com as evidências guardadas. As duas funcionam bem em um único formulário: os critérios de compliance como erro crítico, os de qualidade com peso e uma revisão por conversa.
Uma central de atendimento que grava ligações está em conformidade com o PCI?
Pode estar, mas a gravação aumenta o risco. O PCI DSS não permite guardar códigos de verificação do cartão depois da autorização, e o PCI SSC aplica isso às gravações de áudio: impeça a gravação sempre que possível ou apague os dados com segurança. Se a sua estrutura está em conformidade é algo decidido na sua avaliação PCI, não pela sua ferramenta de monitoria.
É preciso consentimento para gravar ligações de atendimento nos EUA?
A lei federal permite gravar com o consentimento de uma das partes, que pode ser a própria empresa. Vários estados, entre eles a Califórnia, exigem o consentimento de todas as partes em uma ligação confidencial. Como os clientes ligam de muitos estados, a maioria das centrais toca um aviso de gravação no início de cada ligação. Confira as regras dos seus estados com o jurídico.
Com que frequência monitorar as ligações para compliance?
Em todas as ligações a que a regra se aplica, se você consegue avaliar automaticamente, porque um aviso não dado em uma ligação é um problema para aquele cliente, esteja ela na amostra ou não. Se a revisão for manual, revise todas as ligações das categorias de maior risco, como reclamações e disputas de pagamento, e faça amostragem do resto.
A IA consegue verificar se os avisos obrigatórios foram dados nas ligações?
Sim, se cada aviso for um critério claro, como “o atendente leu o aviso de tarifas antes de receber o pagamento”, e a avaliação for testada antes com as suas próprias revisões anteriores. Cada resultado deve estar ligado à fala da transcrição que o sustenta, para que uma pessoa possa conferir qualquer nota, e os critérios reprovados devem ir para revisão de uma pessoa.
