Principais lições deste artigo
- A auditoria de PLD/FT exige evidências concretas de que os controles funcionam na prática, e não apenas a existência formal de políticas e documentos.
- A Avaliação Interna de Risco (AIR) e a abordagem baseada em risco precisam de revisão periódica, com testes que comprovem a efetividade dos controles.
- Os reguladores, como Bacen, Coaf, CVM e SUSEP, cobram documentação completa de KYC, monitoramento de alertas, comunicações ao Coaf e treinamentos, com prazos mínimos de retenção entre cinco e dez anos.
- A matriz de achados e o plano de ação estruturado são ferramentas essenciais para corrigir desvios e demonstrar governança contínua perante os órgãos reguladores.
- A Celcoin oferece infraestrutura tecnológica para automatizar KYC, AML, relatórios regulatórios e monitoramento de alertas, o que apoia a conformidade contínua com o Bacen e demais reguladores.
Conheça a solução completa da Celcoin para compliance e PLD/FT
O que a auditoria de PLD/FT avalia?
O escopo da auditoria de PLD/FT abrange todos os componentes do programa institucional. A Circular BCB 3.978/2020 é a norma central de PLD/FT para instituições autorizadas pelo Banco Central, como IPs, bancos digitais, SCDs e demais PSPs. Ela foi posteriormente revisada pela Resolução BCB 282/2022. A norma exige que a política de PLD/FT traga diretrizes para informações cadastrais, registro de operações e serviços financeiros, monitoramento, seleção e análise de operações e situações suspeitas, comunicações ao Coaf, além da avaliação interna de risco e da avaliação de efetividade. A Lei 9.613/1998, atualizada pela Lei 12.683/2012, tipifica o crime de lavagem de dinheiro e define as obrigações das instituições financeiras.
Na prática, o auditor avalia os seguintes blocos:
- A AIR documentada e sua revisão periódica.
- A abordagem baseada em risco e a matriz de classificação de clientes.
- Os controles de KYC e cadastro, com identificação, verificação e atualização conforme o perfil de risco.
- O monitoramento de operações e a gestão de alertas.
- A análise de listas restritivas, PEPs e mídia adversa.
- As comunicações ao Coaf via SISCOAF.
- A governança do programa, incluindo diretor de PLD/FT, comitês, atas e treinamentos.
Passo a passo da auditoria de PLD/FT em detalhe
1. Entendimento operacional e mapeamento de fluxos
O auditor começa mapeando o onboarding, os canais de transação e os produtos oferecidos. A partir desse mapa, ele testa se o fluxo descrito na documentação corresponde ao processo executado na prática. Para comprovar essa correspondência, solicita manuais de processos, diagramas de fluxo e registros de revisão periódica desses documentos.
2. Avaliação da AIR e da abordagem baseada em risco
O Relatório de Avaliação Interna de Risco (RAIR) de PLD/FTP é exigido pela Resolução CVM nº 50/2021, nos termos do art. 6º, e consiste em uma avaliação formal e documentada que identifica e mensura os riscos de lavagem de dinheiro e financiamento ao terrorismo associados ao modelo de negócio, produtos, clientes e geografias da instituição. O auditor examina a metodologia da AIR, a matriz de risco e sua revisão periódica. O teste verifica se a classificação de risco das operações de crédito foi revista conforme a periodicidade exigida: no mínimo a cada seis meses para operações de um mesmo cliente ou grupo econômico cujo montante seja superior a 5% do patrimônio líquido ajustado, e uma vez a cada doze meses em todas as demais situações. As evidências são o documento da AIR, a matriz de risco e as atas de aprovação.
3. Testes de efetividade dos controles
O auditor testa se os controles funcionam na rotina. Um exemplo é verificar se alertas de operações atípicas foram analisados dentro do prazo e se a decisão de reportar ou não ao Coaf foi documentada com justificativa. A Lei nº 9.613/1998 e a Circular SUSEP nº 612/2020 exigem registro fundamentado da decisão de proceder ou não às comunicações de operações suspeitas. Documentar os motivos para não enviar uma comunicação tem a mesma relevância que documentar o envio, pois demonstra que o alerta foi avaliado e encerrado de forma adequada. As evidências são logs de alertas, registros de análise e registros de decisão.
4. Uso de data analytics e IA no monitoramento
Para fintechs e IPs, o auditor valida a calibração das regras de monitoramento e a taxa de conversão de alertas em comunicações ao Coaf. Sistemas mal calibrados podem gerar alto volume de alertas de baixa qualidade, criar fadiga de alertas, sobrecarregar as equipes de investigação e reduzir a qualidade das análises. Os testes estruturados incluem revisões above-the-line (ATL), que avaliam alertas gerados pelo sistema, e below-the-line (BTL), que revisam transações não alertadas para identificar lacunas de detecção. As evidências são relatórios de performance do sistema de monitoramento e registros de cada ajuste de limiar, com valor anterior, novo valor, data efetiva e aprovador.
Veja como automatizar KYC, AML e relatórios regulatórios na sua operação
Quais evidências o auditor de PLD/FT solicita?
Em muitos casos, o problema em auditorias de PLD/FT está na incapacidade de a organização demonstrar, meses ou anos depois, quem realizou a ação, quando ocorreu, qual política estava vigente, quem aprovou a decisão e quais evidências sustentam a justificativa apresentada. Essa dificuldade costuma decorrer de estruturas desenhadas para executar atividades, mas não para produzir evidências consistentes. A tabela abaixo detalha os principais documentos solicitados, o conteúdo esperado e o prazo mínimo de retenção.
| Evidência | Conteúdo esperado | Retenção mínima |
|---|---|---|
| Políticas e procedimentos de PLD/FT | Documento formal aprovado pela diretoria, com revisão anual e tabela de derrogações de versões anteriores. | 5 anos após revogação |
| AIR documentada | Metodologia, matriz de risco, dados utilizados, aprovação e histórico de atualizações. | Conforme a política de retenção da instituição e as normas aplicáveis |
| Registros de KYC e cadastro | Identificação, verificação, classificação de risco, atualizações periódicas e diligência reforçada para PEPs. | No mínimo 5 anos após o fim da relação de negócio, com possibilidade de extensão por até 5 anos adicionais a pedido das autoridades competentes, e, no Brasil, até 10 anos para instituições reguladas pelo Banco Central |
| Logs de alertas e análises | Registro do alerta, análise, decisão de reporte ou não e justificativa documentada. | A Instrução Normativa CJF nº 020/2026, Art. 6º, determina a guarda por 5 anos em armazenamento seguro de logs de acesso, administração, segurança, conexão e registros sujeitos à LGPD ou a sigilo |
| Comunicações ao Coaf | Comprovante de envio via SISCOAF e relatório da operação suspeita. A legislação veda informar o cliente sobre a comunicação realizada, prática conhecida como tipping off. | Os registros de comunicações ao Coaf devem ser conservados por, no mínimo, 5 anos, contados da conclusão das operações ou do encerramento da relação contratual, com possibilidade de ampliação pela autoridade competente |
| Registros de treinamento | Conteúdo programático, carga horária, lista de presença e avaliações. | Os registros de treinamentos de PLD/FT devem ser arquivados pelo prazo mínimo de 5 anos |
| Atas de comitês de compliance | Decisões sobre riscos, aprovação de políticas, casos sensíveis e aprovações de clientes PEP. | As atas de comitês, grupos de trabalho e cooperação técnica possuem guarda permanente, conforme a Resolução CFC nº 1.248/2009 |
| Resultados de triagem de listas restritivas | Data da consulta, versão da lista utilizada e critérios de correspondência aplicados. | No mínimo 5 anos, em linha com a legislação e a LGPD, e, nas instituições reguladas pelo Banco Central, 10 anos a partir do primeiro dia do ano seguinte ao término do relacionamento |
Depois de reunir as evidências, o próximo passo é organizar os desvios encontrados e definir como corrigi-los. A matriz de achados cumpre esse papel.
O que é matriz de achados de auditoria e como estruturar o plano de ação?
A matriz de achados é uma ferramenta que lista os resultados da auditoria, classifica cada achado por criticidade, identifica a causa raiz e estrutura um plano de ação com responsáveis, prazos e evidências de correção. A severidade de um achado costuma ser definida a partir da consequência operacional do desvio, com foco no impacto sobre a capacidade de identificar, apresentar ou conservar evidências, na cobertura dos controles e na consistência das conclusões.
O modelo abaixo ilustra uma estrutura recomendada:
| Achado | Criticidade | Causa raiz | Ação corretiva | Responsável | Prazo | Evidência de correção |
|---|---|---|---|---|---|---|
| Clientes de alto risco sem revisão anual. | Alto | Falha no processo de monitoramento periódico. | Implementar alerta automático para revisão de cadastro. | Gerente de compliance | 30 dias | Relatório de revisão atualizado. |
| Treinamento não realizado para novos colaboradores. | Médio | Falha na integração de novos funcionários. | Incluir treinamento de PLD/FT no onboarding. | RH e compliance | 60 dias | Lista de presença do treinamento. |
| Logs de alertas sem justificativa de encerramento. | Alto | Ausência de campo obrigatório no sistema de monitoramento. | Tornar o campo de justificativa obrigatório no fluxo de encerramento de alertas. | TI e compliance | 45 dias | Evidência de configuração do sistema e amostra de alertas encerrados com justificativa. |
A Orientação Prática: Relatório de Auditoria da CGU (2019) recomenda que os achados de auditoria sejam apresentados no relatório por ordem de relevância, com base na classificação de impacto em médio, alto e muito alto, e não apenas por percentual agregado. Uma única ausência crítica pode ter peso maior do que vários desvios menores. O plano anual de auditoria precisa reservar tempo para retestar achados anteriores e confirmar o encerramento com evidência.
Diferenças por regulador e tipo de instituição
A base normativa se ancora na Lei 9.613/1998 e na abordagem baseada em risco do GAFI, mas os reportes, prazos e focos de supervisão variam conforme o regulador:
- Bacen (IP, banco digital, SCD): a Circular BCB 3.978/2020 é a norma central. A supervisão concentra-se em KYC, monitoramento de transações, incluindo Pix em tempo real, comunicações ao Coaf e efetividade dos controles. O Bacen pode solicitar relatórios de monitoramento a qualquer tempo.
- CVM (corretoras e gestoras): a Instrução CVM 617/2019 exige que a política de PLD/FT descreva a governança de cumprimento das obrigações e a metodologia para tratamento e mitigação dos riscos identificados. O foco documental recai sobre a política formal, a matriz de risco e o racional da metodologia.
- SUSEP (seguradoras e insurtechs): as resoluções específicas do setor de seguros regulam as obrigações de PLD/FT, com atenção especial ao monitoramento de sinistros e ao perfil de beneficiários.
- Coaf: as obrigações de comunicação se aplicam a todos os setores. O Art. 6º da Resolução CFC nº 1.721/2024 estabelece que a comunicação de operações suspeitas ao Coaf deve ocorrer em até 24 horas após o conhecimento da operação. Os prazos e formatos das demais comunicações periódicas devem seguir as normas do Coaf aplicáveis a cada setor.
Essas diferenças de foco regulatório se conectam às modalidades de verificação, que incluem auditorias internas, auditorias externas e supervisão direta do Bacen.
Auditoria interna vs. auditoria externa vs. supervisão do Bacen
As três modalidades se complementam no ciclo contínuo de governança de PLD/FT e possuem escopos distintos:
- Auditoria interna: constitui a terceira linha de defesa e é conduzida por área independente da própria instituição. Avalia a eficácia dos controles de forma contínua, testa a rastreabilidade desde o alerta até a resolução e verifica se achados anteriores foram encerrados com evidência.
- Auditoria externa independente: é realizada por agente independente, com foco em asseguração e credibilidade das informações para o mercado e reguladores. Oferece um olhar externo que identifica pontos que a equipe interna pode ter normalizado.
- Supervisão do Bacen: consiste na ação fiscalizatória do regulador. A Circular nº 3.858 do Banco Central do Brasil prevê multas de até R$ 20 milhões por infração, inabilitação temporária de até dez anos e cassação da autorização para operar. A supervisão verifica a efetividade dos controles e a aderência às normas.
Depois de entender quem fiscaliza e como, o leitor consegue contextualizar melhor os fundamentos técnicos de PLD/FT e as responsabilidades formais.
Fundamentos essenciais e responsabilidades
A lavagem de dinheiro costuma ocorrer em três fases: colocação, que insere recursos ilícitos no sistema financeiro, layering, que oculta a origem por meio de múltiplas transações, e integração, que reintroduz os recursos como ativos aparentemente lícitos. Os cenários de monitoramento precisam ser mapeados para identificar padrões transacionais associados a cada uma dessas etapas.
O diretor de PLD/FT responde formalmente pelo programa perante o Bacen. Suas obrigações incluem garantir a existência, a atualização e a efetividade dos controles, além de responder pelas comunicações ao Coaf. O descumprimento das normas de PLD/FT previstas na Lei 9.613/98 pode acarretar responsabilidade criminal de administradores por omissão, desde que comprovada a posição de garantidor, ou seja, que o administrador tinha dever jurídico de agir e condições efetivas de evitar o resultado ilícito.
Tecnologia e o ciclo contínuo de evidências
A auditoria de PLD/FT funciona como um ciclo contínuo de geração e preservação de evidências, e não como um evento anual. Benchmarks de mercado indicam que instituições que implementam automação de PLD/FT reduzem em até 60% o tempo médio de tratamento de alertas, enquanto fornecedores de RegTech relatam reduções de custo operacional de compliance entre 40% e 60%. O uso de data analytics e IA no monitoramento permite calibrar regras, reduzir falsos positivos e gerar trilhas de auditoria automáticas e imutáveis.
A Celcoin fornece a infraestrutura tecnológica que sustenta esse ciclo. Para empresas que ainda não possuem licença própria, o BaaS da Celcoin oferece infraestrutura regulatória com KYC, AML, prevenção a fraude e relatórios regulatórios automatizados. Para instituições reguladas que integram suas próprias licenças ao Core Banking, a Celcoin automatiza obrigações como CCS, CADOCs, COSIF, DIMP e obrigações tributárias. Com isso, a conformidade com o Bacen, a Receita Federal e a SUSEP passa a ser contínua.
O cel_agents, lançado em agosto de 2026, é a camada de IA da Celcoin que reduz de meses para poucas horas o tempo entre a decisão de lançar um serviço financeiro e a versão funcional. Essa camada apoia a experimentação e a conformidade desde o início do ciclo de desenvolvimento.
A Celcoin fornece infraestrutura tecnológica para que empresas ofereçam produtos de crédito aos seus clientes e não atua diretamente como credora ao consumidor final.
Na prática, essa infraestrutura apoia cada etapa da auditoria de PLD/FT ao facilitar a geração de logs completos, a padronização de processos e a extração rápida de evidências.
Fale com um especialista da Celcoin sobre compliance contínuo
Perguntas frequentes (FAQ)
O que é AIR na auditoria de PLD/FT?
A AIR, Avaliação Interna de Risco, é o documento que identifica e mensura os riscos de lavagem de dinheiro e financiamento ao terrorismo associados ao modelo de negócio, produtos, clientes e geografias da instituição. A auditoria verifica se a AIR está documentada, atualizada e alinhada à realidade operacional. A AIR deve ser revisada periodicamente e sempre que ocorrer mudança relevante no perfil de risco da instituição, com a aprovação registrada.
Quais evidências o auditor de PLD/FT solicita?
O auditor costuma solicitar políticas e procedimentos formalizados, AIR documentada com histórico de revisões, registros de KYC e cadastro, logs de alertas e análises com justificativa de encerramento, comunicações ao Coaf com comprovante de envio via SISCOAF, registros de treinamento, atas de comitês de compliance e relatórios de auditorias anteriores com evidência de correção dos achados. Os prazos de retenção detalhados para cada tipo de evidência aparecem na tabela acima. Para comunicações ao Coaf, o prazo mínimo é de 5 anos, com possibilidade de ampliação pela autoridade competente.
Qual a diferença entre auditoria interna e externa de PLD/FT?
A auditoria interna é conduzida por área independente dentro da própria instituição e atua como terceira linha de defesa, com foco em avaliação contínua dos controles. A auditoria externa é conduzida por agente independente e tem foco em asseguração e credibilidade das informações para o mercado e reguladores. As diferenças de escopo e de atuação aparecem detalhadas na seção sobre modalidades de auditoria.
O que é matriz de achados de auditoria?
A matriz de achados é uma ferramenta que lista os resultados da auditoria, classifica cada item por criticidade, identifica a causa raiz e estrutura um plano de ação com responsáveis, prazos e evidências de correção. Essa matriz funciona como artefato central do reporte de auditoria e deve ser acompanhada em ciclos subsequentes para confirmar que cada achado foi encerrado com evidência retestada.
Como funciona a auditoria de PLD/FT para Instituições de Pagamento?
Para IPs, a auditoria segue a Circular BCB 3.978/2020, com foco em KYC, monitoramento de transações, incluindo Pix em tempo real, comunicações ao Coaf e governança do programa. O Bacen exige que os PSP demonstrem efetividade dos controles e não apenas a existência formal de procedimentos. O auditor testa a calibração das regras de monitoramento, a taxa de conversão de alertas em comunicações ao Coaf e a integridade dos logs de decisão, verificando que nenhum alerta foi apagado e que todos foram encerrados com decisão e justificativa documentada.
Qual o papel do treinamento no programa de auditoria de PLD/FT?
O treinamento funciona como evidência de conformidade. A auditoria verifica se o programa de capacitação é periódico, no mínimo uma vez por ano, e se abrange todos os colaboradores da instituição, além de prestadores de serviços relevantes, parceiros e terceirizados, quando aplicável. Também verifica se os registros de conteúdo, carga horária e lista de presença estão documentados. No âmbito da Resolução CVM 50, a ausência de evidências de que os processos de PLD/FT descritos na política realmente acontecem, incluindo os treinamentos, é tratada pelo regulador como política inexistente e pode levar à abertura de processo sancionador.
Conclusão: o ciclo de auditoria como processo permanente de governança
A auditoria de PLD/FT funciona como processo permanente de governança. Cada etapa, do mapeamento de fluxos ao reteste de achados, gera evidências que sustentam a posição da instituição perante o Bacen, o Coaf, a CVM e a SUSEP. A infraestrutura tecnológica que automatiza compliance, relatórios regulatórios e monitoramento de alertas torna esse ciclo contínuo e defensável.
A Celcoin oferece essa infraestrutura, do KYC e AML ao Core Banking com relatórios regulatórios automatizados, com apoio do cel_agents como camada de IA que acelera a experimentação e a conformidade. Mais de 800 bancos digitais, unicórnios e fintechs já operam sobre essa base, processando mais de 400 milhões de transações por mês.
Conheça a solução da Celcoin para estruturar um ciclo contínuo de compliance em PLD/FT
