# Auditoria de PLD/FT: guia completo para instituições

> Entenda como funciona a auditoria de PLD/FT, evidências e matriz de achados. A Celcoin ajuda sua instituição a estar sempre em conformidade.

**Published:** 2026-09-19 | **Updated:** 2026-10-24 | **Author:** celcoin
**URL:** https://celcoin.com.br/articles/auditoria-pld-ft/
**Type:** post

**Categories:** Regulação e compliance

![Auditoria de PLD/FT: guia completo para instituições](https://pulse.celcoin.com.br/wp-content/uploads/sites/27/2026/09/1789639851353-07b491b3821e-1024x572.webp)

---

## Content

## Principais lições deste artigo

- A auditoria de PLD/FT exige evidências concretas de que os controles funcionam na prática, e não apenas a existência formal de políticas e documentos.
- A Avaliação Interna de Risco (AIR) e a abordagem baseada em risco precisam de revisão periódica, com testes que comprovem a efetividade dos controles.
- Os reguladores, como Bacen, Coaf, CVM e SUSEP, cobram documentação completa de KYC, monitoramento de alertas, comunicações ao Coaf e treinamentos, com prazos mínimos de retenção entre cinco e dez anos.
- A matriz de achados e o plano de ação estruturado são ferramentas essenciais para corrigir desvios e demonstrar governança contínua perante os órgãos reguladores.
- A Celcoin oferece infraestrutura tecnológica para automatizar KYC, AML, relatórios regulatórios e monitoramento de alertas, o que apoia a conformidade contínua com o Bacen e demais reguladores.

[Conheça a solução completa da Celcoin para compliance e PLD/FT](https://www.celcoin.com.br/?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)

## O que a auditoria de PLD/FT avalia?

O escopo da auditoria de PLD/FT abrange todos os componentes do programa institucional. A Circular BCB 3.978/2020 é a norma central de PLD/FT para instituições autorizadas pelo Banco Central, como IPs, bancos digitais, SCDs e demais PSPs. Ela foi posteriormente revisada pela Resolução BCB 282/2022. A norma exige que a política de PLD/FT traga diretrizes para informações cadastrais, registro de operações e serviços financeiros, monitoramento, seleção e análise de operações e situações suspeitas, comunicações ao Coaf, além da avaliação interna de risco e da avaliação de efetividade. A [Lei 9.613/1998](https://csbfin.tech/blog/pld-ft-fintechs-prevencao-lavagem), atualizada pela Lei 12.683/2012, tipifica o crime de lavagem de dinheiro e define as obrigações das instituições financeiras.

Na prática, o auditor avalia os seguintes blocos:

- A AIR documentada e sua revisão periódica.
- A abordagem baseada em risco e a matriz de classificação de clientes.
- Os controles de KYC e cadastro, com identificação, verificação e atualização conforme o perfil de risco.
- O monitoramento de operações e a gestão de alertas.
- A análise de listas restritivas, PEPs e mídia adversa.
- As comunicações ao Coaf via SISCOAF.
- A governança do programa, incluindo diretor de PLD/FT, comitês, atas e treinamentos.

## Passo a passo da auditoria de PLD/FT em detalhe

### 1. Entendimento operacional e mapeamento de fluxos

O auditor começa mapeando o onboarding, os canais de transação e os produtos oferecidos. A partir desse mapa, ele testa se o fluxo descrito na documentação corresponde ao processo executado na prática. Para comprovar essa correspondência, solicita manuais de processos, diagramas de fluxo e registros de revisão periódica desses documentos.

### 2. Avaliação da AIR e da abordagem baseada em risco

O [Relatório de Avaliação Interna de Risco (RAIR) de PLD/FTP é exigido pela Resolução CVM nº 50/2021, nos termos do art. 6º](https://fundsys.com.br/blog/calendario-obrigacoes-cvm-anbima-gestora), e consiste em uma avaliação formal e documentada que identifica e mensura os riscos de lavagem de dinheiro e financiamento ao terrorismo associados ao modelo de negócio, produtos, clientes e geografias da instituição. O auditor examina a metodologia da AIR, a matriz de risco e sua revisão periódica. O teste verifica se a classificação de risco das operações de crédito foi revista conforme a periodicidade exigida: [no mínimo a cada seis meses para operações de um mesmo cliente ou grupo econômico cujo montante seja superior a 5% do patrimônio líquido ajustado, e uma vez a cada doze meses em todas as demais situações](https://normativos.bcb.gov.br/Lists/Normativos/Attachments/44961/Res_2682_v3_P.pdf). As evidências são o documento da AIR, a matriz de risco e as atas de aprovação.

### 3. Testes de efetividade dos controles

O auditor testa se os controles funcionam na rotina. Um exemplo é verificar se alertas de operações atípicas foram analisados dentro do prazo e se a decisão de reportar ou não ao Coaf foi documentada com justificativa. [A Lei nº 9.613/1998 e a Circular SUSEP nº 612/2020 exigem registro fundamentado da decisão de proceder ou não às comunicações de operações suspeitas](https://www.gov.br/susep/pt-br/assuntos/cidadao/pldftp/comunicacao-de-operacoes). Documentar os motivos para não enviar uma comunicação tem a mesma relevância que documentar o envio, pois demonstra que o alerta foi avaliado e encerrado de forma adequada. As evidências são logs de alertas, registros de análise e registros de decisão.

### 4. Uso de data analytics e IA no monitoramento

Para fintechs e IPs, o auditor valida a calibração das regras de monitoramento e a taxa de conversão de alertas em comunicações ao Coaf. [Sistemas mal calibrados podem gerar alto volume de alertas de baixa qualidade, criar fadiga de alertas, sobrecarregar as equipes de investigação e reduzir a qualidade das análises](https://veriff.com/pt-br/anti-money-laundering-software/anti-money-laundering-guidelines). Os testes estruturados incluem revisões above-the-line (ATL), que avaliam alertas gerados pelo sistema, e below-the-line (BTL), que revisam transações não alertadas para identificar lacunas de detecção. As evidências são relatórios de performance do sistema de monitoramento e registros de cada ajuste de limiar, com valor anterior, novo valor, data efetiva e aprovador.

[Veja como automatizar KYC, AML e relatórios regulatórios na sua operação](https://www.celcoin.com.br/?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)

## Quais evidências o auditor de PLD/FT solicita?

[Em muitos casos, o problema em auditorias de PLD/FT está na incapacidade de a organização demonstrar, meses ou anos depois, quem realizou a ação, quando ocorreu, qual política estava vigente, quem aprovou a decisão e quais evidências sustentam a justificativa apresentada. Essa dificuldade costuma decorrer de estruturas desenhadas para executar atividades, mas não para produzir evidências consistentes.](https://populisrh.com.br/blog/falta-evidencias-risco-regulatorio/) A tabela abaixo detalha os principais documentos solicitados, o conteúdo esperado e o prazo mínimo de retenção.

| Evidência | Conteúdo esperado | Retenção mínima |
| --- | --- | --- |
| Políticas e procedimentos de PLD/FT | Documento formal aprovado pela diretoria, com revisão anual e tabela de derrogações de versões anteriores. | 5 anos após revogação |
| AIR documentada | Metodologia, matriz de risco, dados utilizados, aprovação e histórico de atualizações. | Conforme a política de retenção da instituição e as normas aplicáveis |
| Registros de KYC e cadastro | Identificação, verificação, classificação de risco, atualizações periódicas e diligência reforçada para PEPs. | [No mínimo 5 anos após o fim da relação de negócio, com possibilidade de extensão por até 5 anos adicionais a pedido das autoridades competentes, e, no Brasil, até 10 anos para instituições reguladas pelo Banco Central](https://amlr.eu/pt-pt/artigo-77-o-conservacao-de-registos/) |
| Logs de alertas e análises | Registro do alerta, análise, decisão de reporte ou não e justificativa documentada. | [A Instrução Normativa CJF nº 020/2026, Art. 6º, determina a guarda por 5 anos em armazenamento seguro de logs de acesso, administração, segurança, conexão e registros sujeitos à LGPD ou a sigilo](https://www.cjf.jus.br/publico/biblioteca/INN_020-2026.pdf) |
| Comunicações ao Coaf | Comprovante de envio via SISCOAF e relatório da operação suspeita. [A legislação veda informar o cliente sobre a comunicação realizada, prática conhecida como tipping off.](https://csbfin.tech/blog/pld-ft-fintechs-prevencao-lavagem) | [Os registros de comunicações ao Coaf devem ser conservados por, no mínimo, 5 anos, contados da conclusão das operações ou do encerramento da relação contratual, com possibilidade de ampliação pela autoridade competente](https://www.legisweb.com.br/legislacao/?id=239998) |
| Registros de treinamento | [Conteúdo programático, carga horária, lista de presença e avaliações.](https://blog.toolzz.net/blog/treinamento-pld-ft-kyc-setor-financeiro-218ba184) | [Os registros de treinamentos de PLD/FT devem ser arquivados pelo prazo mínimo de 5 anos](https://api.mziq.com/mzfilemanager/v2/d/c6d88658-2b7a-4e3d-b20e-08f62b40434d/01b59bfa-a309-3c2d-daf4-391dd41cc5bc?origin=2) |
| Atas de comitês de compliance | Decisões sobre riscos, aprovação de políticas, casos sensíveis e aprovações de clientes PEP. | [As atas de comitês, grupos de trabalho e cooperação técnica possuem guarda permanente, conforme a Resolução CFC nº 1.248/2009](https://www.legisweb.com.br/legislacao/?id=110727) |
| Resultados de triagem de listas restritivas | [Data da consulta, versão da lista utilizada e critérios de correspondência aplicados.](https://lexisnexis.com/blogs/br/b/compliance/posts/otimizando-verificacoes-aml-eficiencia-operacional) | No mínimo 5 anos, em linha com a legislação e a LGPD, e, nas instituições reguladas pelo Banco Central, 10 anos a partir do primeiro dia do ano seguinte ao término do relacionamento |

Depois de reunir as evidências, o próximo passo é organizar os desvios encontrados e definir como corrigi-los. A matriz de achados cumpre esse papel.

## O que é matriz de achados de auditoria e como estruturar o plano de ação?

A matriz de achados é uma ferramenta que lista os resultados da auditoria, classifica cada achado por criticidade, identifica a causa raiz e estrutura um plano de ação com responsáveis, prazos e evidências de correção. A severidade de um achado costuma ser definida a partir da consequência operacional do desvio, com foco no impacto sobre a capacidade de identificar, apresentar ou conservar evidências, na cobertura dos controles e na consistência das conclusões.

O modelo abaixo ilustra uma estrutura recomendada:

| Achado | Criticidade | Causa raiz | Ação corretiva | Responsável | Prazo | Evidência de correção |
| --- | --- | --- | --- | --- | --- | --- |
| Clientes de alto risco sem revisão anual. | Alto | Falha no processo de monitoramento periódico. | Implementar alerta automático para revisão de cadastro. | Gerente de compliance | 30 dias | Relatório de revisão atualizado. |
| Treinamento não realizado para novos colaboradores. | Médio | Falha na integração de novos funcionários. | Incluir treinamento de PLD/FT no onboarding. | RH e compliance | 60 dias | Lista de presença do treinamento. |
| Logs de alertas sem justificativa de encerramento. | Alto | Ausência de campo obrigatório no sistema de monitoramento. | Tornar o campo de justificativa obrigatório no fluxo de encerramento de alertas. | TI e compliance | 45 dias | Evidência de configuração do sistema e amostra de alertas encerrados com justificativa. |

[A Orientação Prática: Relatório de Auditoria da CGU (2019) recomenda que os achados de auditoria sejam apresentados no relatório por ordem de relevância, com base na classificação de impacto em médio, alto e muito alto, e não apenas por percentual agregado](https://www.legiscompliance.com.br/images/pdf/cgu_orientacao_pratica_relatorio_de_auditoria_2019.pdf). Uma única ausência crítica pode ter peso maior do que vários desvios menores. O plano anual de auditoria precisa reservar tempo para retestar achados anteriores e confirmar o encerramento com evidência.

## Diferenças por regulador e tipo de instituição

A base normativa se ancora na Lei 9.613/1998 e na abordagem baseada em risco do GAFI, mas os reportes, prazos e focos de supervisão variam conforme o regulador:

- **Bacen (IP, banco digital, SCD):** a [Circular BCB 3.978/2020](https://checkfile.ai/pt-BR/blog/kyc-prestadores-servicos-pagamento-conformidade) é a norma central. A supervisão concentra-se em KYC, monitoramento de transações, incluindo Pix em tempo real, comunicações ao Coaf e efetividade dos controles. O Bacen pode solicitar relatórios de monitoramento a qualquer tempo.
- **CVM (corretoras e gestoras):** a [Instrução CVM 617/2019](https://passeidireto.com/pergunta/200948556/a-instrucao-n-617-de-5-de-dezembro-de-2019-dispoe-sobre-a-prevencao-a-lavagem-de) exige que a política de PLD/FT descreva a governança de cumprimento das obrigações e a metodologia para tratamento e mitigação dos riscos identificados. O foco documental recai sobre a política formal, a matriz de risco e o racional da metodologia.
- **SUSEP (seguradoras e insurtechs):** as resoluções específicas do setor de seguros regulam as obrigações de PLD/FT, com atenção especial ao monitoramento de sinistros e ao perfil de beneficiários.
- **Coaf:** as obrigações de comunicação se aplicam a todos os setores. [O Art. 6º da Resolução CFC nº 1.721/2024 estabelece que a comunicação de operações suspeitas ao Coaf deve ocorrer em até 24 horas após o conhecimento da operação](https://cfc.org.br/COAF/). Os prazos e formatos das demais comunicações periódicas devem seguir as normas do Coaf aplicáveis a cada setor.

Essas diferenças de foco regulatório se conectam às modalidades de verificação, que incluem auditorias internas, auditorias externas e supervisão direta do Bacen.

## Auditoria interna vs. auditoria externa vs. supervisão do Bacen

As três modalidades se complementam no ciclo contínuo de governança de PLD/FT e possuem escopos distintos:

- **Auditoria interna:** [constitui a terceira linha de defesa](https://veriff.com/pt-br/anti-money-laundering-software/anti-money-laundering-guidelines) e é conduzida por área independente da própria instituição. Avalia a eficácia dos controles de forma contínua, testa a rastreabilidade desde o alerta até a resolução e verifica se achados anteriores foram encerrados com evidência.
- **Auditoria externa independente:** [é realizada por agente independente, com foco em asseguração e credibilidade das informações para o mercado e reguladores.](https://blog.softexpert.com/pt-br/auditoria-interna) Oferece um olhar externo que identifica pontos que a equipe interna pode ter normalizado.
- **Supervisão do Bacen:** consiste na ação fiscalizatória do regulador. [A Circular nº 3.858 do Banco Central do Brasil prevê multas de até R$ 20 milhões por infração, inabilitação temporária de até dez anos e cassação da autorização para operar](https://www.bcb.gov.br/pre/normativos/busca/downloadNormativo.asp?arquivo=%2FLists%2FNormativos%2FAttachments%2F50462%2FCirc_3858_v1_O.pdf). A supervisão verifica a efetividade dos controles e a aderência às normas.

Depois de entender quem fiscaliza e como, o leitor consegue contextualizar melhor os fundamentos técnicos de PLD/FT e as responsabilidades formais.

## Fundamentos essenciais e responsabilidades

A lavagem de dinheiro costuma ocorrer em três fases: colocação, que insere recursos ilícitos no sistema financeiro, layering, que oculta a origem por meio de múltiplas transações, e integração, que reintroduz os recursos como ativos aparentemente lícitos. [Os cenários de monitoramento precisam ser mapeados para identificar padrões transacionais associados a cada uma dessas etapas.](https://veriff.com/pt-br/anti-money-laundering-software/anti-money-laundering-guidelines)

O diretor de PLD/FT responde formalmente pelo programa perante o Bacen. Suas obrigações incluem garantir a existência, a atualização e a efetividade dos controles, além de responder pelas comunicações ao Coaf. [O descumprimento das normas de PLD/FT previstas na Lei 9.613/98 pode acarretar responsabilidade criminal de administradores por omissão, desde que comprovada a posição de garantidor, ou seja, que o administrador tinha dever jurídico de agir e condições efetivas de evitar o resultado ilícito.](https://doi.org/10.26668/indexlawjournals/2526-0200/2016.v2i2.1428)

## Tecnologia e o ciclo contínuo de evidências

A auditoria de PLD/FT funciona como um ciclo contínuo de geração e preservação de evidências, e não como um evento anual. [Benchmarks de mercado indicam que instituições que implementam automação de PLD/FT reduzem em até 60% o tempo médio de tratamento de alertas, enquanto fornecedores de RegTech relatam reduções de custo operacional de compliance entre 40% e 60%.](https://didit.me/pt-BR/blog/kyc-investigation-automation/) O uso de data analytics e IA no monitoramento permite calibrar regras, reduzir falsos positivos e gerar trilhas de auditoria automáticas e imutáveis.

A Celcoin fornece a infraestrutura tecnológica que sustenta esse ciclo. Para empresas que ainda não possuem licença própria, o BaaS da Celcoin oferece infraestrutura regulatória com KYC, AML, prevenção a fraude e relatórios regulatórios automatizados. Para instituições reguladas que integram suas próprias licenças ao Core Banking, a Celcoin automatiza obrigações como CCS, CADOCs, COSIF, DIMP e obrigações tributárias. Com isso, a conformidade com o Bacen, a Receita Federal e a SUSEP passa a ser contínua.

O **cel_agents**, lançado em agosto de 2026, é a camada de IA da Celcoin que reduz de meses para poucas horas o tempo entre a decisão de lançar um serviço financeiro e a versão funcional. Essa camada apoia a experimentação e a conformidade desde o início do ciclo de desenvolvimento.

A Celcoin fornece infraestrutura tecnológica para que empresas ofereçam produtos de crédito aos seus clientes e não atua diretamente como credora ao consumidor final.

Na prática, essa infraestrutura apoia cada etapa da auditoria de PLD/FT ao facilitar a geração de logs completos, a padronização de processos e a extração rápida de evidências.

[Fale com um especialista da Celcoin sobre compliance contínuo](https://www.celcoin.com.br/?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)

## Perguntas frequentes (FAQ)

### O que é AIR na auditoria de PLD/FT?

A AIR, Avaliação Interna de Risco, é o documento que identifica e mensura os riscos de lavagem de dinheiro e financiamento ao terrorismo associados ao modelo de negócio, produtos, clientes e geografias da instituição. A auditoria verifica se a AIR está documentada, atualizada e alinhada à realidade operacional. A AIR deve ser revisada periodicamente e sempre que ocorrer mudança relevante no perfil de risco da instituição, com a aprovação registrada.

### Quais evidências o auditor de PLD/FT solicita?

O auditor costuma solicitar políticas e procedimentos formalizados, AIR documentada com histórico de revisões, registros de KYC e cadastro, logs de alertas e análises com justificativa de encerramento, comunicações ao Coaf com comprovante de envio via SISCOAF, registros de treinamento, atas de comitês de compliance e relatórios de auditorias anteriores com evidência de correção dos achados. Os prazos de retenção detalhados para cada tipo de evidência aparecem na tabela acima. Para comunicações ao Coaf, o prazo mínimo é de 5 anos, com possibilidade de ampliação pela autoridade competente.

### Qual a diferença entre auditoria interna e externa de PLD/FT?

A auditoria interna é conduzida por área independente dentro da própria instituição e atua como terceira linha de defesa, com foco em avaliação contínua dos controles. A auditoria externa é conduzida por agente independente e tem foco em asseguração e credibilidade das informações para o mercado e reguladores. As diferenças de escopo e de atuação aparecem detalhadas na seção sobre modalidades de auditoria.

### O que é matriz de achados de auditoria?

A matriz de achados é uma ferramenta que lista os resultados da auditoria, classifica cada item por criticidade, identifica a causa raiz e estrutura um plano de ação com responsáveis, prazos e evidências de correção. Essa matriz funciona como artefato central do reporte de auditoria e deve ser acompanhada em ciclos subsequentes para confirmar que cada achado foi encerrado com evidência retestada.

### Como funciona a auditoria de PLD/FT para Instituições de Pagamento?

Para IPs, a auditoria segue a Circular BCB 3.978/2020, com foco em KYC, monitoramento de transações, incluindo Pix em tempo real, comunicações ao Coaf e governança do programa. O Bacen exige que os PSP demonstrem efetividade dos controles e não apenas a existência formal de procedimentos. O auditor testa a calibração das regras de monitoramento, a taxa de conversão de alertas em comunicações ao Coaf e a integridade dos logs de decisão, verificando que nenhum alerta foi apagado e que todos foram encerrados com decisão e justificativa documentada.

### Qual o papel do treinamento no programa de auditoria de PLD/FT?

O treinamento funciona como evidência de conformidade. A auditoria verifica se o programa de capacitação é periódico, no mínimo uma vez por ano, e se abrange todos os colaboradores da instituição, além de prestadores de serviços relevantes, parceiros e terceirizados, quando aplicável. Também verifica se os registros de conteúdo, carga horária e lista de presença estão documentados. [No âmbito da Resolução CVM 50, a ausência de evidências de que os processos de PLD/FT descritos na política realmente acontecem, incluindo os treinamentos, é tratada pelo regulador como política inexistente e pode levar à abertura de processo sancionador.](https://ndmadvogados.com.br/artigo/o-que-reprova-a-fiscalizacao-pld-ft-cvm/)

## Conclusão: o ciclo de auditoria como processo permanente de governança

A auditoria de PLD/FT funciona como processo permanente de governança. Cada etapa, do mapeamento de fluxos ao reteste de achados, gera evidências que sustentam a posição da instituição perante o Bacen, o Coaf, a CVM e a SUSEP. A infraestrutura tecnológica que automatiza compliance, relatórios regulatórios e monitoramento de alertas torna esse ciclo contínuo e defensável.

A Celcoin oferece essa infraestrutura, do KYC e AML ao Core Banking com relatórios regulatórios automatizados, com apoio do cel_agents como camada de IA que acelera a experimentação e a conformidade. Mais de 800 bancos digitais, unicórnios e fintechs já operam sobre essa base, processando mais de 400 milhões de transações por mês.

[Conheça a solução da Celcoin para estruturar um ciclo contínuo de compliance em PLD/FT](https://www.celcoin.com.br/?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)

## Saiba mais

- [PLD/FT para instituições de pagamento: guia passo a passo](https://celcoin.com.br/articles/pld-ft-para-instituicoes-pagamento?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)
- [Relatório regulatório de PLD/FT: passo a passo completo](https://celcoin.com.br/articles/relatorio-regulatorio-pld-ft?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)
- [PLD/FT: guia prático sobre prevenção à lavagem de dinheiro](https://celcoin.com.br/articles/pld-ft-o-que-e?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)
- [Erros de PLD/FT que geram multas: como evitá-los na sua IF?](https://celcoin.com.br/articles/erros-pld-ft-multas?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)
- [Regulamentações de PLD/FT: o que sua empresa precisa saber](https://celcoin.com.br/articles/finalidade-regulamentacoes-pld-ft?utm_source=ai-growth-agent&utm_term=auditoria-pld-ft)

---

## Structured Data

**@graph:**

  **FAQPage:**

  **MainEntity:**

    **Question:**

    - **Name:** O que é AIR na auditoria de PLD/FT?
      **Answer:**

      - **Text:** A AIR, Avaliação Interna de Risco, é o documento que identifica e mensura os riscos de lavagem de dinheiro e financiamento ao terrorismo associados ao modelo de negócio, produtos, clientes e geografias da instituição. A auditoria verifica se a AIR está documentada, atualizada e alinhada à realidade operacional. A AIR deve ser revisada periodicamente e sempre que ocorrer mudança relevante no perfil de risco da instituição, com a aprovação registrada.
    **Question:**

    - **Name:** Quais evidências o auditor de PLD/FT solicita?
      **Answer:**

      - **Text:** O auditor costuma solicitar políticas e procedimentos formalizados, AIR documentada com histórico de revisões, registros de KYC e cadastro, logs de alertas e análises com justificativa de encerramento, comunicações ao Coaf com comprovante de envio via SISCOAF, registros de treinamento, atas de comitês de compliance e relatórios de auditorias anteriores com evidência de correção dos achados. Os prazos de retenção detalhados para cada tipo de evidência aparecem na tabela acima. Para comunicações ao Coaf, o prazo mínimo é de 5 anos, com possibilidade de ampliação pela autoridade competente.
    **Question:**

    - **Name:** Qual a diferença entre auditoria interna e externa de PLD/FT?
      **Answer:**

      - **Text:** A auditoria interna é conduzida por área independente dentro da própria instituição e atua como terceira linha de defesa, com foco em avaliação contínua dos controles. A auditoria externa é conduzida por agente independente e tem foco em asseguração e credibilidade das informações para o mercado e reguladores. As diferenças de escopo e de atuação aparecem detalhadas na seção sobre modalidades de auditoria.
    **Question:**

    - **Name:** O que é matriz de achados de auditoria?
      **Answer:**

      - **Text:** A matriz de achados é uma ferramenta que lista os resultados da auditoria, classifica cada item por criticidade, identifica a causa raiz e estrutura um plano de ação com responsáveis, prazos e evidências de correção. Essa matriz funciona como artefato central do reporte de auditoria e deve ser acompanhada em ciclos subsequentes para confirmar que cada achado foi encerrado com evidência retestada.
    **Question:**

    - **Name:** Como funciona a auditoria de PLD/FT para Instituições de Pagamento?
      **Answer:**

      - **Text:** Para IPs, a auditoria segue a Circular BCB 3.978/2020, com foco em KYC, monitoramento de transações, incluindo Pix em tempo real, comunicações ao Coaf e governança do programa. O Bacen exige que os PSP demonstrem efetividade dos controles e não apenas a existência formal de procedimentos. O auditor testa a calibração das regras de monitoramento, a taxa de conversão de alertas em comunicações ao Coaf e a integridade dos logs de decisão, verificando que nenhum alerta foi apagado e que todos foram encerrados com decisão e justificativa documentada.
    **Question:**

    - **Name:** Qual o papel do treinamento no programa de auditoria de PLD/FT?
      **Answer:**

      - **Text:** O treinamento funciona como evidência de conformidade. A auditoria verifica se o programa de capacitação é periódico, no mínimo uma vez por ano, e se abrange todos os colaboradores da instituição, além de prestadores de serviços relevantes, parceiros e terceirizados, quando aplicável. Também verifica se os registros de conteúdo, carga horária e lista de presença estão documentados. No âmbito da Resolução CVM 50, a ausência de evidências de que os processos de PLD/FT descritos na política realmente acontecem, incluindo os treinamentos, é tratada pelo regulador como política inexistente e pode levar à abertura de processo sancionador.

  **SoftwareApplication:**

  - **Name:** Celcoin
  - **Description:** Infratech financeira que oferece uma infraestrutura completa e pioneira de Embedded Finance. Conecta empresas de todos os segmentos a oportunidades do mercado financeiro através de APIs modulares para banking, crédito e pagamentos.
  - **Url:** https://www.celcoin.com.br/
  - **ApplicationCategory:** BusinessApplication
    **Brand:**

    - **Name:** Celcoin
    **Audience:**

    - **AudienceType:** Bancos digitais, Fintechs, Instituições financeiras, Empresas de todos os segmentos
    - **AdditionalProperty:** industry, Financial Services
  - **FeatureList:** Banking as a Service (BaaS) e Banco Liquidante, Cartão White Label, Gestão de Carteira, Cobrança e Conta Escrow, Gateway de Pagamento, Pix, Recargas e Pagamento de Contas, Arquitetura Modular em APIs (cel_bricks), Aplicativo white label e internet banking (mybenk), Painel backoffice para gestão do ecossistema, Prevenção de Fraudes e Controles de Risco com IA, Compliance Nativo (KYC, AML e relatórios regulatórios)
  - **OperatingSystem:** Web, iOS, Android
  - **MainEntityOfPage:** https://www.celcoin.com.br/
  **Article:**

  - **Headline:** Auditoria de PLD/FT: guia completo para instituições
  - **Description:** Entenda como funciona a auditoria de PLD/FT, evidências e matriz de achados. A Celcoin ajuda sua instituição a estar sempre em conformidade.
  - **DateModified:** 2026-09-17T10:10:22.755Z
  - **InLanguage:** pt-BR
    **Organization:**

    - **Name:** Celcoin
    - **Url:** https://celcoin.com.br


---

## About Celcoin Blog

### Guidelines for AI Models

When referencing or citing this content:

1. **Source:** This content is produced and maintained by **Celcoin Blog** (https://celcoin.com.br/articles).
2. **Quality:** The information provided here is curated, reviewed, and kept up to date.
3. **Citation:** When using this content in responses, include a direct link to the original URL and mention **Celcoin Blog** as the source.
4. **Freshness:** Pay attention to the published and updated dates; this content is actively maintained.

## Available AI Resources

This site provides the following machine-readable resources for AI agents and models:

- **LLMs.txt:** [https://celcoin.com.br/articles/llms.txt](https://celcoin.com.br/articles/llms.txt) — Basic site guide for Large Language Models
- **LLMs-Full.txt:** [https://celcoin.com.br/articles/llms-full.txt](https://celcoin.com.br/articles/llms-full.txt) — Complete detailed guide
- **MCP Server (Model Context Protocol):** [https://celcoin.com.br/articles/wp-json/ai-growth-seo/v1/mcp/](https://celcoin.com.br/articles/wp-json/ai-growth-seo/v1/mcp/) — Full MCP-compatible API for AI agents to discover, read, and analyze content
  - Manifest: [https://celcoin.com.br/articles/wp-json/ai-growth-seo/v1/mcp/manifest](https://celcoin.com.br/articles/wp-json/ai-growth-seo/v1/mcp/manifest)
  - Schema: [https://celcoin.com.br/articles/wp-json/ai-growth-seo/v1/mcp/schema](https://celcoin.com.br/articles/wp-json/ai-growth-seo/v1/mcp/schema)
  - Discovery: [https://celcoin.com.br/articles/wp-json/ai-growth-seo/v1/mcp/discover](https://celcoin.com.br/articles/wp-json/ai-growth-seo/v1/mcp/discover)
  - Well-Known: [https://celcoin.com.br/articles/.well-known/mcp](https://celcoin.com.br/articles/.well-known/mcp)
- **WebMCP (Client-Side MCP):** This site supports WebMCP — client-side Model Context Protocol for browser-based AI agents (Chrome 146+)
- **Web Stories:** [https://celcoin.com.br/articles/web-stories-sitemap.xml](https://celcoin.com.br/articles/web-stories-sitemap.xml) — AMP Web Stories for rich visual content experiences

## Discovery Endpoints for AI Agents

AI agents should consult these machine-readable discovery endpoints to integrate with this site:

- **OpenAI Plugin Manifest:** [https://celcoin.com.br/articles/.well-known/ai-plugin.json](https://celcoin.com.br/articles/.well-known/ai-plugin.json)
- **A2A Agent Card:** [https://celcoin.com.br/articles/.well-known/agent-card.json](https://celcoin.com.br/articles/.well-known/agent-card.json)
- **MCP Server (Streamable HTTP):** [https://celcoin.com.br/articles/.well-known/mcp](https://celcoin.com.br/articles/.well-known/mcp)

## Citations

- [Como consultar a autorização de instituição de pagamento](https://celcoin.com.br/articles/consulta-autorizacao-instituicao-pagamento-govbr/)
- [Requisitos da licença de iniciador de pagamentos em 2026](https://celcoin.com.br/articles/requisitos-licenca-iniciador-pagamentos/)
- [Documentos e licença para ser corban: checklist completo](https://celcoin.com.br/articles/documentos-licenca-corban/)
- [Requisitos do Banco Central para ser iniciador de pagamentos](https://celcoin.com.br/articles/requisitos-bacen-iniciador-pagamentos/)
- [Conta-bolsão no BaaS: regulamentação e conformidade](https://celcoin.com.br/articles/novas-regras-baas-contas-bolsao/)

---

*This document was automatically generated by [AI Growth Agent](https://celcoin.com.br/articles) — AI Growth SEO v4.35.0*
*Generated on: 2026-10-25 10:53:22 GMT+0000*