PLD/FT e KYC: como montar o fluxo de conformidade no Brasil

setembro 18, 2026

Principais lições deste artigo

PLD/FT e KYC formam um único fluxo em camadas, exigido por vários órgãos reguladores brasileiros, como Bacen, COAF, CVM e SUSEP.
O KYC funciona como porta de entrada do programa de PLD/FT e alimenta identificação, classificação de risco e monitoramento contínuo de transações.
A matriz de risco e a avaliação interna de risco são obrigatórias e definem a intensidade dos controles aplicados a cada cliente, produto e canal.
O monitoramento transacional e o reporte ao COAF seguem prazos rígidos, com análise e comunicação em até 45 dias e sanções que podem chegar a R$ 20 milhões por infração.
A Celcoin oferece infraestrutura de KYC, PLD/FT e reportes regulatórios para fintechs, bancos digitais, ERPs e varejistas: conheça a solução.

O que é PLD/FT?

PLD/FT é a sigla para Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo. O programa reúne políticas, controles internos e procedimentos de monitoramento que instituições obrigadas mantêm para detectar, prevenir e reportar operações ilícitas. O COAF, criado pela Lei 9.613/1998, atua como unidade de inteligência financeira do Brasil e recebe, analisa e dissemina informações sobre operações suspeitas.

KYC (Know Your Customer, ou “Conheça seu Cliente”) é o processo de identificação e verificação da identidade do cliente. Esse processo envolve coleta e validação de dados cadastrais, checagem em bases públicas e uso de biometria. O KYC compõe um dos pilares operacionais do programa de PLD/FT e inicia todo o fluxo de conformidade.

Como KYC e PLD/FT se conectam?

O KYC é a porta de entrada do programa de PLD/FT e organiza o fluxo de conformidade em camadas. A Circular BCB nº 3.978/2020 estrutura esse fluxo em três etapas encadeadas:

Identificação e verificação do cliente no onboarding: coleta de dados cadastrais, validação de documentos, biometria e checagem em bases públicas e restritivas.
Definição do perfil e da classificação de risco: uso dos dados coletados para classificar o cliente em categorias de risco, como baixo, médio, alto ou muito alto, o que define a intensidade dos controles.
Monitoramento contínuo de transações e atualização cadastral: uso do KYC para alimentar o monitoramento transacional ao longo de toda a relação com o cliente. Alertas de comportamento atípico geram revisões cadastrais e, quando necessário, comunicações ao COAF.

O dado cadastral coletado no KYC fornece o contexto para o monitoramento de transações. Sem esse dado cadastral, o alerta de monitoramento transacional perde o parâmetro de comparação e gera excesso de falsos positivos, o que sobrecarrega as equipes de compliance.

Veja como a Celcoin integra KYC e monitoramento em um único fluxo.

KYC vs PLD/FT

O KYC é o processo de conhecimento e verificação do cliente, que inclui identificação, qualificação e classificação de risco. O programa de PLD/FT é mais amplo e inclui o KYC, a matriz de risco institucional, o monitoramento contínuo de transações, o screening de PEPs e listas de sanções e o reporte ao COAF. O KYC integra o programa de PLD/FT como um de seus componentes.

O KYC é obrigatório? Quem fiscaliza e o que diz a regulação brasileira

O KYC é obrigatório para instituições financeiras e instituições de pagamento autorizadas pelo Bacen, conforme a Circular BCB nº 3.978/2020. Essa obrigação deriva da Lei 9.613/1998, que lista no art. 9º as pessoas obrigadas a manter controles de PLD/FT e é detalhada por normas setoriais específicas.

A fiscalização é distribuída por órgão regulador conforme o tipo de instituição:

Bacen: instituições financeiras e de pagamento, com base na Circular BCB nº 3.978/2020.
CVM: mercado de capitais, como corretoras, gestoras, administradores de carteiras e assessores de investimento, com base na Resolução CVM nº 50.
SUSEP: seguros, previdência complementar aberta e capitalização, com base na Circular SUSEP nº 612/2020.
COAF: setores sem regulador setorial próprio, como joalherias, factoring e imobiliárias, além de receber todas as comunicações de operações suspeitas do sistema financeiro nacional.

As normas recentes do Bacen reforçam a proibição de estruturas irregulares como contas-bolsão, em que recursos de terceiros são administrados de forma não individualizada e misturam o patrimônio do cliente com o da instituição. Essas normas exigem contas individualizadas para cada cliente final.

Conheça a infraestrutura da Celcoin para atender às exigências do Bacen.

Como fazer o procedimento KYC na prática

O procedimento de KYC no Brasil pode ser organizado em sete etapas práticas, alinhadas às camadas de conhecimento do cliente previstas na Circular BCB nº 3.978/2020:

Coleta de dados cadastrais: para pessoa física, os dados incluem nome completo, CPF, data de nascimento, filiação, endereço e documento de identidade com foto, como RG, CNH ou passaporte. Para pessoa jurídica, os dados incluem razão social, CNPJ, endereço, natureza da atividade, ato constitutivo e última alteração contratual.
Validação de documentos: verificação de autenticidade, validade e legibilidade dos documentos apresentados, com checagem cruzada em bases oficiais como Receita Federal, Detran e Junta Comercial.
Prova de vida e reconhecimento facial: uso de biometria facial com liveness detection para confirmar que a pessoa está presente no momento do cadastro e reduzir ataques de deepfake e uso de identidade alheia.
Checagem em bases públicas e restritivas: consulta à situação cadastral do CPF ou CNPJ na Receita Federal, ao Cadastro de Clientes do Sistema Financeiro Nacional (CCS) do Bacen e a bases de restrição locais.
Screening contra listas de sanções e PEPs: verificação em listas nacionais e internacionais, como OFAC, ONU e COAF, além da identificação de Pessoas Expostas Politicamente, seus familiares e estreitos colaboradores.
Definição do perfil e da classificação de risco: uso de todos os dados coletados para classificar o cliente em nível de risco, o que define a profundidade dos controles e a periodicidade de revisão cadastral.
Atualização cadastral periódica: manutenção do KYC como processo contínuo. Clientes de alto risco exigem revisão mais frequente, e qualquer evento desencadeador, como mudança de atividade, aparecimento em lista de sanções ou alteração societária, obriga revisão imediata.

O KYC para pessoa jurídica inclui a identificação do beneficiário final, que é a pessoa física que, em última instância, possui ou controla a empresa, com participação direta ou indireta igual ou superior a 25%, conforme o art. 25 da Circular BCB nº 3.978/2020. Clientes de alto risco, como PEPs e estruturas societárias complexas, exigem diligência reforçada, com verificação da origem dos recursos e aprovação em nível hierárquico superior.

Quais são as ferramentas KYC e como escolher?

O mercado brasileiro de regtech, que inclui soluções de KYC, se organiza em três blocos funcionais: KYC e onboarding, PLD/FT e triagem de risco, e monitoramento transacional e regulatório, conforme o ecossistema de regtech no Brasil.

Validação de documentos: uso de OCR avançado com validação estrutural, análise de metadados e verificação cruzada com bases oficiais, como Receita Federal, Detran e Junta Comercial.
Biometria e reconhecimento facial: liveness detection ativa ou passiva para onboarding remoto, com confronto facial contra CPF em bases como o Datavalid da Serpro.
Checagem em bases públicas e de crédito: consulta à situação cadastral, quadro societário, beneficiário final e informações judiciais e fiscais.
Screening de sanções e PEPs: verificação em listas nacionais e internacionais com atualização contínua, incluindo OFAC, ONU e listas do COAF.
Monitoramento contínuo: uso de motores de regras que cruzam variáveis transacionais com o perfil cadastral do cliente para identificar desvios de padrão em tempo real.

Os critérios técnicos e regulatórios para escolha de ferramentas incluem:

Aderência às normas da Circular BCB nº 3.978/2020 e à LGPD (Lei nº 13.709/2018).
Qualidade das APIs REST e documentação para integração ao fluxo de onboarding.
Rastreabilidade da fonte de cada dado, com data e proveniência documentadas para fins de auditoria.
Atualização compatível com monitoramento contínuo, já que dado desatualizado foi causa de multas relevantes aplicadas pelo COAF.
Capacidade de lidar com picos de volume sem degradação de performance.
Trilha de auditoria com log imutável de cada verificação, para atender às exigências do Bacen.

Compare as ferramentas de KYC disponíveis na plataforma da Celcoin.

Como montar uma matriz de risco PLD/FT?

A avaliação interna de risco, ou AIR, é o documento central que fundamenta a abordagem baseada em risco exigida pela Circular BCB nº 3.978/2020. A partir dessa avaliação, a instituição constrói a matriz de risco, que classifica clientes, produtos, canais e geografias em categorias de risco e define a intensidade dos controles aplicados a cada segmento.

Os fatores que compõem a classificação de risco incluem:

Tipo de cliente: PEP, estrutura societária opaca, beneficiário final não identificado ou cliente estrangeiro.
Atividade econômica: setores de maior risco, como criptoativos, câmbio, joias, imobiliário e factoring.
Volume transacional: movimentações incompatíveis com a capacidade financeira declarada.
Geografia: jurisdições identificadas pelo GAFI como de alto risco ou não cooperantes, conforme a Instrução Normativa COAF nº 1/2026.
Canal de relacionamento: relação não presencial ou apresentação por terceiros não regulados.
Produto utilizado: Pix sem limite, carteiras abertas, transferências internacionais ou cartão pré-pago internacional.

A tabela a seguir ilustra quatro níveis operacionais de risco e os controles correspondentes:

Nível de risco	Perfil típico	Diligência aplicada	Periodicidade de revisão
Baixo	Cliente pessoa física com renda compatível, sem exposição política e canal presencial	Simplificada	Anual ou por evento
Médio	Pessoa jurídica com quadro societário claro e atividade de risco moderado	Padrão	Anual
Alto	PEP, jurisdição sensível ou produto de alto risco	Reforçada (EDD)	Semestral
Muito alto	Estrutura opaca, beneficiário final não identificável ou múltiplos fatores de risco	Reforçada com aprovação da diretoria	Contínua ou encerramento da relação

A avaliação interna de risco deve ser aprovada pelo conselho de administração ou pela diretoria e revisada a cada dois anos ou sempre que houver alteração relevante nos perfis de risco, conforme o art. 12, inciso III, da Circular BCB nº 3.978/2020. O status de PEP é temporal e pode mudar, já que um cliente comum pode assumir cargo público a qualquer momento, o que exige consulta recorrente a listas externas atualizadas.

Monitoramento de transações e reporte ao COAF

O monitoramento contínuo sustenta o programa de PLD/FT ao longo de toda a relação com o cliente. A circular do Bacen estabelece prazos máximos em etapas:

Além das comunicações por suspeita, existem comunicações automáticas por limiar de valor. Os principais limiares para instituições financeiras e de pagamento incluem:

Operações em espécie iguais ou superiores a R$ 10.000 devem ser registradas, e operações em espécie iguais ou superiores a R$ 50.000 são comunicadas ao COAF automaticamente até o dia útil seguinte.
Cartão pré-pago internacional com movimentação igual ou superior a R$ 10.000 por mês.
Todas as operações de câmbio devem ser registradas.

Todas as comunicações são realizadas exclusivamente via SISCOAF (Sistema de Controle de Atividades Financeiras), com credenciamento prévio obrigatório. É proibido dar ciência ao cliente ou a terceiros de que a comunicação foi realizada, e a violação desse dever de sigilo configura infração administrativa e pode gerar responsabilidade civil e penal, conforme o art. 11, § 1º, da Lei 9.613/1998.

Além dos reportes ao COAF, empresas reguladas pelo Bacen têm obrigações adicionais de reporte, como CCS, CADOCs e SCR. O descumprimento das obrigações de PLD/FT gera sanções administrativas que podem chegar a esse patamar, além de inabilitação de administradores por até dez anos e, em casos extremos, cassação da autorização de funcionamento.

Automatize o reporte ao COAF com a solução da Celcoin.

Como a Celcoin resolve PLD/FT e KYC na prática?

A Celcoin opera como infraestrutura full stack de banking, pagamentos e crédito e executa KYC, PLD/FT, monitoramento, liquidação e reportes regulatórios para empresas reguladas e não reguladas. Nesse contexto, a Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

No modelo BaaS (Banking as a Service), a Celcoin fornece a licença de Instituição de Pagamento e a estrutura regulatória para empresas sem licença própria, incluindo onboarding, KYC, monitoramento de transações e envio automático de relatórios regulatórios, como CCS, CADOCs e DIMP, ao Bacen, à Receita Federal e à SUSEP. No Core Banking, empresas com licença própria integram sua licença à infraestrutura da Celcoin e ganham eficiência, escala e conformidade contínua sem reconstruir a operação.

A Celcoin media mais de R$ 30 bilhões em transações mensalmente e atende mais de 6 mil clientes. Entre esses clientes estão fintechs, bancos digitais, ERPs e varejistas como Neon, BTG Pactual, Banco Pan, PagSeguro e Sky. A PagSeguro, por exemplo, utiliza o Core Banking da Celcoin.

A tabela a seguir resume como as funcionalidades da infraestrutura da Celcoin se traduzem em benefícios para a operação de PLD/FT, KYC e monitoramento.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e reduzem o tempo para geração de receita.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem que mantém serviços funcionando mesmo com altos volumes e protege a receita da empresa.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferta de pagamentos e emissão de crédito que aumenta conversão, receita média por usuário e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance que permitem ofertas personalizadas e melhoram conversão e retenção.
Compliance e conformidade como princípio	KYC, PLD/FT e relatórios integrados que reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em inteligência artificial e autenticação robusta que reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs que ampliam cobertura, recursos e velocidade de entrada no mercado.

Erros comuns e pontos de atenção

As falhas mais frequentes na implementação de PLD/FT incluem KYC superficial, ausência de avaliação interna de risco formalizada, matriz de risco desatualizada, monitoramento transacional desconectado do perfil cadastral, registros incompletos para fins de auditoria e reporte ao COAF fora dos prazos previstos.

O KYC superficial concentra a maior parte dos problemas. Quando a instituição coleta apenas os dados mínimos e não valida documentos em bases oficiais, o cadastro nasce desatualizado e compromete todas as etapas seguintes do programa. A classificação de risco perde precisão, o monitoramento gera falsos positivos e a diligência reforçada deixa de ser aplicada a quem realmente precisa.

A ausência de avaliação interna de risco formalizada é outra falha recorrente. Sem o documento aprovado pela diretoria, a instituição não consegue demonstrar ao regulador por que aplica controles mais rígidos a determinados clientes e mais simples a outros. A matriz de risco desatualizada produz o mesmo efeito: clientes que mudaram de perfil continuam classificados em faixas antigas, e os controles deixam de refletir o risco real.

O monitoramento transacional desconectado do perfil cadastral amplia o volume de alertas sem valor. Motores de regras que não cruzam variáveis transacionais com os dados coletados no KYC não distinguem comportamento atípico de movimentação esperada, o que sobrecarrega as equipes de compliance e atrasa a análise das operações que realmente exigem comunicação ao COAF.

Registros incompletos para fins de auditoria e reporte fora dos prazos previstos completam a lista. A rastreabilidade de cada verificação, com data e proveniência documentadas, é exigência do Bacen. O envio da comunicação ao COAF fora do prazo legal configura infração e sujeita a instituição a sanções administrativas.

Perguntas frequentes sobre PLD/FT e KYC

Qual é a diferença entre KYC e PLD/FT?

O KYC é o processo de identificação, qualificação e classificação de risco do cliente. O programa de PLD/FT é mais amplo e inclui o KYC, a matriz de risco institucional, o monitoramento contínuo de transações, o screening de PEPs e listas de sanções e o reporte ao COAF. O KYC integra o programa de PLD/FT como um de seus componentes.

O KYC é obrigatório para quais instituições?

O KYC é obrigatório para instituições financeiras e instituições de pagamento autorizadas pelo Bacen, conforme a Circular BCB nº 3.978/2020. A obrigação deriva da Lei 9.613/1998 e é detalhada por normas setoriais da CVM, da SUSEP e do próprio COAF, conforme o tipo de instituição.

Quais são os prazos de reporte ao COAF?

A instituição tem até 45 dias, contados da data do fato, para monitorar e selecionar operações suspeitas, e até 45 dias, contados da seleção, para analisar a operação. O envio do reporte ao COAF ocorre até o dia útil seguinte à decisão de comunicar. As comunicações são feitas exclusivamente via SISCOAF, com credenciamento prévio obrigatório.

O que é a avaliação interna de risco e com que frequência ela deve ser revisada?

A avaliação interna de risco é o documento que fundamenta a abordagem baseada em risco e serve de base para a matriz de risco da instituição. Ela deve ser aprovada pelo conselho de administração ou pela diretoria e revisada a cada dois anos ou sempre que houver alteração relevante nos perfis de risco, conforme o art. 12, inciso III, da Circular BCB nº 3.978/2020.

Quem é o beneficiário final em um processo de KYC de pessoa jurídica?

O beneficiário final é a pessoa física que, em última instância, possui ou controla a empresa, com participação direta ou indireta igual ou superior a 25%, conforme o art. 25 da Circular BCB nº 3.978/2020. A identificação do beneficiário final é obrigatória no KYC de pessoa jurídica.

Quais sanções a instituição pode sofrer por descumprimento das obrigações de PLD/FT?

O descumprimento das obrigações de PLD/FT sujeita a instituição a sanções administrativas que podem chegar a R$ 20 milhões por infração, além de inabilitação de administradores por até dez anos e, em casos extremos, cassação da autorização de funcionamento.

Conclusão

PLD/FT e KYC formam um fluxo único de conformidade, exigido por Bacen, COAF, CVM e SUSEP. O KYC abre esse fluxo com a identificação e a classificação de risco do cliente, e o programa de PLD/FT sustenta o monitoramento contínuo, a aplicação de diligência proporcional ao risco e o reporte dentro dos prazos legais.

Estruturar esse fluxo exige dados cadastrais confiáveis, matriz de risco atualizada e monitoramento transacional conectado ao perfil de cada cliente. Empresas que integram essas camadas reduzem falsos positivos, ganham eficiência nas equipes de compliance e diminuem a exposição a sanções que podem chegar a R$ 20 milhões por infração.

A Celcoin oferece infraestrutura de KYC, PLD/FT, monitoramento e reportes regulatórios para fintechs, bancos digitais, ERPs e varejistas. Conheça a solução da Celcoin.

Saiba mais

The best service for growth Infratech financeira para potencializar negócios

Oferecemos uma infraestrutura completa e pioneira para conectar empresas de todos os segmentos a oportunidades do mercado financeiro, com soluções incorporadas às necessidades de seus clientes.

Contratar