PLD/FT para instituições de pagamento: guia passo a passo

Principais lições deste artigo

• IPs autorizadas pelo Banco Central seguem as mesmas obrigações de PLD/FT que bancos tradicionais, independentemente do porte ou do volume de transações.

• Um programa de PLD/FT inclui KYC, monitoramento de transações em tempo real, comunicação ao Coaf, registro de documentos por 5 anos e treinamentos anuais.

• A estruturação do programa segue oito passos: avaliação de riscos (RARI), política formal, governança, procedimentos de KYC, monitoramento, comunicação ao Coaf, treinamento e auditoria.

• Automatizar o monitoramento e os relatórios regulatórios reduz erros manuais, garante cumprimento de prazos e aumenta a taxa de conformidade em auditorias.

• Com a Celcoin, sua instituição de pagamento implementa KYC, monitoramento e relatórios regulatórios em uma única plataforma; conheça a solução de PLD/FT da Celcoin.

Principais obrigações regulatórias para IPs

PLD/FT é a sigla para Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo. O termo designa o conjunto de políticas, procedimentos e controles que instituições financeiras e de pagamento devem adotar para impedir que seus produtos e serviços sejam utilizados em atividades ilícitas.

No Brasil, a principal norma que regula esse conjunto de obrigações para instituições de pagamento é a Circular BCB nº 3.978/2020, editada pelo Banco Central. A norma segue as recomendações do Grupo de Ação Financeira Internacional, o GAFI, e adota a abordagem baseada em risco, em que a intensidade dos controles deve ser proporcional à exposição de cada instituição.

A Circular BCB nº 3.978/2020 estrutura um programa formal de PLD/FT com as seguintes obrigações essenciais:

• KYC (Conheça seu Cliente): identificação completa de pessoas físicas, com nome, CPF, data de nascimento, documento com foto e endereço, e de pessoas jurídicas, com razão social, CNPJ e beneficiários finais com participação igual ou superior a 25%, além de due diligence e verificação de Pessoas Expostas Politicamente (PEPs)

• Monitoramento de transações: análise contínua de operações com base em valores, frequência e atipicidade, com monitoramento em tempo real para Pix

• Comunicação ao Coaf: envio de Comunicação de Operações Suspeitas (RAS) em até 24 horas após a decisão de comunicar e Comunicação Automática de Operações (CAO) até o dia 15 do mês seguinte ao de referência, com vedação de informar o cliente sobre a comunicação realizada

• Registro e guarda de documentos: manutenção de registros por no mínimo 5 anos após o encerramento do relacionamento

• Treinamento de colaboradores: capacitação periódica sobre PLD/FT para todos os níveis, com frequência mínima anual

• Avaliação interna de risco: elaboração e revisão anual do Relatório de Avaliação de Risco Institucional (RARI), considerando produtos, clientes, canais e geografias

O descumprimento dessas obrigações expõe a IP a multas administrativas de até R$ 20 milhões por infração, inabilitação de administradores e cancelamento da autorização de funcionamento.

Passo a passo para estruturar um programa de PLD/FT em uma IP

Passo 1: avaliação de riscos

O ponto de partida é elaborar o Relatório de Avaliação de Risco Institucional (RARI). A avaliação interna de risco segue quatro etapas: identificação, análise, classificação e adoção de controles proporcionais ao risco. Os fatores considerados incluem perfil de clientes, produtos e serviços ofertados, como Pix, contas de pagamento e moeda eletrônica, canais de distribuição, como digital, presencial e intermediado, e geografias de atuação. A Circular 3.978/2020 adota explicitamente a abordagem baseada em risco, em linha com as Recomendações do GAFI. A IP deve revisar o RARI anualmente ou sempre que houver mudanças significativas no modelo de negócio.

Passo 2: política de PLD/FT

Com a matriz de risco definida, a IP elabora uma política formal de PLD/FT, aprovada pela diretoria, com diretrizes claras de governança, apetite de risco e responsabilidades. A política estabelece como diretriz básica o respeito à legislação vigente, a adoção de práticas de mercado, a mitigação do risco de uso dos produtos para LD/FT e a promoção de uma cultura organizacional de prevenção. A IP atualiza a política no máximo a cada dois anos ou de forma extraordinária quando houver mudança relevante no perfil de risco.

Passo 3: governança e responsabilidades

A governança de PLD/FT define papéis, responsabilidades, supervisão e escalonamento, com o conselho de administração e a alta gestão responsáveis por definir o apetite de risco, aprovar políticas e garantir recursos adequados. A Circular 3.978/2020 exige a designação de um diretor responsável pelo cumprimento das obrigações de PLD/FT, com acesso direto à alta administração. O modelo das três linhas de defesa serve como referência de mercado, com primeira linha em operações e negócios, segunda linha em compliance e risco e terceira linha em auditoria interna.

Passo 4: procedimentos de KYC

O onboarding de clientes inclui verificação de identidade, due diligence proporcional ao risco e identificação de beneficiários finais. Para pessoas físicas, o KYC exige nome completo, CPF, data e local de nascimento, documento com foto, endereço e finalidade da relação de negócio. Para pessoas jurídicas, exige razão social, CNPJ, ato constitutivo, identificação de beneficiários finais com participação igual ou superior a 25% e documentos dos administradores. Situações de risco elevado, como PEPs e jurisdições de alto risco identificadas pelo GAFI, exigem due diligence reforçada com aprovação de nível gerencial. O KYC é contínuo, com revisão cadastral a cada 12 a 24 meses, em frequência maior para casos de risco elevado.

Passo 5: monitoramento e alertas

A IP configura regras de monitoramento de transações alinhadas ao seu perfil de risco, com atenção especial ao Pix em tempo real. O monitoramento contínuo inclui análise de transações em tempo real para Pix, screening diário de listas de sanções, como OFAC, ONU e Coaf, e revisão contínua de PEPs. Operações em espécie iguais ou superiores a R$ 2.000 exigem registro obrigatório, e operações iguais ou superiores a R$ 10.000 exigem comunicação ao Coaf, independentemente de suspeita. Esses limites geram alertas que, por sua vez, seguem um fluxo estruturado de qualificação, investigação e decisão documentada.

Passo 6: comunicação ao Coaf

A IP define um fluxo interno para análise e comunicação de operações suspeitas. O procedimento de comunicação ao Coaf inclui identificação completa das partes, descrição da operação, motivação da suspeita com narrativa clara e objetiva, documentação de suporte e comprovante de envio com número de protocolo gerado pelo SISCOAF. A comunicação de operação suspeita constitui dever legal, independe de autorização do cliente e não configura quebra de sigilo bancário. O prazo para a RAS urgente é de até 24 horas após a identificação da suspeita.

Passo 7: treinamento e cultura

A legislação brasileira exige que instituições promovam treinamentos periódicos e contínuos sobre PLD/FT para todos os colaboradores envolvidos na identificação de operações suspeitas, com frequência mínima anual. O conteúdo mínimo cobre a legislação pertinente, tipos de crimes, sinais de alerta, procedimentos internos de reporte e responsabilidades individuais. Além do conteúdo, é fundamental manter evidências documentais dos treinamentos realizados, incluindo lista de participantes, conteúdo programático, data e duração. A ausência de evidências pode ser considerada infração grave durante auditorias regulatórias.

Passo 8: auditoria e revisão

A Circular 3.978/2020 determina que as instituições avaliem a efetividade da política, dos procedimentos e dos controles de PLD/FT, e requer a elaboração de plano de ação para solucionar deficiências identificadas, com documentação da evolução por meio de relatório de acompanhamento. Auditorias internas ocorrem periodicamente, com resultados reportados ao conselho de administração ou comitê de riscos pelo menos trimestralmente. Reavaliações do RARI são desencadeadas por mudanças materiais, como lançamento de novos produtos ou entrada em novos mercados. Para sustentar esse processo contínuo, a IP mantém uma base sólida de documentos e registros.

Fale com um especialista em PLD/FT para instituições de pagamento.

Documentos e registros necessários

Uma IP em conformidade com a Circular 3.978/2020 mantém e atualiza os seguintes documentos:

• Política de PLD/FT: documento formal aprovado pela diretoria, com diretrizes de governança e apetite de risco

• Manual de compliance: procedimentos operacionais detalhados para cada obrigação regulatória

• Relatório de Avaliação de Risco Institucional (RARI: matriz de risco documentada, revisada anualmente

• Procedimentos operacionais de KYC: fluxos de onboarding, due diligence e atualização cadastral

• Registros de treinamentos: listas de presença, conteúdo programático e avaliações dos colaboradores

• Relatórios de monitoramento: logs de alertas gerados, investigações realizadas e decisões documentadas

• Comprovantes de comunicações ao Coaf: protocolos do SISCOAF para cada RAS e CAO enviada

• Dossiês KYC dos clientes: documentos de identificação e verificação, com retenção mínima de 5 anos após o encerramento do relacionamento

A automatização da verificação documental também reduz os tempos de processamento em 83% e mantém uma taxa de conformidade em auditorias de 99,2%, em comparação com uma média de 74% para controles manuais equivalentes. Manter esses documentos atualizados e acessíveis é condição para aprovação em inspeções do Bacen.

Como automatizar o monitoramento com tecnologia?

Com mais de 1,8 bilhão de transações Pix mensais em 2024, o monitoramento manual é inviável. Sistemas de monitoramento em tempo real analisam padrões transacionais, geram alertas automaticamente e agilizam a comunicação ao Coaf, reduzindo erros manuais e o risco de atrasos nos prazos regulatórios.

APIs de monitoramento integradas ao Core Banking permitem:

• Análise em tempo real: análise de transações com resposta em milissegundos

• Scoring de risco automatizado: cálculo de risco por cliente e por operação

• Screening contínuo: verificação recorrente de listas de sanções, como OFAC, ONU e Coaf

• Relatórios regulatórios automáticos: geração de CAO, RAS e insumos para o RARI

• Redução de falsos positivos: uso de modelos de aprendizado de máquina para qualificar alertas

A Celcoin oferece infraestrutura tecnológica que integra KYC, monitoramento de transações e relatórios regulatórios em uma única plataforma, permitindo que IPs cumpram suas obrigações de PLD/FT sem construir uma estrutura pesada do zero. O Core Banking da Celcoin inclui relatórios regulatórios automatizados, como CCS, CADOCs, COSIF, DIMP, tributários e BacenJud, e conexão direta com a Rede do Sistema Financeiro Nacional, RSFN, e o Sistema de Pagamentos Brasileiro, SPB. A tabela a seguir resume as principais funcionalidades da Celcoin e os benefícios diretos para sua empresa.

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos, melhorando o tempo para geração de receita e competitividade.
Distribuição white-label e embutida	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem mantém serviços funcionando mesmo com altos volumes, protegendo sua receita.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferecer pagamentos e emissão de crédito aumenta conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, melhorando conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e aceleram ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs garantem melhor cobertura, recursos e velocidade de entrada no mercado.

Conforme mencionado, a Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes, sem oferecer empréstimos diretamente a consumidores.

Diferenças entre PLD/FT para IP e para bancos tradicionais

As obrigações essenciais de PLD/FT são as mesmas para IPs e bancos tradicionais, pois ambos seguem a Circular 3.978/2020, a Lei 9.613/1998 e as exigências do Coaf. A diferença prática está no foco operacional e na escala dos controles.

IPs concentram suas operações em pagamentos instantâneos, contas de pagamento e moeda eletrônica, o que exige monitoramento em tempo real mais intenso. Bancos tradicionais lidam com carteiras de crédito e câmbio, que demandam controles diferentes. O Pix exige que os PSP participantes diretos mantenham controles de monitoramento de transações em tempo real, capazes de identificar padrões suspeitos antes ou imediatamente após a execução da transferência. IPs também se beneficiam de soluções modulares e escaláveis, que permitem iniciar com a infraestrutura regulatória de um parceiro, em modelo BaaS, e migrar para licença própria com Core Banking sem trocar de plataforma tecnológica, modelo adotado pela Celcoin.

Erros comuns e como evitá-los

Os erros mais frequentes na implementação de PLD/FT em IPs incluem:

• Tratar PLD/FT como obrigação burocrática isolada, sem integração com a operação e os produtos da IP

• Deixar de atualizar a matriz de risco regularmente, ignorando mudanças no perfil de clientes ou no portfólio de produtos

• Subestimar a importância do treinamento, especialmente para equipes de atendimento e operações

• Manter processos de monitoramento manuais, com atrasos, erros e risco de perda de prazos regulatórios

• Ignorar a obrigação de comunicação ao Coaf em prazos curtos, especialmente para operações suspeitas identificadas em tempo real via Pix

• Manter documentação precária de investigações e responsabilidade pouco clara na governança, dois dos achados regulatórios mais comuns em inspeções

Critérios de sucesso e validação

Um programa de PLD/FT efetivo para IPs pode ser acompanhado por indicadores como:

• Número de alertas gerados e percentual efetivamente investigado dentro do prazo

• Tempo médio entre a identificação da suspeita e a comunicação ao Coaf, com meta inferior a 24 horas

• Percentual de colaboradores com treinamento de PLD/FT atualizado no período

• Resultados de auditorias internas e planos de ação para deficiências identificadas

• Aderência a prazos regulatórios de CAO e RAS sem atrasos

• Taxa de falsos positivos no monitoramento de transações, com meta de redução contínua

Perguntas frequentes (FAQ)

De quem é a responsabilidade por PLD/FT?

A responsabilidade pelo programa de PLD/FT recai sobre a instituição como um todo, com a Circular BCB nº 3.978/2020 exigindo a designação formal de um diretor responsável pelo cumprimento das obrigações, com acesso direto à alta administração. O conselho de administração e a diretoria aprovam a política, definem o apetite de risco e garantem recursos adequados. Os colaboradores respondem individualmente por suas obrigações de reporte e sigilo, e a instituição responde solidariamente pelos atos de seus colaboradores quando há falha de controle ou omissão de comunicação.

Quais são as medidas preventivas à lavagem de dinheiro?

As medidas preventivas incluem implementação de KYC robusto no onboarding e de forma contínua, monitoramento de transações com base em regras e modelos de risco, screening periódico de listas de sanções e PEPs, comunicação tempestiva de operações suspeitas ao Coaf, treinamento regular de colaboradores e auditoria independente do programa. A abordagem baseada em risco, adotada pela Circular 3.978/2020 em linha com o GAFI, determina que a intensidade dos controles seja proporcional ao risco identificado, com foco nas áreas de maior exposição.

Qual a diferença entre PLD/FT para IP e para banco?

As obrigações essenciais são as mesmas, pois IPs e bancos seguem a Circular 3.978/2020 e a Lei 9.613/1998. A diferença prática está no foco operacional. IPs concentram sua exposição em pagamentos instantâneos, como Pix, contas de pagamento e moeda eletrônica, o que exige monitoramento em tempo real mais intenso. Bancos tradicionais têm exposição adicional em crédito, câmbio e produtos de investimento, com controles específicos para cada segmento. IPs também podem se beneficiar de soluções modulares e escaláveis, iniciando com a infraestrutura regulatória de um parceiro e migrando para licença própria conforme crescem.