Principais lições deste artigo
- Entender o que é PLD/FT: conjunto obrigatório de políticas, procedimentos e controles internos que abrange KYC, avaliação de risco, monitoramento de transações e comunicação ao COAF, conforme a Lei 9.613/1998 e normas do Banco Central.
- Conhecer as fases da lavagem de dinheiro: a lavagem de dinheiro ocorre em três fases, colocação, ocultação e integração, que podem ser simultâneas. O fracionamento de operações é a tipologia mais comum detectada pelo COAF.
- Reconhecer quem é pessoa obrigada: fintechs, instituições de pagamento, ERPs e varejistas são pessoas obrigadas e devem adotar abordagem baseada em risco, com políticas aprovadas pelo conselho e diretor responsável indicado ao Banco Central.
- Usar automação de forma estratégica: KYC, triagem de listas restritivas, monitoramento transacional e geração de reportes regulatórios podem ser automatizados. A decisão final de comunicação ao COAF continua sob responsabilidade humana.
- Implementar infraestrutura escalável: para estruturar essa operação com escala e conformidade regulatória, conte com a infraestrutura da Celcoin.
Quais são as 3 fases da lavagem de dinheiro?
A lavagem de dinheiro segue três etapas clássicas: colocação, ocultação (estratificação) e integração. Esse modelo é didático, mas, na prática, as fases podem ocorrer de forma sobreposta ou simultânea. O COAF e a doutrina especializada tratam essas etapas como interdependentes.
- Colocação: os recursos ilícitos entram no sistema financeiro. Em fintechs e instituições de pagamento, isso aparece como depósitos fragmentados abaixo dos limites de reporte automático, pagamentos fracionados no varejo e uso de contas de terceiros para concentrar recursos. O UNODC estima que entre 2% e 5% do PIB mundial seja lavado anualmente, e a colocação é a fase mais vulnerável à detecção.
- Ocultação (estratificação): os recursos passam por camadas de transações para romper a cadeia de evidências. Em operações financeiras digitais, isso inclui transferências entre múltiplas contas, uso de empresas de fachada, contas-bolsão que ocultam o real titular dos recursos e, em casos mais complexos, uso de FIDCs com cessões fictícias. A Operação Fluxo Oculto, deflagrada em maio de 2026, mostrou como contas-bolsão em fintechs criaram pontos cegos que dificultaram o rastreamento pelo Banco Central e pelo COAF.
- Integração: os ativos retornam à economia com aparência lícita. Em estruturas financeiras sofisticadas, isso ocorre por meio de investimentos em imóveis, participações societárias, geração de lucros fictícios em empresas operacionais e, como identificado pelo Ministério Público de São Paulo, por meio de FIDCs não padronizados com operações de prazo de um dia e sem deságio.
O COAF mapeou 87 tipologias distintas de lavagem de dinheiro, e o fracionamento de operações aparece em praticamente todas as investigações relevantes. Em 2025, o órgão produziu 20.548 Relatórios de Inteligência Financeira, média de 56 por dia.
Quem são as pessoas obrigadas na prevenção à lavagem de dinheiro?
Pessoas obrigadas são as pessoas físicas e jurídicas que, conforme a Lei 9.613/1998, devem cumprir as obrigações dos arts. 10 e 11. Essas obrigações incluem identificar clientes, manter registros e comunicar operações suspeitas ao COAF. O rol do art. 9º inclui, entre outros:
- Instituições financeiras e de pagamento autorizadas pelo Banco Central
- Bolsas de valores, mercadorias ou futuros e sistemas de negociação do mercado de balcão organizado
- Seguradoras, corretoras de seguros e entidades de previdência complementar ou de capitalização
- Administradoras de cartões de crédito e consórcios
- Empresas de leasing, factoring e Empresas Simples de Crédito
- Pessoas físicas ou jurídicas que comercializem joias, pedras e metais preciosos, objetos de arte e antiguidades
- Pessoas que comercializem bens de luxo ou de alto valor
- Juntas comerciais e registros públicos
- Empresas de transporte e guarda de valores
- Prestadoras de serviços de ativos virtuais (PSAVs), incluídas pela Lei 14.478/2022
Para instituições reguladas, como fintechs, bancos digitais e instituições de pagamento, o Banco Central supervisiona diretamente o cumprimento das obrigações, com base na Circular BCB 3.978/2020 e na Resolução BCB nº 80/2021. Para setores não financeiros, como varejo, imobiliárias, joalherias e comércio de bens de luxo, o COAF exerce a supervisão direta.
ERPs que oferecem serviços financeiros embutidos sob licença de terceiros operam dentro do escopo regulatório da instituição prestadora de BaaS autorizada a funcionar pelo Banco Central, nos termos da Resolução Conjunta nº 16/2025, que delimita de forma taxativa os serviços que podem compor essa parceria.
De quem é a responsabilidade por PLD/FT?
A responsabilidade por PLD/FT recai sobre a instituição, seus administradores e os times de produto e tecnologia. O art. 12 da Lei 9.613/1998 prevê que as sanções alcançam tanto a pessoa jurídica quanto seus administradores individualmente.
A Circular BCB 3.978/2020 exige:
- Indicação formal ao Banco Central de um diretor responsável pelo cumprimento das obrigações de PLD/FT
- Aprovação da política de PLD/FT pelo conselho de administração ou, na sua inexistência, pela diretoria
- Relatório anual de avaliação de efetividade com data-base de 31 de dezembro, encaminhado até 31 de março do ano seguinte
- Avaliação interna de risco revisada a cada dois anos e sempre que houver alteração significativa nos perfis de risco
A inabilitação temporária prevista no art. 12, inciso III, da Lei 9.613/1998 pode atingir administradores pelo prazo de até dez anos para o exercício de cargo em pessoas jurídicas obrigadas. Times de produto e tecnologia respondem pela implementação dos controles automatizados que sustentam a conformidade operacional.
Quais são as medidas preventivas à lavagem de dinheiro?
As medidas preventivas exigidas pela regulação brasileira formam uma cadeia operacional que vai do onboarding ao reporte. A Circular BCB 3.978/2020 e, no mercado de capitais, a Resolução CVM 50/21 estruturam as medidas de PLD/FT em camadas. Essas camadas exigem política, avaliação interna de risco, abordagem baseada em risco, KYC, monitoramento, comunicação ao COAF, capacitação e avaliação de efetividade:
- KYC (conheça seu cliente): identificação e verificação da identidade do cliente antes da primeira operação, com atualização cadastral contínua. Essa etapa pode ser automatizada.
- KYP (conheça seu parceiro) e KYE (conheça seu funcionário): extensão da diligência a parceiros comerciais e colaboradores. Essa etapa requer processo estruturado, com parte automatizável.
- Beneficiário final: identificação da pessoa física que, em última instância, controla ou se beneficia da pessoa jurídica. A Circular BACEN nº 3.978/2020 fixa que o valor mínimo de referência de participação societária para identificação do beneficiário final deve ser definido com base em risco e não pode passar de 25%, somando participação direta e indireta. Estruturas complexas exigem análise humana.
- PEP (pessoa exposta politicamente): clientes classificados como PEP exigem due diligence aprimorada. O monitoramento de mídia adversa para PEPs deve ser feito mensalmente, em frequência proporcional ao risco sob a Circular Bacen 3.978/2020. A triagem pode ser automatizada, e a análise de casos exige decisão humana.
- Avaliação interna de risco: classificação de clientes, produtos, canais e áreas geográficas por probabilidade e impacto. A instituição revisa essa avaliação a cada dois anos. O diretor responsável aprova o documento.
- Monitoramento de transações: identificação de padrões atípicos como fracionamento, volumes incompatíveis com o perfil e transferências para destinos incomuns. Essa etapa pode ser automatizada com regras heurísticas e IA.
- Listas restritivas: verificação contra listas do COAF, OFAC, Conselho de Segurança da ONU e outras. Essa etapa pode ser automatizada.
- Comunicação ao COAF via Siscoaf: operações suspeitas devem ser reportadas em até 24 horas após a identificação, conforme o art. 11, inciso II, da Lei 9.613/1998, sem dar ciência ao envolvido. Operações em espécie iguais ou superiores a R$ 50.000 são comunicadas automaticamente. A decisão de comunicar exige análise humana, e o envio pode ser automatizado.
A Circular BCB 3.978/2020 fixa prazo máximo de 45 dias para monitoramento e seleção da operação, contado da data do fato. A análise tem outros 45 dias. Decidida a comunicação, o envio deve ocorrer até o dia útil seguinte.
Qual a lei de prevenção à lavagem de dinheiro?
O arcabouço legal brasileiro de PLD/FT reúne normas com hierarquias e escopos distintos:
- Lei 9.613/1998: lei principal, tipifica o crime de lavagem de dinheiro, define as pessoas obrigadas, estabelece as obrigações de identificação, registro e comunicação e prevê as sanções administrativas e penais.
- Lei 13.260/2016: tipifica o terrorismo e o financiamento do terrorismo no Brasil.
- Lei 13.810/2019: trata do cumprimento de sanções impostas por resoluções do Conselho de Segurança das Nações Unidas.
- Lei 14.478/2022: regula os ativos virtuais e inclui as PSAVs entre as pessoas obrigadas do art. 9º da Lei 9.613/1998.
- Circular BCB 3.978/2020 e Resolução BCB nº 80/2021: normas operacionais do Banco Central para instituições financeiras e de pagamento.
- Instrução Normativa COAF nº 1/2026: em vigor desde 3 de agosto de 2026, exige devida diligência reforçada para operações envolvendo jurisdições identificadas pelo GAFI como de alto risco.
- Resolução CVM 245/2026: em vigor desde 15 de julho de 2026, alinha o mercado de capitais à Recomendação 19 do GAFI.
O descumprimento das obrigações dos arts. 10 e 11 da Lei 9.613/1998 sujeita a instituição e seus administradores a advertência, multa pecuniária de até R$ 20 milhões, inabilitação temporária de administradores por até dez anos e cassação ou suspensão da autorização para funcionamento.
PLD/FT para fintechs, instituições de pagamento e ERPs: licença própria versus operar sob licença de terceiros
Além de conhecer as normas, as empresas precisam entender como elas se aplicam a diferentes modelos de negócio. A distinção entre operar sob licença de terceiros e possuir licença própria define quem é o responsável regulatório primário pelas obrigações de PLD/FT e como a infraestrutura tecnológica deve ser estruturada.
Empresas sem licença própria, como fintechs em estágio inicial, ERPs e varejistas que oferecem serviços financeiros embutidos, operam sob a licença de uma instituição de pagamento habilitada pelo Banco Central. Nesse modelo, a responsável regulatória primária perante o Bacen e o COAF é a instituição licenciada. Por isso, a empresa não regulada precisa garantir que seus processos de onboarding, KYC e monitoramento estejam alinhados às exigências de quem a habilita.
É nesse ponto que a Celcoin atua. Por meio do BaaS, a Celcoin fornece a licença de IP, a infraestrutura tecnológica e toda a camada de compliance, com KYC, monitoramento, listas restritivas e reportes regulatórios, sem que a empresa parceira precise construir essa estrutura do zero.
Empresas com licença própria, como bancos digitais e instituições de pagamento já autorizadas pelo Banco Central, respondem diretamente por todas as obrigações da Circular BCB 3.978/2020. Essas obrigações incluem política de PLD/FT aprovada pelo conselho, diretor formalmente indicado ao Bacen, avaliação interna de risco, monitoramento, comunicações ao COAF e relatórios regulatórios automatizados.
A Celcoin atende esse perfil por meio do Core Banking. A solução integra a licença própria da instituição à infraestrutura tecnológica e automatiza os reportes obrigatórios, como CCS, Cadocs, Cosif, Dimp e outros, com conexão direta ao SPB e à RSFN.
Como a tecnologia resolve PLD/FT na prática
Tratar PLD/FT como documento normativo gera lacunas operacionais que se convertem em passivos regulatórios. A automação tecnológica cobre o volume e a complexidade que planilhas e processos manuais não conseguem sustentar.
A automação cobre as etapas de maior volume e repetição. Isso inclui onboarding com KYC e classificação de risco antes da primeira operação, triagem contínua contra listas restritivas e PEPs, monitoramento transacional de padrões atípicos como fracionamento e volumes incompatíveis com o perfil e geração e envio de reportes regulatórios ao COAF via Siscoaf e ao Banco Central.
As decisões que envolvem julgamento permanecem sob responsabilidade humana. Essa camada inclui análise de casos suspeitos selecionados pelo sistema, decisão de comunicar ou não ao COAF e governança da política de PLD/FT, que exige interpretação de contexto.
A Celcoin opera essa conformidade na prática para mais de 6 mil clientes. São mais de 400 milhões de transações processadas por mês. A infraestrutura reúne licença de Instituição de Pagamento, Core Banking, BaaS, KYC integrado, monitoramento de transações, verificação de listas restritivas e reportes regulatórios automatizados ao Bacen e ao COAF. Empresas não reguladas operam sob a licença da Celcoin. Empresas reguladas integram sua própria licença ao Core Banking da Celcoin e mantêm a mesma base tecnológica em toda a jornada de crescimento.
A Celcoin fornece infraestrutura tecnológica para que empresas ofereçam produtos de crédito, incluindo emissão de crédito, aos seus clientes. A tabela a seguir resume como essa infraestrutura se traduz em benefícios operacionais para a sua empresa.
| Funcionalidade da Celcoin | Benefício para sua empresa |
|---|---|
| APIs modulares | Integrações mais rápidas, com redução de custos e prazos de desenvolvimento. |
| Experiência e suporte ao desenvolvedor | Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia. |
| Capacidade de lançamento rápido | Módulos pré-construídos e entrega via SaaS aceleram lançamentos e melhoram o tempo para geração de receita. |
| Distribuição white-label e embutida | Suporte a produtos financeiros com marca própria. |
| Escalabilidade com confiabilidade | Solução com alta disponibilidade e escalável na nuvem, mantendo serviços funcionando mesmo com altos volumes. |
| Cobertura de diversas possibilidades de pagamentos, incluindo crédito | Oferta de pagamentos e emissão de crédito que aumenta conversão, ARPU e fidelização. |
| Acesso a dados e personalização | Dados e análises via Open Finance permitem ofertas personalizadas, com impacto em conversão e retenção. |
| Compliance e conformidade como princípio | KYC, AML e relatórios integrados reduzem risco regulatório e encurtam ciclos de vendas. |
| Prevenção de fraude e controles de risco | Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória. |
| Força do ecossistema de parceiros da Celcoin | Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado. |
Veja como automatizar KYC, monitoramento e reportes regulatórios na sua operação.
Perguntas frequentes sobre PLD/FT
Reunimos abaixo as dúvidas mais recorrentes de fintechs, instituições de pagamento e empresas que operam serviços financeiros embutidos.
Como fintechs e instituições de pagamento devem tratar clientes com recursos em espécie?
As pessoas obrigadas devem monitorar movimentações em espécie incompatíveis com o perfil do cliente e comunicar operações suspeitas ao COAF, independentemente do canal utilizado. Esse monitoramento inclui depósitos em dinheiro, saques frequentes, fracionamento de valores e uso de múltiplas contas para dispersar ou concentrar recursos.
As políticas internas precisam definir limites, critérios de alerta e procedimentos de análise para operações em espécie. A instituição deve registrar as decisões e manter trilhas de auditoria que demonstrem a aplicação da abordagem baseada em risco.
O que muda para fintechs com a Instrução Normativa COAF nº 1/2026?
A Instrução Normativa COAF nº 1/2026, em vigor desde 3 de agosto de 2026, exige devida diligência reforçada para operações que envolvam clientes, beneficiários finais ou estruturas societárias vinculadas a jurisdições identificadas pelo GAFI como de alto risco ou não cooperantes. Na prática, fintechs e instituições de pagamento precisam monitorar os comunicados do GAFI divulgados pelo COAF via Siscoaf, atualizar suas matrizes de risco geográfico e documentar formalmente as análises de casos que envolvam essas jurisdições.
As medidas mínimas incluem obtenção de informações adicionais sobre identidade e fonte de recursos, monitoramento contínuo reforçado e aprovação por nível hierárquico superior ao ordinariamente aplicado. Essas exigências impactam diretamente o desenho de fluxos de KYC, monitoramento e governança de PLD/FT.
Quais são as penalidades por descumprimento de PLD/FT no Brasil?
O art. 12 da Lei 9.613/1998 prevê quatro categorias de sanções, aplicáveis de forma isolada ou cumulativa. As categorias são advertência, para irregularidades no cumprimento das obrigações de identificação e registro, multa pecuniária variável de até o dobro do valor da operação, o dobro do lucro real ou presumido, ou o teto de R$ 20 milhões mencionado anteriormente, inabilitação temporária de administradores por até dez anos para o exercício de cargo em pessoas jurídicas obrigadas e cassação ou suspensão da autorização para funcionamento.
As sanções alcançam administradores individualmente, além da pessoa jurídica. O COAF aplicou R$ 96,9 milhões em multas administrativas em 2025, com aumento de quase 120% em relação ao ano anterior.
Conclusão: PLD/FT como infraestrutura
PLD/FT, prevenção à lavagem de dinheiro e ao financiamento do terrorismo, é um problema de infraestrutura tecnológica. A conformidade regulatória se sustenta em KYC rodando no onboarding, monitoramento identificando padrões atípicos em tempo real, listas restritivas verificadas a cada transação e reportes enviados ao COAF dentro do prazo legal.
A Celcoin opera essa conformidade na prática para fintechs, bancos digitais, ERPs e varejistas, tanto para empresas que ainda não possuem licença própria, por meio do BaaS, quanto para instituições reguladas que integram sua licença ao Core Banking. Essa mesma base tecnológica, já descrita neste artigo, sustenta a conformidade de ponta a ponta, com conexão direta ao SPB, à RSFN e ao Siscoaf.
Conheça a infraestrutura de PLD/FT e banking da Celcoin para sua operação.
