Principais lições deste artigo
- A avaliação de risco de PLD/FT é obrigatória e deve resultar em matriz de risco, política documentada e controles auditáveis perante o Banco Central e o COAF.
- A abordagem baseada em risco (ABR) orienta a calibragem dos controles de forma proporcional ao perfil real da instituição, com diligência adequada em vez de regras uniformes.
- Cinco dimensões, cliente, operação, geografia, produto e canal, se combinam para classificar clientes e operações em níveis baixo, médio ou alto.
- O monitoramento transacional e o fluxo de comunicação ao COAF precisam ser tempestivos, fundamentados e rastreáveis, com prazos legais de até 45 dias para análise e um dia útil para envio.
- Para implementar uma solução completa de PLD/FT com KYC, AML e relatórios regulatórios integrados, conheça a plataforma da Celcoin.
Passo 1: entender o que significa risco de PLD e por que a abordagem baseada em risco é obrigatória
A abordagem baseada em risco (ABR) orienta a alocação de recursos de prevenção conforme o risco real identificado pela instituição. A instituição precisa diagnosticar seus próprios riscos e calibrar os controles de forma proporcional para clientes e operações.
No Brasil, a ABR é obrigatória para todas as instituições autorizadas pelo Banco Central. A Circular BCB 3.978/2020, em vigor desde 1º de julho de 2020, substituiu um modelo prescritivo por esse modelo baseado em risco e exige que cada instituição elabore sua própria avaliação interna de risco (AIR). Essa avaliação precisa se traduzir em política, procedimentos e controles internos compatíveis com o perfil da instituição. A Lei 9.613/1998 define os crimes de lavagem de dinheiro e lista as pessoas obrigadas a manter controles de PLD/FT. A Resolução CVM 50, alterada pontualmente pela Resolução CVM 245 de julho de 2026, aplica a mesma lógica ao mercado de capitais.
O COAF atua como unidade de inteligência financeira do Brasil, historicamente vinculada ao Ministério da Fazenda e, desde 2019, ao Banco Central, com responsabilidade por receber, examinar e disseminar informações sobre operações suspeitas. O Banco Central é o supervisor primário das instituições financeiras e de pagamento para as obrigações de PLD/FT. Ambos exigem avaliação documentada e proporcional, calibrada ao perfil de cada cliente.
Conheça a infraestrutura de PLD/FT da Celcoin para sua operação.
Passo 2: mapear as cinco dimensões de avaliação de risco de PLD/FT
A Circular BCB 3.978/2020 exige que a avaliação interna de risco considere, no mínimo, o perfil dos clientes, da instituição, das operações e de terceiros. Na prática, essa avaliação se organiza em cinco dimensões:
- Risco de cliente (PLD/FT): envolve o perfil do cliente, sua atividade econômica, a condição de pessoa exposta politicamente (PEP), a identificação do beneficiário final, o histórico de relacionamento e o padrão transacional. A identificação do beneficiário final considera participação direta e indireta, com valor mínimo de referência que não pode ser superior a 25%, definido com base em risco, conforme o art. 25, § 1º da Circular BCB 3.978/2020. Um cliente PEP exige diligência reforçada com aprovação da alta administração e identificação da origem dos recursos.
- Risco de operação: considera volume, frequência, valores atípicos, uso de espécie, operações fracionadas e movimentações incompatíveis com o perfil declarado. Operações em espécie iguais ou superiores a R$ 50.000 exigem identificação do proprietário, do portador e da origem dos recursos, com registros mantidos por dez anos à disposição do Banco Central.
- Risco geográfico (PLD/FT): abrange jurisdições de alto risco identificadas pelo GAFI, fronteiras terrestres, como o Arco da Fronteira, faixa de 150 km ao longo dos 16.886 km de fronteiras brasileiras, municípios com histórico de ilícitos e listas de organismos internacionais. Clientes domiciliados em jurisdições listadas pelo GAFI exigem medidas reforçadas de diligência devida, conforme o art. 17-A da Resolução CVM 50, introduzido pela Resolução CVM 245/2026.
- Risco de produto: contas digitais, cartões pré e pós-pagos, Pix, boletos, câmbio e crédito apresentam exposições distintas. O Pix, com seu volume superior a 60 bilhões de operações anuais, exige monitoramento em tempo real capaz de identificar padrões suspeitos antes ou imediatamente após a execução da transferência. A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.
- Risco de canal: onboarding digital, correspondentes, parceiros, marketplaces e canais indiretos apresentam exposições específicas. A velocidade do onboarding digital pode reduzir a profundidade da diligência se não houver regras calibradas. A due diligence de terceiros é obrigatória e deve ser proporcional ao risco que cada parceiro representa.
Passo 3: classificar risco baixo, médio e alto e construir a matriz de risco
A classificação de risco combina as cinco dimensões para atribuir a cada cliente e operação um nível de risco, baixo, médio ou alto. Essa combinação é qualitativa, considera a probabilidade de ocorrência e a magnitude dos impactos financeiro, jurídico, reputacional e socioambiental. A instituição precisa documentar essa combinação de forma que permita reconstruir a trilha de auditoria, com informação, fonte e data que sustentaram cada decisão.
O nível de risco determina o nível de diligência devida:
- Risco baixo: diligência simplificada, com identificação padrão e monitoramento menos frequente. Esse nível se aplica a segmentos com perfil homogêneo, baixo volume transacional e ausência de fatores agravantes.
- Risco médio: diligência padrão, com identificação completa, verificação do beneficiário final e monitoramento periódico calibrado ao perfil.
- Risco alto: diligência reforçada, com aprovação de nível gerencial ou de diretoria, documentação detalhada da origem dos recursos, monitoramento contínuo e intensificado, e revisão periódica com frequência mínima semestral. Esse nível é obrigatório para PEPs, clientes domiciliados em jurisdições de alto risco e estruturas societárias complexas.
A matriz precisa ser documentada e revisada a cada dois anos, ou sempre que houver alteração significativa no perfil de risco da instituição, conforme o art. 12, inciso III, da Circular BCB 3.978/2020. Essa documentação torna a matriz defensável perante o Banco Central. Proporcionalidade significa cadastrar e monitorar todos os clientes, variando apenas a intensidade dos controles.
Veja como a Celcoin automatiza a matriz de risco e o monitoramento.
Passo 4: reconhecer as três fases da lavagem de dinheiro e os indicadores de suspeita
- Colocação: o dinheiro ilícito entra no sistema financeiro, tipicamente por depósitos fracionados abaixo dos limites de comunicação, uso de negócios com alto fluxo de caixa como fachada ou contrabando físico de moeda. Essa fase é a mais vulnerável à detecção, pois é o momento em que o recurso em espécie encosta na instituição.
- Ocultação: os fundos são movimentados por transações complexas para ocultar sua origem, com transferências por múltiplas contas em diferentes jurisdições, uso de empresas de fachada, estruturas offshore e operações com superfaturamento ou subfaturamento de bens e serviços.
- Integração: os valores retornam à economia com aparência lícita, por meio de investimentos em negócios legítimos, aquisição de imóveis, bens de luxo ou veículos de investimento que geram retornos aparentemente regulares.
Os principais indicadores de suspeita, conectados às cinco dimensões de risco, incluem:
- Movimentações incompatíveis com a renda ou o faturamento declarado, nas dimensões de cliente e operação
- Fracionamento deliberado de transações para ficar abaixo dos limiares de comunicação, na dimensão de operação
- Uso intenso de espécie em setores de baixo componente de caixa, nas dimensões de produto e operação
- Contas de passagem com saques imediatos após depósitos, nas dimensões de operação e canal
- Estruturas societárias opacas com beneficiário final de difícil identificação, na dimensão de cliente
- Operações sem justificativa econômica aparente ou com complexidade injustificada, na dimensão de operação
- Transferências para jurisdições de alto risco sem relação comercial evidente, na dimensão geográfica
- Múltiplas chaves Pix associadas ao mesmo CPF ou CNPJ com padrões atípicos de transferência, nas dimensões de produto e canal
Passo 5: definir a finalidade do monitoramento e o fluxo de comunicação ao COAF
O monitoramento cumpre três finalidades simultâneas. Ele detecta e reporta operações suspeitas, alimenta a revisão periódica da matriz de risco e demonstra diligência efetiva à supervisão. O Banco Central reforçou em 2024-2025 a exigência de que as instituições demonstrem a efetividade dos controles, não apenas sua existência formal.
O fluxo de comunicação ao COAF, estruturado pela Circular BCB 3.978/2020, segue etapas definidas:
- Identificação da operação atípica pelo sistema de monitoramento transacional
- Seleção da operação para análise, no prazo máximo de 45 dias contados da data do fato
- Análise fundamentada, formalizada em dossiê, no prazo máximo de 45 dias contados da seleção, mesmo quando a conclusão é de que não há indício de lavagem
- Decisão de comunicar ao COAF, com envio via SISCOAF até o dia útil seguinte à decisão, sem dar ciência ao envolvido ou a terceiros
- Arquivamento do dossiê com rastreabilidade completa, independentemente do resultado da análise
Além das comunicações por suspeita, há um fluxo automático. Como mencionado, operações em espécie a partir de R$ 50.000 são comunicadas de forma automática, sem juízo de suspeita. A comunicação de operação suspeita é um dever legal que dispensa o consentimento do cliente e não configura quebra de sigilo bancário. A Lei 9.613/1998 veda dar ciência ao envolvido sobre a comunicação de operação suspeita ao COAF (art. 11, §2º), prática conhecida como tipping off.
Saiba como integrar KYC, AML e relatórios regulatórios com a Celcoin.
Passo 6: atribuir a responsabilidade por PLD/FT
A responsabilidade pela política de PLD/FT se estrutura em camadas, mas permanece concentrada na instituição regulada.
- Alta administração: a política de PLD/FT deve ser aprovada pelo conselho de administração ou, na sua inexistência, pela diretoria, conforme a Circular BCB 3.978/2020. A avaliação interna de risco é aprovada pelo diretor responsável e encaminhada ao comitê de risco, ao comitê de auditoria e ao conselho, quando existirem.
- Diretor responsável: toda instituição autorizada pelo Banco Central deve indicar formalmente um diretor responsável pelo cumprimento das obrigações de PLD/FT. Esse diretor assina a AIR e responde individualmente perante o supervisor. A omissão pode configurar responsabilidade penal, nos termos do art. 13, § 2º do Código Penal.
- Área de compliance e PLD/FT: responde pela operação do programa, pelo monitoramento transacional, pela análise de operações suspeitas e pela elaboração do relatório anual de avaliação de efetividade, com data-base de 31 de dezembro e envio até 31 de março do ano seguinte.
- Parceiros e terceiros: em arranjos de Banking as a Service, a responsabilidade final pelo cumprimento das obrigações de PLD/FT permanece com a instituição regulada pelo Banco Central. A regulação brasileira de PLD/FT exige diligências baseadas em risco para contratação e supervisão de terceiros, incluindo parceiros, correspondentes e prestadores de serviço, com a Circular BCB 3.978/2020 tratando do perfil de terceiros na avaliação interna de risco. A responsabilidade não é transferível ao parceiro de infraestrutura.
Passo 7: adaptar o risco de PLD/FT ao tipo de instituição
Definida a responsabilidade, o próximo passo é entender como as obrigações de PLD/FT se adaptam ao tipo de instituição. A avaliação de risco se aplica a todas as instituições autorizadas pelo Banco Central, sem isenção por porte ou volume de transações. O que muda é o perfil de risco de cada modelo de negócio:
- Instituições de Pagamento (IPs) e fintechs: essas instituições estão sujeitas à Circular BCB 3.978/2020 desde a obtenção da autorização. O onboarding digital, o Pix e os canais indiretos representam vetores de risco relevantes. Desde fevereiro de 2026, as Sociedades Prestadoras de Serviços de Ativos Virtuais (SPSAVs) também estão sujeitas às mesmas obrigações, pelas Resoluções BCB 519, 520 e 521.
- Bancos digitais: além das obrigações da Circular BCB 3.978/2020, esses bancos operam com maior diversidade de produtos e canais, o que amplia o espectro de risco geográfico e de produto.
- ERPs e varejistas com serviços financeiros embarcados: quando a atividade se enquadra como instituição de pagamento, as obrigações de PLD/FT se aplicam integralmente. Empresas que ainda não possuem licença própria podem operar sob a infraestrutura regulatória de uma IP licenciada, mas a responsabilidade pela política de PLD/FT precisa permanecer definida contratualmente e clara para ambas as partes.
- Empresas não reguladas que operam sob BaaS: essas empresas não estão diretamente sujeitas à Circular BCB 3.978/2020, mas devem cumprir as exigências contratuais da IP licenciada que lhes fornece a infraestrutura. Muitas vezes, essas empresas também adotam controles por exigência de contraparte ou de matriz no exterior.
A Celcoin oferece infraestrutura full stack para toda essa jornada: licença própria de Instituição de Pagamento para empresas não reguladas no modelo BaaS, Core Banking para empresas reguladas que operam com licença própria, KYC, AML, monitoramento com IA e relatórios regulatórios automatizados, como CCS, CADOCs, COSIF, DIMP e BacenJud, com conexão direta à RSFN e ao SPB. A empresa que começa no BaaS pode migrar para o Core Banking com licença própria sem trocar de infraestrutura.
Explore a solução full stack da Celcoin para BaaS e Core Banking.
Passo 8: evitar erros comuns e aplicar boas práticas
Evitar erros recorrentes aumenta a efetividade do programa de PLD/FT e reduz o risco regulatório. As falhas mais frequentes nos programas de PLD/FT observadas pelo mercado brasileiro incluem:
- Matriz genérica copiada de terceiros: a AIR deve refletir o modelo de negócio, os produtos, os canais e os clientes da própria instituição. Uma matriz copiada não é defensável perante o Banco Central.
- Ausência de revisão periódica: a ausência da revisão bienal exigida pela Circular BCB 3.978/2020, já mencionada, torna a AIR desatualizada. Uma AIR desatualizada perde aderência ao referencial regulatório vigente.
- Onboarding sem due diligence proporcional: a velocidade do onboarding digital não dispensa a identificação, qualificação e classificação de risco do cliente antes do início da relação de negócio, conforme o art. 13 da Circular BCB 3.978/2020.
- Monitoramento sem regras calibradas: regras mal parametrizadas geram volume excessivo de falsos positivos, sobrecarregam as equipes de análise e reduzem a efetividade do sistema. A Pesquisa de Maturidade PLD/FTP 2025 da EY, com 51 instituições respondentes, apontou que 44% dos bancos comerciais afirmam que mais de 90% dos alertas gerados não resultam em investigações relevantes.
- Reporte ao COAF sem fundamentação: comunicar operações sem análise fundamentada sobrecarrega o COAF e não demonstra diligência. O dossiê de análise é obrigatório mesmo quando a conclusão é de que não há indício de lavagem.
- Dependência de múltiplos fornecedores sem governança: a fragmentação da infraestrutura dificulta a rastreabilidade das decisões e a produção de evidências documentais em auditoria.
- Operação com contas-bolsão: estruturas em que recursos de terceiros são administrados de forma não individualizada, misturando patrimônio do cliente com o da instituição, são irregulares e tendem a ser proibidas pelas normativas do Banco Central.
Passo 9: validar o programa com critérios de sucesso
Evitar esses erros é o primeiro passo. O segundo passo é validar se o programa atende aos critérios que a supervisão espera. Um programa de PLD/FT bem executado apresenta características verificáveis em auditoria e supervisão:
- Aderência regulatória: a política, a AIR e os controles estão alinhados à Circular BCB 3.978/2020, à Lei 9.613/1998 e às normas setoriais aplicáveis, com aprovação formal da alta administração e indicação do diretor responsável ao Banco Central.
- Rastreabilidade das decisões: cada classificação de risco, cada análise de operação suspeita e cada decisão de comunicar ou não ao COAF está documentada com a informação utilizada, a fonte e a data, formando trilha de auditoria completa e reconstituível.
- Qualidade da matriz: a matriz reflete o perfil real da instituição, é revisada periodicamente e aplica diligência proporcional aos diferentes perfis de risco.
- Tempestividade dos reportes: os prazos da Circular BCB 3.978/2020 são cumpridos, com 45 dias para seleção, 45 dias para análise e um dia útil para envio ao COAF após a decisão.
