Relatório regulatório de PLD/FT: passo a passo completo

Principais lições deste artigo

• O relatório regulatório de PLD/FT é obrigatório para todas as instituições autorizadas pelo Banco Central e deve seguir a Circular BCB nº 3.978/2020 e a Lei nº 9.613/1998.

• O processo envolve cinco passos principais: identificar obrigações, mapear dados, estruturar campos obrigatórios, cumprir prazos e automatizar via APIs.

• Os principais riscos operacionais incluem atraso no envio de RAS, cadastro incompleto de beneficiários finais e ausência de trilha de auditoria.

• A automação via APIs reduz erros, garante envio dentro dos prazos e mantém registros auditáveis para inspeções do Banco Central.

• A Celcoin oferece infraestrutura de Core Banking e relatórios regulatórios automatizados para fintechs, bancos digitais, gestoras de fundos, varejistas e ERPs. Conheça a solução de relatórios regulatórios automatizados.

Passo 1 – Identificação das obrigações regulatórias aplicáveis

O primeiro passo é identificar quais normas se aplicam à sua instituição. O artigo 9º da Lei nº 9.613/1998, com a redação dada pela Lei nº 12.683/2012, define um rol amplo de obrigados que inclui pessoas físicas e jurídicas que exerçam atividades de promoção imobiliária ou compra e venda de imóveis, além de bancos, cooperativas, corretoras, administradoras de consórcio, seguradoras de vida, empresas de cartão de crédito e câmbio, joalheiros, leiloeiros, negociantes de arte e prestadores de serviços de ativos virtuais (VASPs).

Todos os prestadores de serviços de pagamento (PSPs) autorizados pelo Banco Central, incluindo emissores de moeda eletrônica, emissores de instrumentos de pagamento pós-pagos, iniciadores de transação de pagamento (ITPs), credenciadoras e plataformas eletrônicas de câmbio, estão sujeitos à Circular BCB nº 3.978/2020 e às obrigações de reporte ao COAF.

Instituições do mercado de capitais também precisam considerar normas específicas. Em julho de 2026, a CVM emitiu a Resolução CVM 245, que alterou a Resolução CVM 50 para introduzir o artigo 17-A e exigir diligência reforçada para clientes classificados como investidores não residentes provenientes de jurisdições listadas pelo GAFI. Essa norma entrou em vigor em 15 de julho de 2026 e afeta instituições que operam com contrapartes internacionais.

Uma vez que a instituição conhece o conjunto de normas aplicáveis, o próximo desafio é demonstrar essa conformidade com dados consistentes. Sem dados estruturados e acessíveis, o cumprimento de prazos e layouts regulatórios se torna difícil, mesmo com obrigações bem mapeadas.

Passo 2 – Mapeamento dos dados necessários

O segundo passo é mapear as fontes de dados que alimentarão o relatório. Quatro categorias são centrais:

• AIR (Avaliação Interna de Risco: documentação do perfil de risco da instituição, dos produtos e serviços oferecidos, dos canais de distribuição e das geografias atendidas, conforme exigido pela Circular BCB nº 3.978/2020.

• KYC/KYP: identificação completa de clientes e parceiros, com CPF e RG ou CNH para pessoas físicas, CNPJ e documentos societários para pessoas jurídicas e identificação de beneficiários finais com participação igual ou superior a 25%. A instituição deve reter esses registros por no mínimo 5 anos após o encerramento do relacionamento.

• Monitoramento de transações: registros de operações com data, valor em reais, tipo, canal utilizado e contrapartes, cruzados de forma contínua com o perfil de risco do cliente.

• Comunicações ao COAF: histórico de comunicações automáticas de operações (CAO) e relatórios de atividades suspeitas (RAS) já enviados, com os respectivos números de protocolo do SISCOAF.

Passo 3 – Estrutura do relatório e campos obrigatórios

O relatório regulatório de PLD/FT resulta de um conjunto de registros e comunicações que, em conjunto, demonstram a conformidade da instituição. Os principais campos e seções obrigatórios incluem:

• Política formal de PLD/FT: documento aprovado pela alta administração, com objetivos, escopo, responsabilidades e metodologia baseada em risco.

• Avaliação Interna de Risco (AIR): análise documentada dos riscos de lavagem de dinheiro e financiamento do terrorismo inerentes à operação da instituição.

• Registros de KYC: fichas cadastrais completas com identificação de clientes, beneficiários finais e origem de recursos.

• Registros de monitoramento: logs de transações monitoradas, alertas gerados e análises realizadas.

• CAO (Comunicações Automáticas de Operações): reporte de operações que atingem limiares regulatórios, como operações em espécie acima de R$ 50.000.

• RAS (Relatório de Atividades Suspeitas: comunicação ao COAF via SISCOAF com identificação completa das partes, descrição da operação, narrativa fundamentada da suspeita e referência ao dossiê interno de PLD/FT.

• Plano de ação e relatório de acompanhamento: documentação das deficiências identificadas na avaliação de efetividade e das medidas corretivas adotadas, conforme a Circular BCB nº 3.978/2020.

Passo 4 – Prazos e canais de entrega

O cumprimento dos prazos é um dos pontos de maior risco operacional e precisa de controles claros. Os principais marcos são:

• RAS (Relatórios de Atividades Suspeitas: a comunicação de operações suspeitas ao COAF deve ser feita em até 24 horas após a identificação ou conhecimento do fato, independentemente do valor da transação, sem notificar o cliente ou terceiros.

• CAO (Comunicações Automáticas de Operações: para operações em espécie acima do limiar, a comunicação deve ser enviada ao COAF no prazo de 24 horas após a conclusão da operação.

O canal obrigatório para todas as comunicações ao COAF é o portal SISCOAF, que exige credenciamento prévio da entidade e gera um número de protocolo que serve como comprovante de envio. A conexão com a RSFN é necessária para instituições que reportam diretamente ao Banco Central por meio dos sistemas do SPB.

Passo 5 – Automação via APIs e integração com sistemas internos

A produção manual do relatório regulatório de PLD/FT se torna inviável à medida que o volume de transações cresce. A automação via APIs passou a ser requisito operacional para manter prazos, qualidade de dados e trilhas de auditoria.

A Celcoin oferece infraestrutura de Core Banking com relatórios regulatórios automatizados e integração direta com a RSFN e o SPB. As APIs modulares da Celcoin permitem coletar automaticamente dados de KYC, monitoramento de transações e alertas de risco a partir dos sistemas internos da instituição. Com esses dados centralizados, a plataforma gera os arquivos de CAO e RAS nos layouts exigidos pelo SISCOAF, o que elimina retrabalho manual.

Antes do envio, os dados são validados em relação aos requisitos do COAF, o que reduz a taxa de rejeição por inconsistências cadastrais ou de formatação. O envio ocorre dentro dos prazos regulatórios, com registro do número de protocolo e trilha de auditoria completa. Essa automação se integra a sistemas legados por meio de APIs REST bem documentadas, com SDKs e sandboxes que reduzem o tempo de implementação.

Veja como a Celcoin automatiza relatórios de PLD/FT via APIs.

Erros comuns e pontos de atenção

Evitar erros recorrentes reduz o risco regulatório e o retrabalho em inspeções. Os problemas mais frequentes incluem:

• Cadastro incompleto de beneficiários finais: omitir a identificação de sócios com participação igual ou superior a 25% é uma falha comum em auditorias do Banco Central.

• Atraso no envio de RAS urgentes: a janela de 24 horas costuma ser descumprida quando o processo depende de aprovação manual em múltiplas camadas.

• Ausência de trilha de auditoria: a Circular BCB nº 3.978/2020 exige documentação que comprove a política, os controles e as análises de risco adotados. Sem logs automatizados, a reconstituição do histórico é custosa e sujeita a lacunas.

• Notificação indevida ao cliente: informar o cliente de que uma RAS foi enviada ao COAF expõe a instituição a riscos adicionais e deve ser evitado.

• Política de PLD/FT desatualizada: a norma exige avaliação periódica da efetividade dos controles e plano de ação para sanar deficiências. Políticas sem revisão documentada são sinal de alerta em inspeções.

• Retenção insuficiente de registros: manter documentos por período inferior ao exigido após o encerramento do relacionamento com o cliente pode gerar achados relevantes em inspeções.

Critérios de sucesso e validação

A instituição pode medir a maturidade da operação de PLD/FT com indicadores objetivos:

• Taxa de rejeição de comunicações no SISCOAF próxima de zero, o que indica qualidade dos dados enviados.

• Tempo médio de envio de RAS urgentes inferior a 4 horas após a confirmação da suspeita.

• Cobertura de 100% das operações acima dos limiares regulatórios nas CAO mensais, sem lacunas de período.

• Trilha de auditoria completa e recuperável para todos os alertas gerados, analisados e comunicados.

• Redução do tempo de equipe dedicado à produção manual de relatórios, com maior foco em análise de risco e governança.

• Ausência de achados críticos em inspeções do Banco Central relacionados a PLD/FT.

A tabela a seguir se apresenta como um resumo das principais funcionalidades do banking da Celcoin e dos resultados que essas funcionalidades podem gerar para a instituição.

Tabela de funcionalidades da Celcoin

Funcionalidade da Celcoin	Benefício para sua empresa
APIs modulares	Integrações mais rápidas, com redução de custos e prazos de desenvolvimento.
Experiência e suporte ao desenvolvedor	Documentação, SDKs e sandboxes que reduzem ciclos de integração e custos de engenharia.
Capacidade de lançamento rápido	Módulos pré-construídos e entrega via SaaS aceleram lançamentos e reduzem o tempo para geração de receita.
Distribuição white-label e embutida (embedded)	Suporte a produtos financeiros com marca própria.
Escalabilidade com confiabilidade	Solução com alta disponibilidade e escalável na nuvem, que mantém serviços funcionando mesmo com altos volumes.
Cobertura de diversas possibilidades de pagamentos, incluindo crédito	Oferta de pagamentos e emissão de crédito para aumento de conversão, ARPU e fidelização.
Acesso a dados e personalização	Dados e análises via Open Finance permitem ofertas personalizadas, com impacto em conversão e retenção.
Compliance e conformidade como princípio	KYC, AML e relatórios integrados reduzem risco regulatório e encurtam ciclos de vendas.
Prevenção de fraude e controles de risco	Monitoramento baseado em IA e autenticação robusta reduzem estornos, perdas e exposição regulatória.
Força do ecossistema de parceiros da Celcoin	Parcerias e integrações com bancos, redes e fintechs ampliam cobertura, recursos e velocidade de entrada no mercado.

A Celcoin não oferece nenhum tipo de empréstimo para consumidores. A Celcoin fornece a infraestrutura tecnológica para que empresas consigam ofertar produtos de crédito aos seus clientes.

Próximos passos: expansão da automação e governança contínua

Após estruturar o fluxo básico de geração e entrega do relatório regulatório de PLD/FT, a instituição pode avançar para um nível de maturidade com foco em automação ampliada e governança contínua. Três frentes se destacam:

• Monitoramento contínuo baseado em risco: substituir regras estáticas de alerta por modelos que consideram o perfil histórico de cada cliente, o que reduz falsos positivos e direciona a análise humana para os casos de maior risco.

• Atualização regulatória automatizada: manter as APIs e os layouts de comunicação sincronizados com alterações normativas do Banco Central, da CVM e do COAF, sem retrabalho interno a cada mudança.

• Governança e avaliação periódica: documentar a avaliação de efetividade dos controles de PLD/FT e o plano de ação decorrente, com registros auditáveis e acessíveis para inspeções, conforme a Circular BCB nº 3.978/2020.

A Celcoin acompanha a instituição nessas etapas, desde o BaaS para empresas sem licença própria até o Core Banking para IPs e IFs já autorizadas, mantendo a mesma base tecnológica e o mesmo suporte especializado ao longo da jornada de crescimento.

Perguntas frequentes

Quais instituições são obrigadas a enviar relatórios de PLD/FT ao COAF?

Todas as instituições autorizadas pelo Banco Central do Brasil, incluindo bancos, cooperativas de crédito, corretoras, administradoras de consórcio, emissores de moeda eletrônica, credenciadoras, iniciadores de transação de pagamento e plataformas de câmbio eletrônico, estão sujeitas à Circular BCB nº 3.978/2020 e devem enviar comunicações ao COAF. Fora do perímetro do Banco Central, a Lei nº 9.613/1998 alcança imobiliárias, joalheiros, leiloeiros, negociantes de arte e prestadores de serviços de ativos virtuais, entre outros. Empresas que operam sob a licença de uma instituição habilitada, no modelo BaaS, têm as obrigações de reporte geridas pela instituição detentora da licença.

Qual é o prazo para comunicar uma operação suspeita ao COAF?

Conforme descrito no Passo 4, o prazo para a comunicação de operações suspeitas (RAS) ao COAF é de até 24 horas após a identificação ou conhecimento do fato. Para comunicações automáticas de operações (CAO) que atingem limiares regulatórios, como operações em espécie, o envio também deve ocorrer em 24 horas após a conclusão da operação. A instituição não deve informar o cliente sobre o envio de qualquer comunicação ao COAF.

O que deve constar em uma comunicação de operação suspeita enviada ao SISCOAF?

A comunicação deve incluir a identificação completa das partes envolvidas, com CPF ou CNPJ, nome completo ou razão social, endereço, e-mail e telefone. Também deve descrever a operação com tipo, valor em reais, data, canais utilizados e contrapartes, além de apresentar uma narrativa clara e fundamentada dos motivos da suspeita. A instituição precisa referenciar o dossiê interno de PLD/FT e registrar o número de protocolo gerado pelo SISCOAF após o envio. A boa-fé na comunicação, mesmo que a suspeita se revele infundada, não gera responsabilidade civil ou administrativa para a instituição reportante, conforme o artigo 11, §2º da Lei nº 9.613/1998.

Por quanto tempo os registros de KYC e transações devem ser retidos?

As normas de PLD/FT exigem a retenção de documentos de KYC e registros de transações por um período estendido após o encerramento do relacionamento com o cliente. A ausência de registros completos e recuperáveis é um dos principais achados em inspeções do Banco Central e pode resultar em sanções administrativas.

Como a automação via APIs reduz o risco regulatório na produção do relatório de PLD/FT?

A automação reduz as principais fontes de erro do processo manual, como preenchimento incorreto de campos obrigatórios, atraso no envio por dependência de aprovações humanas, lacunas de cobertura em períodos de alto volume transacional e ausência de trilha de auditoria. APIs integradas ao Core Banking coletam dados diretamente dos sistemas operacionais, validam os layouts exigidos pelo SISCOAF antes do envio, registram o protocolo de cada comunicação e mantêm logs auditáveis de todo o fluxo. O resultado é uma operação de PLD/FT com menor custo de equipe, menor taxa de rejeição e maior capacidade de resposta a inspeções regulatórias.

Conclusão

Produzir o relatório regulatório de PLD/FT de forma estruturada e automatizada é uma condição para operar serviços financeiros com escala e segurança no Brasil. Os cinco passos descritos neste artigo, que incluem identificação das obrigações aplicáveis, mapeamento de dados, estruturação dos campos obrigatórios, cumprimento de prazos e automação via APIs, formam um fluxo replicável que reduz erros, libera equipes de compliance e garante consistência técnico-regulatória ao longo do tempo.

A Celcoin oferece a infraestrutura necessária para executar esse fluxo, desde o BaaS para instituições que ainda não possuem licença própria até o Core Banking para IPs e IFs já autorizadas. Essa infraestrutura inclui relatórios regulatórios automatizados, conexão direta à RSFN e APIs modulares que se integram aos sistemas internos de cada cliente. A mesma base tecnológica acompanha a instituição em toda a jornada de crescimento, sem necessidade de trocar de infraestrutura ao obter novas licenças.

Conheça a infraestrutura completa de Core Banking e BaaS da Celcoin.