Gestão de risco em PLD-FT: por que o onboarding não basta?

Uma distribuidora de autopeças com oito anos de CNPJ ativo, sócios sem restrição e nenhuma mídia negativa passa pelo onboarding em menos de um dia. Oito meses depois, entrou um sócio novo, o volume mensal triplicou e os recebimentos passaram a vir de dezenas de pessoas físicas, em valores logo abaixo do limite que dispararia uma regra. Cada sinal estava em um sistema diferente, e ninguém juntou as peças a tempo.

O caso é ilustrativo, mas o padrão aparece em muitas operações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD-FT) no Brasil. Ele abre o e-book Gestão de Risco 360º, guia gratuito da CIAL Dun & Bradstreet, parceira exclusiva da Dun & Bradstreet na América Latina, que mostra como a gestão de risco em PLD-FT deixa de ser uma sequência de etapas isoladas e passa a funcionar como uma jornada contínua, do onboarding à preparação do reporte ao COAF.

Baixe o e-book Gestão de Risco 360º

O que é gestão de risco 360º em Compliance e PLD-FT

Gestão de risco 360º é um modelo de operação em que a contraparte (cliente, fornecedor, parceiro ou colaborador) fica no centro, e todas as dimensões de risco ficam conectadas a ela: cadastro, estrutura societária e beneficiário final, PEP e sanções, histórico legal e mídia, situação financeira, comportamento transacional, alertas e decisões. Quem precisa decidir sobre aquela contraparte enxerga tudo no mesmo lugar, com histórico.

Na prática, o modelo responde a duas perguntas que o onboarding sozinho deixa em aberto: o que mudou nessa contraparte desde que ela foi aprovada, e o que ela está fazendo agora.

Por que a pressão sobre PLD-FT aumentou no Brasil

O arcabouço brasileiro de PLD-FT vem sendo apertado em várias frentes ao mesmo tempo. Os movimentos mais recentes:

• Abordagem baseada em risco. A Circular BCB 3.978/2020 revogou a Circular 3.461/2009 e passou a exigir avaliação interna de risco, identificação do beneficiário final, análise formalizada em dossiê e relatório anual de efetividade. A mesma lógica orienta a Resolução CVM 50/2021, no mercado de capitais, e a Circular SUSEP 612/2020, no setor de seguros.
• Novos setores no perímetro. A Portaria SPA/MF 1.143, de 11 de julho de 2024, estabeleceu políticas de PLD-FT para operadoras de apostas de quota fixa, com classificação de risco dos apostadores e comunicação ao COAF. Fiscalização e sanções valem desde 1º de janeiro de 2025.
• Mais inteligência financeira em produção. O COAF produziu 20.548 Relatórios de Inteligência Financeira (RIFs) em 2025, alta de 9,5% sobre os 18.762 de 2024, segundo o Relatório de Gestão Integrado 2025, divulgado em abril de 2026.
• Cobrança internacional por transparência. O Relatório de Avaliação Mútua do Brasil, publicado por GAFI e GAFILAT em dezembro de 2023, reconheceu avanços desde 2010 e apontou como desafio a identificação rápida e efetiva de beneficiários finais.
• Financiamento do terrorismo dentro do país. Em 28 de maio de 2026, o Departamento de Estado dos EUA designou o Comando Vermelho e o Primeiro Comando da Capital como Terroristas Globais Especialmente Designados (SDGT). A designação das duas facções como Organizações Terroristas Estrangeiras (FTO) passou a valer em 5 de junho de 2026.
• Sanções por falha de qualificação. Em maio de 2026, o comitê sancionador do Banco Central multou um banco brasileiro em R$ 16,2 milhões por falhas na avaliação da capacidade financeira de clientes, em procedimentos cadastrais e em controles de PLD-FT, incluindo a não comunicação de operações atípicas ao COAF.

O ponto em comum: o regulador cobra cada vez menos o cumprimento de checklist e cada vez mais a capacidade de demonstrar o racional de cada decisão. Para os elementos que uma política precisa ter hoje, veja política de PLD/FT: o que mudou e o que revisar em 2026.

KYC e KYT: qual a diferença e por que uma depende da outra

KYC (Know Your Customer) identifica e qualifica a contraparte. KYT (Know Your Transaction) verifica se o comportamento transacional faz sentido para o perfil dessa contraparte. A primeira diz quem é a empresa; a segunda mostra o que ela está fazendo.

• KYC. Pergunta central: quem é a contraparte? Usa cadastro, quadro societário, beneficiário final, PEP, sanções e mídia negativa. Acontece no onboarding e em revisões periódicas. Ponto cego quando usado sozinho: não vê a empresa regular que passou a receber de centenas de CPFs.
• KYT. Pergunta central: esse comportamento é compatível com o perfil dela? Usa volume, frequência, origem e destino dos recursos. Acontece ao longo de todo o relacionamento. Ponto cego quando usado sozinho: não sabe que a empresa trocou de sócio dois meses antes.

Cada visão isolada produz uma decisão pior. O KYC sozinho deixa passar o risco que só aparece na movimentação. O KYT sozinho gera alertas sem contexto, que entram numa fila sem prioridade. Lidos juntos, os dois separam o desvio que tem explicação legítima (um contrato novo, por exemplo) do desvio que merece investigação. O passo a passo da primeira camada está em KYC empresarial: o que é, como funciona e checklist prático, e o efeito da falta de contexto na fila de alertas, em como reduzir falsos positivos em AML.

A mesma pergunta vale para outras relações: fornecedores (KYS), parceiros (KYP) e colaboradores em posições sensíveis (KYE). O mercado chama esse conjunto de KYX.

Prazos da Circular 3.978 para análise e comunicação ao COAF

Para instituições autorizadas pelo Banco Central, a Circular 3.978/2020 define uma sequência de prazos que começa na ocorrência da operação e termina na comunicação ao COAF:

• Monitoramento e seleção: até 45 dias contados da ocorrência da operação (art. 39, parágrafo único).
• Análise, formalizada em dossiê: até 45 dias contados da seleção (art. 43, §§ 1º e 2º).
• Decisão de comunicar: até o fim do prazo de análise (art. 48, § 1º).
• Comunicação ao COAF: até o dia útil seguinte à decisão (art. 48, § 2º).
• Declaração de não ocorrência: até 10 dias úteis após o fim de um ano civil sem comunicações (art. 54).
• Relatório de avaliação de efetividade: data-base de 31 de dezembro, encaminhado até 31 de março do ano seguinte (art. 62, § 2º).

CVM, SUSEP e os demais reguladores têm prazos próprios. O que todas as normas compartilham é a exigência de rastreabilidade: a análise precisa ficar documentada mesmo quando não resulta em comunicação. Sem controle de fila e de prazo, cada alerta acumulado aproxima a operação de uma janela regulatória perdida.

Sinais de que sua operação de PLD-FT está fragmentada

Poucas áreas de Compliance sofrem por falta de ferramenta. O problema mais comum está nas ferramentas que não conversam entre si. Alguns sintomas fáceis de reconhecer:

• O analista abre mais de um sistema para investigar um único alerta.
• A classificação de risco definida no onboarding não é revisitada quando a contraparte troca de sócio.
• O beneficiário final é identificado pela declaração do cliente, sem cruzamento com dados de estrutura societária.
• Ajustar uma regra de monitoramento exige abrir chamado para a área de tecnologia.
• A decisão de encerrar um alerta fica registrada em e-mail ou planilha.
• A comunicação ao COAF é reescrita do zero depois que o caso foi concluído.

Se mais de um item soa familiar, o analista virou a integração entre os sistemas. Isso depende de memória e disciplina individual, não escala com o volume e dificilmente resiste a uma auditoria. O custo dessa fragmentação está detalhado em Compliance e PLD: o custo de cinco ferramentas desconectadas.

O que você encontra no e-book Gestão de Risco 360º

O e-book foi escrito para quem responde pelo risco de terceiros: Heads e Diretores de Compliance, profissionais de PLD-FT, Chief Compliance Officers, Risco, Controles Internos, Auditoria e Jurídico. Os conceitos vêm sem juridiquês, com exemplos do mercado brasileiro e fonte indicada em cada norma ou número citado.

"O risco não termina no onboarding. A contraparte muda de sócio, de comportamento e de exposição ao longo do relacionamento, e quem não acompanha esse movimento descobre tarde demais." Eric Greghy, Líder de Soluções para Compliance e Gestão de Risco da CIAL Dun & Bradstreet

Ao longo de 14 capítulos, o material cobre:

• O contexto regulatório de PLD-FT no Brasil, da Lei 9.613/1998 às normas setoriais mais recentes.
• Due diligence, beneficiário final, PEP, listas restritivas e o conceito de KYX.
• Cenários de monitoramento transacional, muitos inspirados nos exemplos da Carta Circular BCB 4.001/2020.
• Priorização de alertas, redução de falsos positivos por contexto e investigação com trilha de auditoria.
• Como estruturar uma comunicação ao COAF bem fundamentada.
• O papel dos dados empresariais e da IA com supervisão humana.
• Um checklist de maturidade com 12 perguntas para aplicar com o time.

Além disso, o material também mostra como o Integrity One, plataforma de Compliance e PLD/FT da CIAL, conecta onboarding, due diligence, motor de decisão, monitoramento contínuo, monitoramento transacional, investigação e preparação do reporte ao COAF em um único ambiente. A base combina dados oficiais brasileiros de pessoas físicas e jurídicas com a base global da Dun & Bradstreet, organizada pelo número D-U-N-S.

Baixe gratuitamente o e-book Gestão de Risco 360º

Converse com a CIAL no Congresso de PLDFT & GRISC 2026, da Febraban

Pela primeira vez, a Febraban reúne em um único evento o Congresso de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo (PLDFT) e o Congresso de Gestão de Riscos (GRISC), ambos na 16ª edição, com programação conjunta. O encontro acontece em 17 e 18 de novembro de 2026, no Transamerica Expo Center, em São Paulo, com participação presencial e online.

A CIAL Dun & Bradstreet estará no evento como expositora, no estande 36 (Hall B). Nossos especialistas em Compliance e gestão de risco vão fazer demonstrações ao vivo do Integrity One e conversar sobre os temas do e-book, do monitoramento transacional à preparação do reporte ao COAF. Se você vai ao congresso, leve as respostas do checklist de maturidade e passe no estande.

Programação e inscrições do PLDFT & GRISC 2026

Perguntas frequentes

O que é PLD-FT?

PLD-FT é a sigla para prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Reúne as políticas, procedimentos e controles usados para identificar clientes, monitorar operações e comunicar situações suspeitas ao COAF. No Brasil, a base legal é a Lei 9.613/1998, que tipificou o crime de lavagem de dinheiro e criou o COAF; cada setor regulado segue normas próprias, como a Circular BCB 3.978/2020 para instituições autorizadas pelo Banco Central.

Qual é o prazo para comunicar uma operação suspeita ao COAF?

Para instituições autorizadas pelo Banco Central, a comunicação deve ser feita até o dia útil seguinte à decisão de comunicar, conforme o art. 48 da Circular 3.978/2020. A decisão precisa ocorrer dentro do prazo de análise, de até 45 dias a partir da seleção da operação, e a seleção deve ocorrer em até 45 dias da ocorrência. CVM, SUSEP e outros reguladores têm prazos próprios.

Qual a diferença entre KYC e KYT?

KYC (Know Your Customer) identifica e qualifica a contraparte: quem ela é, quem são os sócios e o beneficiário final, e se há PEP, sanções ou mídia negativa. KYT (Know Your Transaction) compara o comportamento transacional com o perfil esperado dessa contraparte. Usados juntos, permitem distinguir um desvio explicável de um indício que merece investigação.

O que é beneficiário final?

Beneficiário final é a pessoa natural que, em última instância, controla ou se beneficia de uma empresa, mesmo sem aparecer no primeiro nível do quadro societário. Para instituições reguladas pelo Banco Central, a Circular 3.978/2020 exige analisar a cadeia de participações até essa pessoa e fixa um percentual de referência de participação que não pode passar de 25%.

Empresas que não são pessoas obrigadas precisam se preocupar com PLD-FT?

Uma indústria ou um varejista que não se enquadra no artigo 9º da Lei 9.613/1998 não tem, em regra, o dever de comunicar operações ao COAF. Ainda assim, a Lei 12.846/2013 (Lei Anticorrupção) responsabiliza empresas por atos lesivos praticados em seu interesse ou benefício, e a due diligence de fornecedores e parceiros é um dos pilares de um programa de integridade.

Quando e onde acontece o PLDFT & GRISC 2026?

O PLDFT & GRISC 2026 acontece em 17 e 18 de novembro de 2026, no Transamerica Expo Center, em São Paulo, com participação presencial e online. É a 16ª edição dos dois congressos da Febraban, realizados pela primeira vez com programação conjunta. A CIAL Dun & Bradstreet estará no estande 36.

Leve o diagnóstico para o seu time. O checklist de 12 perguntas do e-book funciona melhor em grupo: as respostas raramente coincidem entre quem opera, quem decide e quem responde pela área. Baixe o e-book Gestão de Risco 360º e use as divergências como ponto de partida da próxima reunião.

Este conteúdo tem caráter informativo e não substitui orientação jurídica ou regulatória para o caso concreto.

Fontes: Circular BCB nº 3.978/2020 (arts. 24, 25, 39, 43, 48, 54, 62 e 69); Lei nº 9.613/1998; Lei nº 12.846/2013; Resolução CVM nº 50/2021; Circular SUSEP nº 612/2020; Carta Circular BCB nº 4.001/2020; Portaria SPA/MF nº 1.143/2024; COAF, Relatório de Gestão Integrado 2025; GAFI/GAFILAT, Relatório de Avaliação Mútua do Brasil (2023); U.S. Department of State (28/05/2026); Banco Central do Brasil, decisão do Comitê de Decisão de Processo Administrativo Sancionador (maio de 2026); ANBIMA, divulgação do PLDFT & GRISC 2026.