Se a política de PLD/FT da sua empresa foi aprovada em 2023 e nunca voltou à mesa do conselho, ela provavelmente já não descreve a operação que existe hoje. E é justamente esse documento que o supervisor pede primeiro quando bate à porta.

O volume que circula no sistema mostra o tamanho da atenção regulatória. Segundo o Relatório de Gestão Integrado 2025 do COAF, o órgão recebeu cerca de 7,6 milhões de comunicações no ano e produziu 20.548 Relatórios de Inteligência Financeira, média de 56 por dia. Dentro desse total, as comunicações de operações suspeitas chegaram a 3,1 milhões, alta de 20% sobre os 2,5 milhões de 2024. Cada uma delas nasceu de uma política interna, de um parâmetro de monitoramento e de uma decisão documentada por alguém.

O que é uma política de PLD/FT

Política de PLD/FT é o documento formal que define como uma empresa previne, detecta e comunica a utilização de suas operações para lavagem de dinheiro e financiamento do terrorismo. Ela estabelece papéis, responsabilidades, critérios de identificação de clientes, regras de registro de operações, procedimentos de monitoramento e o fluxo de comunicação ao Conselho de Controle de Atividades Financeiras (COAF).

A base legal está na Lei nº 9.613/1998, que define os crimes de lavagem de dinheiro e lista, no art. 9º, as pessoas obrigadas a manter controles. Para as instituições autorizadas pelo Banco Central, o detalhamento vem da Circular BACEN nº 3.978/2020. Para os setores supervisionados diretamente pelo COAF, como fomento comercial, joias, pedras e metais preciosos e bens de luxo e alto valor, o parâmetro é a Resolução COAF nº 36/2021.

A CIAL Dun & Bradstreet, parceira exclusiva da Dun & Bradstreet na América Latina, acompanha essa agenda de perto porque o dado cadastral e societário é a matéria-prima de qualquer programa de Compliance e PLD que funcione na prática.

O que mudou e por que a revisão da política de PLD/FT virou prioridade em 2026

A obrigação de manter a política documentada, aprovada e atualizada não é nova. A Circular 3.978/2020 já exige isso no art. 7º, e a Resolução COAF nº 36/2021 repete a exigência para os supervisionados diretos. O que mudou em 2026 foi o contexto ao redor do documento.

O perímetro regulado cresceu. As Resoluções BCB nº 519, 520 e 521, publicadas em 10 de novembro de 2025, entraram em vigor em 2 de fevereiro de 2026 e trouxeram as prestadoras de serviços de ativos virtuais para dentro do arcabouço do Sistema Financeiro Nacional. Essas empresas já eram pessoas obrigadas desde a Lei nº 14.478/2022, que as incluiu no art. 9º da Lei nº 9.613/1998. A diferença é que agora respondem ao rito de autorização e à supervisão direta do Banco Central.

A referência de risco do país está sendo reescrita. A Resolução GTANR/COAF nº 6, de 15 de janeiro de 2025, deu seguimento à revisão da Avaliação Nacional de Riscos, tomando como base a metodologia do GAFI e os apontamentos do Relatório de Avaliação Mútua do Brasil, publicado por GAFI e Gafilat em dezembro de 2023. Isso importa porque a Circular 3.978/2020, no art. 10, § 4º, determina que as avaliações produzidas por entidades públicas brasileiras sejam usadas como insumo da avaliação interna de risco. Quando o referencial nacional muda, a avaliação interna que se apoiava nele perde aderência.

O relógio dos dois anos está vencendo. O art. 12, inciso III, da Circular 3.978/2020 exige que a avaliação interna de risco seja revisada a cada dois anos, e também sempre que houver alteração significativa nos perfis de risco. Quem fez a última revisão em 2024 tem 2026 como prazo. Como a política precisa ser compatível com essa avaliação, a revisão de uma puxa a revisão da outra.

Vale registrar o que o Relatório de Avaliação Mútua apontou como desafio brasileiro: a identificação rápida e efetiva de beneficiários finais das pessoas jurídicas. Esse é o ponto em que a maioria das políticas fica bonita no papel e trava na execução.

Elementos obrigatórios de uma política de PLD/FT

Os quatro blocos abaixo aparecem, com variações de nomenclatura, tanto na Circular 3.978/2020 quanto na Resolução COAF nº 36/2021.

1. Identificação e qualificação de clientes. Coleta, verificação e validação de CPF ou CNPJ, endereço, capacidade financeira e classificação em categorias de risco. Inclui a análise da cadeia societária até a pessoa natural caracterizada como beneficiário final. A Circular 3.978/2020 fixa, no art. 25, § 1º, que o valor mínimo de referência de participação societária para essa identificação seja definido com base em risco e não passe de 25%, somando participação direta e indireta. Também exige a verificação da condição de pessoa exposta politicamente, de familiares e de estreitos colaboradores. O detalhamento operacional dessa camada está em KYC empresarial: o que é, como funciona e checklist prático.

2. Registro de operações. Todas as operações, produtos e serviços contratados precisam de registro com tipo, valor, data, identificação das partes e canal utilizado. Operações em espécie de valor individual acima de R$ 2.000,00 exigem o registro do portador dos recursos. Depósitos, aportes e saques em espécie iguais ou superiores a R$ 50.000,00 exigem a identificação do proprietário, do portador e da origem dos recursos. Os registros ficam à disposição do Banco Central por dez anos.

3. Monitoramento, análise e comunicação ao COAF. A Circular 3.978/2020 estabelece prazo máximo de 45 dias para o monitoramento e a seleção da operação, contado da data do fato, e outros 45 dias para a análise, contados da seleção. A análise precisa ser formalizada em dossiê, mesmo quando não resulta em comunicação. Decidida a comunicação, o envio ao COAF acontece até o dia útil seguinte, sem dar ciência ao envolvido ou a terceiros. Operações em espécie iguais ou superiores a R$ 50.000,00 são comunicadas de forma automática, sem juízo de suspeita.

4. Abordagem baseada em risco. A política não pode tratar todos os clientes do mesmo jeito. A avaliação interna de risco precisa classificar clientes, produtos, canais, área geográfica, funcionários e prestadores de serviço em categorias, avaliando probabilidade de ocorrência e magnitude dos impactos financeiro, jurídico, reputacional e socioambiental. Categorias de maior risco recebem controles reforçados. Categorias de menor risco admitem controles simplificados.

Some-se a esses blocos a estrutura de governança: diretor formalmente indicado ao Banco Central, aprovação pelo conselho de administração ou pela diretoria, divulgação em linguagem acessível a funcionários e terceiros, capacitação periódica e relatório anual de avaliação de efetividade com data-base de 31 de dezembro, encaminhado até 31 de março do ano seguinte.

Checklist de revisão da política de PLD/FT

Use esta sequência para separar o que é ajuste de texto do que é lacuna de controle.

1. Confira a data de aprovação e o órgão que aprovou. Sem ata do conselho ou da diretoria, o documento não cumpre o requisito formal.
2. Cruze a política com a avaliação interna de risco vigente. Se a avaliação tem mais de dois anos, as duas peças precisam ser revistas juntas.
3. Verifique se o desenho cobre a operação atual. Produtos novos, canais digitais novos, mercados novos e uso de novas tecnologias precisam ter passado por avaliação prévia de risco.
4. Teste o caminho do beneficiário final. Escolha cinco clientes pessoa jurídica com estrutura societária em camadas e tente chegar à pessoa natural. O tempo que isso leva é o seu indicador real de maturidade.
5. Reveja os parâmetros de monitoramento. Regras, cenários e variáveis precisam estar documentados e ser passíveis de verificação quanto a adequação e efetividade. Se a fila de alertas cresce sem virar comunicação, o problema pode estar na calibragem: veja como reduzir falsos positivos em AML.
6. Meça os prazos internos contra os prazos regulatórios. Monitoramento em 45 dias, análise em 45 dias, comunicação até o dia útil seguinte à decisão.
7. Confirme os fluxos anuais. Declaração de não ocorrência quando não houve comunicações no ano civil, relatório de efetividade até 31 de março e plano de ação de correção até 30 de junho.
8. Cheque a trilha de auditoria. Dossiês, versões anteriores da avaliação de risco e manuais de identificação de clientes e de monitoramento precisam estar recuperáveis.
9. Revise a lista de terceiros. Parceiros, correspondentes e prestadores de serviço entram na política. Contrato assinado não substitui due diligence, como mostra o processo de KYS, Conheça Seu Fornecedor.
10. Documente o que ficou de fora e por quê. Decisão de risco registrada defende a empresa. Decisão de risco implícita não defende ninguém.

Onde a política de PLD/FT encosta na tecnologia

Os pontos que travam a execução são quase sempre os mesmos: cadeia societária opaca, listas restritivas consultadas em planilha, pessoa exposta politicamente identificada por busca manual, monitoramento que gera fila de falso positivo e dossiê montado a mão. Nenhum desses problemas se resolve reescrevendo o documento.

O Integrity One foi construído para essa camada operacional. A plataforma reúne identificação de beneficiário final a partir da cadeia de participação societária, verificação de listas restritivas e de sanções, checagem de pessoa exposta politicamente e monitoramento contínuo da carteira, com trilha de evidência para cada decisão. É a diferença entre ter uma política que descreve controles e ter controles que produzem prova.

Se a revisão da sua política expôs lacunas entre o que está escrito e o que o time consegue executar, faz sentido ver como esses controles funcionam com dados reais da sua base de clientes e fornecedores.

Perguntas frequentes

Toda empresa precisa de uma política de PLD/FT?

Não. A obrigação alcança apenas as pessoas obrigadas listadas no art. 9º da Lei nº 9.613/1998, entre elas instituições financeiras, seguradoras, corretoras e distribuidoras, empresas de fomento comercial, administradoras de cartões, o setor imobiliário, o comércio de joias, pedras e metais preciosos, objetos de arte e antiguidades, bens de luxo e de alto valor, e as prestadoras de serviços de ativos virtuais, incluídas pela Lei nº 14.478/2022. Profissionais e organizações de contabilidade seguem a Resolução CFC nº 1.721/2024. Empresas fora dessa lista não têm a obrigação legal, mas frequentemente adotam controles de PLD/FT por exigência de contraparte, de banco ou de matriz no exterior.

Qual é o prazo para comunicar uma operação suspeita ao COAF?

Depende do regime aplicável. A regra geral da Lei nº 9.613/1998, no art. 11, inciso II, fixa 24 horas, contadas do conhecimento do fato, sem dar ciência ao envolvido. Para instituições autorizadas a funcionar pelo Banco Central, a Circular BACEN nº 3.978/2020 estrutura o prazo em etapas: até 45 dias para monitorar e selecionar a operação, até 45 dias para analisá-la e, decidida a comunicação, envio ao COAF até o dia útil seguinte. Operações em espécie iguais ou superiores a R$ 50.000,00 são comunicadas até o dia útil seguinte à ocorrência, independentemente de suspeita.

Com que frequência a política de PLD/FT precisa ser revisada?

A Circular BACEN nº 3.978/2020 não fixa prazo rígido para a política, que deve ser mantida atualizada, mas determina no art. 12, inciso III, que a avaliação interna de risco seja revisada a cada dois anos e sempre que houver alteração significativa nos perfis de risco. Como a política precisa ser compatível com essa avaliação, o ciclo de dois anos funciona como periodicidade de referência na prática. Para os supervisionados diretos do COAF, a Resolução nº 36/2021 exige avaliação interna periódica proporcional ao porte e ao volume de operações, sem definir um número de meses.

O que acontece se a empresa deixar de comunicar?

O art. 12 da Lei nº 9.613/1998 prevê advertência, multa pecuniária variável, inabilitação temporária de administradores por até dez anos e cassação ou suspensão da autorização para funcionamento. A multa não pode superar o dobro do valor da operação, o dobro do lucro real ou presumido da operação, ou R$ 20 milhões, prevalecendo o critério aplicável ao caso. As sanções alcançam administradores, não apenas a pessoa jurídica.

Quem precisa aprovar a política de PLD/FT?

Nas instituições autorizadas pelo Banco Central, a Circular nº 3.978/2020 exige aprovação pelo conselho de administração ou, na sua inexistência, pela diretoria, além da indicação formal ao Banco Central de um diretor responsável pelo cumprimento das obrigações. A avaliação interna de risco é aprovada por esse diretor e encaminhada para ciência do comitê de risco, do comitê de auditoria e do conselho, quando existirem.

Se você quer sair da revisão do documento e chegar aos controles que sustentam a política no dia a dia, conheça o Integrity One ou fale com o time da CIAL Dun & Bradstreet para ver a jornada de PLD/FT rodando com a sua própria base.