O que é PLD-FT e como implementar para Instituições autorizadas

Escrito por Marília Pavinski, advogado especialista em compliance financeiro para fintechs e empresas do setor financeiro na NDM Advogados.

Desde 2014 oferecemos assessoria jurídica completa para empresas tech crescerem com segurança e poderem focar no que importa.
Atualizado em 14/10/2026

Toda instituição precisa ter implementado um programa de Compliance PLD-FT (Prevenção à Lavagem de Dinheiro e Financiamento do Terrorismo) estruturado em três pilares obrigatórios: identificação profunda e contínua de usuários (KYC), monitoramento transacional em tempo real e uma matriz consolidada de Abordagem Baseada em Risco (ABR). Conforme a exigência expressa da Circular BCB nº 3.978/2020, o processo de qualificação cadastral deixou de ser um mero arquivo passivo de documentos para se tornar uma avaliação dinâmica que obriga a empresa a agir, bloquear e reportar ativamente movimentações financeiras atípicas.

Para fundadores, diretores e operadores do setor de tecnologia financeira — englobando fintechs, subadquirentes, plataformas de crédito e integradores de Banking as a Service (BaaS) —, o cenário regulatório atual não permite amadorismo. O desenvolvimento de produtos inovadores e a busca pela melhor jornada do usuário (UX) precisam coexistir com regras rígidas de segurança.

Por outro lado, o grande desafio corporativo é garantir essa conformidade regulatória sem estrangular o caixa da empresa com processos operacionais ineficientes e sem prejudicar a conversão de novos clientes. Encontrar o ponto de equilíbrio entre a segurança exigida pelo Banco Central do Brasil (Bacen) e o crescimento acelerado esperado pelo mercado é o que separa operações sólidas daquelas que enfrentam intervenções regulatórias.

Neste artigo detalhado, vamos desdobrar as estratégias centrais, as exigências normativas e a infraestrutura sistêmica necessária para a implementação de um programa avançado de Compliance PLD-FT voltado para plataformas de tecnologia financeira, garantindo que o seu negócio escale com segurança jurídica e operacional.

O que é PLD-FT e importância

A sigla PLD-FT refere-se a um conjunto global e local de práticas de Prevenção à Lavagem de Dinheiro e Financiamento do Terrorismo. A lavagem de dinheiro é o processo pelo qual criminosos tentam mascarar a origem ilícita de recursos financeiros, inserindo-os na economia formal para que pareçam lícitos.

No Brasil, a Lei nº 9.613/1998 tipificou esse crime e estabeleceu os órgãos de controle. Já o financiamento do terrorismo pode ser entendido como o fornecimento ou aplicação de recursos, independentemente da forma, com a finalidade de financiar, total ou parcialmente, pessoa, grupo de pessoas, associação, entidade ou organização criminosa que tenha como atividade principal ou secundária, mesmo em caráter eventual, a prática de terrorismo. Esses recursos podem ter origem lícita ou ilícita.

Com a evolução do mercado e a digitalização do dinheiro, o Bacen, a Comissão de Valores Mobiliários (CVM) e entidades autorreguladoras como a ANBIMA passaram a publicar normas cada vez mais granulares para transferir a responsabilidade de vigilância para as próprias empresas do setor financeiro.

Vale lembrar que não são apenas os grandes bancos comerciais que estão sob esse guarda-chuva. O marco regulatório atual inclui expressamente instituições de pagamento, emissores de moeda eletrônica, sociedades de crédito direto (SCD) e até mesmo empresas que atuam nas pontas das transações, como os subadquirentes.

Isso significa que, se a sua plataforma processa, transfere, guarda ou intermedeia valores, o regulador pressupõe que você possui mecanismos robustos para identificar se o seu sistema está sendo utilizado como ponte para o crime organizado. A ausência de um programa de Compliance PLD-FT eficiente não é apenas uma infração administrativa; é um risco criminal para os sócios e diretores estatutários da operação.

Estabelecer essa estrutura exige abandonar a visão de que o compliance é um “centro de custos” ou um “freio de negócios”. Na prática, operações de crédito e de pagamentos bem desenhadas utilizam as regras de PLD-FT para conhecer profundamente o perfil financeiro do usuário, o que paradoxalmente melhora a análise de concessão de limites e reduz a inadimplência.

Conheça seu Cliente (KYC) e as Diretrizes da Circular BCB nº 3.978

O primeiro pilar, e frequentemente o ponto de contato inicial de qualquer usuário com a sua plataforma, é o processo de Know Your Customer (KYC, ou Conheça seu Cliente). Sob a ótica atual do Banco Central, a qualificação do cliente deve ser investigativa, documentada e, sobretudo, contínua.

A Circular BCB nº 3.978/2020 determinou que as informações cadastrais precisam ser atualizadas periodicamente e validadas em fontes externas. Na prática, o cadastro de quem entra na sua plataforma não pode ser estático. Se o cliente muda de profissão, altera significativamente sua renda ou transfere o controle acionário da sua empresa, a avaliação de risco desse perfil deve ser reprocessada automaticamente pelo seu sistema.

Para as fintechs que atuam no segmento B2B (empresas prestando serviços para outras empresas), o desafio de onboarding esbarra em um dos conceitos mais complexos do Compliance PLD-FT: a identificação do Beneficiário Final (UBO – Ultimate Beneficial Owner).

Muitas vezes, contas corporativas são abertas em nome de empresas (CNPJs) cuja composição societária aponta para outras empresas, criando um emaranhado de “holdings”. O Banco Central exige que as instituições desvendem essa cadeia até encontrar a pessoa física que efetivamente controla os recursos ou detém parcela significativa do capital (sendo o valor mínimo de referência de 25%). Estruturas muito opacas são clássicos indícios de tentativa de ocultação patrimonial.

Além disso, as políticas de KYC da sua plataforma devem focar na identificação imediata de Pessoas Politicamente Expostas (PEPs) e correlatas. Como o envolvimento com o poder público eleva o risco de corrupção e desvio de verbas, qualquer indivíduo que ocupe ou tenha ocupado cargos relevantes nos últimos cinco anos exige uma diligência ampliada para aprovação e manutenção da conta.

Ao desenhar esse fluxo, a área de produtos e o departamento jurídico devem trabalhar juntos. O uso de motores de OCR (Optical Character Recognition) para leitura de documentos e consultas automatizadas via APIs na Receita Federal e em bureaus de crédito garante a segurança regulatória em segundos, preservando a experiência do usuário sem abrir mão da checagem documental e sistêmica que a lei exige.

A Abordagem Baseada em Risco (ABR) no Compliance PLD-FT

Um dos pontos mais transformadores trazidos pelas recentes atualizações regulatórias do Bacen e da CVM foi a consolidação da Abordagem Baseada em Risco (ABR). O modelo engessado do passado exigia verificações profundas e idênticas para absolutamente todos os clientes. Hoje, a norma é clara: o nível de controle deve ser proporcional ao risco real que cada usuário representa para a instituição.

Em resumo, não faz sentido financeiro, operacional ou jurídico gastar os mesmos recursos de investigação manual para aprovar a conta de um estudante que movimenta a mesada e para aprovar uma empresa de importação que movimenta milhões em transferências internacionais diárias.

Com a implementação de regras lógicas sistêmicas, as instituições autorizadas conseguem cruzar dezenas de variáveis durante o cadastro — como localização geográfica, Cadastro Nacional de Atividades Econômicas (CNAE), volume financeiro projetado e idade — para gerar uma pontuação dinâmica de risco logo nos primeiros passos da abertura de conta.

O que poucos empresários percebem no início da operação é que a Abordagem Baseada em Risco é, acima de tudo, um mecanismo inteligente de controle de orçamento. Consultas completas em listas restritivas e relatórios aprofundados de background check possuem custos por chamada em APIs terceirizadas. Direcionar esse gasto apenas para os perfis que realmente geram alertas poupa o orçamento de tecnologia e direciona o foco humano para onde ele é indispensável.

Como Estruturar a Matriz de Risco Operacional

Para exemplificar como a ABR funciona dentro do fluxo de sistemas de uma plataforma financeira, elaboramos uma tabela de comparação de tratativas conforme o perfil detectado pelas regras de compliance do negócio:

As políticas que norteiam essa matriz não podem morar apenas no código-fonte dos desenvolvedores ou em planilhas informais. Elas precisam estar rigorosamente descritas, fundamentadas e atualizadas anualmente nas Políticas e Manuais de Compliance, ficando à disposição para auditorias internas, externas e fiscalizações diretas do Banco Central.

Monitoramento de Transações e o Desafio do Tempo Real

Se a etapa de KYC tem como objetivo avaliar quem é o usuário, o monitoramento transacional foca no comportamento do fluxo financeiro propriamente dito. No ecossistema financeiro acelerado pelo Pix e pelas transferências 24/7, o regulador brasileiro subiu a barra de exigência para as instituições autorizadas e participantes do arranjo.

Isso significa que atuar de forma reativa e passiva está fora de cogitação. As fintechs e plataformas de pagamento devem possuir motores de regras transacionais devidamente parametrizados para intervir. O monitoramento contínuo precisa rastrear os padrões do usuário emissor e recebedor, interpretando picos de volume, velocidade das transferências e fracionamento de valores.

Um dos indícios mais clássicos de lavagem de dinheiro, por exemplo, é a estruturação (conhecida como smurfing), em que o usuário realiza dezenas de transações de pequeno valor que ficam logo abaixo do limite de reporte obrigatório, tentando não chamar a atenção dos sistemas de controle. Seu motor de monitoramento transacional deve estar programado para somar esses valores em janelas de 24 horas, 7 dias e 30 dias.

Por outro lado, o empresário de tecnologia sabe bem que o bloqueio sistêmico excessivo gera atritos gigantescos, aumento do Custo de Aquisição de Clientes (CAC), explosão de chamados no suporte e perda da confiança do usuário — um problema generalizado conhecido como erro de falsos positivos. A linha que divide a rejeição prudente da paralisação irresponsável do negócio por excesso de cautela é muito tênue.

Para resolver esse entrave, a calibragem dos motores de regras deve ser baseada em cenários reais testados e validados ao longo da operação. Contudo, a resiliência operacional exige também processos maduros de fallback. Em outras palavras, quando o sistema trava preventivamente uma transação, os analistas de compliance (a chamada segunda linha de defesa) precisam estar equipados com dashboards rápidos e completos para revisar o alerta e destravar contas legítimas no menor tempo hábil possível. A estruturação eficiente desse time dita o ritmo de crescimento do produto.

O Ecossistema Corporativo: KYE (Funcionários), KYS (Fornecedores) e KYP (Parceiros)

Embora muitos manuais foquem exclusivamente no cliente final, os procedimentos de KYE (Know Your Employee – Conheça seu Funcionário), KYS (Know Your Supplier – Conheça seu Fornecedor) e KYP (Know Your Partner – Conheça seu Parceiro) são exigências regulatórias igualmente críticas em qualquer matriz sólida de Compliance PLD-FT, sendo frequentemente alvos de apontamentos em auditorias.

Conheça seu Funcionário (KYE)

No pilar do KYE, a instituição deve reconhecer que a principal ameaça à integridade da plataforma pode, em muitos casos, vir de dentro da própria organização. É imperativo adotar políticas para monitorar mudanças drásticas no padrão de vida, movimentações atípicas e o nível de endividamento da equipe interna.

Um colaborador sênior da área de tecnologia com acesso direto aos bancos de dados transacionais, ou um analista de risco com alçada para aprovação de contas de alto valor, não podem operar fora do radar do departamento de compliance, dada a sensibilidade extrema das informações que manuseiam. 

Conheça seu Parceiro e Fornecedor (KYP e KYS)

Da mesma forma, tanto o KYP quanto o KYS tornaram-se o calcanhar de aquiles para o vasto mercado de Banking as a Service (BaaS) e para os arranjos abertos de pagamentos. Subadquirentes, emissores de moeda eletrônica e liquidantes precisam garantir que os marketplaces, ERPs ou plataformas whitelabel aos quais se conectam via API mantenham padrões rigorosos de PLD-FT.

Na prática jurídica, se um parceiro ou fornecedor de tecnologia estiver, por negligência ou dolo, facilitando a entrada de recursos criminosos, a responsabilidade regulatória frequentemente recairá também sobre a instituição autorizada pelo Bacen que permitiu a conexão daquela operação. Para mitigar esse cenário, ter contratos de prestação de serviço (B2B) blindados, com cláusulas de auditoria cruzada e direito de rescisão sumária por falhas em PLD-FT, é o mínimo esperado por investidores e reguladores.

Comunicações ao COAF e a Inteligência Financeira

O Conselho de Controle de Atividades Financeiras (COAF) é a unidade de inteligência financeira central do Brasil. Cabe à instituição encaminhar diretamente ao COAF informações sobre operações atípicas e suspeitas, para que o Estado consolide os dados e investigue possíveis crimes de lavagem de dinheiro e financiamento do terrorismo.

A legislação vigente e as circulares determinam valores e situações específicas (como grandes saques em espécie, operações com valores vultosos sem justificativa ou recusa no fornecimento de dados) que geram a obrigação da comunicação automática. Nesses casos, independe da opinião do analista; se ocorreu o fato, deve ser reportado nos prazos regulamentares.

Por outro lado, as comunicações de operações suspeitas demandam uma avaliação subjetiva e investigativa da instituição. O analista de PLD-FT deve olhar para o contexto geral da movimentação do cliente e cruzar com sua capacidade financeira declarada.

Vale destacar um erro comum entre empresas iniciantes: o reporte puramente defensivo. Movidas pelo medo de multas ou inexperiência, algumas plataformas passam a reportar no sistema do COAF (SISCOAF) toda e qualquer operação que fuja minimamente do padrão trivial, entupindo a base de dados do conselho governamental.

Uma área de conformidade bem estruturada deve configurar seus processos para que os alertas enviados ao SISCOAF venham acompanhados de contexto substancial, relatórios gerenciais organizados e embasamento fático claro. Esse nível de detalhamento prova ao regulador que a empresa possui maturidade operacional e está verdadeiramente engajada no combate aos crimes financeiros.

Governança Corporativa e o Papel da Alta Administração no Compliance PLD-FT

Ferramentas modernas e motores de regras perdem todo o seu efeito se não houver retaguarda institucional forte. Conforme evidenciado de forma reiterada por normas do Banco Central, instruções da CVM e pelo Guia de Boas Práticas da ANBIMA, o programa de Compliance PLD-FT deve emanar das mais altas instâncias de decisão da empresa.

O regulador impõe a exigência da designação de um Diretor Estatutário responsável, devidamente homologado. Este executivo não ocupa um cargo figurativo para assinar papéis; ele é a pessoa física que responde patrimonial e criminalmente perante os órgãos de controle. Por essa razão, a legislação assegura que este diretor possua total independência de atuação, orçamento adequado garantido, acesso irrestrito a todos os dados gerenciais da plataforma e autoridade máxima para bloquear lançamentos de produtos ou vetar clientes, mesmo contrariando as áreas comerciais e metas de expansão.

Além disso, a governança abrange também o desenvolvimento de uma cultura interna sólida e voltada para a prevenção em todos os níveis hierárquicos. Desenvolvedores de software que criam o código de onboarding, especialistas em marketing que desenham campanhas de atração e executivos de vendas institucionais devem, obrigatoriamente, passar por treinamentos periódicos, comprovando que compreendem o código de conduta e as tipologias modernas dos ilícitos.

O tom ético do negócio vem do topo (conceito conhecido como Tone at the Top). Quando os fundadores, CEOs e conselheiros tratam o compliance não como um inimigo da agilidade, mas como um aliado da sustentabilidade corporativa, e investem orçamento real em sistemas de segurança de dados, a empresa naturalmente ganha confiança do mercado. Esse esforço se reverte rapidamente em pontuações altas durante processos de due diligence conduzidos por grandes fundos de Venture Capital (VC) e bancos liquidantes parceiros.

Arquitetura Tecnológica e LGPD: O Cruzamento de Dados Seguro

O maior atrativo competitivo das fintechs contemporâneas é a agilidade no tráfego e processamento de grandes volumes de dados (Big Data) para prever cenários, e a sua esteira de Compliance PLD-FT deve aproveitar essa infraestrutura nativa em nuvem. A arquitetura de sistemas ideal costuma descentralizar as consultas de verificação (consumindo dezenas de APIs de birôs de crédito, Receita Federal, listas restritivas e biometria facial) mas centralizar o motor de decisão em um único núcleo (Data Lake corporativo).

Modelos de arquitetura baseados em mensageria assíncrona permitem que as pesadas avaliações de risco e cruzamento de dados ocorram em segundo plano, sem travar a interface do aplicativo durante o uso do cliente. Contudo, adotar processamento maciço de informações financeiras atrai novos riscos regulatórios, especialmente sob a ótica da Lei Geral de Proteção de Dados Pessoais (LGPD).

Um cuidado fundamental no desenvolvimento interno das esteiras de PLD-FT é o respeito rigoroso ao sigilo bancário e à finalidade do tratamento dos dados. Embora a própria LGPD possua bases legais claras que permitem o tratamento de dados pessoais para o cumprimento de obrigações regulatórias e prevenção a fraudes (dispensando o consentimento explícito do usuário para este fim específico), a retenção dessas informações requer segurança de nível bancário.

Isso significa que a equipe de tecnologia de infraestrutura, ao lado do departamento jurídico, precisa assegurar que os provedores de serviços em nuvem ofereçam ambientes dedicados, criptografia ponta a ponta e gestão rígida de acessos (Identity and Access Management). Dados sensíveis utilizados exclusivamente para investigações de PLD-FT não podem ser cruzados de forma negligente com ferramentas de marketing ou utilizados para venda cruzada de produtos sem o amparo legal adequado, evitando assim sanções milionárias por parte da Autoridade Nacional de Proteção de Dados (ANPD). A arquitetura do seu sistema deve refletir o princípio da privacidade desde a sua concepção (Privacy by Design).

Conclusão

Implementar as diretrizes de Compliance PLD-FT definitivamente não se resume a preencher um checklist formal de políticas burocráticas engavetadas; trata-se de um projeto transversal e constante de arquitetura de dados, cultura organizacional e inteligência estratégica de mitigação de riscos. Desde a aplicação minuciosa de políticas de KYC e da Abordagem Baseada em Risco exigidas pela Circular BCB nº 3.978/2020, até os filtros avançados de monitoramento contínuo das transações, a exigência do regulador foca na ação preventiva e no bloqueio ativo do uso do sistema financeiro para o crime.

Em um ambiente amplamente digitalizado, veloz e sem fronteiras físicas, ignorar a necessidade de robustez regulatória significa criar um passivo tóxico silencioso. Fintechs, subadquirentes, emissores de moeda e provedores de tecnologia financeira que tentam escalar agressivamente sua base de usuários fechando os olhos para as regras de conformidade estão, na verdade, inviabilizando captações de investimentos futuras, arriscando o cancelamento de suas licenças operacionais e abrindo margem para processos criminais severos contra os próprios sócios fundadores.

Na prática do mercado, o desenvolvimento, a estruturação contratual e a operação dessa blindagem precisam ser acompanhados de perto por especialistas que dominem tanto o complexo vocabulário do Banco Central quanto as rotinas ágeis e iterativas do desenvolvimento de produtos de tecnologia. Se a sua empresa está em fase de estruturação, solicitando autorizações de funcionamento ou buscando adequar seus processos internos aos padrões exigidos por grandes parceiros bancários, é hora de agir com precisão.

Unindo conhecimento regulatório aprofundado a soluções desenhadas exclusivamente para plataformas financeiras e de inovação tecnológica, a equipe especializada da NDM Advogados está preparada para estruturar manuais, revisar fluxos de onboarding, calibrar matrizes de risco operacional e revisar todos os contratos da cadeia B2B do seu negócio. Garanta que o seu compliance seja um facilitador de grandes negócios e não uma âncora de crescimento. Agende uma conversa com nossos especialistas e coloque a sua operação no mais alto padrão de segurança do mercado.

FAQ