Política formal aprovada pela alta administração, procedimentos de conhecimento do cliente (KYC), avaliação interna de risco, monitoramento e seleção de operações atípicas, comunicação ao COAF, diretor responsável indicado, treinamento periódico da equipe e trilha de auditoria. A profundidade varia conforme o porte, os produtos e o perfil de risco da instituição — não existe programa padrão que sirva para todas.

KYC é o conhecimento de quem entra na sua base de clientes: identificação, verificação e classificação de risco no onboarding e ao longo do relacionamento. A due diligence de sócios e parceiros olha para o outro lado do balcão — quem investe na empresa, quem ocupa o quadro societário e quem opera junto. Envolve antecedentes, exposição política (PEP) e listas restritivas, e costuma ser exigida também por investidores.

É um diretor indicado formalmente perante o Banco Central, com autonomia e acesso direto à alta administração. Em instituições menores a função pode ser acumulada com outras, desde que não haja conflito de interesse — evita-se acumular com áreas comerciais ou de originação de negócio. A indicação entra no processo de autorização e precisa ser atualizada sempre que houver troca.

O programa deve ser revisto sempre que a avaliação interna de risco apontar mudança relevante e, na prática, também quando a instituição lança um produto novo, muda o modelo de negócio, entra em uma parceria de peso ou quando sai norma nova do Banco Central. Programas tratados como documento estático são os que mais acumulam apontamento em fiscalização e em due diligence de investidor.