Para o MLRO (Money Laundering Reporting Officer, o diretor responsável por prevenção à lavagem de dinheiro) de uma fintech em 2026, a pergunta de auditoria mudou. O supervisor do Banco Central (BACEN) não quer mais saber se você checou o cliente no onboarding; quer a prova de que sua base inteira está sob vigilância contínua, com cada decisão registrada em trilha auditável. Este guia organiza o programa de PLD/FT (Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo) orientado a dados sob a Circular BCB 3.978/2020: cobertura de PEP, sanções, beneficiário final e mídia negativa, screening recorrente sobre 100% da carteira, e a costura entre dever de monitorar e LGPD. A tese central: compliance deixou de ser evento de cadastro e virou função de dados em operação permanente.
Por que o eixo do compliance saiu do onboarding
Serasa Experian; Metrópoles/BACEN; Pluggy/BACEN, 2025-2026
O volume e a sofisticação da fraude removeram o chão da verificação pontual. A Serasa Experian registrou quase 7 milhões de tentativas de fraude só no primeiro semestre de 2025 — 6.937.832 ocorrências, alta de 29,5% sobre o mesmo período do ano anterior, uma tentativa a cada 2,3 segundos (fonte: Serasa Experian, 2025, serasaexperian.com.br). Se concretizadas, as tentativas contra o sistema financeiro no início de 2025 representariam mais de R$ 15,7 bilhões em perdas potenciais (fonte: Serasa Experian, 2025, Indicador de Tentativas de Fraude). As fraudes com manipulação de vídeo e áudio — vetor das identidades sintéticas — cresceram 150% no Brasil no último ano.
Do outro lado, a escala transacional que o compliance precisa cobrir é gigantesca. O Pix movimentou R$ 35,4 trilhões em 79,8 bilhões de transações em 2025 (fonte: Metrópoles/BACEN, 2026, metropoles.com), e o Open Finance chegou a fevereiro de 2026 com mais de 154 milhões de consentimentos ativos e 100 milhões de clientes conectados (fonte: Pluggy/BACEN, 2026, pluggy.ai). O criminoso usa a mesma infraestrutura digital que a fintech usa para crescer. Verificar uma vez, no cadastro, deixa a base exposta a tudo que muda depois.
A diferença entre uma checagem pontual e o monitoramento em tempo real é estrutural: a primeira identifica a presença de uma pessoa em bases de PEP e sanções naquele instante; o segundo acompanha esse status sempre que uma nova informação se torna pública (fonte: Kronoos, 2026, kronoos.com).
O que a Circular 3.978 exige — definição operacional
O que é a Circular BCB 3.978/2020 — definição. É a norma do Banco Central que disciplina a política, os procedimentos e os controles de PLD/FT das instituições reguladas, incluindo instituições de pagamento (IP) e demais fintechs sob alçada do BACEN. Ela substitui a lógica de listas fixas por uma abordagem baseada em risco (ABR): a instituição classifica clientes, produtos, canais e operações por nível de risco e calibra a intensidade dos controles conforme essa classificação.
A norma articula quatro deveres de conhecimento que estruturam o programa, e que a avaliação de efetividade anual precisa demonstrar funcionando:
| Dever | Sigla | O que cobre |
|---|---|---|
| Conheça seu Cliente | KYC | Identificação, qualificação e classificação de risco do cliente (PF e PJ); manutenção do cadastro atualizado. |
| Conheça seu Funcionário | KYE | Verificação de colaboradores e prestadores com acesso a operações sensíveis. |
| Conheça seu Parceiro | KYP | Diligência sobre parceiros de negócio, correspondentes e fornecedores da cadeia. |
| Conheça seu Fornecedor | KYS | Avaliação de fornecedores relevantes para o risco de PLD/FT. |
Para o lado PJ, o KYC se desdobra em KYB (Know Your Business): validação cadastral da empresa, leitura da cadeia societária e identificação do beneficiário final — a pessoa natural que, em última instância, possui, controla ou se beneficia da entidade. É aqui que o provedor de dados cadastrais entra como complemento direto à infraestrutura de compliance, fornecendo quadro societário, vínculos e atualização de status sem depender exclusivamente do bureau de score.
Screening: PEP, sanções e mídia negativa sobre 100% da base
O coração do programa é o screening — o cruzamento sistemático da carteira contra listas restritivas. Três frentes não podem operar em silos isolados, porque uma visão unificada do risco do cliente melhora tanto a detecção quanto a eficiência operacional:
- PEP (Pessoa Politicamente Exposta). Agentes públicos, seus familiares e estreitos colaboradores, que exigem diligência reforçada e, em regra, aprovação de instância superior para iniciar ou manter relação. A condição de PEP não é estática: muda com nomeações, mandatos e o período subsequente ao fim do exercício.
- Sanções. Listas de OFAC (Office of Foreign Assets Control, do Tesouro dos EUA), CSNU (Conselho de Segurança das Nações Unidas), União Europeia e demais regimes. Essas listas são atualizadas diariamente em resposta a eventos geopolíticos e investigações transfronteiriças (fonte: CheckFile.ai, 2026, checkfile.ai). Uma fintech que opera câmbio, cripto ou pagamentos internacionais precisa garantir que não está servindo pessoa ou empresa sancionada.
- Mídia negativa (adverse media). Varredura de notícias, processos e registros públicos que indiquem envolvimento do cliente com crimes financeiros, corrupção ou organização criminosa — sinal precoce que antecede a entrada formal em listas de sanção.
O ponto não negociável em 2026: o screening tem de incidir sobre 100% da base, de forma recorrente, não apenas sobre novos cadastros. Durante auditorias do Banco Central, fintechs precisam comprovar que dispõem de sistemas capazes de bloquear automaticamente operações suspeitas de PEPs ou de pessoas em listas de sanção; a falha nesse controle é considerada gravíssima e pode levar à revogação imediata da licença de instituição de pagamento (fonte: Código Alpha, 2026, codigoalpha.blog). Decisões apoiadas em dados estáticos deixam lacunas de risco não identificadas — exatamente o que o supervisor procura.
Dois regimes: onboarding e monitoramento recorrente
Relatórios de Inteligência Financeira ao COAF quadruplicaram
O programa orientado a dados separa, mas conecta, dois regimes de verificação. O onboarding é a porta; o monitoramento é a operação contínua que sustenta a relação ao longo do tempo.
| Dimensão | Onboarding | Monitoramento recorrente |
|---|---|---|
| Gatilho | Entrada do cliente | Mudança de status público + reavaliação periódica |
| Escopo | Novo cadastro PF/PJ | 100% da base ativa |
| Foco | Identidade, beneficiário final, classificação de risco inicial | Re-screening de PEP/sanções, mídia negativa, comportamento transacional atípico |
| Cadência | Pontual, no ato | Contínua, com reclassificação por risco |
| Saída | Aprovar, reforçar diligência ou recusar | Manter, escalar a alerta ou comunicar ao COAF |
No monitoramento transacional, a Circular impõe prazos rígidos. Ao identificar uma situação atípica, a instituição dispõe de janela para encaminhar o caso à equipe de análise, que tem novo prazo para o tratamento devido — e toda análise deve ser formalizada em dossiê, mesmo as não comunicadas ao COAF (fonte: idwall, 2025, blog.idwall.co). O COAF (Conselho de Controle de Atividades Financeiras) é a unidade de inteligência financeira que recebe os reportes; o número de Relatórios de Inteligência Financeira (RIFs) saltou de 4.304 em 2015 para 18.762 em 2024 (fonte: InvestNews, 2025, investnews.com.br), reflexo direto da intensificação do monitoramento exigido.
Trilha de auditoria: a prova que substitui a intenção
A cadeia auditável: o que cada decisão de PLD precisa encadear
- 1Origem do dado
Qual fonte embasou a checagem, com carimbo de data e versão da lista consultada.
- 2Critério de match
Regra de correspondência usada no screening e o tratamento de homônimos e falsos positivos.
- 3Decisão e responsável
Quem analisou, a conclusão, o nível de risco e a aprovação superior quando exigida no caso PEP.
- 4Ação e prazo
Encaminhamento, comunicação ao COAF ou arquivamento fundamentado dentro dos prazos da Circular.
O que diferencia um programa que sobrevive à supervisão de um que não sobrevive não é a sofisticação do algoritmo, mas a capacidade de reconstruir cada decisão. A trilha de auditoria é o registro imutável de quem viu o quê, quando, com base em qual dado e por que decidiu manter, escalar ou comunicar. Sem ela, a defesa do MLRO perante o BACEN é narrativa; com ela, é evidência.
Um dossiê auditável de PLD/FT em 2026 precisa, no mínimo, encadear:
- Origem do dado — qual fonte (bureau, provedor de dados cadastrais, lista de sanção, Open Finance) embasou a checagem, com carimbo de data e versão da lista.
- Critério de match — regra de correspondência usada no screening (nome, documento, vínculo societário) e o tratamento de homônimos e falsos positivos.
- Decisão e responsável — quem analisou, qual conclusão, qual nível de risco resultante e a aprovação de instância superior quando exigida (caso PEP).
- Ação e prazo — encaminhamento, comunicação ao COAF ou arquivamento fundamentado, dentro dos prazos da Circular.
A formalização em dossiê de todas as análises — inclusive das que não geram comunicação — é o que transforma o monitoramento em um ativo defensável. O supervisor audita o processo, não apenas o resultado.
PLD e LGPD: dois deveres que convivem
O screening contínuo trata dados pessoais sensíveis em escala, o que levanta a tensão aparente com a LGPD (Lei Geral de Proteção de Dados, Lei 13.709/2018). A convivência é viável e está prevista em lei. O tratamento para cumprimento de obrigação legal e regulatória — e a proteção ao crédito, conforme entendimento já consolidado do STJ — dispensa o consentimento do titular, apoiando-se em bases legais próprias. Compliance e privacidade não competem; coexistem sob desenho correto.
O que a LGPD impõe ao programa de PLD orientado a dados:
- Finalidade e minimização. Coletar e cruzar apenas os dados necessários ao dever de PLD/FT, sem aproveitamento para finalidades estranhas.
- Base legal explícita. Documentar que o tratamento se ancora em obrigação legal/regulatória, não em consentimento — o que dá robustez perante o titular e a ANPD (Autoridade Nacional de Proteção de Dados).
- Segurança e rastreabilidade. A mesma trilha de auditoria que serve ao BACEN demonstra à ANPD o controle de acesso e o uso legítimo dos dados.
- Governança de retenção. Guardar os dossiês pelo prazo regulatório e descartar o que excede a finalidade.
O papel do provedor de dados na arquitetura de compliance
Na cadeia de dados do compliance brasileiro convivem os bureaus de crédito (Serasa, Boa Vista/Equifax, SPC, Quod), as IDtechs e antifraude (Unico, idwall — adquirida pela Serasa em 2026, CAF, AllowMe) e os provedores de dados cadastrais como complemento. Para o MLRO, o provedor de dados não substitui o bureau no score; ele resolve a camada cadastral e societária onde preço por consulta e flexibilidade de API decidem — validação de CNPJ e CPF, quadro societário, identificação de beneficiário final e enriquecimento para o re-screening da base.
A decisão de arquitetura que pesa para o comprador de dados em risco e compliance:
- Cobertura e atualização das listas — frequência de refresh de PEP e sanções, dado que essas bases mudam diariamente.
- Qualidade de match e tratamento de homônimos — taxa de falso positivo define o custo operacional da fila de análise.
- SLA de latência e uptime — screening contínuo sobre milhões de registros exige p99 previsível.
- Trilha nativa — a API devolve carimbo de fonte, data e versão da lista, alimentando o dossiê automaticamente.
- Preço por consulta efetiva — re-screening de 100% da base multiplica o volume; o custo unitário decide a sustentabilidade do controle.
Em síntese, o programa de PLD/FT de 2026 é uma máquina de dados em regime permanente. O onboarding abre a relação; o monitoramento recorrente sobre toda a base, com screening de PEP, sanções, beneficiário final e mídia negativa, e trilha de auditoria costurada à LGPD, é o que sustenta a licença e a confiança do supervisor. Para o MLRO, a pergunta operacional deixou de ser "checamos?" e passou a ser "conseguimos provar, registro a registro, o que decidimos e por quê?".
Perguntas frequentes
O que é o MLRO e qual sua responsabilidade sob a Circular 3.978?
O MLRO (Money Laundering Reporting Officer) é o diretor estatutário responsável pelo programa de PLD/FT perante o Banco Central. Responde pela política, pelos controles, pela avaliação de efetividade e pela comunicação ao COAF, sustentado por uma trilha de auditoria que comprove cada decisão.
Por que o screening precisa cobrir 100% da base e não só novos clientes?
Porque o status de PEP, a entrada em listas de sanção e a mídia negativa mudam após o onboarding. Uma checagem pontual no cadastro deixa a carteira exposta a tudo que ocorre depois. A Circular 3.978 exige monitoramento contínuo, e o BACEN audita a capacidade de bloquear automaticamente operações suspeitas sobre toda a base ativa.
Como o dever de PLD convive com a LGPD?
O tratamento de dados para cumprimento de obrigação legal e regulatória de PLD/FT — e para proteção ao crédito, conforme o STJ — dispensa consentimento, apoiando-se em base legal própria. A LGPD impõe finalidade, minimização, segurança e governança de retenção, todas demonstráveis pela mesma trilha de auditoria que serve ao BACEN.
Qual a diferença entre KYC e KYB no programa de compliance?
KYC (Know Your Customer) cobre a identificação e classificação de risco do cliente, PF ou PJ. KYB (Know Your Business) é o desdobramento para pessoa jurídica: validação cadastral da empresa, leitura da cadeia societária e identificação do beneficiário final — a pessoa natural que controla ou se beneficia da entidade.
O que precisa constar em um dossiê auditável de PLD/FT?
No mínimo: origem e versão do dado consultado, critério de match e tratamento de falsos positivos, decisão tomada com o responsável e o nível de risco, e a ação adotada dentro dos prazos da Circular — inclusive os arquivamentos fundamentados, já que toda análise deve ser formalizada em dossiê mesmo sem comunicação ao COAF.
Onde o provedor de dados cadastrais entra na arquitetura do MLRO?
Como complemento ao bureau de score, na camada cadastral e societária: validação de CNPJ/CPF, quadro societário, beneficiário final e enriquecimento para o re-screening recorrente. É onde preço por consulta efetiva, flexibilidade de API, SLA de latência e trilha nativa de fonte e data decidem a sustentabilidade do controle contínuo.
Leia também no DataHub
Fontes
- Serasa Experian — Recorde de tentativas de fraude no 1º semestre de 2025 (2025)
- Serasa Experian — Indicador de Tentativas de Fraude (2025)
- Metrópoles/BACEN — Pix movimenta R$ 35,4 trilhões em 2025 (2026)
- Pluggy — Open Finance 2026 (2026)
- Kronoos — Monitoramento de PEP, sanções e mídia adversa (2026)
- CheckFile.ai — Sanctions Screening: OFAC e EU Lists (2026)
- Código Alpha — Fintechs: regras, licença e fluxo de compliance no Brasil (2026)
- idwall — Circular 3.978: regras do processo de PLD (2025)
- InvestNews — COAF: como funciona o órgão (2025)
- Circular BCB nº 3.978, de 23 de janeiro de 2020 (2020)