PLD/FT Automação para Fintechs: Circular 3.978 na Prática

A Circular 3.978 do BACEN estabelece os procedimentos mínimos para política de conhecimento de cliente (KYC) e prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) nas instituições financeiras brasileiras. Para fintechs e instituições de crédito mid-market — financeiras de veículos, cooperativas de crédito, seguradoras com operação de crédito — o desafio está em implementar controles robustos sem criar gargalos operacionais que travem a originação ou exijam contratação massiva de analistas.

A pressão é real: o BACEN intensificou fiscalizações desde 2022, aplicando multas que ultrapassam R$ 10 milhões em casos de falhas sistêmicas em PLD/FT. Ao mesmo tempo, o mercado exige velocidade — um cadastro que demora mais de 24 horas para aprovação pode significar perda de cliente para concorrentes com esteiras automatizadas. Este artigo mostra como estruturar uma operação de PLD/FT automatizada que atenda integralmente à Circular 3.978, sem comprometer a experiência do cliente ou a eficiência operacional.

Vamos abordar os pilares técnicos da automação: coleta e validação de dados cadastrais, verificação em listas restritivas, monitoramento contínuo de operações atípicas, estruturação de alertas e gestão de casos — sempre sob a ótica de quem precisa entregar compliance com equipes enxutas e orçamento controlado.

O Que a Circular 3.978 Exige na Prática

A Circular 3.978, publicada em janeiro de 2018 e atualizada por normativos posteriores, consolidou as obrigações de PLD/FT para todas as instituições autorizadas pelo BACEN. Os requisitos centrais são:

• Política de Conhecimento de Cliente (KYC): cadastro completo com qualificação e identificação, incluindo beneficiários finais em pessoas jurídicas;
• Avaliação de Risco: classificação de clientes em categorias de risco (baixo, médio, alto) com base em critérios objetivos e documentados;
• Monitoramento Contínuo: acompanhamento de transações e relacionamento para identificar operações atípicas ou incompatíveis com o perfil declarado;
• Verificação em Listas Restritivas: consulta periódica em listas de sanções internacionais (OFAC, ONU), PEP (Pessoas Politicamente Expostas) e outras bases de restrição;
• Comunicação ao COAF: envio de comunicações de operações suspeitas quando identificadas situações que se enquadrem nos critérios da Resolução COAF 40/2021;
• Treinamento e Auditoria: capacitação contínua das equipes e revisão independente dos processos de PLD/FT.

Para uma instituição financeira com 5.000 clientes ativos e 200 novas propostas por mês, executar manualmente essas verificações exigiria uma equipe dedicada de compliance de pelo menos 4 a 6 analistas — custo fixo que pesa especialmente em operações mid-market com margens apertadas.

Classificação de Risco: Critérios Objetivos e Automatizáveis

A Circular 3.978 exige que a classificação de risco seja baseada em critérios claros e auditáveis. Os fatores mais comuns incluem:

• Atividade econômica do cliente (CNAEs de maior risco incluem casas de câmbio, joalherias, comércio de veículos);
• Localização geográfica (municípios fronteiriços ou com altos índices de criminalidade);
• Volume e padrão transacional (tickets acima de R$ 10 mil, uso intensivo de espécie);
• Presença na condição de PEP ou relacionamento com PEP;
• Histórico de recusas ou restrições em outras instituições.

Esses critérios podem ser codificados em um motor de regras que atribua pontos ou níveis de risco automaticamente no momento do onboarding, cruzando dados cadastrais com bureaus de crédito, bases públicas (Receita Federal, CNPJ) e listas restritivas.

Arquitetura de Automação de PLD/FT: Componentes Essenciais

Uma solução de PLD/FT automatizada robusta precisa integrar múltiplas fontes de dados, aplicar regras de negócio complexas e gerar alertas acionáveis. Os componentes técnicos fundamentais são:

1. Camada de Integração com Bureaus e Bases Externas

A validação de identidade e a verificação em listas restritivas dependem de APIs externas. Uma instituição financeira mid-market típica consome dados de:

• Bureaus de crédito: Serasa, Boa Vista, Quod (validação de CPF/CNPJ, score, histórico de crédito);
• SCR BACEN: consulta ao Sistema de Informações de Crédito para verificar exposição total do cliente no sistema financeiro;
• Bases de PEP: Transparência Brasil, fontes oficiais (TSE, Diários Oficiais);
• Listas de sanções: OFAC (EUA), Consolidated List (ONU), listas da União Europeia;
• Receita Federal: validação de situação cadastral, CNAE, quadro societário (QSA).

Plataformas como a BIBlue oferecem conectores nativos com mais de 15 bureaus de crédito e bases públicas, permitindo que a instituição mantenha uma única integração técnica e gerencie fornecedores via painel self-service, sem depender de TI para cada nova fonte de dados.

2. Motor de Regras Self-Service para KYC e Classificação de Risco

O coração da automação é um motor de regras que permita ao time de compliance configurar e ajustar políticas sem envolver desenvolvimento. Exemplos de regras típicas:

• PEP Identificado: Se cliente ou beneficiário final consta em base PEP → classificar como Risco Alto + solicitar documentação adicional (declaração de fonte de recursos);
• CNAE de Alto Risco: Se CNAE pertence à lista de atividades sensíveis (ex.: 4530-7 Comércio de peças para veículos) → aplicar due diligence reforçada;
• Localização Fronteiriça: Se município de residência está na faixa de fronteira (conforme lista BACEN) → adicionar 20 pontos no score de risco;
• Volume Atípico: Se valor médio mensal declarado diverge >50% do padrão para a profissão/CNAE → gerar alerta para análise manual.

Um motor de regras self-service reduz de semanas para horas o tempo de implementação de novas políticas — essencial quando o BACEN publica atualizações normativas ou quando a instituição identifica novos vetores de risco.

3. Monitoramento Transacional e Detecção de Operações Atípicas

A Circular 3.978 exige monitoramento contínuo. Para instituições que operam Pix, TEDs e boletos, o volume de transações pode atingir milhares por dia. Regras comuns de monitoramento incluem:

• Transações acima de R$ 10.000 em espécie ou múltiplas transações fragmentadas que somem esse valor em 24 horas;
• Padrão de movimentação incompatível com renda declarada (ex.: cliente com renda declarada de R$ 3.000 movimentando R$ 50.000/mês);
• Transações com contrapartes em listas restritivas ou localizadas em países de alto risco (GAFI);
• Uso de contas como passagem (recebimento e transferência imediata para terceiros).

A automação aqui significa aplicar essas regras em tempo real ou em batches diários, gerando alertas priorizados por score de risco. Um sistema eficaz reduz falsos positivos — que consomem tempo de análise — através de machine learning e ajuste contínuo de parâmetros.

4. Gestão de Casos e Workflow de Investigação

Alertas detectados precisam ser investigados, documentados e, quando aplicável, comunicados ao COAF via sistema e-COAF. A automação do workflow garante rastreabilidade:

1. Alerta gerado: sistema registra timestamp, regra acionada, dados envolvidos;
2. Atribuição automática: alerta direcionado ao analista responsável conforme fila e carga de trabalho;
3. Investigação: analista acessa painel consolidado com histórico do cliente, transações relacionadas, documentos anexados;
4. Decisão: arquivar (falso positivo), solicitar informações adicionais ao cliente, ou elevar para comunicação ao COAF;
5. Auditoria: todos os passos registrados, exportáveis para revisão por auditoria interna ou fiscalização BACEN.

Instituições que implementam esse workflow reduzem em até 60% o tempo médio de tratamento de alertas, segundo benchmarks de mercado.

Integração com a Esteira de Crédito: PLD/FT sem Frear Originação

Um erro comum é tratar PLD/FT como etapa isolada, sequencial à análise de crédito. Isso aumenta o tempo total de aprovação e pode gerar atrito desnecessário. A abordagem recomendada é integrar as verificações de PLD/FT à esteira de crédito:

• Onboarding Unificado: no momento da captura de proposta, o sistema já dispara consultas a bureaus de crédito, SCR e listas restritivas em paralelo;
• Decisão Condicional: se o cliente passa pela política de crédito mas apresenta risco PLD/FT médio ou alto, a aprovação fica condicionada à apresentação de documentos adicionais ou análise de compliance — mas o cliente já recebe sinalização positiva quanto ao crédito;
• Priorização Inteligente: clientes de baixo risco (CPF limpo, sem PEP, CNAE de baixo risco) são aprovados automaticamente sem intervenção humana; apenas os 15-20% de maior risco passam por análise manual.

Esse modelo híbrido — automação para a maioria, análise humana para exceções — permite manter SLA de aprovação abaixo de 4 horas para 80% das propostas, enquanto garante conformidade com a Circular 3.978.

Caso Prático: Financeira de Veículos com 300 Propostas/Mês

Uma financeira mid-market que opera crédito para aquisição de veículos recebe cerca de 300 propostas por mês. Antes da automação:

• 2 analistas de compliance dedicados a verificar CPF em listas PEP/OFAC manualmente;
• Tempo médio de verificação: 15 minutos por proposta;
• Custo de 75 horas/mês só para verificação inicial.

Após implementar motor de regras integrado com bureaus e listas restritivas:

• 85% das propostas aprovadas automaticamente (baixo risco);
• 15% elevadas para análise manual (PEP, CNAE sensível, localização de risco);
• Tempo médio de verificação automatizada: 2 minutos;
• Redução de 70% no esforço de compliance, realocado para análise de casos complexos e auditoria de regras.

Monitoramento Contínuo e Revisão Periódica de Risco

A Circular 3.978 não exige apenas verificação no onboarding — clientes precisam ser reavaliados periodicamente. A frequência depende da classificação de risco:

• Risco Baixo: revisão anual (ex.: validação de situação cadastral na Receita Federal, consulta a listas PEP atualizadas);
• Risco Médio: revisão semestral;
• Risco Alto: revisão trimestral ou sempre que houver evento relevante (aumento súbito de exposição, alteração de CNAE, mudança de endereço para região de risco).

Sem automação, essa revisão periódica vira passivo: bases de clientes com 10.000+ cadastros demandariam equipes grandes só para manter conformidade contínua. A solução é agendar verificações automáticas:

1. Job noturno: sistema consulta lotes de CPF/CNPJ em bases PEP, OFAC e Receita Federal;
2. Detecção de mudanças: se cliente que era Risco Baixo passa a constar em lista PEP ou tem CNAE alterado para atividade sensível, sistema gera alerta;
3. Atualização de score: reclassificação automática de risco com registro de auditoria;
4. Ação de compliance: se necessário, solicitação de documentação adicional ou bloqueio preventivo até análise.

Plataformas com integração nativa a bureaus permitem configurar essas rotinas via interface self-service, sem necessidade de scripting ou envolvimento de TI.

Comunicação ao COAF: Quando e Como Automatizar

A Resolução COAF 40/2021 define situações que exigem comunicação obrigatória — independente de juízo de valor da instituição. Exemplos incluem:

• Propostas de operação de crédito recusadas por indícios de lavagem de dinheiro;
• Clientes que se recusam a fornecer informações cadastrais obrigatórias;
• Operações com recursos de origem visivelmente ilícita.

Além dessas, a instituição deve comunicar operações suspeitas identificadas via monitoramento. A automação aqui não substitui o juízo humano — afinal, a decisão de comunicar tem implicações sérias — mas pode:

• Pré-preencher o formulário e-COAF com dados estruturados (CPF, valores, datas, tipo de operação);
• Anexar automaticamente documentos e evidências (extratos, consultas realizadas);
• Manter histórico centralizado de comunicações enviadas, com status de protocolo COAF.

Isso reduz erros de preenchimento e acelera o processo, permitindo que o analista foque na narrativa qualitativa da suspeita.

Governança e Auditoria: Rastreabilidade Total

Em uma fiscalização BACEN, a instituição precisa demonstrar não apenas que possui controles de PLD/FT, mas que esses controles foram aplicados consistentemente ao longo do tempo. A automação oferece vantagem decisiva aqui:

• Log imutável: cada consulta a bureau, cada alerta gerado, cada decisão de analista fica registrada com timestamp e usuário responsável;
• Versionamento de regras: mudanças na política de risco (ex.: ajuste de threshold para Risco Alto) são versionadas, permitindo rastrear qual regra estava vigente em cada período;
• Relatórios de auditoria: dashboards mostram cobertura de verificações (% de clientes com revisão em dia), SLA de tratamento de alertas, taxa de comunicações ao COAF;
• Exportação estruturada: dados exportáveis em formato CSV ou API para sistemas de GRC (Governance, Risk & Compliance) corporativos.

Instituições que adotam plataformas de automação com governança nativa relatam redução de até 80% no esforço de preparação para auditorias e fiscalizações.

ROI da Automação de PLD/FT: Números Concretos

Para um CTO ou Diretor de Risco justificar investimento em automação de PLD/FT, o business case precisa ser claro. Considerando uma instituição financeira mid-market com 15.000 clientes ativos e 500 propostas/mês:

Cenário Manual (Baseline)

• Equipe de compliance: 4 analistas dedicados (custo médio R$ 8.000/mês cada = R$ 32.000/mês);
• Tempo de onboarding: 24-48 horas para casos simples, até 5 dias para casos complexos;
• Revisões periódicas: atrasadas em 30% da base por falta de capacidade;
• Multas e ajustes: risco de não-conformidade em fiscalização BACEN.

Cenário Automatizado

• Equipe de compliance: 2 analistas focados em casos de alto risco e auditoria (R$ 16.000/mês);
• Tempo de onboarding: 85% aprovados em até 4 horas; 15% em até 24 horas;
• Revisões periódicas: 100% em dia via jobs automatizados;
• Custo de plataforma: R$ 6.000-8.000/mês (inclui integrações, motor de regras, suporte).

Economia líquida: R$ 32.000 - (R$ 16.000 + R$ 7.000) = R$ 9.000/mês (~R$ 108.000/ano), além de ganhos em qualidade de conformidade e redução de risco regulatório.

O payback típico de uma implementação de automação de PLD/FT é de 6 a 9 meses, considerando custos de setup e treinamento.

Perguntas Frequentes

1. A Circular 3.978 exige verificação em listas PEP a cada quanto tempo?

A Circular 3.978 não estabelece prazo fixo, mas determina que a verificação seja feita "periodicamente" conforme a classificação de risco do cliente. A prática de mercado é: anual para Risco Baixo, semestral para Risco Médio e trimestral ou event-driven (sempre que houver alteração cadastral ou transacional relevante) para Risco Alto. Sistemas automatizados permitem executar essas verificações via jobs agendados, garantindo conformidade contínua.

2. É obrigatório consultar a lista OFAC para clientes domésticos sem operações internacionais?

Sim. A Circular 3.978 exige verificação em listas de sanções internacionais (OFAC, ONU) independentemente de a instituição operar câmbio ou transações cross-border. O racional é que mesmo clientes domésticos podem estar envolvidos em esquemas de lavagem de dinheiro com ramificações internacionais. A consulta deve ser feita no onboarding e repetida nas revisões periódicas.

3. Como definir os critérios objetivos de classificação de risco exigidos pela norma?

A Circular 3.978 exige que os critérios sejam documentados, auditáveis e consistentes, mas não prescreve quais devem ser. As instituições costumam usar combinação de: atividade econômica (CNAE), localização geográfica, volume/padrão transacional, condição PEP, histórico de relacionamento e dados de bureaus de crédito. Esses critérios devem ser codificados em motor de regras, com pesos e thresholds definidos em política interna aprovada pela Alta Administração.

4. A automação de PLD/FT elimina a necessidade de ter um responsável designado (Compliance Officer)?

Não. A Circular 3.978 exige que a instituição tenha um diretor responsável pela implementação e cumprimento da política de PLD/FT, além de uma estrutura de compliance. A automação não substitui governança — ela potencializa a atuação do time de compliance, permitindo focar em análise de casos complexos, auditoria de regras e relacionamento com BACEN/COAF, em vez de tarefas operacionais repetitivas.

5. Qual o prazo para comunicar uma operação suspeita ao COAF após identificação?

A Resolução COAF 40/2021 não define prazo específico, mas estabelece que a comunicação deve ser feita "imediatamente" após a conclusão da análise que identificou a suspeita. Na prática, instituições costumam adotar SLA interno de 24 a 72 horas após a geração do alerta, considerando tempo razoável para investigação. Sistemas automatizados ajudam a manter registro de timeline, demonstrando diligência em eventual fiscalização.

A BIBlue oferece uma plataforma completa de automação de crédito e compliance, com motor de regras self-service, integração nativa com 15+ bureaus e bases públicas, e módulos específicos para atendimento à Circular 3.978 e Resolução 4966. Se você é CTO ou Diretor de Risco de uma instituição financeira mid-market e precisa escalar conformidade PLD/FT sem ampliar equipe, converse conosco para conhecer cases de cooperativas de crédito, financeiras e seguradoras que reduziram custos de compliance em até 40% mantendo SLA de onboarding abaixo de 4 horas.

Escrito por Arthur Lopes Co-founder & CEO · BIBlue

Atua há mais de 8 anos no mercado de tecnologia financeira, liderando a BIBlue na construção de uma plataforma de integração que atende +50 instituições financeiras no Brasil e Paraguai em crédito, antifraude, registro de contratos e seguros.

Conhecer a BIBlue →