Se você olhar só para a frente de prevenção à lavagem de dinheiro, a conclusão é tranquilizadora. A Circular BCB nº 3.978, norma central de PLD do país para instituições financeiras e demais reguladas, está sem alteração desde outubro de 2023. Nada mudou.
O problema é que o programa de PLD não é uma frente isolada. Ele se alimenta do cadastro, da conta, do contrato com o parceiro e, principalmente, da composição da sua base de clientes pessoa jurídica. Quando esses insumos mudam ao redor, o programa envelhece por dentro sem que uma linha da norma de PLD tenha sido alterada.
E, para a carteira PJ de uma fintech, três normas de outras frentes mudaram o suficiente para transformar clientes e parceiros que antes eram rotina em achados de diligência. Nenhuma delas é norma de PLD. Todas incidem sobre ele.
1. Prestar serviço de pagamento sem autorização deixou de existir
A Resolução BCB nº 494, de setembro de 2025, acabou com a dispensa de autorização por volume para instituições de pagamento. As que já operavam tiveram uma janela de regularização, que venceu em junho de 2026.
A consequência é direta: desde julho de 2026, não existe instituição de pagamento operando licitamente sem autorização do Banco Central.
Isso converte um fato de autorização em insumo de PLD. Um parceiro que opera serviço de pagamento sem autorização, ou um cliente pessoa jurídica que presta esse serviço a terceiros sem estar autorizado, passa a ser um achado nos procedimentos de conhecer parceiros dos arts. 56 a 58 da Circular 3.978. Não porque a norma de PLD mudou, mas porque o fato sobre o qual ela incide mudou.
2. A conta-bolsão irregular ganhou definição na norma
Em novembro de 2025, dois atos espelhados, a Resolução CMN nº 5.261 e a Resolução BCB nº 518, passaram a obrigar o encerramento de contas usadas irregularmente, com vigência desde dezembro de 2025. Entre as hipóteses, a norma definiu, em texto, a conta-bolsão irregular: o uso dos recursos da conta para pagar, receber ou compensar obrigações em nome de terceiros de modo que permita ocultar ou substituir a obrigação desses terceiros e inviabilizar sua identificação.
O que muda o trabalho do dia a dia está nos parágrafos seguintes:
- A instituição deve criar critérios próprios de identificação, e a norma escreveu que isso se faz "valendo-se inclusive de informações constantes em bases de dados públicas ou privadas".
- Esses critérios devem ser documentados e aprovados pela diretoria. Não pela área de compliance, não pelo comitê técnico.
- A documentação dos critérios e das contas encerradas deve ficar à disposição do Banco Central por no mínimo dez anos.
Repare que esse comportamento que a norma de conta manda encerrar é, em boa medida, o mesmo que a norma de PLD já mandava selecionar no monitoramento. O dado externo que sustenta um é o que sustenta o outro.
3. Em 30 de outubro, operar com PSAV não autorizada passa a ser vedado
A Resolução BCB nº 520, de novembro de 2025, disciplina o funcionamento das prestadoras de serviços de ativos virtuais. A partir de 30 de outubro de 2026, o art. 91 veda realizar ou viabilizar operações no mercado de ativos virtuais que tenham como contraparte uma prestadora não autorizada e sem pedido de autorização protocolado.
O recorte precisa ser lido com cuidado, porque circula em versão inflada. Ter uma prestadora de ativos virtuais como cliente não aciona a vedação por si. O nexo exigido é com a operação no mercado de ativos virtuais, ou com o serviço de pagamento praticado para viabilizá-la.
Mesmo assim, cumprir o dispositivo exige uma coisa que só um mapeamento da base entrega: saber quem, entre os seus clientes pessoa jurídica, exerce essa atividade, e que operações existem com essas empresas. Ou seja, o prazo de outubro pode alcançar uma fintech que não opera cripto, dependendo de quem está na carteira.
Por que isso não é norma nova, e por que isso é pior
Há uma tentação de tratar essas três normas como um pacote de PLD. Não são. Pertencem a frentes distintas, de autorização e de conduta. Mas todas produzem o mesmo efeito sobre o seu programa de prevenção: a Circular 3.978, sem mudar uma vírgula, passou a incidir sobre uma carteira que tem outra composição.
E há um motivo concreto para levar isso a sério agora. Em agosto de 2025, a Operação Carbono Oculto expôs o uso de fintechs como bancos paralelos de organização criminosa. Em maio de 2026, a segunda fase identificou seis outras fintechs, que movimentaram mais de R$ 26 bilhões. O detalhe que importa: essas fintechs começaram a ser usadas depois que as da primeira fase foram bloqueadas.
A lição é desconfortável. Norma nova não elimina o vetor de risco, ela transfere para cada instituição o dever de identificá-lo com critério próprio. Foi exatamente isso que as normas de 2025 e 2026 fizeram, em texto.
Uma revisão de programa em 2026 não precisa começar por norma nova. Precisa começar por uma pergunta: quais obrigações do seu programa dependem de um estado que mudou nos últimos onze meses, e de quantas delas você conseguiria provar, hoje, com registro recuperável?
Nosso guia de PLD para fintechs e bancos digitais responde a essa pergunta frente a frente. Ele separa o que mudou em cada uma das quatro frentes regulatórias do período, mostra onde cada obrigação da Circular 3.978 encosta na sua carteira PJ, e por que um programa desenhado para produzir evidência atravessa esse tipo de mudança reconfigurando parâmetros, enquanto um desenhado para provar que existe atravessa somando trabalho manual.
Provar o que mudou na carteira exige registro, não memória.
A VAAS te apoia na qualificação e no monitoramento contínuo de clientes, fornecedores e parceiros. O dossiê se monta durante a análise e cada decisão fica com a trilha de evidências registrada.
Na prática, a carteira que mudou nos últimos doze meses aparece antes de virar achado de inspeção, com histórico de todas as verificações.
Quer ver como funciona? Fale com a gente ou acesse nosso site 👇
