Entre setembro de 2025 e julho de 2026, o Banco Central editou uma sequência de normas que atingiu diretamente a operação das fintechs brasileiras. No meio de tudo isso, a norma central de prevenção à lavagem de dinheiro não mudou: a Circular BCB nº 3.978 está sem alteração desde outubro de 2023.
Dessa combinação nasce uma conclusão que parece razoável e é falsa: "como nada mudou no PLD, meu programa deve estar em dia."
Antes mesmo de discutir se o programa está em dia, vale conferir uma coisa mais básica: se a leitura que a sua equipe tem da régua está correta. Porque parte do que circula em material de mercado sobre PLD está errada em pontos específicos, e cada um deles custa autuação. Reunimos cinco, com o texto da norma na mão.
Erro 1: "Os documentos precisam ser guardados por cinco anos"
Cinco anos é o piso da Lei 9.613, não o prazo do seu programa. A própria Circular 3.978 trabalha com dois prazos distintos.
O art. 67 exige dez anos para as informações de conhecimento do cliente, os registros de operações e os dossiês de análise, inclusive os das análises que terminaram sem comunicação ao COAF. O art. 66, §§ 1º e 2º, fixa cinco anos apenas para um conjunto menor de itens, como o contrato do art. 31, as versões anteriores da avaliação interna de risco e as versões anteriores do relatório de efetividade.
Quem cita um prazo único para tudo erra em alguma ponta. E o custo de errar para menos só aparece anos depois, quando a defesa documentada de 2027 precisa estar recuperável em 2033 e não está.
Erro 2: "A multa vai de 1% a 200% do valor da operação"
Essa redação foi superada pela Lei nº 12.683, de 2012, e ainda assim continua circulando.
O quadro atual está no art. 12 da Lei 9.613. A multa não pode superar o dobro do valor da operação, o dobro do lucro real obtido ou que presumivelmente seria obtido, ou o teto de R$ 20.000.000,00. Há também inabilitação temporária de até dez anos para exercer cargo de administrador, que atinge a pessoa do diretor, não só a instituição.
Um detalhe de rito que costuma vir junto do mesmo erro: o art. 13 da Lei 9.613, que remetia o procedimento sancionador a decreto, foi revogado. Para instituições supervisionadas pelo Banco Central, o rito é o da Lei nº 13.506, de 2017.
Erro 3: "A janela de 30 dias permite abrir conta com o cadastro incompleto"
O art. 23 da Circular 3.978 veda iniciar relação de negócios sem que identificação e qualificação estejam concluídas. O parágrafo único admite, por até trinta dias, o início da relação em caso de insuficiência de informações de qualificação. Três condições, que quase ninguém cita, mudam a leitura:
- A janela cobre apenas a qualificação. Sem identificação concluída não se inicia relação, e aí não há tolerância nenhuma.
- A janela não suspende o monitoramento. O cliente com pendência cadastral entra na esteira de vigilância como qualquer outro, e na prática vira caso sob observação reforçada.
- A janela é limite máximo para um caso de insuficiência, não prazo normal de conclusão. Programa que trata os trinta dias como padrão transformou exceção em processo, e vai explicar isso na inspeção.
Erro 4: "A Lei Antifacção criou crime de falha de compliance"
A Lei nº 15.358, de 2026, está vigente, e tem circulado a leitura de que ela permite responsabilizar criminalmente diretores de compliance de fintech por falha de controle interno.
Nos dispositivos da lei, a responsabilidade de administradores e sócios está vinculada a concorrer, direta ou indiretamente, para a prática dos crimes, ou a ter se beneficiado dos bens de origem ilícita. Falha de controle interno em PLD continua sendo tratada onde sempre foi: no art. 12 da Lei 9.613, com o rito da Lei 13.506/2017.
Duas ressalvas para não subdimensionar do outro lado. As medidas cautelares da própria Lei Antifacção alcançam a instituição independentemente de responsabilidade criminal de qualquer diretor, e incluem intervenção judicial com bloqueio de operações. E a lei tem poucos meses, sem decisão judicial ainda sobre a aplicação desses dispositivos a administradores de instituição autorizada.
Erro 5: "A designação do PCC pelo OFAC obriga minha fintech a bloquear ativos"
Em 29 de maio de 2026, o OFAC incluiu o Primeiro Comando da Capital e o Comando Vermelho na sua lista de sancionados. A designação é ato de direito norte-americano e não cria, por si, obrigação brasileira de indisponibilidade de ativos. Sua fintech não bloqueia recurso porque o OFAC designou alguém.
O que muda é outra coisa. Você passa a ter exposição a sanções secundárias, risco em relação bancária correspondente e risco contratual. E, mais relevante para o desenho do programa, o risco de financiamento do terrorismo, que numa fintech sem operação internacional era quase formalidade, ganhou um vetor doméstico. Isso dá matéria concreta ao art. 39, II, e ao art. 53 da Circular 3.978.
O erro de fundamentação a evitar: você pode restringir relações por política própria de apetite de risco, e isso é decisão legítima. O que não se sustenta é registrar no manual que a restrição decorre de um dever brasileiro de indisponibilidade nascido de ato de outro país. A conclusão pode ser a mesma; o fundamento, não.
Cinco erros, e a régua inteira por trás deles
Note o padrão. Nenhum desses cinco pontos depende de norma nova de PLD. Todos decorrem da Circular 3.978 lida com precisão, ou lida sem ela. A norma não mudou. O que mudou foi o ambiente em que ela incide, e é isso que desatualiza um programa por dentro sem que uma linha da norma tenha sido alterada.
Estes são cinco erros. Existem outros, e existe a régua completa por trás deles: prazos de seleção, análise e comunicação, cadeia societária e beneficiário final, a fronteira do que pode e do que não pode ser terceirizado, o calendário de efetividade que o board precisa ver.
Reunimos tudo isso em um guia que destrincha a Circular 3.978 artigo por artigo, corrige a leitura de mercado com o texto da norma e mostra por que um programa desenhado para provar que existe é diferente de um desenhado para provar que funciona.
A VAAS é uma ferramenta que te apoia na qualificação e monitoramento contínuo de clientes, fornecedores e parceiros. Ela entrega o dado enriquecido pronto para o analista, monta o dossiê durante a análise e registra a trilha de evidências de cada decisão.
Na prática, isso significa mais segurança em uma consulta em segundos, com a prova pronta desde o dia da decisão.
Quer ver como funciona? Fale com a gente ou acesse nosso site 👇
