A Circular BCB 3.978, de 23 de janeiro de 2020, é a norma de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) para todas as instituições autorizadas pelo Banco Central do Brasil. O centro dela é a avaliação interna de risco: um documento aprovado pelo diretor de PLD/FT que identifica e mede o risco de a instituição ser usada para lavagem, define categorias de risco e é revisado a cada dois anos. A política, o conhecimento de clientes, o monitoramento e a avaliação anual de efetividade precisam estar coerentes com ela.
A circular está em vigor desde 1º de outubro de 2020 e foi alterada pela última vez em 30 de setembro de 2026. A Resolução BCB 591 criou duas comunicações novas ao Coaf: operações de câmbio com moeda estrangeira em espécie a partir de US$ 10 mil e transferências de ativos virtuais de ou para carteiras autocustodiadas a partir do equivalente a US$ 10 mil.
O que a avaliação interna de risco precisa conter
O art. 10 pede que a avaliação considere, no mínimo, quatro perfis de risco:
- dos clientes;
- da instituição, incluindo o modelo de negócio e a área geográfica de atuação;
- das operações, transações, produtos e serviços, com todos os canais de distribuição e o uso de novas tecnologias;
- das atividades exercidas por funcionários, parceiros e prestadores de serviços terceirizados.
Cada risco identificado é avaliado pela probabilidade de ocorrência e pela magnitude dos impactos financeiro, jurídico, reputacional e socioambiental. O resultado são categorias de risco que permitem controles reforçados onde o risco é maior e controles simplificados onde é menor. Quando houver, avaliações feitas por entidades públicas do país sobre o risco de lavagem e financiamento do terrorismo devem ser usadas como subsídio (art. 10, §§ 2º a 4º).
A avaliação é documentada e aprovada pelo diretor responsável pela circular, enviada para ciência ao comitê de risco e ao comitê de auditoria, quando existirem, e ao conselho de administração (ou à diretoria), e revisada a cada dois anos ou antes, se os perfis de risco mudarem de forma significativa (art. 12). As versões anteriores ficam guardadas por cinco anos (art. 66).
Na nossa leitura, o maior risco é tratar a avaliação como um documento à parte, reescrito a cada dois anos. A circular a amarra a quase todo o resto: a classificação dos clientes usa as categorias dela (art. 20), os procedimentos de monitoramento são definidos com base nela (art. 38, § 3º) e funcionários e terceiros são classificados nas mesmas categorias (art. 58). Se as categorias da avaliação não aparecem nos sistemas de cadastro e de monitoramento, a coerência que a norma pede não existe.
Da avaliação ao conhecimento do cliente
Os procedimentos de conhecimento do cliente identificam, qualificam e classificam cada cliente, com medidas reforçadas para as categorias de maior risco, e ficam num manual aprovado pela diretoria (art. 13). Alguns pontos objetivos:
- A relação de negócios só começa com identificação e qualificação concluídas. Se faltar informação de qualificação, admite-se começar por até 30 dias, sem prejudicar o monitoramento (art. 23).
- Na pessoa jurídica, a análise segue a cadeia societária até o beneficiário final. A instituição define, com base no risco, o percentual de participação que caracteriza o beneficiário final, que não pode passar de 25% (art. 25).
- A condição de pessoa exposta politicamente dura cinco anos depois que a pessoa deixa o cargo (art. 27, § 5º), e começar ou manter a relação com ela depende de alguém de nível hierárquico superior a quem autoriza o relacionamento (art. 19, § 3º).
Monitoramento, análise e comunicação ao Coaf
A circular fixa prazos que o supervisor consegue verificar com facilidade:
| Etapa | Prazo | Onde está |
|---|---|---|
| Monitoramento e seleção de operações e situações suspeitas | Até 45 dias da operação ou situação | Art. 39, parágrafo único |
| Análise das operações selecionadas, formalizada em dossiê | Até 45 dias da seleção | Art. 43 |
| Comunicação de suspeita ao Coaf | Até o dia útil seguinte à decisão de comunicar | Art. 48, § 2º |
| Comunicação de operações específicas (espécie a partir de R$ 50 mil, câmbio em espécie e ativos virtuais a partir de US$ 10 mil) | Até o dia útil seguinte à operação | Art. 49 |
| Declaração de que não houve comunicações no ano | Até 10 dias úteis após o fim do ano | Art. 54 |
A análise das operações selecionadas não pode ser terceirizada nem feita no exterior; só serviços auxiliares podem ser contratados (art. 44). Para as duas comunicações criadas pela Resolução BCB 591, as operações contratadas entre 1º de outubro e 31 de dezembro de 2026 devem ser comunicadas no primeiro dia útil de janeiro de 2027 (art. 49, § 2º).
Avaliação de efetividade: o calendário anual
Todo ano, a instituição avalia a efetividade da política, dos procedimentos e dos controles num relatório com data-base de 31 de dezembro, enviado até 31 de março ao comitê de auditoria, se houver, e ao conselho ou à diretoria (art. 62). O relatório descreve a metodologia, os testes, a qualificação dos avaliadores e as deficiências, e avalia, no mínimo, o conhecimento de clientes, o monitoramento e a comunicação ao Coaf, a governança, a cultura, a capacitação, o conhecimento de funcionários e terceiros e a regularização dos apontamentos da auditoria e do Banco Central (art. 63).
As deficiências geram um plano de ação, cujo acompanhamento é documentado e enviado até 30 de junho ao comitê de auditoria, à diretoria e ao conselho (art. 65).
Guarda de documentos e sanções
A circular tem dois prazos de guarda. Os documentos de governança (política, avaliação interna de risco, manuais, relatórios de efetividade e planos de ação) ficam à disposição do Banco Central, e as versões anteriores da avaliação e dos relatórios, os manuais e os planos de ação, por no mínimo cinco anos (art. 66). Por dez anos ficam as informações de clientes, funcionários e terceiros, os registros de operações e os dossiês de análise (art. 67).
O descumprimento das obrigações de PLD/FT está sujeito às sanções do art. 12 da Lei nº 9.613, de 1998: advertência, multa de até o dobro do valor da operação, até o dobro do lucro obtido ou até R$ 20 milhões, inabilitação de administradores por até dez anos e cassação ou suspensão da autorização.
Por onde começaríamos
- Revisar a avaliação interna de risco à luz da Resolução BCB 591. Câmbio em espécie e ativos virtuais são exatamente os produtos e canais que o art. 10 pede para avaliar.
- Levar as categorias de risco para os sistemas. Cadastro, monitoramento e classificação de terceiros usando a mesma escala.
- Medir os dois prazos de 45 dias. Quantas seleções e análises fecham dentro do prazo é um indicador simples e fácil de auditar.
- Calendário de 31 de março e 30 de junho. Relatório de efetividade e acompanhamento do plano de ação com datas e responsáveis definidos no começo do ano.
No GlobalSuite®, o módulo de Gestão de riscos permite registrar os riscos da avaliação interna com probabilidade e impacto e acompanhar os planos de ação com responsável, aprovações e lembretes. O de Riscos de terceiros cobre o conhecimento de parceiros e prestadores que os arts. 56 a 60 exigem.
Fontes oficiais: Circular nº 3.978, de 23 de janeiro de 2020, com as alterações das Resoluções BCB nº 119/2021, nº 282/2022, nº 344/2023 e nº 591/2026, no site do Banco Central do Brasil, e Lei nº 9.613, de 3 de março de 1998, no Planalto. Conteúdo revisado em outubro de 2026.
