Instituições autorizadas pelo Banco Central (bancos, fintechs, instituições de pagamento, cooperativas de crédito, consórcios e câmbio)

A instituição deve implementar e manter política de prevenção à lavagem de dinheiro e ao financiamento do terrorismo formulada com base em princípios e diretrizes, compatível com os perfis de risco dos clientes, da instituição, das operações, transações, produtos e serviços e dos funcionários, parceiros e prestadores de serviços terceirizados (art. 2º da Circular BCB 3.978/2020). A política deve contemplar, no mínimo, diretrizes para a definição de papéis e responsabilidades, para a análise prévia de novos produtos, serviços e tecnologias, para a avaliação interna de risco e a avaliação de efetividade, para a promoção da cultura organizacional e para a capacitação dos funcionários — inclusive dos funcionários dos correspondentes no País que atendam em nome da instituição —, além de diretrizes para os procedimentos de cadastro, registro de operações, monitoramento, seleção e análise, e comunicação ao Coaf, e do comprometimento da alta administração (art. 3º). A política deve ser documentada, aprovada pelo conselho de administração ou, se inexistente, pela diretoria, e mantida atualizada (art. 7º), e divulgada aos funcionários, parceiros e prestadores de serviços terceirizados em linguagem clara e acessível (art. 6º). Admite-se política única por conglomerado prudencial e por sistema cooperativo de crédito, desde que a opção seja formalizada em reunião do conselho de administração ou da diretoria (art. 4º).

A instituição deve dispor de estrutura de governança que assegure o cumprimento da política de PLD/FT e dos procedimentos e controles internos previstos na Circular BCB 3.978/2020 (art. 8º) e deve indicar FORMALMENTE ao Banco Central do Brasil um diretor responsável pelo cumprimento das obrigações da Circular (art. 9º). Esse diretor pode desempenhar outras funções na instituição, desde que não haja conflito de interesses (art. 9º, § 1º). A responsabilidade é de cada instituição, mesmo quando o conglomerado prudencial ou o sistema cooperativo de crédito optar por centralizar política, avaliação interna de risco, monitoramento e seleção, análise ou comunicação, nas faculdades dos arts. 4º, 11, 42, 46 e 52 (art. 9º, § 2º).

A instituição deve realizar avaliação interna com o objetivo de identificar e mensurar o risco de utilização de seus produtos e serviços na prática da lavagem de dinheiro e do financiamento do terrorismo (art. 10 da Circular BCB 3.978/2020). A avaliação deve considerar, no mínimo, os perfis de risco dos clientes, da instituição — incluindo o modelo de negócio e a área geográfica de atuação —, das operações, transações, produtos e serviços, abrangendo todos os canais de distribuição e a utilização de novas tecnologias, e das atividades exercidas por funcionários, parceiros e prestadores de serviços terceirizados (art. 10, § 1º). O risco identificado deve ser avaliado quanto à probabilidade de ocorrência e à magnitude dos impactos financeiro, jurídico, reputacional e socioambiental (§ 2º), e devem ser definidas categorias de risco que permitam controles reforçados nas situações de maior risco e simplificados nas de menor risco (§ 3º). Avaliações de risco publicadas por entidades públicas do País devem ser usadas como subsídio, quando disponíveis (§ 4º). A avaliação interna de risco deve ser documentada e aprovada pelo diretor responsável, encaminhada para ciência do comitê de risco e do comitê de auditoria, quando houver, e do conselho de administração ou da diretoria, e revisada a cada dois anos, bem como quando ocorrerem alterações significativas nos perfis de risco (art. 12).

A instituição deve implementar procedimentos destinados a conhecer seus clientes, com devida diligência na identificação, na qualificação e na classificação, compatíveis com o perfil de risco do cliente, com a política de PLD/FT e com a avaliação interna de risco, formalizados em manual específico aprovado pela diretoria e mantido atualizado (art. 13 da Circular BCB 3.978/2020). Na IDENTIFICAÇÃO devem ser coletados, no mínimo, o nome completo e o CPF, no caso de pessoa natural, e a firma ou denominação social e o CNPJ, no caso de pessoa jurídica, com verificação e validação da autenticidade das informações, inclusive por confrontação com bases de dados públicas e privadas (art. 16, com a redação dada pela Resolução BCB 119/2021 a partir de 1º/9/2021). Na QUALIFICAÇÃO devem ser coletadas informações que permitam identificar o local de residência ou da sede e avaliar a capacidade financeira do cliente, incluindo a renda ou o faturamento, reavaliadas de forma permanente conforme a evolução da relação de negócio (art. 18). Os clientes devem ser CLASSIFICADOS nas categorias de risco definidas na avaliação interna de risco, com revisão sempre que houver alteração no perfil de risco ou na natureza da relação (art. 20). É VEDADO iniciar relação de negócios sem que a identificação e a qualificação estejam concluídas; admite-se, por no máximo trinta dias, o início da relação em caso de insuficiência de informações de qualificação, desde que não haja prejuízo ao monitoramento e seleção (art. 23).

Os procedimentos de qualificação do cliente pessoa jurídica devem incluir a análise da cadeia de participação societária até a identificação da pessoa natural caracterizada como seu beneficiário final (art. 24 da Circular BCB 3.978/2020). A essa pessoa natural aplicam-se, no mínimo, os procedimentos de qualificação definidos para a categoria de risco do cliente pessoa jurídica (art. 24, § 1º), e também é considerado beneficiário final o representante, inclusive o procurador e o preposto, que exerça o comando de fato sobre as atividades da pessoa jurídica (art. 24, § 2º). Estão excetuadas da análise da cadeia societária, na redação dada pela Resolução BCB 119/2021 a partir de 1º/9/2021, as companhias abertas, as entidades sem fins lucrativos e as cooperativas (art. 24, § 3º). A instituição deve estabelecer um valor mínimo de referência de participação societária para a identificação do beneficiário final, baseado no risco e NUNCA superior a 25%, considerada a participação direta e a indireta, justificado e documentado no manual de procedimentos (art. 25).

A instituição deve implementar procedimentos que permitam qualificar seus clientes como pessoa exposta politicamente, cuja definição — detentores de mandatos eletivos federais, ocupantes de cargos de Ministro de Estado, Natureza Especial, dirigentes de entidades da administração indireta, DAS nível 6 ou equivalente, membros do CNJ, do STF e dos Tribunais Superiores, entre outros — está no art. 27 da Circular BCB 3.978/2020. Os procedimentos de qualificação devem incluir também a verificação da condição de representante, familiar ou estreito colaborador dessas pessoas (art. 19). Para os fins da Circular, familiar são os parentes na linha reta ou colateral até o segundo grau, o cônjuge, o companheiro, a companheira, o enteado e a enteada; estreito colaborador é quem tem estreita relação com a pessoa exposta politicamente, inclusive por participação conjunta em pessoa jurídica ou em arranjo sem personalidade jurídica, por figurar como mandatário, ou por controlar pessoa jurídica ou arranjo conhecidos por terem sido criados para o benefício dela (art. 19, § 1º). Para esses clientes, a instituição deve adotar procedimentos e controles compatíveis, considerar essa qualificação na classificação de risco e AVALIAR o interesse no início ou na manutenção do relacionamento — avaliação que deve ser feita por detentor de cargo ou função de nível hierárquico SUPERIOR ao do responsável pela autorização do relacionamento (art. 19, §§ 2º e 3º).

A instituição deve manter registros de TODAS as operações realizadas e dos produtos e serviços contratados, inclusive saques, depósitos, aportes, pagamentos, recebimentos e transferências de recursos, contendo no mínimo o tipo, o valor quando aplicável, a data de realização, o nome e o CPF ou CNPJ do titular e do beneficiário e o canal utilizado (art. 28 da Circular BCB 3.978/2020) — inclusive quando a operação ocorrer dentro da mesma instituição (art. 29). Em pagamentos, recebimentos e transferências, o registro deve permitir identificar a ORIGEM e o DESTINO dos recursos, com nome e CPF ou CNPJ de remetente e recebedor, códigos das instituições envolvidas e números das dependências e contas (art. 30). Nas operações em espécie de valor individual superior a R$ 2.000,00, o registro deve incluir o nome e o CPF do PORTADOR dos recursos (art. 33). Nos depósitos ou aportes em espécie de R$ 50.000,00 ou mais, o registro deve incluir o proprietário dos recursos, o portador e a ORIGEM dos recursos (art. 34); nos saques de R$ 50.000,00 ou mais, o destinatário, o portador, a FINALIDADE do saque e o número do protocolo de provisionamento (art. 35). Se o cliente ou o portador se recusar a informar a origem ou a finalidade, a instituição deve registrar o fato e usar essa informação nos procedimentos de monitoramento, seleção e análise (arts. 34 e 35, parágrafo único).

A instituição deve requerer dos sacadores, clientes e não clientes, solicitação de provisionamento com no mínimo TRÊS DIAS ÚTEIS de antecedência para operações de saque — inclusive as realizadas por meio de cheque ou ordem de pagamento — de valor igual ou superior a R$ 50.000,00, consideradas individualmente para efeito do limite (art. 36 da Circular BCB 3.978/2020). A instituição deve possibilitar a solicitação pelo sítio eletrônico e nas agências ou Postos de Atendimento, emitir protocolo informando o valor da operação, a dependência do saque e a data programada, e registrar, no ato da solicitação, as informações do art. 35 (art. 36, § 2º). No caso de saque em espécie por meio de cheque por sacador não cliente, a solicitação deve ser feita exclusivamente em agências ou Postos de Atendimento (§ 3º).

A instituição deve implementar procedimentos de monitoramento, seleção e análise de operações e situações com o objetivo de identificar e dispensar especial atenção às suspeitas de lavagem de dinheiro e de financiamento do terrorismo, aplicáveis inclusive às PROPOSTAS de operações, compatíveis com a política de PLD/FT, definidos com base na avaliação interna de risco, considerando a condição de pessoa exposta politicamente, e descritos em manual específico aprovado pela diretoria (art. 38 da Circular BCB 3.978/2020). Os procedimentos de monitoramento e seleção devem identificar, especialmente, as operações que por partes, valores, formas de realização, instrumentos utilizados ou falta de fundamento econômico ou legal possam configurar indícios — inclusive as que configurem artifício para burlar os procedimentos da Circular, as operações em espécie com indícios de ocultação, as incompatíveis com a capacidade financeira do cliente, as com pessoas expostas politicamente brasileiras e estrangeiras, os clientes cujo beneficiário final não seja identificável, as operações com países com deficiências estratégicas nas recomendações do Gafi e as situações em que não seja possível manter os cadastros atualizados — e as situações que possam indicar financiamento do terrorismo (art. 39). O prazo para executar monitoramento e seleção NÃO PODE EXCEDER QUARENTA E CINCO DIAS contados da data de ocorrência da operação ou da situação (art. 39, parágrafo único). Os sistemas devem conter informações detalhadas das operações e dos envolvidos, com documentação dos parâmetros, variáveis, regras e cenários utilizados, passíveis de verificação quanto à adequação e à efetividade (art. 40); esses parâmetros, variáveis, regras e cenários, e os critérios de periodicidade, devem constar do manual (art. 41).

A instituição deve implementar procedimentos de análise das operações e situações selecionadas pelo monitoramento, com o objetivo de caracterizá-las ou não como suspeitas (art. 43 da Circular BCB 3.978/2020). O prazo de análise NÃO PODE EXCEDER QUARENTA E CINCO DIAS contados da data da seleção (art. 43, § 1º), e a análise deve ser formalizada em DOSSIÊ, INDEPENDENTEMENTE de haver ou não comunicação ao Coaf (art. 43, § 2º). É vedado contratar terceiros para realizar a análise e é vedado realizá-la no exterior, sem prejuízo da contratação de terceiros para serviços AUXILIARES à análise (art. 44), e a instituição deve dispor, no País, dos recursos e competências necessários (art. 45). A análise pode ser realizada de forma centralizada em instituição do conglomerado prudencial e do sistema cooperativo de crédito, mediante opção formalizada em reunião do conselho de administração ou da diretoria (art. 46).

A instituição deve comunicar ao Coaf as operações ou situações SUSPEITAS de lavagem de dinheiro e de financiamento do terrorismo (art. 48 da Circular BCB 3.978/2020). A decisão de comunicar deve ser fundamentada nas informações do dossiê, registrada de forma detalhada nesse dossiê e tomada até o final do prazo de análise de quarenta e cinco dias (art. 48, § 1º); a comunicação deve ser feita até o DIA ÚTIL SEGUINTE ao da decisão (art. 48, § 2º). Independentemente de suspeita, a instituição deve comunicar ao Coaf os depósitos ou aportes em espécie e os saques em espécie de valor igual ou superior a R$ 50.000,00, os pagamentos, recebimentos e transferências de recursos contra pagamento em espécie de R$ 50.000,00 ou mais e as solicitações de provisionamento de saque em espécie de R$ 50.000,00 ou mais, até o dia útil seguinte ao da ocorrência da operação ou do provisionamento (art. 49). As comunicações devem ser feitas SEM DAR CIÊNCIA aos envolvidos ou a terceiros (art. 50), devem especificar se a pessoa comunicada é pessoa exposta politicamente ou representante, familiar ou estreito colaborador, e se é pessoa que praticou, intentou praticar, participou ou facilitou atos terroristas (art. 53), e a instituição deve estar habilitada no Sistema de Controle de Atividades Financeiras (Siscoaf) do Coaf (art. 55). Comunicações alteradas ou canceladas após o quinto dia útil seguinte ao da realização exigem justificativa (art. 51).

A instituição que NÃO tiver efetuado comunicações ao Coaf em cada ano civil deve prestar declaração, até DEZ DIAS ÚTEIS após o encerramento do referido ano, atestando a não ocorrência de operações ou situações passíveis de comunicação (art. 54 da Circular BCB 3.978/2020). A obrigação tem base no art. 11, III, da Lei 9.613/1998, incluído pela Lei 12.683/2012, que manda comunicar ao órgão regulador ou fiscalizador da atividade ou, na sua falta, ao Coaf, "a não ocorrência de propostas, transações ou operações passíveis de serem comunicadas".

A Carta Circular BCB 4.001/2020 divulga a relação de operações e situações que podem configurar indícios de ocorrência dos crimes de lavagem de dinheiro e de financiamento do terrorismo. Todo o corpo da norma está no art. 1º, que exemplifica os indícios "para fins dos procedimentos de monitoramento e seleção previstos na Circular nº 3.978, de 23 de janeiro de 2020", organizados em dezessete grupos: I - operações em espécie em moeda nacional com contas de depósito ou de pagamento; II - operações em espécie e cartões pré-pagos em moeda estrangeira e cheques de viagem; III - identificação e qualificação de clientes; IV - movimentação de contas de depósito e de pagamento; V - operações de investimento no País; VI - operações de crédito no País; VII - movimentação de recursos oriundos de contratos com o setor público; VIII - consórcios; IX - pessoas ou entidades suspeitas de envolvimento com terrorismo; X - atividades internacionais; XI - operações de crédito contratadas no exterior; XII - operações de investimento externo; XIII - funcionários, parceiros e prestadores de serviços terceirizados; XIV - campanhas eleitorais; XV - BNDU e outros ativos não financeiros; XVI - contas correntes em moeda estrangeira; e XVII - operações realizadas em municípios de determinadas regiões. São exemplos de indício, não uma lista fechada: a obrigação de identificar operações suspeitas vem do art. 39 da Circular BCB 3.978/2020, e o art. 11, § 1º, da Lei 9.613/1998 é o que autoriza a autoridade competente a elaborar essa relação.

A instituição deve implementar procedimentos destinados a conhecer seus funcionários, parceiros e prestadores de serviços terceirizados, incluindo identificação e qualificação, compatíveis com a política de PLD/FT e com a avaliação interna de risco (art. 56 da Circular BCB 3.978/2020), formalizados em documento específico aprovado pela diretoria e mantido atualizado (art. 57). As atividades exercidas por essas pessoas devem ser classificadas nas categorias de risco definidas na avaliação interna de risco, com a classificação e as informações mantidas atualizadas e os critérios previstos no documento do art. 57 (art. 58). Na celebração de contratos com instituições financeiras sediadas no exterior — inclusive relações de parceria com bancos correspondentes no exterior — a instituição deve obter informações sobre a natureza da atividade e a reputação do contratado, verificar se ele foi objeto de investigação ou ação de autoridade supervisora relacionada a lavagem de dinheiro, certificar que tem presença física no país onde está constituído ou licenciado, conhecer seus controles, obter aprovação de superior hierárquico ao responsável pela contratação e dar ciência do contrato ao diretor responsável (art. 59). Deveres equivalentes valem na contratação de terceiros não sujeitos a autorização do Banco Central que participem de arranjo de pagamento do qual a instituição também participe (art. 60).

A instituição deve instituir mecanismos de acompanhamento e de controle que assegurem a implementação e a adequação da política, dos procedimentos e dos controles internos, incluindo a definição de processos, testes e trilhas de auditoria, de métricas e indicadores adequados, e a identificação e correção de deficiências, submetidos a testes periódicos pela auditoria interna (art. 61 da Circular BCB 3.978/2020). Deve, ainda, AVALIAR A EFETIVIDADE da política, dos procedimentos e dos controles internos, em relatório específico ELABORADO ANUALMENTE com data-base de 31 DE DEZEMBRO e encaminhado, para ciência, até 31 DE MARÇO do ano seguinte, ao comitê de auditoria, quando houver, e ao conselho de administração ou, se inexistente, à diretoria (art. 62). O relatório deve descrever a metodologia adotada, os testes aplicados, a qualificação dos avaliadores e as deficiências identificadas, e avaliar, no mínimo, os procedimentos de conhecer clientes, o monitoramento, seleção, análise e comunicação ao Coaf — incluindo a efetividade dos parâmetros de seleção —, a governança da política, as medidas de cultura organizacional, os programas de capacitação, os procedimentos de conhecer funcionários, parceiros e terceirizados, e as ações de regularização dos apontamentos da auditoria interna e da supervisão do Banco Central (art. 63). A instituição deve elaborar plano de ação para as deficiências identificadas, com relatório de acompanhamento, encaminhados para ciência e avaliação até 30 DE JUNHO do ano seguinte ao da data-base (art. 65).

A instituição deve manter à disposição do Banco Central e conservar pelo período mínimo de DEZ ANOS: as informações coletadas nos procedimentos de conhecer os clientes dos arts. 13, 16 e 18, contados a partir do primeiro dia do ano seguinte ao término do relacionamento; as informações dos procedimentos de conhecer funcionários, parceiros e prestadores de serviços terceirizados do art. 56, contados do encerramento da relação contratual; as informações e registros de operações dos arts. 28 a 37, contados a partir do primeiro dia do ano seguinte ao da realização da operação; e o dossiê de análise do art. 43, § 2º (art. 67 da Circular BCB 3.978/2020). Devem permanecer à disposição do Banco Central, entre outros, o documento da política, as atas de formalização das opções de centralização, o documento da avaliação interna de risco com a documentação de suporte, os manuais de conhecer o cliente e de monitoramento, o relatório de avaliação de efetividade e suas versões anteriores, as versões anteriores da avaliação interna de risco e os documentos do plano de ação — estes últimos pelo prazo mínimo de CINCO ANOS (art. 66, incisos e § 2º). O contrato do art. 31, com terceiros participantes de arranjo de pagamento, deve permanecer à disposição por no mínimo cinco anos após o encerramento da relação contratual (art. 66, § 1º). A Lei 9.613/1998, no art. 10, § 2º, fixa o mínimo LEGAL de cinco anos e permite que a autoridade competente amplie o prazo — foi o que o Banco Central fez ao chegar a dez anos no art. 67.