Mercado de valores mobiliários (intermediários, gestoras, administradoras e infraestrutura)

As pessoas jurídicas dos incisos I a III do art. 3º devem elaborar e implementar política de prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa contendo, no mínimo: a governança do cumprimento das obrigações, com papéis e responsabilidades por nível hierárquico; a metodologia de tratamento e mitigação dos riscos, detalhando as diretrizes que fundamentaram a abordagem baseada em risco, as de conhecimento contínuo dos clientes ativos, funcionários e prestadores de serviços relevantes, as de identificação do beneficiário final, as de monitoramento e detecção de atipicidades e os critérios dos indicadores de efetividade; os critérios e a periodicidade de atualização cadastral dos clientes ativos, observado o intervalo máximo de cinco anos; e as ações de identificação das contrapartes nos ambientes de registro, quando aplicável (art. 4º da Resolução CVM 50/2021). A política tem de ser documentada, aprovada pela alta administração e mantida atualizada (art. 4º, § 1º). A aprovação e a adequação da política, da avaliação interna de risco e dos controles internos são responsabilidade dos órgãos da alta administração, sem prejuízo da responsabilidade do diretor do art. 8º (art. 9º). Para os auditores independentes, a política deve abranger, no mínimo, o conteúdo definido pelo Conselho Federal de Contabilidade (art. 4º, § 4º).

As pessoas dos incisos I a III do art. 3º devem identificar, analisar, compreender e mitigar os riscos de lavagem de dinheiro e de financiamento do terrorismo inerentes às suas atividades, adotando abordagem baseada em risco, e devem: elencar todos os produtos oferecidos, serviços prestados, canais de distribuição e ambientes de negociação e registro, segmentando-os no mínimo em baixo, médio e alto risco; e classificar os clientes por grau de risco, também em três faixas no mínimo (art. 5º da Resolução CVM 50/2021). Pessoas expostas politicamente, seus familiares e estreitos colaboradores, e as organizações sem fins lucrativos, exigem tratamento específico dentro da política e da avaliação (art. 5º, § 2º). O diretor do art. 8º deve elaborar relatório da avaliação interna de risco e encaminhá-lo aos órgãos da alta administração até o último dia útil do mês de abril, contendo, entre outros itens, a tabela do ano anterior com o número de operações atípicas detectadas por hipótese, o número de análises realizadas, o número de comunicações de operações suspeitas ao COAF e a data do reporte da declaração negativa, além dos indicadores de efetividade e das recomendações de mitigação (art. 6º). O relatório é anual, refere-se ao ano anterior e fica disponível para a CVM e, se for o caso, para a entidade autorreguladora, na sede da instituição (art. 6º, § 1º).

As pessoas jurídicas dos incisos I a III do art. 3º devem adotar e implementar regras, procedimentos e controles internos consistentes com o seu porte e com o volume, a complexidade e o tipo das atividades que desempenham, contemplando a análise prévia de risco de novas tecnologias, serviços e produtos; a seleção e o monitoramento de administradores, funcionários, assessores de investimento e prestadores de serviços relevantes contratados; e a forma pela qual o diretor responsável acessará as informações necessárias. Devem ainda manter programa de treinamento contínuo para esse mesmo público, destinado inclusive a divulgar a política de PLD/FTP (art. 7º, I e II, da Resolução CVM 50/2021, com a redação dada pela Resolução CVM 179/2023). As regras, procedimentos e controles têm de ser escritos, passíveis de verificação e disponíveis para consulta da CVM, das entidades administradoras dos mercados organizados, das operadoras de infraestrutura em que a pessoa obrigada atue como participante e da entidade autorreguladora (art. 7º, § 1º). Devem prever que administradores, funcionários, assessores de investimento e prestadores relevantes reportem à área de controles internos as operações e situações do art. 20 (art. 7º, § 2º).

As pessoas jurídicas dos incisos I a III do art. 3º devem indicar um diretor estatutário responsável pelo cumprimento da Resolução, em especial pela implementação e manutenção da política de PLD/FTP compatível com a natureza, o porte, a complexidade, a estrutura, o perfil de risco e o modelo de negócio da instituição (art. 8º da Resolução CVM 50/2021). A nomeação ou a substituição desse diretor deve ser informada à CVM — e, quando for o caso, às entidades administradoras dos mercados organizados, às operadoras de infraestrutura e à entidade autorreguladora — no prazo de sete dias úteis contados da investidura (art. 8º, §§ 1º e 2º). Se o diretor ficar impedido por mais de trinta dias, o substituto assume e a CVM deve ser comunicada em sete dias úteis da ocorrência (art. 8º, § 3º). A função pode ser acumulada com outras, desde que não gere conflito de interesses, principalmente com as áreas de negócio (art. 8º, § 4º), e admite-se um único diretor para todo o conglomerado financeiro (art. 8º, § 5º). No caso dos auditores independentes, os responsáveis são o auditor pessoa natural e o representante do auditor pessoa jurídica (art. 10).

As pessoas dos incisos I a III do art. 3º que tenham relacionamento direto com o investidor devem identificá-lo e manter seu cadastro atualizado de acordo com o conteúdo dos Anexos B e C da Resolução (art. 11 da Resolução CVM 50/2021). Devem difundir continuamente perante os clientes a importância de manter os dados atualizados e disponibilizar canais para que comuniquem atualizações (art. 11, § 1º). E não devem aceitar ordens de movimentação de contas de clientes com cadastro desatualizado, exceto pedidos de encerramento de conta ou de alienação ou resgate de ativos (art. 11, § 3º) — esta é a consequência prática mais dura do artigo. A periodicidade de atualização é definida na política, observado o intervalo máximo de cinco anos (art. 4º, III). O cadastro pode ser eletrônico, e a assinatura pode ser digital ou suprida por outros mecanismos, desde que permitam confirmar com precisão a identificação do cliente (art. 12). Entidades administradoras de mercados organizados e operadoras de infraestrutura sem relacionamento direto com o investidor usam as informações cadastrais dos participantes (art. 11, § 2º). Auditores independentes identificam clientes e beneficiários finais na forma da regulamentação do Conselho Federal de Contabilidade (art. 14).

As informações cadastrais dos clientes classificados nos incisos II a V do art. 1º do Anexo B devem abranger as pessoas naturais autorizadas a representá-los, todos os seus controladores diretos e indiretos e as pessoas naturais com influência significativa, até alcançar a pessoa natural caracterizada como beneficiário final (art. 13 da Resolução CVM 50/2021). Cabe à pessoa obrigada definir, na sua política de PLD/FTP, o percentual mínimo de participação que caracteriza o controle direto ou indireto (art. 13, § 1º). Quando o cliente for trust ou veículo assemelhado, é preciso envidar e evidenciar esforços para identificar o instituidor (settlor), o supervisor (protector), o administrador ou gestor (curador ou trustee) e o beneficiário — equiparando-se ao trustee quem tenha influência significativa nas decisões de investimento (art. 15). Quando não for possível identificar o beneficiário final, ou quando as diligências não puderem ser concluídas, a pessoa obrigada deve dispensar especial atenção e adotar três providências: monitoramento contínuo e reforçado, independentemente da classificação de risco do investidor; análise mais criteriosa sobre a necessidade das comunicações dos arts. 22 e 27; e avaliação do diretor responsável, passível de verificação, sobre o interesse em iniciar ou manter o relacionamento (art. 16, § 1º, na redação da Resolução CVM 245/2026).

As pessoas com relacionamento direto com o investidor devem adotar continuamente regras, procedimentos e controles internos, conforme diretrizes prévias e expressas na política, para: validar as informações cadastrais e mantê-las atualizadas, ou a qualquer momento em que surjam novas informações relevantes; aplicar e evidenciar procedimentos de verificação proporcionais ao risco; monitorar as operações de forma a conhecer permanentemente os clientes ativos; adotar as diligências devidas para identificar o beneficiário final; classificar os clientes ativos por grau de risco e rever tempestivamente a classificação; monitorar de maneira diferenciada os clientes qualificados no art. 5º, § 2º — pessoas expostas politicamente e organizações sem fins lucrativos —, inclusive identificando quem passe a se enquadrar nesse rol depois de iniciado o relacionamento; nas situações de maior risco, envidar esforços adicionais para identificar a origem dos recursos; e identificar clientes e beneficiários finais relacionados às situações de indisponibilidade dos arts. 27 e 28 (art. 17 da Resolução CVM 50/2021). Operações envolvendo investidor não residente sediado em jurisdição que não aplica ou aplica insuficientemente as recomendações do GAFI exigem medidas reforçadas: restrições ou condições adicionais para novas relações, limitação, postergação ou recusa de operações com ativos de maior risco, exigência de informações ou comprovações adicionais e encerramento da relação quando o risco for inaceitável e não mitigável (art. 17-A, incluído pela Resolução CVM 245/2026). As pessoas dos incisos I e III do art. 3º só devem iniciar ou prosseguir relação de negócio se observadas as providências do Capítulo IV (art. 18).

As pessoas dos incisos I a IV do art. 3º devem monitorar continuamente todas as operações e situações, observando as atipicidades que podem configurar indícios de lavagem de dinheiro ou financiamento do terrorismo (art. 20 da Resolução CVM 50/2021, que dá cumprimento ao art. 11, I, da Lei 9.613/1998). O artigo lista as hipóteses em quatro blocos: situações derivadas do processo de identificação do cliente — impossibilidade de manter o cadastro atualizado, de identificar o beneficiário final ou de concluir as diligências, e incompatibilidade dos valores com a ocupação, os rendimentos ou o patrimônio, ou da atividade econômica com o padrão operacional; situações relacionadas às operações cursadas no mercado — ganhos ou perdas seguidos entre as mesmas partes, oscilação significativa de volume ou frequência, artifícios para burlar a identificação dos envolvidos, atuação contumaz em nome de terceiros, mudança repentina e injustificada do padrão operacional, complexidade incompatível com o perfil e o porte do cliente, operações sem fundamento econômico ou legal, transferências privadas de recursos e de valores mobiliários sem motivação aparente, depósitos e pagamentos por terceiros, e operações fora de preço de mercado; situações ligadas a terrorismo e ao seu financiamento, inclusive ativos alcançados por resoluções do CSNU; e operações com pessoas sediadas em jurisdições que não aplicam as recomendações do GAFI ou com tributação favorecida. O § 1º, I, é o ponto decisivo: o monitoramento alcança as operações com valores mobiliários "independentemente de seu valor ou da classificação de risco de LD/FTP do investidor". O monitoramento deve ainda contemplar operações conexas ou de um mesmo grupo (art. 20, § 2º).

As pessoas dos incisos I a IV do art. 3º devem estabelecer um procedimento regular e tempestivo de análise das operações e situações detectadas no monitoramento, individualmente ou em conjunto, com o objetivo de identificar aquelas que configurem indícios de lavagem de dinheiro ou de financiamento do terrorismo (art. 21 da Resolução CVM 50/2021). A análise deve observar os parâmetros da política de PLD/FTP e da avaliação interna de risco, bem como as regras, procedimentos e controles internos dos arts. 4º a 7º (art. 21, parágrafo único). A análise é o elo entre a detecção do art. 20 e a comunicação do art. 22 — e é dela que corre o prazo de vinte e quatro horas para comunicar ao COAF.

As pessoas dos incisos I a IV do art. 3º devem, mediante análise fundamentada, comunicar ao COAF todas as situações e operações detectadas, ou propostas de operações, que possam constituir-se em sérios indícios de lavagem de dinheiro ou de financiamento do terrorismo (art. 22 da Resolução CVM 50/2021). A comunicação deve conter, no mínimo: a data de início do relacionamento com a pessoa autora ou envolvida; a explicação fundamentada dos sinais de alerta identificados; a descrição e o detalhamento das características das operações; as informações obtidas nas diligências do art. 17 que qualifiquem os envolvidos, inclusive informando tratar-se ou não de pessoa exposta politicamente, e que detalhem o comportamento da pessoa comunicada; e a conclusão da análise, com relato fundamentado que caracterize a situação suspeita (art. 22, § 1º). É proibido dar ciência do ato a qualquer pessoa, inclusive àquela a quem a informação se refira (art. 22, § 2º). O prazo é de vinte e quatro horas contadas da conclusão da análise que caracterizou a atipicidade como suspeição (art. 22, § 3º). As comunicações de boa-fé não acarretam responsabilidade civil ou administrativa (art. 22, § 4º). Os auditores independentes seguem, no mínimo, os procedimentos da regulamentação específica do Conselho Federal de Contabilidade (art. 24).

As pessoas dos incisos I a IV do art. 3º devem comunicar à CVM, se for o caso, a não ocorrência, no ano civil anterior, de situações, operações ou propostas de operações passíveis de serem comunicadas (art. 23 da Resolução CVM 50/2021). A comunicação é anual, feita até o último dia útil do mês de abril, por meio dos mecanismos estabelecidos no convênio celebrado entre a CVM e o COAF (art. 23, parágrafo único). Ela existe para quem NÃO teve nada a comunicar: é a declaração negativa. A obrigação tem base no art. 11, III, da Lei 9.613/1998, incluído pela Lei 12.683/2012, que manda comunicar "ao órgão regulador ou fiscalizador da sua atividade ou, na sua falta, ao Coaf" a não ocorrência de propostas, transações ou operações passíveis de comunicação. Atenção ao destinatário: aqui, o órgão regulador é a CVM — e a data do reporte dessa declaração negativa é um dos itens obrigatórios do relatório anual da avaliação interna de risco (art. 6º, III, "d").

As pessoas dos incisos I a III do art. 3º devem manter registro de toda operação envolvendo valores mobiliários, independentemente de seu valor, de forma a permitir a verificação da movimentação financeira de cada cliente — considerando em especial os valores pagos a título de liquidação de operações, os valores ou ativos depositados a título de garantia em operações nos mercados de liquidação futura e as transferências de valores mobiliários para a conta de custódia do cliente — e a permitir as análises e comunicações tempestivas dos arts. 21 a 23 (art. 25 da Resolução CVM 50/2021). O dever de registrar tem base no art. 10, II, da Lei 9.613/1998.

As pessoas dos incisos I a III do art. 3º devem manter à disposição da CVM, pelo período mínimo de cinco anos, toda a documentação relacionada às obrigações dos Capítulos II a V e VII — ou seja, política, avaliação interna de risco, controles internos, identificação de clientes, monitoramento, análise, comunicação e cumprimento de sanções do CSNU (art. 26 da Resolução CVM 50/2021). A documentação deve necessariamente contemplar as conclusões que fundamentaram a decisão de EFETUAR OU NÃO as comunicações dos arts. 22 e 23 (art. 26, § 1º). Para os Capítulos IV, V e VII, o prazo conta do cadastro ou da última atualização cadastral, ou da detecção da situação atípica, e pode ser sucessivamente estendido por determinação da CVM (art. 26, § 2º). Os documentos podem ser guardados em meio físico ou eletrônico, admitindo-se imagem digitalizada em substituição ao original, na forma da lei e do decreto sobre digitalização, e o original pode ser descartado depois da digitalização, exceto se tiver danos que prejudiquem a legibilidade (art. 26, §§ 3º a 5º). Os sistemas eletrônicos devem permitir acesso imediato aos documentos e informações (art. 26, § 6º). A Lei 9.613/1998, art. 10, § 2º, fixa o mesmo mínimo de cinco anos e permite que a autoridade competente amplie o prazo.

As pessoas dos incisos I a IV do art. 3º devem cumprir, imediatamente e sem aviso prévio aos sancionados, as medidas das resoluções sancionatórias do Conselho de Segurança das Nações Unidas ou as designações de seus comitês de sanções que determinem indisponibilidade de ativos, nos termos da Lei 13.810/2019 (art. 27 da Resolução CVM 50/2021). Devem informar sem demora ao Ministério da Justiça e Segurança Pública e à CVM a existência de pessoas e ativos sujeitos à indisponibilidade a que deixaram de dar cumprimento imediato, justificando as razões (art. 27, § 1º). Devem, sem depender de comunicação da CVM: monitorar direta e permanentemente as determinações de indisponibilidade, acompanhando inclusive a página do CSNU; comunicar imediatamente a indisponibilidade e as tentativas de transferência à CVM, ao MJSP e ao COAF; e manter sob verificação o surgimento de ativos alcançados, para colocá-los sob indisponibilidade assim que detectados (art. 27, § 3º). O levantamento da indisponibilidade também é imediato nas hipóteses de exclusão das listas (art. 27, § 4º). O § 5º é o ponto que mais se ignora: o cumprimento das obrigações deste capítulo NÃO se submete aos parâmetros da abordagem baseada em risco. As regras, procedimentos e controles internos devem ser adequados para alcançar todas as relações de negócio já existentes e as futuras (art. 28).