# Avaliação interna de risco, o documento de PLD que o supervisor pede primeiro Guia · UNIFOKAL · 2 de setembro de 2026 · 6 min de leitura · KYC A Circular BCB 3.978/2020 exige avaliação interna de risco documentada, aprovada e revisada. O que a AIR precisa conter, fator por fator, e como ela deixa de ser papel e vira controle real de onboarding. Quando a supervisão examina o programa de prevenção à lavagem de dinheiro de uma instituição, o roteiro costuma começar pelos mesmos dois documentos: a política de PLD/FT e a avaliação interna de risco, a AIR. A política diz o que a instituição se compromete a fazer. A AIR diz por quê: é ela que registra quais riscos a instituição enxergou no próprio negócio e que justifica o desenho de cada controle. Sem AIR, toda escolha do programa parece arbitrária, por que este cliente passou por diligência reforçada e aquele não, por que este produto tem limite e aquele não tem. Com uma AIR bem-feita, as mesmas escolhas viram consequência documentada de uma análise. Este artigo trata do que a norma exige da AIR, do que escrever em cada fator e do erro mais comum de todos: a avaliação que existe no papel e não conversa com o sistema que decide o onboarding. ## De onde vem a obrigação A base é a Lei 9.613/1998, que define os crimes de lavagem de dinheiro e impõe às pessoas obrigadas os deveres de identificação de clientes, registro e comunicação de operações. A forma concreta, para as instituições autorizadas pelo Banco Central, está na Circular BCB 3.978/2020, cujo artigo 10 determina que a instituição realize avaliação interna com o objetivo de identificar e mensurar o risco de seus produtos, serviços e canais serem utilizados para lavagem de dinheiro e financiamento do terrorismo. A mesma circular estrutura a avaliação por fatores: os clientes; a própria instituição, incluindo o modelo de negócio e a área geográfica de atuação; as operações, transações, produtos e serviços; as atividades exercidas por funcionários, parceiros e prestadores terceirizados; e os canais de distribuição, incluindo o uso de novas tecnologias. O resultado deve classificar o risco em categorias, ser documentado e aprovado pelo diretor responsável, ser divulgado internamente e ser revisado a cada dois anos, ou antes, quando ocorrer alteração significativa no perfil de risco, um produto novo, um canal novo, um mercado novo. Fora do perímetro do Banco Central a lógica é a mesma: a Resolução COAF 36/2021 exige dos setores supervisionados diretamente pelo COAF uma política de PLD/FT compatível com o porte e o volume de operações, sustentada por avaliação dos riscos da própria atividade. ## O que escrever em cada fator A AIR não tem formato imposto, mas tem conteúdo esperado. Para cada fator, o exercício é o mesmo: descrever a exposição real da instituição, não uma exposição genérica de mercado. - Clientes: quem é a carteira de verdade. Pessoa física ou jurídica, faixas de renda e faturamento, presença de pessoas expostas politicamente, setores de atividade com risco conhecido, concentração geográfica. - Produtos e serviços: o que cada produto permite fazer. Conta movimentada por Pix, cartão pré-pago, câmbio, ativos virtuais: cada um tem vetores próprios de abuso, e a AIR precisa nomeá-los, não listá-los como itens de catálogo. - Canais: onboarding cem por cento remoto tem um risco de fraude de identidade que o atendimento presencial não tem, e o documento precisa reconhecer isso e apontar o controle que responde, verificação documental, biometria, prova de vida. - Geografia e contrapartes: atuação em regiões de fronteira, exposição a jurisdições sob alerta do GAFI, dependência de parceiros que trazem clientes de fora do controle direto da instituição. Sobre essa descrição entra a mensuração. Uma escala simples de probabilidade e impacto, defensável e aplicada com consistência, vale mais que uma matriz sofisticada que ninguém sabe reproduzir. O produto final classifica cada combinação relevante de cliente, produto e canal numa categoria de risco e diz, com clareza, o que muda de tratamento em cada categoria. ## Da prateleira para o onboarding É aqui que a maioria das AIRs morre. O documento classifica, o comitê aprova, e o sistema de cadastro continua tratando todo cliente exatamente igual. A [abordagem baseada em risco](https://unifokal.com/blog/abordagem-baseada-em-risco) que a norma pede é a ponte entre os dois mundos: cliente de categoria baixa passa por diligência simplificada, cliente de categoria alta passa por diligência reforçada, e essa diferença precisa existir no fluxo real, não só no texto aprovado. Na prática, a AIR alimenta três decisões operacionais. Primeiro, o desenho do onboarding por perfil: quais verificações cada segmento de cliente atravessa. Segundo, os parâmetros de monitoramento: os alertas que sustentam a [comunicação ao COAF](https://unifokal.com/blog/comunicacao-ao-coaf) devem refletir os riscos que a própria AIR apontou, não um conjunto genérico herdado da ferramenta. Terceiro, a alocação de gente: a equipe de análise se concentra onde o documento disse que o risco está. O conjunto de obrigações em que a AIR se encaixa já foi detalhado aqui ao tratar da [Circular 3.978 e do programa de PLD/FT](https://unifokal.com/blog/circular-bcb-3978-pld-ft); a avaliação interna é a peça que dá coerência a todas as outras. ## Os erros que a supervisão encontra Alguns padrões se repetem em achados de inspeção e merecem checagem honesta contra o seu documento atual. - AIR genérica, comprada ou copiada, que descreve produtos que a instituição não oferece e ignora os que oferece. É pior do que não ter, porque prova que o documento não foi lido por quem o assinou. - Tudo classificado como risco médio, o empate que não decide nada e denuncia que a escala não foi aplicada de verdade. - AIR e sistema em desacordo: o documento promete diligência reforçada para determinado perfil e o fluxo de cadastro não tem nenhum degrau a mais para ele. - Revisão vencida: produto novo lançado, canal novo aberto, e a avaliação parada na data de dois anos atrás, descrevendo uma instituição que já não existe. - Falta de formalidade: sem aprovação do diretor responsável, sem data, sem versão, o que impede demonstrar quando cada decisão foi tomada e sobre qual cenário. ## A materialização técnica Um teste objetivo para saber se a sua AIR saiu do papel: abrindo a configuração do onboarding, dá para apontar onde cada categoria de risco recebe tratamento diferente? Na UNIFOKAL, essa é exatamente a função dos fluxos de verificação configuráveis: a empresa monta fluxos distintos, com módulos distintos, documento, biometria, prova de vida, consultas cadastrais, e aplica cada um ao perfil de cliente que a sua avaliação de risco definiu. A ferramenta não escreve a AIR, e nenhum fornecedor escreve, porque o documento é seu, sobre o seu negócio, assinado pelo seu diretor. O que a ferramenta faz é permitir que a diferenciação prometida no documento exista de verdade no sistema, que é onde o supervisor vai conferir se o papel e a prática contam a mesma história. ## Fontes citadas - Lei 9.613/1998, sobre os crimes de lavagem de dinheiro e os deveres das pessoas obrigadas, no portal do Planalto: [planalto.gov.br](https://www.planalto.gov.br/ccivil_03/leis/l9613.htm) - Circular BCB 3.978/2020, artigo 10, sobre a avaliação interna de risco, no portal de normativos do Banco Central: [bcb.gov.br](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Circular&numero=3978) - Resolução COAF 36/2021, sobre a política de PLD/FT dos setores supervisionados pelo COAF, no portal do COAF: [gov.br/coaf](https://www.gov.br/coaf/pt-br)