Circular BCB 3.978 explicada seção por seção para fintechs

A Circular BCB 3.978, de 23 de janeiro de 2020, é o texto que uma fintech regulada mais consulta quando o assunto é prevenção à lavagem de dinheiro e ao financiamento do terrorismo, o que o mercado abrevia como PLD-FT. Ela detalha, para as instituições autorizadas a funcionar pelo Banco Central do Brasil, as obrigações que a Lei 9.613/1998 cria em termos gerais. Quem opera uma instituição de pagamento, uma financeira ou um banco digital responde a ela diretamente; quem presta serviço para essas empresas herda os requisitos por contrato.

O problema é que a circular tem setenta artigos e quase ninguém a lê inteira. Este guia percorre a norma na ordem dos capítulos, com o número do artigo ao lado de cada exigência, e traduz cada bloco em uma pergunta prática: que controle eu preciso ter de pé para responder a isso numa fiscalização?

A íntegra está disponível no site do Banco Central. Vale abrir a norma junto com o texto: o objetivo aqui é servir de mapa, não de substituto.

Política, governança e o fim do checklist único (arts. 2º a 9º)

A circular abandonou a lógica da antecessora, a Circular 3.461/2009, de procedimentos iguais para todos. O desenho atual é a abordagem baseada em risco, alinhada às Recomendações do GAFI, o Grupo de Ação Financeira Internacional: a instituição avalia seus próprios riscos e dosa os controles na proporção deles.

Os artigos 2º a 7º exigem uma política de PLD-FT formal, aprovada pela alta administração, documentada e divulgada aos funcionários e parceiros. Os artigos 8º e 9º cobram a estrutura de governança e a indicação de um diretor responsável perante o Banco Central. A pergunta prática: existe um documento de política aprovado, com data, e um nome de diretor respondendo por ele? Sem isso, o resto do programa não tem dono.

Avaliação interna de risco (arts. 10 a 12)

Os artigos 10 a 12 mandam a instituição identificar e mensurar os próprios riscos, considerando clientes, produtos e serviços, canais de distribuição e ambientes de atuação. A avaliação precisa ser documentada e revisada a cada dois anos, ou antes, quando houver alteração relevante no perfil de risco. É essa avaliação que justifica todas as dosagens do programa: por que um cliente é de risco alto, por que um produto exige mais diligência. Fiscalização que não encontra a avaliação interna de risco não tem como aceitar o resto.

Conhecer o cliente: identificação, qualificação e classificação (arts. 13 a 27)

O artigo 13 resume o capítulo em três verbos: identificar, qualificar e classificar. Os artigos 16 e 17 tratam da identificação, a confirmação de que a pessoa é quem diz ser, com coleta de dados mínimos e atualização. Os artigos 18 e 19 tratam da qualificação, a coleta de informações compatíveis com o perfil, incluindo a verificação da condição de pessoa exposta politicamente, a PEP, cuja definição e prazo estão no artigo 27. O artigo 20 exige a classificação de cada cliente em categorias de risco.

Dois pontos deste capítulo mordem operações reais. O artigo 23 veda iniciar a relação de negócio sem a conclusão dos procedimentos de identificação, admitindo concluir a qualificação em até trinta dias: identificação não é etapa adiável para depois do primeiro depósito. E os artigos 24 e 25 mandam analisar a cadeia de participação societária do cliente pessoa jurídica até a pessoa natural que é o beneficiário final, com um valor mínimo de referência de participação que a instituição define com base no risco e que não pode ser superior a 25%. O que um documento societário prova nessa análise é assunto do artigo sobre contrato social e estatuto no KYB.

Registro de operações e dinheiro em espécie (arts. 28 a 37)

O artigo 28 exige o registro de todas as operações, com informações que permitam reconstruí-las. As seções seguintes apertam o controle sobre dinheiro físico: operações em espécie acima de R$ 2.000,00 têm registro específico (art. 33), depósitos e aportes em espécie de R$ 50.000,00 ou mais têm requisitos próprios (art. 34) e saques desse porte exigem provisionamento com três dias úteis de antecedência (arts. 35 e 36). Para uma fintech totalmente digital o capítulo parece distante, mas boleto pago em espécie na rede bancária (art. 37) devolve o tema para dentro de casa.

Monitoramento, seleção e análise (arts. 38 a 46)

Aqui mora a operação contínua. O artigo 38 exige procedimentos de monitoramento e seleção de operações suspeitas descritos em manual específico. O artigo 39 fixa o prazo máximo de 45 dias para a seleção, contado da data da operação. Os artigos 40 e 41 mandam documentar os parâmetros usados, o que impede o monitoramento de ser uma caixa-preta sem versão. A análise do que foi selecionado (arts. 43 a 46) precisa virar dossiê formal, também em até 45 dias, e o artigo 44 proíbe terceirizar a análise: ferramenta pode apoiar, a decisão é da instituição.

Comunicação ao COAF (arts. 48 a 55)

Decidiu-se que uma operação é suspeita? O artigo 48 manda comunicar ao COAF, o Conselho de Controle de Atividades Financeiras, até o dia útil seguinte à decisão. Operações em espécie de R$ 50.000,00 ou mais são comunicadas de forma objetiva, sem juízo de suspeita (art. 49). A comunicação é sigilosa (art. 50), e o ano sem nenhuma comunicação também gera obrigação: a declaração de não ocorrência (art. 54), transmitida pelo Siscoaf, o sistema do COAF em que a instituição precisa estar habilitada (art. 55). Para calibrar o que é indício, a referência é a Carta Circular BCB 4.001/2020, que lista exemplos de operações e situações suspeitas.

Efetividade e guarda: a prova de que o programa funciona (arts. 62 a 67)

O capítulo final é o que diferencia programa de papel de programa real. O artigo 62 exige um relatório anual de avaliação de efetividade, com data-base de 31 de dezembro e envio interno até 31 de março. As deficiências apontadas viram plano de ação acompanhado (art. 65). E o artigo 67 manda conservar por no mínimo dez anos as informações de clientes, os registros de operações e os dossiês de análise. Dez anos é mais que a vida de muita fintech: o desenho de retenção precisa nascer junto com o produto, tema que cruza com os direitos do titular no KYC.

Da norma para o fluxo de onboarding

Lida em sequência, a circular vira um mapa de engenharia: identificação e qualificação viram o fluxo de verificação de identidade com trilha auditável; a classificação de risco vira parâmetro do fluxo; o monitoramento vira rotina com prazo e dossiê. É esse mapa que recomendamos montar antes de escolher qualquer ferramenta, e é o desenho que seguimos na UNIFOKAL ao estruturar verificação com registro completo de quem foi verificado, quando e com que resultado. Onde cada controle desses barra fraude de verdade é o assunto de onde o funil de onboarding vaza.

Fontes citadas

• Circular BCB 3.978/2020, do Banco Central do Brasil, íntegra no site do BCB
• Carta Circular BCB 4.001/2020, do Banco Central do Brasil, com a lista exemplificativa de operações e situações suspeitas
• Lei 9.613/1998, disponível no portal do Planalto
• Circular BCB 3.461/2009, norma antecessora, revogada pela Circular 3.978/2020
• Recomendações do GAFI (FATF), base internacional da abordagem baseada em risco
• COAF, Conselho de Controle de Atividades Financeiras, e seu sistema Siscoaf