# Circular BCB 3.978 explicada seção por seção para fintechs Norma explicada · UNIFOKAL · 25 de agosto de 2026 · Atualizado em 17 de outubro de 2026 · 7 min de leitura · KYC Um mapa da Circular BCB 3.978/2020 por capítulo, com artigo citado: política de PLD-FT, avaliação interna de risco, conhecer clientes, beneficiário final, monitoramento, comunicação ao COAF e guarda de registros. A Circular BCB 3.978, de 23 de janeiro de 2020, é o texto que uma fintech regulada mais consulta quando o assunto é prevenção à lavagem de dinheiro e ao financiamento do terrorismo, o que o mercado abrevia como PLD-FT. Ela detalha, para as instituições autorizadas a funcionar pelo Banco Central do Brasil, as obrigações que a [Lei 9.613/1998](https://www.planalto.gov.br/ccivil_03/leis/l9613.htm) cria em termos gerais. Quem opera uma instituição de pagamento, uma financeira ou um banco digital responde a ela diretamente; quem presta serviço para essas empresas herda os requisitos por contrato. O problema é que a circular tem setenta artigos e quase ninguém a lê inteira. Este guia percorre a norma na ordem dos capítulos, com o número do artigo ao lado de cada exigência, e traduz cada bloco em uma pergunta prática: que controle eu preciso ter de pé para responder a isso numa fiscalização? A íntegra está disponível no [site do Banco Central](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Circular&numero=3978). Vale abrir a norma junto com o texto: o objetivo aqui é servir de mapa, não de substituto. ## Política, governança e o fim do checklist único (arts. 2º a 9º) A circular abandonou a lógica da antecessora, a Circular 3.461/2009, de procedimentos iguais para todos. O desenho atual é a abordagem baseada em risco, alinhada às Recomendações do GAFI, o Grupo de Ação Financeira Internacional: a instituição avalia seus próprios riscos e dosa os controles na proporção deles. Os artigos 2º a 7º exigem uma política de PLD-FT formal, aprovada pela alta administração, documentada e divulgada aos funcionários e parceiros. Os artigos 8º e 9º cobram a estrutura de governança e a indicação de um diretor responsável perante o Banco Central. A pergunta prática: existe um documento de política aprovado, com data, e um nome de diretor respondendo por ele? Sem isso, o resto do programa não tem dono. ## Avaliação interna de risco (arts. 10 a 12) Os artigos 10 a 12 mandam a instituição identificar e mensurar os próprios riscos, considerando clientes, produtos e serviços, canais de distribuição e ambientes de atuação. A avaliação precisa ser documentada e revisada a cada dois anos, ou antes, quando houver alteração relevante no perfil de risco. É essa avaliação que justifica todas as dosagens do programa: por que um cliente é de risco alto, por que um produto exige mais diligência. Fiscalização que não encontra a avaliação interna de risco não tem como aceitar o resto. ## Conhecer o cliente: identificação, qualificação e classificação (arts. 13 a 27) O artigo 13 resume o capítulo em três verbos: identificar, qualificar e classificar. Os artigos 16 e 17 tratam da identificação, a confirmação de que a pessoa é quem diz ser, com coleta de dados mínimos e atualização. Os artigos 18 e 19 tratam da qualificação, a coleta de informações compatíveis com o perfil, incluindo a verificação da condição de pessoa exposta politicamente, a PEP, cuja definição e prazo estão no artigo 27. O artigo 20 exige a classificação de cada cliente em categorias de risco. Dois pontos deste capítulo mordem operações reais. O artigo 23 veda iniciar a relação de negócio sem a conclusão dos procedimentos de identificação, admitindo concluir a qualificação em até trinta dias: identificação não é etapa adiável para depois do primeiro depósito. E os artigos 24 e 25 mandam analisar a cadeia de participação societária do cliente pessoa jurídica até a pessoa natural que é o beneficiário final, com um valor mínimo de referência de participação que a instituição define com base no risco e que não pode ser superior a 25%. O que um documento societário prova nessa análise é assunto do artigo sobre [contrato social e estatuto no KYB](https://unifokal.com/blog/contrato-social-e-estatuto-no-kyb). ## Registro de operações e dinheiro em espécie (arts. 28 a 37) O artigo 28 exige o registro de todas as operações, com informações que permitam reconstruí-las. As seções seguintes apertam o controle sobre dinheiro físico: operações em espécie acima de R$ 2.000,00 têm registro específico (art. 33), depósitos e aportes em espécie de R$ 50.000,00 ou mais têm requisitos próprios (art. 34) e saques desse porte exigem provisionamento com três dias úteis de antecedência (arts. 35 e 36). Para uma fintech totalmente digital o capítulo parece distante, mas boleto pago em espécie na rede bancária (art. 37) devolve o tema para dentro de casa. ## Monitoramento, seleção e análise (arts. 38 a 46) Aqui mora a operação contínua. O artigo 38 exige procedimentos de monitoramento e seleção de operações suspeitas descritos em manual específico; o que esse manual e o de conhecer o cliente precisam conter está em [os manuais de PLD](https://unifokal.com/blog/manuais-de-pld-o-que-a-circular-3978-pede). O artigo 39 fixa o prazo máximo de 45 dias para a seleção, contado da data da operação. Os artigos 40 e 41 mandam documentar os parâmetros usados, o que impede o monitoramento de ser uma caixa-preta sem versão. A análise do que foi selecionado (arts. 43 a 46) precisa virar dossiê formal, também em até 45 dias, e o artigo 44 proíbe terceirizar a análise: ferramenta pode apoiar, a decisão é da instituição. ## Comunicação ao COAF (arts. 48 a 55) Decidiu-se que uma operação é suspeita? O artigo 48 manda comunicar ao COAF, o Conselho de Controle de Atividades Financeiras, até o dia útil seguinte à decisão. Operações em espécie de R$ 50.000,00 ou mais são comunicadas de forma objetiva, sem juízo de suspeita (art. 49), e, desde a Resolução BCB 591/2026, também o câmbio em espécie e a transferência de ativo virtual de ou para carteira autocustodiada a partir do equivalente a US$ 10 mil. A comunicação é sigilosa (art. 50), e o ano sem nenhuma comunicação também gera obrigação: a declaração de não ocorrência (art. 54), transmitida pelo Siscoaf, o sistema do COAF em que a instituição precisa estar habilitada (art. 55). Para calibrar o que é indício, a referência é a [Carta Circular BCB 4.001/2020](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Carta%20Circular&numero=4001), que lista exemplos de operações e situações suspeitas. ## Efetividade e guarda: a prova de que o programa funciona (arts. 62 a 67) O capítulo final é o que diferencia programa de papel de programa real. O artigo 62 exige um relatório anual de avaliação de efetividade, com data-base de 31 de dezembro e envio interno até 31 de março. As deficiências apontadas viram plano de ação acompanhado (art. 65). E o artigo 67 manda conservar por no mínimo dez anos as informações de clientes, os registros de operações e os dossiês de análise. Dez anos é mais que a vida de muita fintech: o desenho de retenção precisa nascer junto com o produto, tema que cruza com os [direitos do titular no KYC](https://unifokal.com/blog/direitos-do-titular-em-kyc). ## Da norma para o fluxo de onboarding Lida em sequência, a circular vira um mapa de engenharia: identificação e qualificação viram o fluxo de verificação de identidade com trilha auditável; a classificação de risco vira parâmetro do fluxo; o monitoramento vira rotina com prazo e dossiê. É esse mapa que recomendamos montar antes de escolher qualquer ferramenta, e é o desenho que seguimos na UNIFOKAL ao estruturar verificação com registro completo de quem foi verificado, quando e com que resultado. Onde cada controle desses barra fraude de verdade é o assunto de [onde o funil de onboarding vaza](https://unifokal.com/blog/onboarding-digital-fraude). Cada peça do programa tem texto próprio neste blog: a [política de PLD/FT](https://unifokal.com/blog/politica-de-pld-ft-o-que-escrever), o [diretor responsável](https://unifokal.com/blog/diretor-responsavel-por-pld-ft), a [avaliação interna de risco](https://unifokal.com/blog/avaliacao-interna-de-risco-pld), a [avaliação de efetividade](https://unifokal.com/blog/avaliacao-de-efetividade-de-pld), a [capacitação](https://unifokal.com/blog/capacitacao-e-cultura-de-pld-ft), o [conhecimento de funcionários e parceiros](https://unifokal.com/blog/conheca-seu-funcionario-parceiro-e-terceirizado), os [30 dias para concluir a qualificação](https://unifokal.com/blog/abrir-antes-de-concluir-a-qualificacao), a [versão anterior que se guarda](https://unifokal.com/blog/versionamento-de-documentos-de-pld), [quem pode ler o registro de PLD](https://unifokal.com/blog/quem-pode-ler-o-registro-de-pld), [o que o Coaf faz com a comunicação](https://unifokal.com/blog/o-que-o-coaf-faz-com-a-comunicacao) e a comparação com a [Resolução CVM 50, lado a lado](https://unifokal.com/blog/circular-3978-e-resolucao-cvm-50-lado-a-lado). Três temas completam o mapa: a [análise prévia de produto novo](https://unifokal.com/blog/produto-novo-avaliacao-previa-de-risco) do art. 3º, I, "b", as [métricas e indicadores](https://unifokal.com/blog/metricas-e-indicadores-de-pld) do art. 61 e a fronteira entre [PLD e antifraude](https://unifokal.com/blog/pld-e-antifraude-deveres-diferentes). ## Fontes citadas - Circular BCB 3.978/2020, do Banco Central do Brasil, íntegra no site do BCB - Resolução BCB 591, de 30 de setembro de 2026, que deu nova redação ao artigo 49 da Circular BCB 3.978/2020: [bcb.gov.br](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=591) - Carta Circular BCB 4.001/2020, do Banco Central do Brasil, com a lista exemplificativa de operações e situações suspeitas - Lei 9.613/1998, disponível no portal do Planalto - Circular BCB 3.461/2009, norma antecessora, revogada pela Circular 3.978/2020 - Recomendações do GAFI (FATF), base internacional da abordagem baseada em risco - COAF, Conselho de Controle de Atividades Financeiras, e seu sistema Siscoaf