Descobrir isso tarde é o normal: o sistema de prevenção à lavagem de dinheiro não é montado depois da licença; ele é apresentado dentro do processo e precisa ser coerente com o seu programa de atividades, com o seu plano de negócios e com o quadro de pessoal que você diz que vai ter.
Pediram a você o manual de PLD para a autorização?
Conte-nos qual licença você está solicitando e perante qual supervisor. Nós dizemos qual pacote de PLD deve integrar o seu processo.
Em PLD, o processo não é aprovado por ter documentos: é aprovado porque os documentos descrevem um sistema que aquele projeto concreto consegue sustentar desde o primeiro dia.
Nada de modelo pronto. Redigimos o manual com base nos seus produtos reais, nos seus canais de captação, no seu tipo de cliente e nas jurisdições com que você vai trabalhar, com a autoavaliação de risco por trás e os procedimentos de diligência devida que a sua equipe vai conseguir executar de verdade.
O processo não pergunta apenas o que você vai fazer, mas quem vai fazer. Desenhamos a governança (órgão de controle interno, representante perante o SEPBLAC, divisão de funções) e podemos assumir a posição de representante externo enquanto a sua estrutura cresce.
O artigo 2 da Lei 10/2010 define o catálogo. O seu enquadramento nele determina o alcance do sistema que você precisa apresentar.
Composição, funções, periodicidade e atas. É a peça que mais vezes aparece como “designada” e nunca chega a ser constituída.
O seu manual de PLD e o seu programa de atividades são lidos em conjunto. Se não disserem o mesmo, a exigência do supervisor é imediata.
Procedimentos, ferramentas, treinamento, exame externo e controle contínuo: o que precisa estar funcionando desde o primeiro cliente.
Quatro conversas que temos todo mês, sempre com o mesmo começo: “achávamos que a PLD vinha depois da licença”.
“Estávamos com o programa de atividades e a idoneidade resolvidos, e agora nos pedem manual de PLD, autoavaliação de risco e representante perante o SEPBLAC. Não temos uma linha sequer escrita sobre isso.”
“O nosso onboarding é totalmente digital e a distância. O manual que nos passaram descreve um escritório com clientes que vão assinar presencialmente, e isso não tem nada a ver com o que vamos fazer.”
“Vínhamos do registro anterior e achávamos que isso bastava. Agora nos pedem um sistema de prevenção completo, com monitoramento e perfis de risco, antes de autorizar qualquer coisa.”
“Somos quatro pessoas e vamos ter cotistas internacionais. Preciso de um sistema proporcional, mas que resista à primeira pergunta sobre o beneficiário final de um veículo estrangeiro.”
A parte de PLD de um processo de autorização raramente é rejeitada por falta de documentos. Ela trava porque os documentos não convencem.
O manual baixado da internet: é detectado na hora. Menciona produtos que você não vai oferecer, descreve filiais que não existem, cita normas de outro setor ou mantém referências que já não se sustentam. Um revisor experiente identifica isso em duas páginas e, a partir daí, lê o resto do processo com desconfiança.
O manual que não bate com o resto: o seu programa de atividades fala em captação digital e o manual descreve identificação presencial; o seu plano de negócios fala de clientes não residentes e a autoavaliação de risco não os contempla. A incoerência interna é a falha mais fácil de encontrar e a mais cara de corrigir tarde.
Os cargos de fachada: designar como representante perante o SEPBLAC ou como membro do órgão de controle interno alguém sem conhecimentos, sem dedicação e sem meios. O supervisor pergunta sobre perfil, funções e tempo alocado, e aí acaba o atalho.
| Peça do processo | O que o supervisor examina | Com o que precisa ser coerente |
|---|---|---|
| Manual e procedimentos de PLD | Que descrevam a sua operação concreta: produtos, canais de captação, tipos de cliente e jurisdições com que você vai trabalhar. | O programa de atividades e o memorial descritivo do projeto: mesmos serviços, mesmos clientes, mesmos canais. |
| Autoavaliação de risco | Que a entidade tenha analisado o seu próprio risco antes de operar, e não herdado uma matriz genérica de outro setor. | O plano de negócios: volumes previstos, mercados-alvo e perfil de cliente esperado. |
| Órgão de controle interno e representante | Pessoas concretas, com conhecimentos e dedicação real, e um órgão com funções e funcionamento definidos. | O organograma e os meios declarados: se não houver equipe que sustente a função, o bloco cai sozinho. |
Escrevemos o pacote de PLD com base no seu projeto real e o alinhamos com o programa de atividades, o plano de negócios e o organograma que você já apresentou. E, se a sua estrutura ainda for pequena, assumimos a posição de representante perante o SEPBLAC enquanto ela cresce.
Porque a autorização é concedida a uma entidade que deve estar em condições de cumprir as regras desde o primeiro dia de atividade, e não quando lhe for conveniente. O sistema de prevenção faz parte da organização e dos meios que o supervisor avalia antes de decidir, assim como o capital ou a idoneidade dos ocupantes dos cargos.
Vista assim, a lógica é clara: se a primeira operação pode chegar no dia seguinte ao registro, não pode haver uma janela em que a entidade opere sem procedimentos, sem responsável designado e sem critérios de aceitação de clientes.
Não serve, e isso é detectado rapidamente. Os indícios são sempre os mesmos: capítulos sobre produtos que a sua licença não permite, referências a canais ou filiais que você não tem, uma autoavaliação de risco que não menciona o seu mercado-alvo, procedimentos pensados para uma equipe muito maior que a sua e remissões a normas que não se encaixam no seu setor.
O problema não é só que peçam para você corrigir: é que um manual claramente alheio ao projeto contamina a leitura do resto do processo e multiplica as perguntas sobre todo o restante.
Em geral, o bloco inclui: manual de PLD/FT com as políticas e os procedimentos escritos; autoavaliação de risco da entidade; procedimentos de diligência devida (simplificada, normal e reforçada) e de identificação do beneficiário final; tratamento de pessoas politicamente expostas (PEP); política de conservação de documentos; procedimento de comunicação de operações suspeitas e de abstenção; constituição do órgão de controle interno e designação do representante perante o SEPBLAC; plano de treinamento do pessoal; e previsão do exame anual por perito externo.
O alcance concreto depende da sua figura jurídica e do seu perfil de risco, mas esse é o esqueleto que se espera ver.
É uma solução habitual em projetos pequenos e, na prática, funciona bem quando a pessoa designada tem conhecimentos suficientes, dedicação real e acesso efetivo às informações da entidade. O que não funciona é um nome colocado só para preencher um campo.
Tenha em mente que a responsabilidade do sujeito obrigado não se terceiriza: ainda que a função tenha apoio externo, o sistema continua sendo seu e o seu órgão de administração continua respondendo por ele. Explicamos isso em representante externo perante o SEPBLAC.
Muda bastante, e é um dos pontos que mais geram exigências. A identificação não presencial por vídeo é regulada pela Ordem ETD/465/2021, de 6 de maio, que prevê as modalidades de vídeo gravado e de vídeo ao vivo, com conservação das evidências e autorização prévia do procedimento nos termos fixados pela própria norma.
No processo, é preciso descrever o fluxo completo: o que é capturado, como é verificado, o que é conservado, quem revisa os casos duvidosos e qual fornecedor participa. Um manual que fale de assinatura presencial enquanto o seu produto é um app é a contradição mais visível que você pode apresentar.
O esqueleto é comum (manual, autoavaliação, diligência devida, governança, treinamento, exame externo), mas a ênfase muda muito. Para uma instituição de pagamento, o ponto crítico é a análise da operação e o monitoramento de transações; para um projeto de criptoativos, a rastreabilidade e o risco de contraparte; para uma empresa de investimento (ESI), a origem dos fundos e o beneficiário final das estruturas.
Por isso não reutilizamos manuais entre clientes: o índice pode ser parecido, mas o conteúdo que importa é justamente o que não se pode copiar.
Antes de apresentar o pedido, e não depois da primeira exigência. Quando o bloco de PLD chega tarde ou chega fraco, o efeito não é só um atraso: obriga a refazer peças que já estavam apresentadas, porque qualquer ajuste no manual repercute no programa de atividades, no organograma e nos meios declarados.
A nossa recomendação prática é construí-lo em paralelo ao resto do processo, e não como um apêndice final. O documento sai melhor, sai antes e evita a rodada de perguntas mais incômoda do processo.
O pacote da União (o Regulamento (UE) 2024/1624 (AMLR), a Diretiva (UE) 2024/1640 (AMLD6) e o Regulamento (UE) 2024/1620, que cria a autoridade europeia AMLA, com sede em Frankfurt) tem aplicação escalonada e está em fase de implementação.
Para o seu processo, isso significa duas coisas: hoje o pedido é apresentado conforme a Lei 10/2010 e o seu regulamento, mas convém desenhar o sistema já pensando nesse marco, sobretudo em diligência devida, beneficiário final e rastreabilidade das informações. Um sistema bem construído agora se adapta com ajustes; um feito às pressas precisa ser refeito por inteiro.
Começa o que realmente é supervisionado. O manual precisa ser mantido vivo, a autoavaliação de risco é revisada quando o negócio muda, o órgão de controle interno precisa se reunir e lavrar ata, o treinamento é ministrado e comprovado, e o exame anual por perito externo gera constatações que precisam ser resolvidas.
Esse ciclo é exatamente o que trabalhamos no plano de remediação de PLD. E, se um dia chegar uma ação de supervisão, o que se examina não é o manual que você apresentou, mas as evidências que você gerou desde então.
A mesma ordem em todas as licenças: primeiro se define o perímetro, depois se escreve o sistema e só no final se redige o manual. Fazer ao contrário é o que produz documentos genéricos.
Enquadramento no catálogo de sujeitos obrigados do artigo 2 da Lei 10/2010, definição de produtos, canais, tipos de cliente e jurisdições, e autoavaliação de risco própria. Todo o resto deriva daqui.
Procedimentos de diligência devida, beneficiário final, pessoas politicamente expostas, alertas, comunicação e conservação; órgão de controle interno, representante perante o SEPBLAC, treinamento e ferramentas. E só então: o manual.
Verificação cruzada com o programa de atividades, o plano de negócios e o organograma, resposta às exigências e implantação efetiva do sistema para o dia em que chegar o primeiro cliente.
Se você ainda está decidindo a figura jurídica, veja autorização de ESI, licença de instituição de pagamento, licença de instituição de moeda eletrônica ou registro e autorização sob o MiCA.
Os 10 elementos que compõem um sistema de prevenção defensável perante o SEPBLAC, com a evidência documental que você precisa poder mostrar de cada um. Serve como autodiagnóstico antes que a inspeção chegue.
Sem spam. Seu e-mail só é usado para enviar este checklist e, ocasionalmente, novidades regulatórias relevantes.
O checklist está sendo baixado agora mesmo. Se o download não começar automaticamente, clique aqui.
Depois de ler, precisa de ajuda para implementar alguma das etapas? Escreva diretamente para nós:
São os termos que você vai ler na exigência do supervisor. Se o seu manual os usar com precisão, metade da conversa está ganha.
Pessoa ou entidade incluída no catálogo do artigo 2 da Lei 10/2010. A maioria das licenças financeiras coloca você dentro dele desde o primeiro dia.
Documento em que a entidade identifica e avalia a sua exposição por cliente, produto, canal e geografia, e decide as medidas que aplica em consequência.
O documento que organiza todo o sistema: critérios de aceitação, diligência devida, detecção, comunicação, conservação, treinamento e controle.
Conjunto de medidas de conhecimento do cliente (KYC) graduadas conforme o risco: identificação, propósito da relação e acompanhamento contínuo.
Pessoa física que controla, em última instância, o cliente. A sua identificação é um dos pontos que mais geram exigências em estruturas societárias.
Órgão colegiado responsável por aprovar e supervisionar o sistema de prevenção, com funções, composição e funcionamento definidos.
Pessoa designada como interlocutora da entidade perante o Serviço Executivo (SEPBLAC), responsável por canalizar as comunicações e os requerimentos.
Método de identificação remota regulado pela Ordem ETD/465/2021, com modalidades de vídeo gravado e ao vivo e conservação de evidências.
Revisão externa do sistema de prevenção, com relatório e constatações. É prevista já no processo, embora seja executada com a entidade em operação.
Que a entidade saiba exatamente por que é sujeito obrigado e quais obrigações se aplicam a ela pela sua figura jurídica e pela atividade prevista.
Memorial de enquadramento regulatório com referência ao artigo 2 da Lei 10/2010 e descrição dos serviços coerente com o programa de atividades.
Autoavaliação de risco própria, com conclusões que se refletem na política de aceitação de clientes e no nível de diligência aplicável.
Autoavaliação datada e aprovada, política de aceitação e manual de PLD com controle de versões.
Procedimentos executáveis para identificar o cliente e o beneficiário final pelo canal que a entidade vai realmente usar.
Fluxo de onboarding documentado, formulários e declarações-padrão, descrição do método de identificação e contratos com fornecedores de tecnologia.
Órgão de controle interno constituído e representante perante o SEPBLAC designado, com perfil, funções e dedicação comprováveis.
Deliberações de constituição e de designação, currículos, descrição de funções e organograma com a função de compliance posicionada.
Plano de treinamento do pessoal desde o início e previsão do exame anual por perito externo dentro do calendário de cumprimento.
Plano anual de treinamento com conteúdos e destinatários, e previsão documentada do exame externo e do seu acompanhamento.
Cinco coisas que um revisor experiente detecta nos primeiros minutos de leitura.
O pacote de PLD/FT é construído da mesma forma em todas as autorizações, mas pesa em pontos diferentes conforme a figura jurídica: onde está o seu risco, qual canal você usa e que tipo de cliente você vai ter. Estas são as licenças em que mais vezes montamos o bloco do zero.
Empresas de investimento (ESI): origem dos fundos, beneficiário final das estruturas e coerência com o programa de atividades.
Aqui o foco está na operação: monitoramento de transações, agentes e canais de onboarding a distância.
Projetos que vêm do registro anterior e descobrem que agora o sistema de prevenção é apresentado antes de operar.
O caso mais frequente: projeto pequeno, estrutura enxuta e um bloco de PLD que precisa ser proporcional e completo ao mesmo tempo.
Se você quiser entender primeiro o marco regulatório, comece por prevenção à lavagem de dinheiro e por sujeitos obrigados. Se já sabe do que precisa, vá direto ao manual de PLD ou aos nossos serviços de PLD/FT. E, se o sistema já existe mas alguém o revisou com ressalvas, veja o plano de remediação.
Diga-nos qual figura jurídica você está tramitando (EAF, instituição de pagamento, instituição de moeda eletrônica, CASP, gestora) e em que ponto está o processo. Revisamos o que falta na parte de PLD/FT e em que ordem ela deve ser construída.
Última atualização: 4 de agosto de 2026
Quase todas as licenças financeiras transformam o solicitante em sujeito obrigado da Lei 10/2010, de 28 de abril, e do seu regulamento de desenvolvimento, o RD 304/2014. Por isso o supervisor não espera a entidade estar em operação para perguntar sobre prevenção à lavagem de dinheiro: ele pede o sistema completo dentro do processo de autorização, junto com o programa de atividades, a idoneidade dos ocupantes dos cargos e a comprovação dos meios. Esta página foi pensada para o projeto que descobre esse requisito no meio do caminho e precisa construir o bloco inteiro sem frear o restante da tramitação.
A lógica do supervisor é simples: a autorização é concedida a uma entidade que consegue cumprir as regras desde o primeiro dia de atividade. Não existe uma janela em que se possa operar sem critérios de aceitação de clientes, sem procedimentos de identificação e sem responsável designado, porque o primeiro cliente pode entrar no dia seguinte ao registro. Por isso o bloco de PLD é examinado como parte da organização e dos meios, no mesmo plano que o capital ou a idoneidade dos administradores. Isso tem uma consequência prática que convém assimilar cedo: o sistema de prevenção não é um anexo redigido quando o resto do processo já está fechado, mas uma peça que condiciona as demais. Se o manual descreve uma equipe de compliance que o organograma não contempla, ou um canal de onboarding que o programa de atividades não menciona, a exigência não recai sobre o manual: recai sobre o conjunto, e obriga a refazer documentos que você já dava como prontos.
O conteúdo varia conforme a figura jurídica, mas o esqueleto é estável: enquadramento como sujeito obrigado no catálogo do artigo 2 da Lei 10/2010; autoavaliação de risco da entidade; política de aceitação de clientes; procedimentos de diligência devida simplificada, normal e reforçada; identificação do beneficiário final; tratamento de pessoas politicamente expostas; conservação de documentos; detecção, análise e comunicação de operações suspeitas ao SEPBLAC, além da comunicação sistemática; dever de abstenção quando for o caso; órgão de controle interno; representante perante o SEPBLAC; treinamento anual do pessoal; e exame anual por perito externo. A ordem importa tanto quanto o conteúdo: primeiro se definem o perímetro e o risco, depois a operação e a governança, e só no final se redige o manual, que nada mais é do que a formalização por escrito de tudo o que veio antes. Fazer ao contrário (começar pelo manual) é exatamente o que produz documentos que não descrevem ninguém.
Quase todos os projetos já viram circular um manual de PLD em PDF, e a tentação de adaptá-lo é enorme. O problema é que um revisor experiente o identifica de imediato, e não pelo formato: pelas incoerências internas. Capítulos sobre produtos que a licença solicitada não permite, referências a escritórios ou a redes de agentes em um projeto puramente digital, uma matriz de risco que não menciona os mercados do plano de negócios, procedimentos dimensionados para uma equipe que não existe, remissões a normas de outros setores. Cada um desses sinais gera perguntas, e as perguntas se acumulam sobre o resto do processo. A alternativa não é escrever mais páginas, mas escrever as que correspondem: um manual proporcional ao tamanho real do projeto, que descreva o que a equipe consegue executar e que use o mesmo vocabulário do resto da documentação apresentada. A proporcionalidade, bem fundamentada, é defensável sem problemas; a cópia, não.
O bloco de PLD não se esgota com a autorização: a partir daí começa o que realmente é supervisionado. O manual é atualizado quando o negócio muda, a autoavaliação de risco é revisada, o órgão de controle interno se reúne e lavra ata, o treinamento é ministrado e comprovado, os alertas são analisados e as comunicações saem quando precisam sair. O exame anual por perito externo gera constatações, e essas constatações precisam ser resolvidas com evidências dentro de um plano de remediação. Também convém acompanhar de perto o pacote europeu de prevenção (o Regulamento (UE) 2024/1624, a Diretiva (UE) 2024/1640 e o Regulamento (UE) 2024/1620, que cria a autoridade AMLA), cuja aplicação é escalonada e está em fase de implementação: um sistema bem construído hoje se adapta com ajustes, enquanto um improvisado para sair do aperto terá de ser refeito por inteiro. E, se um dia chegar uma ação de supervisão, o que se revisa não é o manual que você apresentou, mas as evidências que você foi gerando.
Este conteúdo tem caráter informativo e não constitui assessoria jurídica. As normas citadas podem ter sido alteradas depois da data de atualização indicada: verifique sempre a versão vigente ou consulte-nos para analisar o seu caso concreto.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .