Desenhamos e mantemos o sistema de prevenção à lavagem de dinheiro de instituições de pagamento, EMIs, empresas de remessas e fintechs licenciadas: onboarding digital rastreável, monitoramento com regras calibradas, alertas com dossiê documentado e uma rede de agentes que não seja o seu ponto cego.
Seu sistema de PLD resistiria a uma inspeção?
Conte para nós qual licença você tem ou está solicitando, que volume movimenta e por quais canais. Mostramos onde está a lacuna antes que o supervisor a encontre.
Em uma fintech, o problema não é ter um manual: é fazer com que o manual, o motor de regras e o que realmente acontece em produção digam a mesma coisa. Estas são as peças que revisamos.
Manual construído sobre o seu modelo real (produto, canal, país e perfil de cliente), com níveis de diligência, critérios de escalonamento, política de limites e o procedimento de exame especial e comunicação. Versionado e aprovado, não herdado de um modelo bancário.
Cadastro de clientes sem atrito e com rastro: identificação não presencial conforme a Ordem ETD/465/2021, KYB para clientes pessoa jurídica, beneficiário final, screening no cadastro e níveis de diligência coerentes com o risco atribuído.
Autoavaliação por produto, canal, geografia e cliente. É desse documento que devem sair as suas regras, e não o contrário.
Due diligence, contrato, treinamento e supervisão de quem capta clientes e opera em seu nome. O ponto fraco clássico do setor.
Screening no cadastro e de forma contínua, tratamento das coincidências e rastreabilidade de cada descarte.
Se o seu fluxo envolve criptoativos, a análise de endereços e contrapartes se soma ao screening tradicional.
Quatro conversas que se repetem: a que chega antes da licença, a do corredor de alto risco, a do programa de cartões e a do compliance officer que herda um motor sem calibração.
“Estamos preparando o pedido ao Banco de España e nos pedem para descrever o sistema de prevenção. Não quero um manual bonito: quero um que possamos executar no dia em que tivermos dez mil clientes.”
“Operamos remessas para países que todo mundo classifica como de alto risco. Preciso de regras que detectem o fracionamento (smurfing) real, e não que bloqueiem metade dos meus clientes habituais toda sexta-feira.”
“Emitimos carteiras digitais e cartões com onboarding totalmente digital. Minha dúvida não é se identificamos bem, e sim se eu conseguiria demonstrar isso com evidências se o SEPBLAC me pedisse vinte dossiês específicos.”
“Entrei como responsável de compliance e encontrei milhares de alertas abertos e regras que ninguém sabe quem configurou nem por quê. Preciso organizar tudo antes da próxima inspeção.”
Raramente são falhas de intenção ou de orçamento: são falhas de rastreabilidade. O sistema faz coisas razoáveis que ninguém consegue demonstrar depois.
O motor com a configuração de fábrica: regras e limites que vieram por padrão do fornecedor, sem um documento que explique por que esses valores e não outros, nem um único teste de calibração com dados próprios. Funciona até alguém perguntar por quê.
O backlog de alertas: uma fila que cresce todo mês e é encerrada em bloco quando o trabalho aperta, com motivos genéricos do tipo “operação habitual”. Um alerta encerrado sem raciocínio documentado é pior do que um alerta não gerado.
A rede de agentes sem dossiê: distribuidores que captam clientes em seu nome sem due diligence prévia, sem treinamento comprovado e sem visitas. Você responde pela operação deles, mesmo que o cliente nunca tenha sabido que você existia.
| Frente do modelo | O que o supervisor espera | Evidência que comprova |
|---|---|---|
| Onboarding totalmente digital | Identificação não presencial por meio de um procedimento aprovado, aplicado sempre da mesma forma e reconstruível caso a caso | Procedimento conforme a Ordem ETD/465/2021, evidências conservadas e registro dos cadastros recusados com o motivo. |
| Rede de agentes e distribuidores | Que a instituição controle e responda por quem capta clientes e opera em seu nome, com o mesmo padrão que aplica internamente | Due diligence do agente, contrato com obrigações de PLD, treinamento comprovado e revisões periódicas documentadas. |
| Alto volume transacional | Regras e limites justificados, calibrados com dados próprios, e alertas encerrados com decisão fundamentada | Catálogo de regras versionado, relatório de calibração e dossiê por alerta com analista, data e conclusão. |
Revisamos o conjunto: mapa de riscos, manual, onboarding, regras e limites, fila de alertas, screening de sanções e controle de agentes. Dizemos o que falta, o que sobra e em que ordem corrigir para que o dossiê resista a uma exigência do SEPBLAC.
Desde que você opera. As instituições de pagamento, as instituições de moeda eletrônica e as empresas de remessas estão no artigo 2 da Lei 10/2010 por sua condição de instituições financeiras, e as obrigações nascem com a atividade, não com a primeira exigência.
Na prática, o sistema precisa existir antes: o processo de autorização perante o Banco de España exige descrever como você vai prevenir a lavagem de dinheiro, com que meios e quem responde. Um projeto que chega a essa fase com um manual genérico costuma sair com exigências. Tratamos isso junto com a licença de instituição de pagamento.
Os dois, em planos diferentes. O Banco de España (banco central espanhol) autoriza e registra a sua licença no âmbito dos serviços de pagamento (Diretiva (UE) 2015/2366 (PSD2) e, na Espanha, o Real Decreto-lei 19/2018) e supervisiona a instituição como um todo. O SEPBLAC é a unidade de inteligência financeira e o supervisor específico em matéria de prevenção à lavagem de dinheiro: recebe as suas comunicações e revisa o seu sistema.
Consequência prática: dois interlocutores, dois processos e nenhuma desculpa cruzada. O que foi apresentado no pedido de licença deve coincidir com o que é executado quando o SEPBLAC verifica.
Sim, com um procedimento adequado. A Ordem ETD/465/2021 regula os métodos de identificação remota por vídeo (vídeo gravado e vídeo ao vivo), exige que o procedimento esteja documentado e aprovado antes de ser usado e que as evidências sejam conservadas.
O que não serve é o que mais se vê: uma foto do documento enviada pelo celular, sem verificação nem rastro. Também não basta contratar um fornecedor e confiar: a responsabilidade continua sendo da instituição, e o procedimento do fornecedor tem que ser o seu, revisado e aprovado por você. Mais detalhes em PLD e KYC.
As que decorrem do seu mapa de riscos, e não as que o fornecedor traz por padrão. A sequência correta é: autoavaliação de risco por produto, canal, geografia e tipo de cliente; dela saem os cenários que você deve vigiar; e de cada cenário, uma regra com o seu limite.
Fracionamento de valores, velocidade incomum de operações, entradas e saídas imediatas, corredores de alto risco, incoerência com o perfil declarado ou relação entre contas aparentemente independentes são cenários típicos. O decisivo não é a lista: é que exista um documento que explique por que cada limite tem esse valor.
Não há um número oficial, e desconfie de quem lhe der um. O que se avalia é se a taxa está medida, explicada e sob gestão. Um motor que gera um volume de alertas que a sua equipe não consegue analisar produz um resultado pior do que um mais restrito, mas bem atendido: alertas encerrados em massa, sem critério.
A resposta razoável é um ciclo de calibração documentado: mede-se a taxa, identificam-se as regras ruidosas, ajustam-se os limites com dados próprios, testa-se o efeito antes de levar para produção e registra-se o antes e o depois. Esse relatório é a melhor defesa quando perguntarem por que uma operação não gerou alerta.
Tudo o que for necessário para que um terceiro reconstrua a decisão sem ligar para você. No mínimo: que regra disparou e com quais parâmetros, os dados da operação e do cliente naquele momento, a análise realizada, as informações adicionais solicitadas e recebidas, a decisão fundamentada, quem a tomou e quando.
Se a conclusão foi fazer uma comunicação de operação suspeita, arquiva-se também o comprovante da comunicação ao SEPBLAC; se foi abster-se de executar, o registro da abstenção. E se foi descartar, o motivo concreto: “operação habitual” não é um motivo, é um rótulo.
Sim. A rede externa opera em seu nome e, perante o supervisor, a instituição responde pela operação dela. É o ponto cego mais frequente em remessas e na distribuição de produtos: agentes que cadastram clientes com um padrão diferente do da casa, sem treinamento comprovado e sem ninguém que revise uma amostra dos seus dossiês.
O controle se comprova com documentos: due diligence prévia do agente, contrato com obrigações expressas de PLD, treinamento com registro de participantes, revisão periódica dos dossiês captados e atas das visitas. Desenvolvemos o tema em agentes de instituições de pagamento.
Não por definição, mas sim por características que é preciso reconhecer na autoavaliação. Em remessas, pesam os corredores de destino, a operação em espécie, os valores pequenos e repetidos e o uso de intermediários. Em marketplaces e modelos de pagamentos agregados, a dificuldade está em conhecer as duas pontas da operação e em detectar comerciantes que canalizam fundos de terceiros.
Fingir que esse risco não existe é o erro caro. Reconhecê-lo, graduar a diligência e documentar os controles adicionais é o que transforma um modelo incômodo em um modelo defensável. Veja como isso se encaixa em envio de dinheiro e empresas de remessas.
Você pode se apoiar em fornecedores, mas a responsabilidade não se terceiriza. A instituição deve conhecer e aprovar os procedimentos que o fornecedor aplica, poder auditá-los, conservar as evidências e manter o controle das decisões que importam: aceitar um cliente, encerrar um alerta ou comunicar uma operação suspeita.
Some-se a camada tecnológica: a contratação de fornecedores críticos de TIC também entra no âmbito do Regulamento (UE) 2022/2554 (DORA), com registro de informações dos fornecedores e cláusulas contratuais obrigatórias. Se você quer delegar a função interna, veja a terceirização de PLD.
Um sistema de PLD em pagamentos é julgado pela sua rastreabilidade de ponta a ponta: por que essa regra, por que esse limite, quem analisou e o que decidiu. Este é o caminho que implantamos.
Autoavaliação por produto, canal, geografia e cliente. Dela saem os cenários a vigiar, os níveis de diligência e a política de limites. É a fase que quase todo mundo pula e a que depois obriga a refazer tudo.
Manual e políticas, onboarding com identificação não presencial rastreável, screening de sanções, motor de regras configurado com critério próprio e fluxo de alertas com dossiê e níveis de escalonamento.
Calibração periódica com dados reais, controle da fila de alertas, revisão da rede de agentes, treinamento da equipe e exame do perito externo. É a parte que transforma um sistema montado em um sistema vivo.
Se você ainda está na fase de licença, comece pela licença de instituição de pagamento ou pela licença de EMI. Se já opera e precisa organizar o sistema, veja os serviços de PLD e o representante externo perante o SEPBLAC.
Os 10 elementos que compõem um sistema de prevenção defensável perante o SEPBLAC, com a evidência documental que você precisa poder mostrar de cada um. Serve como autodiagnóstico antes que a inspeção chegue.
Sem spam. Seu e-mail só é usado para enviar este checklist e, ocasionalmente, novidades regulatórias relevantes.
O checklist está sendo baixado agora mesmo. Se o download não começar automaticamente, clique aqui.
Depois de ler, precisa de ajuda para implementar alguma das etapas? Escreva diretamente para nós:
Estes termos aparecem nas exigências e nos relatórios de perito externo. Usá-los com precisão economiza meia reunião de esclarecimentos.
Instituição autorizada e registrada pelo Banco de España no âmbito da PSD2 e do Real Decreto-lei 19/2018, incluída no artigo 2 da Lei 10/2010 como instituição financeira.
Conjunto de verificações de identidade, atividade e propósito realizadas antes de aceitar o cliente e atualizadas durante a relação.
Método de identificação a distância regulado pela Ordem ETD/465/2021: vídeo gravado ou ao vivo, com procedimento aprovado e evidências conservadas.
Análise automatizada das operações em relação a cenários de risco definidos, para detectar comportamentos incoerentes com o perfil do cliente.
Parâmetro que determina quando uma operação gera alerta. A sua escolha deve ser justificada por dados próprios e revisada periodicamente.
Alerta gerado por uma operação legítima. A sua taxa mede a qualidade da calibração e condiciona a capacidade real da equipe de análise.
Registro completo de um alerta: regra acionada, dados, análise, informações solicitadas, decisão fundamentada, autor e data.
Envio ao SEPBLAC, em caráter confidencial, das operações com indícios de lavagem de dinheiro e das comunicações sistemáticas previstas nas normas.
Verificação do cliente e das suas contrapartes em listas de sanções financeiras e quanto à condição de pessoa politicamente exposta (PEP).
Autoavaliação que reconheça os riscos reais do negócio (corredores, espécie, agentes, marketplace), e não uma matriz genérica de manual.
Documento de autoavaliação aprovado e datado, matriz por produto, canal, geografia e cliente, e ata de aprovação.
Cadastro de clientes com níveis de diligência coerentes com o risco atribuído e com identificação não presencial rastreável e reproduzível.
Procedimento conforme a Ordem ETD/465/2021, evidências conservadas, dossiês de KYB e registro dos cadastros recusados.
Regras derivadas do mapa de riscos, limites justificados e uma fila de alertas gerida dentro de prazos internos.
Catálogo de regras versionado, relatórios de calibração, métricas da fila e dossiê completo por alerta.
Triagem no cadastro e de forma contínua, com critério escrito para tratar coincidências e repetição após a atualização das listas.
Configuração do motor, registro das coincidências com o motivo do descarte e evidência do rescreening periódico.
Controle efetivo sobre quem capta clientes ou opera em nome da instituição e sobre os fornecedores em que o sistema se apoia.
Due diligence do agente, contratos com obrigações de PLD, treinamento comprovado e atas de revisão ou de visita.
São os que aparecem primeiro em uma revisão externa e os que mais custam para corrigir com a exigência já em cima.
Não é a mesma coisa enviar remessas para corredores complexos, emitir moeda eletrônica ou combinar a atividade de pagamento com um negócio comercial. A licença e o modelo determinam que cenários é preciso vigiar e que controles adicionais o supervisor exige. Estas páginas cobrem cada caso.
Autorização perante o Banco de España no âmbito da PSD2 e do Real Decreto-lei 19/2018, com o sistema de prevenção integrado ao processo.
Emissão de moeda eletrônica, wallets e programas de cartão: onboarding em massa e controle da carga e do resgate de fundos.
Quando a atividade de pagamento convive com outro negócio: separação de fundos, conflitos e riscos cruzados.
Corredores complexos, espécie e rede de agentes: o modelo que mais exige comprovar controles adicionais.
Para o marco geral de prevenção, acesse prevenção à lavagem de dinheiro. Se você emite moeda eletrônica com projeção europeia, veja a licença EMI. E se o seu fluxo envolve criptoativos, comece pelo screening de sanções em cripto.
Explique para nós o seu modelo (remessas, marketplace, cartões, wallets, agentes) e devolvemos um diagnóstico concreto do sistema de prevenção e do que falta para defendê-lo.
Última atualização: 4 de agosto de 2026
Uma instituição de pagamento ou uma instituição de moeda eletrônica é sujeito obrigado financeiro desde que opera: está incluída no artigo 2 da Lei 10/2010, e o seu sistema de prevenção é revisado com o mesmo rigor que o de um banco, mas com duas diferenças que o complicam. A primeira é o volume: milhares de operações diárias que nenhuma equipe consegue examinar uma a uma, o que obriga a automatizar e a justificar a automação. A segunda é o canal: clientes que nunca pisam em uma agência e que se identificam a distância. Esta página trata o sistema a partir dessas duas realidades.
O marco da atividade é fixado pela Diretiva (UE) 2015/2366 (PSD2) e, na Espanha, pelo Real Decreto-lei 19/2018: o Banco de España autoriza e registra as instituições de pagamento e de moeda eletrônica e supervisiona o seu funcionamento. O marco da prevenção é fixado pela Lei 10/2010, e aí o supervisor específico é o SEPBLAC, que também é a unidade de inteligência financeira que recebe as comunicações. São dois processos diferentes que se espelham: o que foi descrito no pedido de licença (meios, organização, controles) é exatamente o que o SEPBLAC vai verificar se é executado. Daí o erro mais caro na fase de autorização: apresentar um manual de prevenção comprado ou herdado que descreve uma instituição que você não é, com agências que você não tem e controles que ninguém vai executar. Quando chega a inspeção, a distância entre o papel e a produção é a constatação. Se você está nessa fase, veja a licença de instituição de pagamento e o manual de PLD sob medida.
O cadastro não presencial é o ponto em que mais fintechs falham na prova documental. A Ordem ETD/465/2021 regula os métodos de identificação remota por vídeo (gravado e ao vivo) e exige que o procedimento esteja documentado e aprovado antes de ser usado e que as suas evidências sejam conservadas. Duas nuances costumam passar despercebidas. A primeira: apoiar-se em um fornecedor não transfere a responsabilidade; o procedimento do fornecedor tem que ser revisado, aprovado e auditável pela instituição, que deve conseguir recuperar a evidência de qualquer cadastro específico. A segunda: a identificação é só a primeira camada. Falta atribuir um nível de diligência coerente com o risco, aplicar KYC e KYB quando o cliente é uma empresa, reconstruir o beneficiário final até a pessoa física e executar o screening de sanções antes de abrir a conta. Um cadastro rápido e um cadastro rastreável não são incompatíveis, mas só se o desenho tiver previsto isso desde o início.
O monitoramento transacional é julgado pela sua rastreabilidade retroativa. A cadeia correta começa no mapa de riscos: da autoavaliação por produto, canal, geografia e cliente saem os cenários que devem ser vigiados, e de cada cenário, uma regra com um limite justificado. Fracionamento de valores, velocidade incomum, entrada e saída imediata de fundos, corredores de risco elevado ou incoerência com o perfil declarado são cenários habituais, mas o que se revisa não é a lista: é o documento que explica por que o limite tem o valor que tem e quando foi revisado pela última vez. Depois vem a parte incômoda: a calibração. Um motor que gera mais alertas do que a equipe consegue analisar produz encerramentos em bloco, que é o pior resultado possível. Medir a taxa de falsos positivos, ajustar com dados próprios, testar antes da produção e conservar o relatório do antes e do depois é o que transforma uma queixa operacional em uma defesa. E cada alerta precisa do seu dossiê: regra acionada, dados, análise, informações solicitadas, decisão fundamentada, autor e data.
O ponto fraco estrutural do setor é a rede externa: agentes e distribuidores que captam clientes e executam operações em nome da instituição, frequentemente com um padrão diferente do da casa. Perante o supervisor quem responde é a instituição, e o controle se comprova com due diligence prévia, contrato com obrigações expressas de prevenção, treinamento registrado e revisão periódica de uma amostra dos dossiês captados; os detalhes estão em agentes de instituições de pagamento. Some-se a isso o modelo de negócio como fator de risco: as remessas para determinados corredores, os marketplaces com pagamentos agregados ou os programas de cartão pré-pago têm perfis que precisam ser reconhecidos na autoavaliação e compensados com controles adicionais. No horizonte, dois marcos que já condicionam decisões: o pacote AML europeu (Regulamento (UE) 2024/1624, Diretiva (UE) 2024/1640 e Regulamento (UE) 2024/1620, que cria a autoridade AMLA), com aplicação escalonada e em fase de implantação, e o Regulamento (UE) 2022/2554 (DORA), que submete os fornecedores críticos de TIC do sistema a registro de informações e a cláusulas contratuais obrigatórias.
Este conteúdo tem caráter informativo e não constitui assessoria jurídica. As normas citadas podem ter sido modificadas após a data de atualização indicada: verifique sempre a versão vigente ou fale conosco para analisar o seu caso concreto.
Normas de referência, com link para o texto oficial:
Normas e links revisados em .