1 Contexto Rápido: Por que isso importa agora?
Fintechs crescem rápido, abrem contas em minutos e processam grande volume de transações digitais. Esse mesmo perfil as torna atrativas para quem pretende usar o sistema financeiro para ocultar a origem de recursos ilícitos.
A Lei 9.613/1998 impõe às instituições financeiras e de pagamento deveres de identificação de clientes, manutenção de registros e comunicação de operações suspeitas. A regulamentação do Banco Central detalha como esses deveres devem ser cumpridos, com ênfase em uma abordagem baseada em risco.
Ao mesmo tempo, cada documento coletado no onboarding é um dado pessoal protegido pela Lei 13.709/2018 (LGPD). O desafio é cumprir os dois regimes sem que um anule o outro.
2 O Framework ou Método: Método LBB de 5 camadas de compliance para fintechs
O método organiza o programa em camadas que se apoiam mutuamente. Cada camada gera evidências que a seguinte utiliza, o que facilita auditorias e fiscalizações.
Passo 1: Avaliação interna de risco
- O que fazer: identificar e classificar os riscos de lavagem de dinheiro e financiamento do terrorismo associados a clientes, produtos, canais de distribuição, parceiros e regiões de atuação.
- Por que funciona: a regulamentação do Banco Central adota a abordagem baseada em risco, segundo a qual os controles devem ser proporcionais à exposição. Sem uma avaliação documentada, a fintech não consegue justificar por que aplica diligência reforçada a alguns clientes e simplificada a outros.
- Exemplo prático: uma conta digital voltada a pessoas jurídicas classifica como de maior risco empresas recém-constituídas com alto volume de recebimentos via Pix e sócios sem histórico, aplicando a elas verificação adicional de beneficiário final e de atividade econômica.
Passo 2: KYC e conheça seu parceiro
- O que fazer: estruturar procedimentos de identificação, qualificação e classificação de clientes, incluindo beneficiário final, pessoas expostas politicamente e verificação de listas restritivas. Estender a lógica a parceiros, correspondentes, fornecedores e empregados (KYP, KYS e KYE).
- Por que funciona: o art. 10 da Lei 9.613/1998 exige a identificação dos clientes e a manutenção de cadastro atualizado e de registros das transações. Na prática, falhas de KYC são uma das origens mais comuns de apontamentos em fiscalizações.
- Exemplo prático: uma fintech que distribui produtos por meio de parceiros comerciais passa a exigir deles documentação societária, certidões e declaração de beneficiário final antes do credenciamento, além de revisões periódicas.
Passo 3: Monitoramento, seleção e comunicação ao COAF
- O que fazer: definir regras e cenários de monitoramento, critérios de análise de alertas, prazos internos, registro fundamentado das decisões e fluxo de comunicação ao COAF quando houver indícios de operações suspeitas.
- Por que funciona: o art. 11 da Lei 9.613/1998 prevê o dever de comunicar operações que possam constituir sérios indícios dos crimes nela previstos, sem dar ciência ao cliente. A regulamentação do Banco Central exige que a instituição documente tanto as comunicações feitas quanto as razões para arquivar um alerta.
- Exemplo prático: o sistema gera alerta para uma conta que recebe dezenas de transferências de pequenos valores de pessoas diferentes e as repassa integralmente em poucas horas. O analista registra a análise, consulta o histórico do cliente e encaminha o caso ao comitê, que decide pela comunicação.
Passo 4: Gestão de riscos e políticas internas
- O que fazer: formalizar políticas de PLD/FT, gestão de riscos operacionais, segurança cibernética, continuidade de negócios, contratação de serviços de processamento e armazenamento em nuvem e conflito de interesses, com aprovação da alta administração.
- Por que funciona: o Banco Central exige que as instituições reguladas mantenham estrutura de gerenciamento de riscos compatível com o porte e a complexidade das operações. Políticas aprovadas e revisadas periodicamente demonstram que o tema é tratado no nível da governança, e não só da operação.
- Exemplo prático: antes de migrar sua base para um novo provedor de nuvem, uma instituição de pagamento verifica os requisitos regulatórios de contratação desse serviço, ajusta o contrato com cláusulas de acesso do regulador e atualiza o plano de continuidade.
Passo 5: Proteção de dados integrada ao compliance regulatório
- O que fazer: mapear os dados tratados em cada etapa (onboarding, monitoramento, atendimento, marketing), definir a base legal de cada tratamento, nomear o encarregado e preparar o plano de resposta a incidentes.
- Por que funciona: a LGPD admite o tratamento para cumprimento de obrigação legal ou regulatória (art. 7º, II), o que dá suporte ao KYC e ao monitoramento sem depender de consentimento. Por outro lado, o uso dos mesmos dados para oferta de produtos exige base legal própria. A lei também impõe medidas de segurança (art. 46) e a comunicação de incidentes relevantes à ANPD e aos titulares (art. 48).
- Exemplo prático: uma fintech separa, em seu registro de operações, os dados mantidos por exigência da legislação de PLD dos dados usados para recomendação de produtos, aplicando prazos de retenção e controles de acesso distintos.
3 Comparativo Estratégico: Abordagem Tradicional vs. Abordagem Moderna
Compare como os dois modelos tratam os mesmos desafios do dia a dia.
| Critério | Abordagem tradicional / comum | Abordagem estruturada (recomendada) |
|---|---|---|
| Políticas | Modelos genéricos adaptados de outras empresas | Políticas derivadas da avaliação interna de risco |
| KYC | Mesmo nível de verificação para todos | Diligência proporcional ao perfil de risco |
| Alertas | Arquivados sem justificativa escrita | Decisão fundamentada e rastreável em cada caso |
| Parceiros | Contratados apenas por critério comercial | Diligência prévia e revisão periódica de parceiros |
| LGPD | Tratada como projeto isolado de TI | Integrada ao mapa de riscos e às políticas de PLD |
| Governança | Compliance subordinado à área comercial | Função independente, com reporte à alta administração |
| Evidências | Reunidas apenas quando há fiscalização | Produzidas continuamente pelo próprio processo |
4 Perguntas Frequentes (FAQ)
Fintech é obrigada a ter programa de prevenção à lavagem de dinheiro?
Sim, quando atua como instituição financeira ou de pagamento, ou em outras atividades listadas no art. 9º da Lei 9.613/1998. Mesmo empresas que operam em parceria com instituições reguladas costumam ser exigidas contratualmente a seguir as políticas de PLD/FT da parceira.
O que é abordagem baseada em risco?
É o princípio pelo qual os controles são calibrados conforme a exposição de cada cliente, produto ou canal. Situações de maior risco recebem diligência reforçada, e as de menor risco podem ter procedimentos simplificados, desde que a escolha seja documentada.
Preciso do consentimento do cliente para fazer KYC?
Em regra, não. A coleta e o tratamento de dados para identificação de clientes e prevenção à lavagem de dinheiro têm como base legal o cumprimento de obrigação legal ou regulatória, prevista na LGPD. O cliente deve, porém, ser informado sobre o tratamento de forma clara.
O cliente pode saber que foi comunicado ao COAF?
Não. A Lei 9.613/1998 determina que as comunicações sejam feitas sem dar ciência aos envolvidos. Por isso, os fluxos de atendimento devem prever respostas padronizadas que não revelem a existência de comunicação.
Quem deve ser o responsável pelo compliance na fintech?
A regulamentação exige a indicação de diretor responsável pelas políticas de PLD/FT perante o Banco Central, além de uma estrutura com independência e recursos adequados. Em empresas menores, as funções podem ser acumuladas, desde que não haja conflito com áreas de negócio.
Próximos passos recomendados
- Verifique se a sua fintech possui avaliação interna de risco documentada e atualizada.
- Revise se cada alerta de monitoramento tem decisão registrada e fundamentada.
- Cruze o mapa de dados da LGPD com os procedimentos de KYC para eliminar lacunas e excessos.
Se a sua empresa enfrenta essa situação, converse com a equipe da LBB Advocacia Empresarial para uma análise do caso concreto.
Conteúdo informativo, que não substitui a análise jurídica do caso concreto.
Precisa de uma análise do seu caso?
Atendimento em Porto Alegre e em todo o Brasil. Conte a sua situação para a equipe da LBB.
