Antes de começar queria lembrar para quem me acompanha pela newsletter e email de que tenho começado a fazer textos menores sobre temas que acho relevante e bem atuais, que não são enviados por email, mas podem ter acesso e ler no link:
https://www.linkedin.com/in/luizlobo/recent-activity/all/
Bom agora ao que interessa, queria comentar sobre a recente Resolução CVM 245, publicada agora no dia 1º de julho de 2026, que na minha visão deve ser lida não apenas como uma alteração curta no texto, mas sim grande na consequência prática, pois não cria um novo regime autônomo de PLD no mercado de capitais, mas altera a Resolução CVM nº 50 de 2021 para exatamente deixar expressa uma obrigação que passa a ser importante para intermediários, administradores de carteira, custodiantes, distribuidores, representantes de investidores não residentes, entidades de mercado, infraestruturas financeiras, companhias securitizadoras e demais participantes regulados, de que quando houver operações ou situações envolvendo investidor não residente vinculado a países, jurisdições, dependências ou locais que não aplicam, ou aplicam insuficientemente, as recomendações do GAFI, a empresa obrigada deve adotar medidas reforçadas de diligência devida.
O ponto técnico mais importante é este de que a Resolução 245 transforma em comando expresso aquilo que em muitos programas de PLD ainda poderia ficar diluído dentro da abordagem baseada em risco. A CVM, na justificativa de dispensa de Análise de Impacto Regulatório, registrou que o Relatório de Avaliação Mútua havia concluído que a regulação brasileira, embora já contivesse dispositivos relacionados a jurisdições de maior risco, não configurava obrigação normativa expressa de adoção de medidas reforçadas de diligência devida. A solução normativa, então, foi incluir dispositivo específico na Resolução 50 para determinar que os agentes obrigados adotem medidas reforçadas sempre que identificarem operações ou situações envolvendo investidores não residentes provenientes de países ou jurisdições constantes das listas do GAFI.
Essa mudança é relevante porque reposiciona a PLD do mercado de capitais brasileiro em três dimensões simultâneas: cadastro, comportamento transacional e rede de vínculos. Em que o risco não está mais apenas no investidor identificado no primeiro nível documental, mas que pode estar na cadeia societária, no controlador indireto, no beneficiário final, no representante, no custodiante estrangeiro, no veículo de investimento, no trust, no fundo, no intermediário internacional, na jurisdição de constituição ou na conexão indireta com países classificados como de maior risco. Assim a Resolução 245 portanto não trata apenas de “investidor estrangeiro”, mas trata da capacidade da empresa regulada de enxergar a arquitetura de risco por trás do investidor.
A Resolução CVM 50 é a base estrutural desse regime, em que disciplina no âmbito do mercado de valores mobiliários a política de PLD, a avaliação interna de risco, as regras, procedimentos e controles internos, a identificação e o cadastro de clientes, as diligências contínuas, a identificação de beneficiários finais, o monitoramento, a análise e a comunicação de operações e situações suspeitas, o registro de operações, a manutenção de arquivos e a efetivação de medidas de indisponibilidade de bens, direitos e valores decorrentes de resoluções do Conselho de Segurança das Nações Unidas.
Agora a Resolução 245 é o reforço cirúrgico dessa estrutura, pois exatamente altera o artigo 16 da Resolução 50 e acrescenta o artigo 17-A, em que a alteração no artigo 16 inclui a expressão monitoramento contínuo e reforçado, mediante procedimentos mais rigorosos para seleção de operações ou situações atípicas, nos termos do artigo 20, independentemente da classificação de risco do investidor. OJpa no novo artigo 17-A determina a adoção de medidas reforçadas de diligência devida em operações ou situações envolvendo investidor não residente situado, sediado ou constituído em países, jurisdições, dependências ou locais que não aplicam ou aplicam insuficientemente as recomendações do GAFI.
O conteúdo mínimo das medidas reforçadas, agora previsto expressamente no artigo 17-A, é bastante objetivo, em que a empresa obrigada deve prever restrições ou condições adicionais para o estabelecimento de relações de negócios, limitação, postergação ou recusa na realização de operações com ativos classificados como de maior risco, exigência de informações ou comprovações adicionais e encerramento da relação de negócios quando forem identificados riscos considerados inaceitáveis e não mitigáveis.
Em que esse ponto é importante porque a norma não se limita a exigir mais análise, pois exige capacidade concreta de condicionar, limitar, postergar, recusar ou encerrar relações e operações quando o risco não puder ser adequadamente mitigado.
O item 2 do novo artigo 17-A amplia a profundidade da obrigação, em que estes deveres não se aplicam apenas ao investidor não residente diretamente localizado em jurisdição de risco, mas também alcançam clientes, investidores não residentes ou não, que estejam relacionados com estruturas societárias, cadeias de controle, beneficiários finais ou representantes direta ou indiretamente vinculados às jurisdições listadas, bem como qualquer outra situação classificada como de alto risco derivada das listas do GAFI.
Essa redação muda a lógica operacional da PLD. Em que antes uma empresa poderia concentrar sua diligência na identificação formal do cliente direto, no cadastro e em alertas transacionais, mas agora a expectativa regulatória fica mais claramente orientada à leitura de rede. Assim uma estrutura de investimento constituída em uma jurisdição aparentemente neutra pode carregar risco se o beneficiário final estiver em país de maior risco. Um fundo estrangeiro pode demandar análise reforçada se sua cadeia de controle ou seu administrador estiverem vinculados a jurisdição listada. Um representante pode ser o elo crítico mesmo quando o investidor formal não aparenta risco elevado. A mensagem regulatória é que a diligência deve seguir o risco, não apenas o formulário cadastral.
A justificativa técnica da CVM reforça essa leitura, em que afirmou que a alteração tem natureza de aperfeiçoamento regulatório, torna explícita obrigação compatível com princípios já incorporados à Resolução 50 e preserva a abordagem baseada em risco. Também justificou a dispensa de Análise de Impacto Regulatório e de consulta pública pelo escopo restrito da medida, pela necessidade de alinhamento aos padrões internacionais do GAFI e pela preservação da higidez dos mercados financeiro, de capitais e de câmbio.
Mas a Resolução 50 ainda deve ser vista como a espinha dorsal, pois em seu artigo 1º estabelece que a norma disciplina cinco blocos de obrigações, como uma política de PLD, avaliação interna de risco e controles internos, além da identificação, cadastro e diligências para coleta de informações suplementares e identificação de beneficiários finais, assim como depois o monitoramento, análise e comunicação de operações e situações; registro de operações e manutenção de arquivos, e medidas de indisponibilidade de bens, direitos e valores decorrentes de resoluções do Conselho de Segurança das Nações Unidas, além de demandas de cooperação jurídica internacional.
Já no seu artigo 2º da Resolução 50 traz conceitos essenciais, como do Beneficiário final, que é a pessoa natural, ou pessoas naturais, que em conjunto possuam, controlem ou influenciem significativamente, direta ou indiretamente, um cliente em nome do qual uma transação esteja sendo conduzida ou dela se beneficie. Assim como da Influência significativa, que é associada à influência de fato nas decisões ou à titularidade de mais de 25% do capital social ou do patrimônio líquido, conforme as hipóteses da norma. A norma também define cliente, cliente ativo, investidor, participante, entidade operadora de infraestrutura do mercado financeiro e trust ou veículo assemelhado.
Esse conceito de beneficiário final é o ponto de conexão entre a Resolução 50 e a Resolução 245. Se o beneficiário final é a pessoa natural que controla, influencia ou se beneficia da transação, então a diligência reforçada prevista na Resolução 245 não pode parar no investidor formal. Ela deve buscar quem está por trás da estrutura, quem decide, quem se beneficia e qual jurisdição, direta ou indiretamente, está conectada à operação. A PLD deixa de ser apenas uma checagem de identidade e passa a ser uma disciplina de rastreabilidade econômica, societária e decisória.
O artigo 3º da Resolução 50 define quem está sujeito às obrigações. Estão abrangidas as pessoas naturais ou jurídicas que prestem, no mercado de valores mobiliários, serviços de distribuição, custódia, intermediação ou administração de carteiras, além das entidades administradoras de mercados organizados e as entidades operadoras de infraestrutura do mercado financeiro, de que outras pessoas que prestem serviços no mercado de valores mobiliários, como escrituradores, consultores de valores mobiliários, agências de classificação de risco, representantes de investidores não residentes e companhias securitizadoras; e os auditores independentes no âmbito do mercado de valores mobiliários.
A Resolução 50 ainda prevê que as instituições integrantes do sistema de distribuição de valores mobiliários devem submeter seus assessores de investimento e demais prepostos à respectiva política de PLD e às regras, procedimentos e controles internos estabelecidos na norma. Esse ponto é importante porque muitos riscos de PLD surgem na fronteira entre relacionamento comercial, distribuição, captação, recomendação, cadastro, suitability e execução de operações. A empresa regulada não se desonera porque parte do relacionamento é conduzida por assessor, preposto, plataforma, canal digital ou parceiro operacional.
No coração da Resolução 50 está o artigo 4º, que trata da política de PLD. Em que esta política deve conter a governança relacionada ao cumprimento das obrigações, incluindo a descrição dos órgãos da alta administração, a definição de papéis e responsabilidades em cada nível hierárquico e a implementação da abordagem baseada em risco, com ênfase nas rotinas de diligência, monitoramento, análise, comunicação e controles. A política também deve descrever a metodologia de tratamento e mitigação dos riscos identificados, as diretrizes para conhecer continuamente clientes ativos, funcionários e prestadores de serviços relevantes, as diligências para identificação do beneficiário final, o monitoramento de atipicidades e os critérios para obtenção de indicadores de efetividade.
Essa política deve ser documentada, aprovada pela alta administração e mantida atualizada. Além disso as empresas pertencentes ao mesmo conglomerado financeiro devem estabelecer mecanismos de intercâmbio de informações entre áreas de controles internos, considerando a relevância do risco identificado em cada caso. Esse intercâmbio pode incluir informações sobre o perfil do cliente detidas por sociedades sujeitas a regras de suitability.
A Nota Explicativa da Resolução 50 deixa claro que a abordagem baseada em risco é a principal ferramenta de governança da PLD, e que exige estruturação de política, elaboração periódica de avaliação interna de risco e reformulação de regras, procedimentos e controles internos. A Nota também destaca o aprimoramento das funções do diretor responsável, os deveres da alta administração, as etapas da política “Conheça seu Cliente”, as rotinas para pleno conhecimento do beneficiário final, os sinais de alerta a serem monitorados e os elementos mínimos de reporte ao COAF.
A avaliação interna de risco, tratada nos artigos 5º e 6º, é a peça que transforma a política em inteligência prática. O artigo 5º determina que as pessoas obrigadas identifiquem, analisem, compreendam e mitiguem os riscos inerentes às suas atividades no mercado de valores mobiliários, adotando abordagem baseada em risco para que as medidas de prevenção e mitigação sejam proporcionais aos riscos identificados. A norma exige que produtos, serviços, canais de distribuição e ambientes de negociação e registro sejam segmentados, no mínimo, em baixo, médio e alto risco, e que os clientes também sejam classificados por grau de risco.
A avaliação interna de risco deve considerar, entre outros fatores, o tipo de cliente, sua natureza jurídica, sua atividade, sua localização geográfica, os produtos, serviços, operações e canais utilizados, o relacionamento com outras pessoas obrigadas e, no caso de operações em ambientes de registro, a contraparte das operações realizadas em nome do cliente. A norma também determina tratamento específico para riscos associados a pessoas expostas politicamente, familiares, estreitos colaboradores, pessoas jurídicas de que participem e organizações sem fins lucrativos.
Esse desenho ganha força com a Resolução 245 porque a localização geográfica e a jurisdição vinculada à estrutura deixam de ser apenas mais um fator de risco e passam a exigir diligência reforçada quando relacionadas a listas do GAFI. A empresa regulada não pode tratar país de maior risco como simples campo cadastral. Deve incorporar essa variável à metodologia da avaliação interna de risco, aos modelos de classificação de clientes, aos cenários de monitoramento, às regras de aceitação e manutenção de relacionamento e aos critérios de escalonamento para decisão executiva.
O artigo 6º exige que o diretor responsável elabore relatório relativo à avaliação interna de risco, a ser encaminhado aos órgãos da alta administração especificados na política, até o último dia útil do mês de abril, com referência ao ano anterior. Esse relatório deve conter identificação e análise de situações de risco, considerando ameaças, vulnerabilidades e consequências; análise da atuação de prepostos, assessores de investimento ou prestadores relevantes, quando aplicável; tabela com número de operações e situações atípicas detectadas, análises realizadas, comunicações ao COAF e declaração negativa, se houver; medidas adotadas; indicadores de efetividade, incluindo tempestividade de detecção, análise e comunicação; recomendações para mitigar riscos ainda não tratados; e indicação da efetividade das recomendações anteriores.
A Resolução 245 deve alterar a substância desse relatório. A partir dela um relatório maduro de avaliação interna de risco deverá demonstrar quantos investidores não residentes foram impactados pela classificação de jurisdição de maior risco, quantos casos envolveram cadeias societárias complexas, quantos beneficiários finais não foram plenamente identificados, quantas operações foram postergadas, limitadas ou recusadas, quantos relacionamentos foram aceitos com condições adicionais, quantos casos foram submetidos ao diretor responsável ou à alta administração, quantas análises resultaram em comunicação ao COAF e quantas relações foram encerradas por risco inaceitável e não mitigável.
O artigo 7º trata das regras, procedimentos e controles internos. As pessoas jurídicas sujeitas à Resolução devem adotar regras, procedimentos e controles compatíveis com porte, volume, complexidade e tipo de atividades, incluindo análise prévia de riscos de PLD antes da oferta de novas tecnologias, serviços e produtos, e a seleção e monitoramento de administradores, funcionários, assessores de investimento e prestadores relevantes, e a forma pela qual o diretor responsável acessará informações necessárias ao gerenciamento do risco; e treinamento contínuo para administradores, funcionários, assessores e prestadores relevantes. A norma considera descumprimento não apenas a inexistência ou insuficiência de controles, mas também sua não implementação ou implementação inadequada.
Esse ponto merece destaque, pois e PLD, o controle existente no papel não equivale a controle efetivo. Uma política que menciona investidores não residentes, mas não gera alertas, ou um procedimento que exige beneficiário final, mas aceita lacunas sem escalonamento; uma matriz que classifica jurisdição de risco, mas não muda o tratamento operacional, ou um comitê que aprova exceções sem evidência; ou uma área de PLD que não recebe informações tempestivas de cadastro, comercial, custódia, distribuição e operações não atende ao espírito da Resolução 50 nem à exigência reforçada da Resolução 245.
A Nota Explicativa é ainda mais forte ao tratar do diretor responsável, em que afirma que o diretor deve ter acesso amplo, irrestrito e tempestivo a qualquer informação relacionada à atuação do ente regulado no mercado de capitais, inclusive informações restritas ou confidenciais, e que as pessoas jurídicas sujeitas à norma não podem alegar restrições de acesso baseadas em sigilo, restrições legais, LGPD ou segregação de atividades para impedir o acesso do diretor aos dados necessários ao gerenciamento de riscos de PLD.
A PLD efetiva depende de informação sem latência. Assim se a área comercial conhece o investidor, mas PLD não acessa a informação, ou se o cadastro identifica inconsistência, mas o monitoramento não recebe o dado, ou se operações detectam comportamento atípico, mas o diretor responsável não é informado, ou se auditoria interna encontra fragilidade, mas a alta administração não exige remediação, ou a empresa cria uma arquitetura de risco em que cada área sabe uma parte do problema, mas ninguém enxerga o todo.
O artigo 8º da Resolução 50 exige a indicação de um diretor estatutário responsável pelo cumprimento da norma, especialmente pela implementação e manutenção da política de PLD compatível com natureza, porte, complexidade, estrutura, perfil de risco e modelo de negócio da instituição. A função pode ser acumulada com outras, desde que não gere conflito de interesses, principalmente com áreas de negócios. O artigo 9º estabelece que, sem prejuízo da responsabilidade do diretor, os órgãos da alta administração são responsáveis pela aprovação e adequação da política, da avaliação interna de risco e das regras, procedimentos e controles internos.
A Resolução 245 aumenta a exposição prática da alta administração. Não basta aprovar a política, mas a alta administração deve se assegurar de que a empresa possui capacidade real de aplicar restrições, impor condições, exigir informações adicionais, recusar operações, encerrar relações e documentar decisões. A governança esperada não é apenas deliberativa, mas é uma governança capaz de assumir decisões difíceis quando uma relação comercial rentável se torna incompatível com o apetite de risco de PLD.
O processo de identificação de clientes, nos artigos 11 a 18 da Resolução 50, é outro eixo essencial. O artigo 11 exige que as pessoas obrigadas que tenham relacionamento direto com o investidor identifiquem o investidor e mantenham seu cadastro atualizado de acordo com os anexos da norma. Também determina que as empresas difundam continuamente aos clientes a importância de manter dados cadastrais atualizados e que não aceitem ordens de movimentação de contas de clientes com cadastros desatualizados, salvo pedidos de encerramento de conta, alienação ou resgate de ativos.
O artigo 12 permite sistemas alternativos de cadastro, inclusive eletrônico, desde que satisfaçam os objetivos da regulação e sejam passíveis de verificação. Esse ponto é especialmente relevante para plataformas digitais, distribuidores com onboarding remoto, gestoras com investidores institucionais e estruturas com participação internacional. A digitalização não reduz a exigência de diligência; ao contrário, exige rastreabilidade, validação, trilha de auditoria, prevenção a informações falsas e capacidade de atualizar dados durante todo o relacionamento.
O artigo 13 aprofunda o tratamento de beneficiário final. Ele exige que informações cadastrais de determinadas categorias de clientes abranjam pessoas naturais autorizadas a representá-los, todos os controladores diretos e indiretos e pessoas naturais com influência significativa, até alcançar a pessoa natural caracterizada como beneficiário final ou uma das entidades excepcionadas pela norma. O percentual mínimo de participação que caracteriza controle direto ou indireto deve ser definido pela política de PLD, mas não pode ser superior a 25%.
A Resolução 50 prevê algumas exceções à obrigação de identificar a pessoa natural como beneficiário final, como companhias abertas brasileiras, determinados fundos e clubes de investimento nacionais, instituições financeiras autorizadas pelo Banco Central, seguradoras, entidades de previdência e certas categorias de investidores não residentes. Mas a própria norma ressalta que o enquadramento de investidor não residente em categorias excepcionadas não isenta as pessoas obrigadas de cumprir as demais obrigações aplicáveis, especialmente as diligências dos artigos 17 e 18, devendo ser observada a jurisdição de origem, inclusive se ela está classificada pelo GAFI como não cooperante ou com deficiências estratégicas, se integra listas de sanções do Conselho de Segurança da ONU e se possui órgão regulador com acordo de cooperação com a CVM ou adesão ao memorando multilateral da IOSCO.
Essa combinação é fundamental para entender a Resolução 245. A regra anterior já mandava olhar para jurisdição de origem em certos contextos de beneficiário final e investidor não residente. A nova regra torna a diligência reforçada expressa quando a operação ou situação envolve investidor não residente de jurisdição que não aplica ou aplica insuficientemente as recomendações do GAFI. A diferença não é apenas conceitual, mas é de exigibilidade. A obrigação fica mais clara, mais demonstrável e mais fiscalizável.
O artigo 15 trata especificamente de trusts e veículos assemelhados. Quando for necessária diligência para identificação de beneficiário final de estruturas desse tipo, devem ser envidados e evidenciados esforços para identificar o settlor, o protector, o curador ou trustee e o beneficiário do trust, seja uma ou mais pessoas naturais ou jurídicas. A norma equipara ao curador ou trustee a pessoa que não seja settlor ou protector, mas tenha influência significativa nas decisões de investimento.
Esse dispositivo conversa diretamente com a nova lógica da Resolução 245. Trusts, fundações privadas, veículos fiduciários, fundos fechados, holdings multicamadas, sociedades em jurisdições com baixa transparência e veículos com representantes profissionais podem ser estruturas legítimas, mas também podem reduzir visibilidade sobre controle, benefício econômico e propósito. A diligência reforçada passa a exigir não apenas coleta documental, mas entendimento da função econômica da estrutura.
O artigo 16 antes da Resolução 245, já determinava atenção especial às situações em que não fosse possível identificar o beneficiário final ou concluir diligências. Nesses casos exigia monitoramento reforçado, análise mais criteriosa sobre eventual comunicação ao COAF ou adoção de medidas relacionadas a sanções e avaliação do diretor responsável quanto ao interesse no início ou manutenção do relacionamento.
Com a Resolução 245, o inciso I do § 1º do artigo 16 passa a falar em monitoramento contínuo e reforçado, com procedimentos mais rigorosos para seleção de operações ou situações atípicas, nos termos do artigo 20, independentemente da classificação de risco do investidor. Vejam de que o uso da palavra “contínuo” é relevante, porque impede uma leitura episódica do controle. A diligência não se encerra no onboarding, nem na primeira revisão cadastral, nem na aprovação inicial do relacionamento.
O artigo 17 da Resolução 50 detalha as diligências devidas relativas ao conhecimento dos clientes. As empresas com relacionamento direto devem adotar continuamente regras, procedimentos e controles para validar informações cadastrais e mantê-las atualizadas, e aplicar e evidenciar procedimentos de verificação proporcionais ao risco de uso de produtos, serviços e canais para PLD, e monitorar operações e situações para conhecer permanentemente clientes ativos; adotar diligências para identificação de beneficiário final, e classificar clientes ativos por grau de risco e acompanhar a evolução do relacionamento para rever tempestivamente a classificação, e monitorar de forma diferenciada clientes que exigem tratamento específico, como pessoas expostas politicamente e organizações sem fins lucrativos.
O artigo 18 complementa essa lógica ao estabelecer que as pessoas obrigadas somente devem iniciar ou prosseguir relação de negócio com cliente ou prestador de serviço relevante se observadas as providências do capítulo de identificação. Também exige que a empresa compreenda e, quando apropriado, empreenda esforços para obter informações adicionais sobre o propósito da relação de negócio mantida pelo cliente ou procurador com a instituição.
Essa obrigação de compreender o propósito da relação de negócio é uma das mais relevantes para o gestor de riscos, pois a pergunta já não é apenas sobre “quem é o cliente?”, mas a pergunta é sobre “por que essa estrutura quer operar aqui, com estes produtos, neste volume, por este canal, com este representante, nesta frequência e com essa origem de recursos?”. A Resolução 245 amplia essa pergunta para incluir para sobre “por que essa estrutura ligada a uma jurisdição de maior risco quer acessar o mercado brasileiro e quais mitigadores tornam esse relacionamento aceitável?”.
O capítulo de monitoramento, análise e comunicação começa no artigo 20. A norma exige que as pessoas mencionadas no artigo 3º monitorem continuamente todas as operações e situações, observando atipicidades que, após detecção e análise, podem configurar indícios de PLD. Entre as atipicidades estão situações derivadas da identificação do cliente, como impossibilidade de manter dados cadastrais atualizados, impossibilidade de identificar beneficiário final, diligências não concluídas e operações incompatíveis com ocupação profissional, rendimentos, situação patrimonial ou financeira das partes envolvidas.
O artigo 20 também é o ponto operacional que conecta a Resolução 245 ao dia a dia do monitoramento. Quando o novo artigo 17-A remete ao artigo 16 e este remete ao artigo 20, a mensagem é que o vínculo com jurisdição de maior risco deve entrar nos critérios de seleção de atipicidades. Não se trata apenas de marcar o cliente como “alto risco” e seguir com monitoramento genérico. A empresa deve calibrar cenários específicos para estruturas complexas, origem de recursos, padrões de movimentação, incompatibilidade econômico-financeira, operações com ativos de maior risco, uso de interpostas pessoas, mudanças de representantes e dificuldade de obtenção de documentação.
O artigo 21 exige procedimento regular e tempestivo de análise das operações e situações detectadas nos termos do artigo 20, individualmente ou em conjunto, com o objetivo de identificar aquelas que configurem indícios de PLD. A análise deve observar os parâmetros da política de PLD, da avaliação interna de risco e das regras, procedimentos e controles internos.
Essa exigência de análise individual ou conjunta é essencial. Em PLD muitas operações isoladas parecem justificáveis, mas o risco aparece no padrão. Uma ordem de compra pode parecer normal. Uma transferência de custódia pode parecer comum. Uma alteração de representante pode parecer administrativa. Um investimento via veículo estrangeiro pode parecer institucional. Mas quando esses eventos se combinam com jurisdição de maior risco, beneficiário final opaco, ativos complexos, movimentação incompatível e ausência de justificativa econômica, a empresa passa a ter um quadro de risco que exige análise mais profunda.
O artigo 22 trata da comunicação ao COAF. As pessoas obrigadas devem comunicar, mediante análise fundamentada, todas as situações e operações detectadas ou propostas de operações que possam constituir sérios indícios de PLD. A comunicação deve conter, no mínimo, a data de início do relacionamento, a explicação fundamentada dos sinais de alerta, a descrição e o detalhamento das operações, as informações obtidas por diligências que qualifiquem os envolvidos, inclusive indicação sobre pessoa exposta politicamente, o comportamento da pessoa comunicada e a conclusão fundamentada que caracteriza os sinais de alerta como situação suspeita.
A comunicação ao COAF não deve ser tratada como ato automático diante de qualquer dificuldade cadastral. A Nota Explicativa ressalta que o não conhecimento do beneficiário final, por si só, não é elemento suficiente para comunicação; ele deve gerar monitoramento contínuo mais rigoroso e, se forem detectadas atipicidades suplementares, análise mais profunda sobre a necessidade de comunicação.
Essa nuance é importante. A Resolução 245 não transforma todo vínculo com jurisdição de maior risco em comunicação automática, mas transforma esse vínculo em gatilho de diligência reforçada, monitoramento contínuo e reforçado, governança de decisão e documentação robusta. A comunicação ao COAF dependerá da análise fundamentada de sinais de alerta e indícios, nos termos dos artigos 21 e 22. O erro seria tanto comunicar mecanicamente sem análise quanto deixar de comunicar quando a análise revela indícios consistentes.
O artigo 23 prevê a chamada comunicação de não ocorrência à CVM, quando não houver, no ano civil anterior, situações, operações ou propostas passíveis de comunicação. O artigo 25 exige registro de toda operação envolvendo valores mobiliários, independentemente do valor, de forma a permitir a verificação da movimentação financeira de cada cliente em face da política, da avaliação interna de risco, dos controles internos e das informações obtidas no processo de identificação. O artigo 26 exige que a documentação relacionada às obrigações dos capítulos II a V e VII fique à disposição da CVM por período mínimo de cinco anos, incluindo as conclusões que fundamentaram a decisão de comunicar ou não comunicar.
Aqui está uma das maiores lições práticas, de que a evidência é parte do controle. Assim não basta ter feito diligência, mas é necessário demonstrar o que foi feito, quando foi feito, por quem foi feito, qual informação foi solicitada, qual fonte foi consultada, qual resposta foi recebida, qual lacuna permaneceu, qual risco foi identificado, qual mitigador foi aceito, qual autoridade interna aprovou e qual decisão foi tomada. Em supervisão, auditoria ou investigação, a diferença entre controle efetivo e controle aparente costuma estar na qualidade da evidência.
O capítulo VII da Resolução 50 trata do cumprimento de sanções impostas por resoluções do Conselho de Segurança das Nações Unidas. O artigo 27 exige cumprimento imediato e sem aviso prévio aos sancionados, enquanto o artigo 28 exige adequação de regras, procedimentos e controles internos em relação a relações de negócio existentes ou futuras que possam envolver pessoas físicas, jurídicas ou entidades alcançadas por determinações de indisponibilidade. As infrações relacionadas aos artigos 4º a 6º e 17 a 28 podem ser consideradas graves para fins da Lei 9613.
Essa conexão entre PLD, sanções e jurisdições de maior risco é cada vez mais relevante. O mercado de capitais deixou de ser ambiente protegido por formalidades locais. Estruturas internacionais acessam o mercado por custódia, fundos, derivativos, securitização, plataformas, distribuidores, operações registradas, contas omnibus e veículos profissionais. A combinação de investidor não residente, estrutura multicamadas, jurisdição de maior risco, ausência de beneficiário final claro e ativos de maior complexidade exige um modelo de PLD capaz de operar como sistema de inteligência de integridade.
O Anexo B da Resolução 50 detalha o conteúdo mínimo do cadastro de investidores. Para pessoas naturais, contempla informações como nome, data de nascimento, naturalidade, nacionalidade, filiação, estado civil, endereço, documento de identificação, CPF, ocupação profissional, entidade para a qual trabalha, rendimentos, situação patrimonial, perfil do cliente, operação por conta de terceiros, procuradores, datas de atualização, assinatura e indicação sobre pessoa exposta politicamente. Para pessoas jurídicas e outras estruturas, a norma exige dados que permitam identificar constituição, representação, controladores, beneficiários finais, representantes e demais elementos necessários ao conhecimento do cliente.
O Anexo C trata do cadastro simplificado de investidores não residentes. Ele permite sua utilização em certas condições, mas não elimina a necessidade de diligências. A norma exige que a instituição brasileira identifique, junto à instituição estrangeira ou a terceiros confiáveis, em quais categorias o investidor não residente está qualificado. Também exige, conforme a avaliação interna de risco, diligências para reunir informações adicionais sobre renda, faturamento e patrimônio, quando aplicável, e para identificar situações em que seja possível individualizar pessoas naturais como beneficiários finais.
A Nota Explicativa reforça que o cadastro simplificado permite à instituição brasileira deter quantidade reduzida de informações cadastrais, mas não a isenta de conduzir rotinas permanentes de conhecimento do investidor não residente. Também afirma que, quando a instituição estrangeira não disponibilizar os dados necessários, a instituição brasileira pode buscar informações suplementares em terceiros, desde que úteis e confiáveis.
Esse ponto se tornou ainda mais crítico com a Resolução 245 de que o cadastro simplificado não pode ser confundido com diligência simplificada em cenário de risco elevado. A empresa pode usar estrutura cadastral simplificada quando a norma permite, mas, se houver vínculo direto ou indireto com jurisdição listada pelo GAFI, deverá adotar diligência reforçada, exigir comprovações adicionais, avaliar restrições, condicionar operações e, se necessário, recusar ou encerrar relacionamento.
Na prática, a Resolução 245 exige que a empresa revise sua matriz de risco de PLD. A matriz deve contemplar expressamente a variável GAFI, distinguindo países e jurisdições com deficiências estratégicas, países sujeitos a chamadas para ação, vínculos diretos e indiretos, cadeias de controle, representantes, beneficiários finais, entidades intermediárias e estruturas opacas. Também deve conectar essa classificação a medidas concretas: coleta documental adicional, aprovação hierárquica, restrição de ativos, limites transacionais, aumento de periodicidade de revisão, intensificação de monitoramento, escalonamento ao diretor responsável e critérios de recusa ou encerramento.
A norma também exige revisão dos procedimentos de onboarding. O processo de aceitação de investidor não residente deve verificar país de constituição, sede, residência, domicílio fiscal, jurisdição do administrador, jurisdição do custodiante, jurisdição do representante, beneficiário final, cadeia de controle, existência de trust ou veículo assemelhado, natureza do investidor, classificação regulatória, origem dos recursos, propósito econômico da relação, produtos pretendidos, ativos de maior risco e compatibilidade entre perfil, patrimônio, estratégia e operações esperadas.
Na manutenção do relacionamento, a empresa deve implementar revisões periódicas proporcionais ao risco e gatilhos de revisão extraordinária. Mudança de beneficiário final, alteração de representante, substituição de administrador estrangeiro, mudança de país de constituição, alteração de estratégia, aumento atípico de volume, ingresso em ativos de maior risco, transferência de custódia, operações com baixa justificativa econômica ou inclusão de jurisdição em lista do GAFI devem disparar reavaliação. A revisão não deve ser burocrática; deve ser decisória.
No monitoramento transacional, a Resolução 245 exige que as listas do GAFI sejam integradas aos cenários de alerta. O sistema deve identificar operações envolvendo investidor não residente de maior risco, estruturas com beneficiário final em jurisdição listada, operações incompatíveis com perfil declarado, entradas e saídas rápidas de recursos, uso de ativos complexos sem justificativa, transferências de titularidade, padrões de layering por compra e venda sucessiva, concentração em ativos ilíquidos ou difíceis de precificar, uso de procuradores e representantes com poderes amplos e alterações sucessivas de dados cadastrais.
Na governança de exceções, a empresa deve definir quem pode aprovar relacionamento de alto risco, quais documentos mínimos são obrigatórios, quais exceções não são permitidas, quais operações dependem de aprovação prévia, quais ativos são classificados como de maior risco, quais hipóteses exigem parecer jurídico ou de compliance, quais decisões sobem ao diretor responsável e em quais casos a alta administração precisa deliberar. O maior erro seria permitir que exceções comerciais enfraqueçam a metodologia de PLD.
Na documentação, a empresa deve manter trilha de auditoria completa. Uma diligência reforçada bem executada deve registrar lista do GAFI consultada, data da consulta, vínculo identificado, documentos coletados, lacunas remanescentes, justificativa econômica, análise de beneficiário final, avaliação do representante, avaliação do produto ou ativo, decisão tomada, nível de aprovação, condições impostas, prazo de revisão, alertas gerados, conclusão sobre comunicação ao COAF e monitoramento posterior. A documentação não deve ser produzida apenas para cumprir arquivo; ela deve demonstrar o racional de risco.
Para fundos de investimento, a Resolução 245 dialoga com cotistas não residentes, fundos offshore, feeders, veículos exclusivos, estruturas com gestores estrangeiros, administradores profissionais, investidores institucionais e cadeias com múltiplos níveis. A diligência deve distinguir risco do cotista, risco do fundo, risco do gestor, risco do administrador, risco do custodiante, risco da estratégia e risco dos ativos. Um fundo com baixa liquidez, derivativos, ativos ilíquidos, operações estruturadas ou múltiplas camadas offshore pode demandar tratamento distinto de um fundo aberto, pulverizado, com administrador regulado em jurisdição cooperante e transparência adequada.
Para distribuidores e plataformas, a norma exige coerência entre captação, cadastro, suitability, recomendação, execução e PLD. Não basta a plataforma ter uma jornada digital eficiente se a diligência não identifica beneficiário final, origem de recursos, jurisdição de risco, representante e propósito da relação. O risco de distribuição ocorre justamente quando a busca por escala reduz a profundidade do conhecimento do cliente. A Resolução 245 pressiona modelos de negócio a demonstrar que tecnologia e velocidade não sacrificam integridade.
Para custodiantes e intermediários, a questão central é a qualidade da informação recebida e a capacidade de detectar comportamento incompatível. O custodiante pode não ter a mesma relação comercial do distribuidor, mas precisa operar controles proporcionais às suas atribuições. A infraestrutura de mercado, por sua vez, deve trabalhar com informações de participantes, regras de acesso, monitoramento de padrões e mecanismos de intercâmbio que permitam detectar anomalias relevantes. A Resolução 50 já reconhece que há obrigações distintas conforme a posição de cada participante; a Resolução 245 exige que essa distribuição de responsabilidades não crie zonas cegas.
Para representantes de investidores não residentes, o novo artigo 17-A tem impacto direto. O representante passa a ser um elo ainda mais sensível da cadeia de PLD. Se ele representa investidores conectados a jurisdições de maior risco, estruturas societárias complexas ou beneficiários finais de difícil identificação, sua governança, seus procedimentos, suas fontes de informação e sua capacidade de resposta à instituição brasileira tornam-se elementos críticos de mitigação. A negligência do representante pode contaminar a decisão da instituição que aceita ou mantém o relacionamento.
Para auditoria interna, a Resolução 245 cria novos testes. A auditoria deve avaliar se a política foi atualizada, se a avaliação interna de risco incorporou a variável GAFI, se o cadastro identifica vínculos diretos e indiretos, se os sistemas capturam beneficiário final e representantes, se os alertas estão calibrados, se as operações com ativos de maior risco foram limitadas ou escaladas quando necessário, se as exceções foram aprovadas por alçada adequada, se as comunicações ao COAF foram fundamentadas e se as decisões de não comunicação foram documentadas. A auditoria não deve testar apenas existência, mas deve testar efetividade.
Para conselhos e comitês, a Resolução 245 deve ser lida como tema de governança de risco e não apenas de compliance. A alta administração já é responsável pela aprovação e adequação da política, da avaliação interna de risco e dos controles. Agora, deve também acompanhar se a empresa possui capacidade real de lidar com clientes e estruturas de alto risco. O conselho deve perguntar quantos casos existem, qual exposição financeira e reputacional está associada, quais países e estruturas aparecem com maior frequência, quais produtos são mais vulneráveis, quais áreas concentram exceções, quais pendências estão abertas e qual é o tempo médio de resolução.
O ponto inspirador dessa norma está na sua mensagem de maturidade institucional, pois a CVM não está apenas dizendo ao mercado para preencher mais campos, mas está dizendo que a integridade do mercado de capitais depende da capacidade dos seus participantes de compreenderem quem entra, por onde entra, em nome de quem opera, qual estrutura utiliza, qual jurisdição está conectada, qual ativo busca, qual comportamento apresenta e qual risco residual permanece depois das diligências.
A Resolução 245 também mostra que a PLD brasileira está se deslocando de uma lógica documental para uma lógica de efetividade demonstrável. A pergunta deixa de ser “o cadastro está completo?” e passa a ser “o cadastro permite entender o risco?”. Deixa de ser “o cliente foi classificado?” e passa a ser “a classificação muda o tratamento?”. Deixa de ser “houve alerta?” e passa a ser “o alerta gerou análise adequada?”. Deixa de ser “o comitê aprovou?” e passa a ser “a decisão foi compatível com o risco e com o apetite da empresa?”. Deixa de ser “houve política?” e passa a ser “a política foi implementada com evidência e consequência?”.
Em termos práticos, a agenda de adequação deveria começar pela revisão da política de PLD, incorporando expressamente o novo artigo 17-A e a nova redação do artigo 16. Em seguida a empresa deve revisar a avaliação interna de risco para incluir países e jurisdições listadas pelo GAFI, vínculos diretos e indiretos, cadeias societárias, beneficiários finais, representantes e situações derivadas dessas listas. Depois, deve atualizar procedimentos de onboarding, revisão cadastral, cadastro simplificado de investidor não residente, diligência reforçada, monitoramento, escalonamento, comunicação ao COAF, recusa de operações, encerramento de relacionamento e documentação de decisão.
A empresa também deve revisar seus sistemas. A variável GAFI precisa estar parametrizada, atualizada e conectada ao cadastro, ao monitoramento e ao workflow de aprovação. Beneficiário final e cadeia de controle precisam ser campos vivos, não anexos esquecidos. Representantes precisam ser tratados como vetores de risco. Produtos e ativos de maior risco precisam estar classificados. Alertas precisam distinguir risco direto e indireto. Relatórios gerenciais precisam mostrar pendências, exceções, decisões e efetividade.
A empresa deve ainda reavaliar contratos e fluxos com instituições estrangeiras, principalmente quando houver cadastro simplificado ou dependência de informações de terceiros. A Resolução 50 e sua Nota Explicativa deixam claro que a instituição estrangeira pode ser fonte relevante de informação, mas a instituição brasileira não está dispensada de buscar insumos suplementares confiáveis quando necessário. Se a informação não vier, e a lacuna comprometer o pleno conhecimento do investidor, a empresa deverá avaliar medidas adicionais, inclusive comunicação ao COAF, medidas suplementares de mitigação e avaliação da alta administração sobre manutenção do relacionamento.
O maior risco de implementação é tratar a Resolução 245 como simples atualização normativa. Ela é mais do que isso, pois exige que a empresa teste sua capacidade de enxergar estruturas internacionais, cruzar dados, interpretar jurisdições, avaliar beneficiário final, entender propósito econômico, impor condições comerciais, limitar operações e sustentar decisões com evidência. Ela expõe fragilidades típicas de programas de PLD: cadastro desatualizado, dependência excessiva de autodeclaração, ausência de análise de rede, monitoramento transacional desconectado da matriz de risco, comitês sem documentação, exceções comerciais pouco fundamentadas e relatórios gerenciais excessivamente quantitativos.
A Resolução 245 também traz um recado para a cultura de risco, de que em mercados sofisticados, riscos relevantes raramente aparecem como eventos simples. Eles aparecem como estruturas formalmente corretas, documentos aparentemente adequados, representantes profissionais, transações compatíveis em valor absoluto, veículos registrados em jurisdições intermediárias e narrativas econômicas plausíveis. A função da PLD não é desconfiar de tudo, mas é saber onde aprofundar, quando escalar, como documentar e quando dizer não.
No Brasil essa agenda é especialmente relevante porque o mercado de capitais se tornou mais amplo, digital, internacionalizado e interconectado. O crescimento de plataformas, fundos, securitização, criptoativos regulados e não regulados em interfaces adjacentes, ativos estruturados, investidores estrangeiros e canais digitais aumenta a superfície de risco. A Resolução 245 não impede a internacionalização do mercado brasileiro, mas procura assegurar que essa internacionalização ocorra com controles proporcionais à complexidade e ao risco.
A norma também protege os bons participantes. Um mercado com diligência fraca prejudica instituições sérias, porque permite que estruturas opacas concorram em condições indevidas, contamine reputações, aumente custos regulatórios e gere risco sistêmico de confiança. A diligência reforçada cria uma régua comum. Quem conhece seu cliente, entende sua rede, documenta sua decisão e age diante de risco inaceitável protege não apenas a própria empresa, mas a credibilidade do mercado brasileiro.
O desafio agora é transformar a Resolução 245 em execução. Isso significa sair do texto normativo e chegar ao cadastro, ao motor de alertas, ao comitê, ao relatório do diretor, ao treinamento do assessor, ao contrato com instituição estrangeira, ao dashboard da alta administração, ao plano de auditoria interna e à decisão concreta sobre aceitar, condicionar, limitar, postergar, recusar ou encerrar. PLD madura não é uma área que acumula documentos; é uma engrenagem de governança que conecta dados, julgamento e responsabilidade.
Resumidamente a Resolução CVM 50 construiu o arcabouço através da política, avaliação interna de risco, controles, responsabilidades, identificação, cadastro, beneficiário final, diligência contínua, monitoramento, análise, comunicação, registro, sanções e evidência, enquanto que a Resolução CVM 245 eleva a exigência em um ponto sensível através dos investidores não residentes e vínculos diretos ou indiretos com jurisdições de maior risco segundo o GAFI. A primeira define o sistema, enquanto que a segunda fecha uma lacuna de clareza normativa e obriga o mercado a demonstrar diligência reforçada quando o risco jurisdicional e estrutural exigir.
Acredito bastante que PLD não é burocracia de entrada, mas é governança permanente de integridade. O cadastro abre a porta, mas não encerra o risco. A matriz classifica, mas não substitui o julgamento. O alerta detecta, mas não decide. O comitê delibera, mas precisa de evidência. O diretor responde, mas precisa de acesso. A alta administração aprova, mas precisa acompanhar a efetividade. E diante de jurisdições de maior risco, estruturas opacas e beneficiários finais difíceis de identificar, a empresa madura entende que preservar a integridade do mercado vale mais do que aceitar uma relação que não consegue explicar, monitorar ou defender.
Referência documental disponibilizada pela Okai.
