CVM 245 e IN BCB 761 transformam as listas internacionais em gatilhos mais explícitos de diligência, monitoramento, limites e governança.

Durante anos, as listas do Grupo de Ação Financeira (GAFI) apareceram em políticas de PLD/FTP, matrizes de risco e motores de monitoramento. Em muitas instituições, porém, continuaram funcionando como uma referência genérica: o país recebia uma marcação, o risco subia e o caso seguia para análise.

A Resolução CVM 245 e a Instrução Normativa BCB 761 tornam esse tratamento menos abstrato. O ponto central não é a criação de novas listas. É a conversão dessas listas — e das orientações que as acompanham — em gatilhos mais explícitos de decisão operacional, documental e de risco.

TESE CENTRAL O GAFI deixou de ser apenas uma referência da política de PLD/FTP. Passou a interferir diretamente em quem entra, como opera, quais limites recebe, quem aprova e qual evidência sustenta a decisão.

Para a alta liderança, isso muda a governança. Para Compliance e PLD/FTP, muda a régua de diligência. Para Produto, Operações e Tecnologia, muda a forma como cadastro, monitoramento e gestão de parceiros precisam reagir a um evento regulatório externo.

Por que o tema ganhou força agora

Na avaliação mútua publicada em 2023, o Brasil foi classificado como parcialmente conforme na Recomendação 19 do GAFI, dedicada a países de maior risco. A recomendação exige diligência reforçada nas relações e transações com pessoas e instituições de países para os quais o GAFI assim determinar, de forma efetiva e proporcional ao risco.

A própria justificativa da CVM para a Resolução 245 reconheceu que a regulamentação já tratava de jurisdições de maior risco, mas não tornava inequívoca a obrigação de diligência reforçada. O novo art. 17-A da Resolução CVM 50 foi criado justamente para explicitar essa exigência. No Banco Central, a IN BCB 761 detalhou como as medidas reforçadas previstas na Circular 3.978 devem alcançar clientes, instituições financeiras correspondentes e parceiros vinculados a jurisdições com deficiências estratégicas.

Em outras palavras: o arcabouço anterior já continha abordagem baseada em risco, KYC, monitoramento, avaliação interna e controles sobre parceiros. O movimento de julho de 2026 tornou mais explícita a passagem entre o sinal geográfico e a resposta concreta da instituição.

O que a IN BCB 761 muda para instituições autorizadas pelo Banco Central

A IN BCB 761 foi editada em 9 de julho, publicada em 14 de julho de 2026 e entrou em vigor na data da publicação. Seu alcance é direto: instituições autorizadas a funcionar pelo Banco Central devem aplicar as orientações às operações e relações de negócio com clientes, instituições financeiras correspondentes e parceiros localizados em países ou territórios com deficiências estratégicas, conforme as listas e orientações divulgadas pelo GAFI.

A escolha da expressão “conforme listas e orientações” importa. A lista identifica a jurisdição; a orientação indica o tratamento esperado. Implementar apenas o primeiro elemento — um campo de país marcado como alto risco — é insuficiente para traduzir a norma em controle.

A obrigação atravessa todo o programa de PLD/FTP

O art. 2º conecta as medidas reforçadas à avaliação interna de risco, aos procedimentos destinados a conhecer clientes, ao monitoramento, à seleção e análise de operações e situações suspeitas e aos procedimentos destinados a conhecer parceiros e prestadores de serviços terceirizados. A resposta, portanto, não pertence apenas ao onboarding.

Ela precisa aparecer em diferentes momentos da relação: entrada, revisão cadastral, transação, alteração de beneficiário final, contratação de parceiro, correspondência bancária, mudança de lista e reavaliação de risco.

Sete medidas mínimas deixam de ser opcionais

• Informação adicional. Obter, verificar e validar dados adicionais sobre a qualificação de clientes, correspondentes e parceiros.
• Fundamento econômico ou legal. Analisar de forma complementar a operação e a natureza da relação de negócio.
• Parceiros e correspondentes. Diante de risco inaceitável ou não mitigável, submeter ao diretor responsável a viabilidade de iniciar ou continuar a relação e impor limites operacionais.
• Clientes. Diante de risco inaceitável ou não mitigável, avaliar a viabilidade do início da relação e impor limites operacionais.
• Monitoramento reforçado. Aumentar o escrutínio das operações durante o relacionamento.
• Atualização cadastral. Elevar a frequência de revisão das informações.
• Trilha decisória. Registrar análises, conclusões e decisões, com documentação detalhada de suporte.

LEITURA PRÁTICA A IN BCB 761 não pede apenas mais dados. Ela exige que a instituição consiga demonstrar como esses dados alteraram o risco, o limite, o monitoramento e a decisão.

Uma diferença textual que merece atenção

Para parceiros e instituições financeiras correspondentes, a IN menciona expressamente a avaliação do início ou da continuidade da relação pelo diretor responsável pela Circular 3.978. Para clientes, o texto menciona a viabilidade do início da relação e a imposição de limites operacionais, sem repetir expressamente a palavra “continuidade”.

Essa diferença deve ser preservada na leitura técnica. Ela não autoriza concluir que a manutenção de qualquer cliente seja automática: o caso continua submetido à avaliação interna de risco, ao monitoramento, às políticas da instituição e às demais obrigações aplicáveis. Mas também não é correto atribuir à IN BCB 761 uma ordem de encerramento de relacionamento com cliente que o texto não contém.

O contraponto da CVM 245

A Resolução CVM 245, vigente desde 15 de julho de 2026, alterou a Resolução CVM 50 e incluiu o art. 17-A. As pessoas obrigadas indicadas nos incisos I a III do art. 3º devem adotar diligência reforçada em operações ou situações envolvendo investidor não residente ligado a jurisdições que não aplicam ou aplicam insuficientemente as recomendações do GAFI.

A regra não se limita ao endereço formal do investidor. Ela alcança vínculos diretos ou indiretos por meio de estruturas societárias, cadeias de controle, beneficiários finais e representantes. Esse desenho é especialmente relevante para fintechs e grupos que também atuam no mercado de capitais: a exposição geográfica pode estar escondida na estrutura de propriedade, e não na primeira camada cadastral.

O conjunto mínimo previsto pela CVM inclui condições adicionais para estabelecer relações de negócio; limitação, postergação ou recusa de operações com ativos classificados como de maior risco; exigência de informações ou comprovações adicionais; e encerramento da relação quando o risco for considerado inaceitável e não mitigável. A alteração do art. 16 ainda reforça o monitoramento contínuo e mais rigoroso, independentemente da classificação de risco atribuída ao investidor naquele contexto.

CVM 245 e IN BCB 761: convergência sem identidade

Dimensão	IN BCB 761	Resolução CVM 245
Destinatários	Instituições autorizadas pelo Banco Central.	Pessoas obrigadas dos incisos I a III do art. 3º da Resolução CVM 50.
Contrapartes	Clientes, instituições financeiras correspondentes e parceiros.	Investidor não residente e vínculos diretos ou indiretos por estrutura societária, controle, beneficiário final ou representante.
Base operacional	Circular 3.978: avaliação interna de risco, KYC, monitoramento, análise e conhecimento de parceiros/terceiros.	Resolução CVM 50: diligência, monitoramento reforçado e tratamento de riscos derivados das listas.
Medidas mínimas	Dados adicionais, fundamento econômico/legal, limites, monitoramento reforçado, revisão cadastral e trilha documental.	Condições adicionais, limitação/postergação/recusa, comprovação adicional e encerramento em risco inaceitável e não mitigável.
Governança	Decisão do diretor responsável é expressa para início ou continuidade de parceiro/correspondente em risco inaceitável ou não mitigável.	Deveres aplicáveis no limite das atribuições das pessoas obrigadas; tratamento alcança vínculos indiretos.
Vigência	14 de julho de 2026, data da publicação.	15 de julho de 2026.

Fonte: elaboração TRIDVO a partir dos textos oficiais da IN BCB 761, da Circular 3.978 e da Resolução CVM 245.

As listas do GAFI não são uma única blocklist

Esse é o ponto em que uma aplicação automática pode produzir tanto risco regulatório quanto de-risking indevido. Em junho de 2026, os comunicados oficiais distinguiam três situações:

• Contramedidas: República Popular Democrática da Coreia e Irã estavam sujeitos a chamado para aplicação de contramedidas, além de diligência reforçada.
• Diligência reforçada sem contramedidas: para Myanmar, o GAFI determinava aumento do grau e da natureza do monitoramento, proporcional aos riscos.
• Monitoramento intensificado — lista cinza: o GAFI afirmava expressamente que a inclusão não recomenda, por si só, diligência reforçada nem encerramento indiscriminado de relações; as informações devem alimentar a análise baseada em risco.

No Brasil, essa distinção precisa ser lida em conjunto com o texto das normas domésticas. A ressalva do GAFI sobre a lista cinza não deve ser convertida automaticamente em dispensa das obrigações criadas pela CVM 245 ou orientadas pela IN BCB 761. Da mesma forma, a referência genérica a uma jurisdição não deve virar bloqueio indiscriminado sem análise do enquadramento, da orientação vigente e do risco concreto.

REGRA DE PRUDÊNCIA A instituição precisa versionar não apenas a lista, mas também o tipo de chamado do GAFI, a orientação aplicável e a resposta doméstica definida para cada cenário.

O que precisa mudar na operação

A adequação não se encerra com uma revisão da política de PLD/FTP. Ela exige uma arquitetura decisória que conecte fonte regulatória, dados, regras, pessoas e evidências.

Fonte oficial e versionada. Definir quem monitora os comunicados do GAFI e do Coaf, em que frequência e como uma mudança entra em produção. A instituição deve saber qual lista e qual orientação estavam vigentes no instante da decisão.

Detecção de vínculo direto e indireto. O motor não pode observar apenas residência ou sede. Deve considerar origem e destino de recursos, beneficiário final, controladores, representantes, correspondentes, parceiros e prestadores relevantes.

Matriz de resposta proporcional. Cada categoria de lista precisa se combinar com risco do cliente, produto, canal, operação e mitigadores. A saída pode variar entre informação adicional, revisão cadastral, monitoramento reforçado, limitação, escalonamento, recusa ou outra medida prevista.

Workflow de aprovação. Casos sujeitos à decisão do diretor responsável precisam chegar à pessoa certa antes do início ou da continuidade aplicável. A aprovação não pode existir apenas em e-mail disperso ou conversa sem registro.

Fundamento econômico ou legal demonstrável. Não basta selecionar uma justificativa genérica em um menu. A análise deve mostrar por que a operação faz sentido para aquela contraparte, naquele valor, naquele fluxo e naquela jurisdição.

Dossiê reproduzível. Informações consultadas, data, classificação, análise, limites, aprovador, conclusão e documentos de suporte devem permitir que auditoria, supervisão ou governança reconstituam a decisão sem depender da memória de quem a tomou.

A decisão deixa de ser binária

Uma implementação madura não funciona apenas com “aprovar” ou “recusar”. Entre esses extremos existem respostas proporcionais: reduzir limites, restringir produtos, exigir documentação adicional, aumentar frequência de atualização, criar cenários específicos de monitoramento, submeter a instância superior ou postergar a operação até que a diligência seja concluída.

Isso também evita dois erros opostos: liberar relações de alto risco com justificativas frágeis e excluir classes inteiras de clientes legítimos apenas porque existe uma conexão geográfica.

Sete perguntas para o próximo comitê de PLD/FTP

• Qual é a fonte oficial das listas e quem responde por sua atualização?
• O sistema diferencia lista cinza, diligência reforçada e chamado para contramedidas?
• Conseguimos identificar vínculos indiretos por beneficiário final, controlador, representante, parceiro ou correspondente?
• Quais informações adicionais são exigidas em cada cenário e como são verificadas?
• Onde fica registrada a análise do fundamento econômico ou legal da operação?
• Quais eventos exigem limites, escalonamento ou decisão do diretor responsável?
• É possível reproduzir hoje, com os dados da época, por que uma relação ou operação foi aprovada, limitada, recusada ou mantida?

O que não fazer

• Atualizar apenas a política e considerar o projeto concluído.
• Manter uma planilha estática de países sem proprietário, data de corte e regra de implantação.
• Transformar a lista cinza em recusa automática de toda uma categoria de clientes.
• Aplicar KYC reforçado ao cliente e ignorar correspondentes, parceiros e vínculos societários indiretos.
• Documentar a justificativa depois da decisão, apenas para preencher a trilha de auditoria.

A maturidade será medida pela qualidade da decisão

A principal mudança trazida pela CVM 245 e pela IN BCB 761 não está na existência das listas do GAFI. Está no nível de consequência que essas listas passam a produzir dentro da instituição.

O sinal geográfico precisa alterar procedimentos, frequência, limites, monitoramento, alçadas e documentação. Ao mesmo tempo, a abordagem baseada em risco impede que o controle se transforme em resposta automática e indiscriminada.

A instituição mais madura não será necessariamente a que bloquear mais. Será a que conseguir demonstrar, com consistência, proporcionalidade e evidência, por que adotou determinado tratamento em cada caso.

SÍNTESE A lista é o gatilho. A decisão continua sendo da instituição. E, a partir de agora, essa decisão precisa ser mais explícita, mais governada e mais auditável.

Fontes oficiais consultadas

• Banco Central do Brasil — Instrução Normativa BCB nº 761, de 9 de julho de 2026. Acesso em 15 ago. 2026.
• Banco Central do Brasil — Circular nº 3.978, de 23 de janeiro de 2020, texto consolidado. Acesso em 15 ago. 2026.
• CVM — Resolução CVM nº 245, de 1º de julho de 2026. Acesso em 15 ago. 2026.
• CVM — Nota Técnica nº 1/2026-CVM/SDM/GDN-2, justificativa para dispensa de AIR. Acesso em 15 ago. 2026.
• CVM — Resolução CVM nº 50, de 31 de agosto de 2021, texto consolidado. Acesso em 15 ago. 2026.
• GAFI/FATF — Recomendações do GAFI, edição atualizada em 2026, Recomendação 19. Acesso em 15 ago. 2026.
• GAFI/FATF — Avaliação do Brasil e classificação da Recomendação 19. Acesso em 15 ago. 2026.
• Coaf — Jurisdições sujeitas a monitoramento intensificado, junho de 2026. Acesso em 15 ago. 2026.
• Coaf — Jurisdições sujeitas a contramedidas, junho de 2026. Acesso em 15 ago. 2026.
• Coaf — Myanmar: diligência reforçada proporcional aos riscos, junho de 2026. Acesso em 15 ago. 2026.

NOTA EDITORIAL  Conteúdo informativo baseado nas fontes oficiais disponíveis em 15 de agosto de 2026. Não substitui análise jurídica ou regulatória aplicada às circunstâncias específicas de cada instituição.