COAF nº 1/2026: risco, controle e evidência no PLD/FT

A Instrução Normativa COAF nº 1/2026 exige PLD/FT sob abordagem baseada em risco nos setores supervisionados. Veja o efeito em controle e evidência.

O Conselho de Controle de Atividades Financeiras publicou instrução normativa detalhando como os setores sob sua supervisão direta devem cumprir os deveres de prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa. A Instrução Normativa COAF nº 1, de julho de 2026, organiza a exigência em torno da abordagem baseada em risco, a Recomendação nº 1 do padrão internacional de combate à lavagem de dinheiro. Este artigo não trata de nenhuma empresa específica. Trata do que a norma cobra de política, de controle e de evidência de quem opera nesses setores e de quem os audita — o mesmo terreno do diagnóstico e adequação regulatória e da auditoria independente das demonstrações financeiras.

Resumo

A abordagem baseada em risco deixa de ser recomendação e vira estrutura obrigatória do programa.A instrução exige que o setor supervisionado desenhe políticas, procedimentos e controles internos proporcionais ao porte e ao escopo da atividade, com base numa avaliação interna de risco documentada. Não basta ter manual: é preciso demonstrar que o nível de controle acompanha o risco de cada cliente, produto e operação. Programa genérico, calibrado igual para todo mundo, é exatamente o que a régua rejeita.

O alcance direto atinge os setores sem regulador próprio.A supervisão direta do COAF recai sobre atividades como fomento comercial, comércio de joias, pedras e metais preciosos e negociação de bens de luxo e de alto valor. Instituições financeiras, de pagamento e prestadoras de serviços de ativos virtuais seguem sob a régua do seu próprio regulador, mas convergem para o mesmo padrão de abordagem baseada em risco, o que torna a norma uma referência de método para todo o ecossistema.

A comunicação ao COAF passa a exigir trilha, não só envio.A obrigação de comunicar operações suspeitas e de apresentar a comunicação de não ocorrência quando nada há a reportar continua, mas o que a supervisão cobra é a rastreabilidade da decisão: por que uma operação foi ou não comunicada, com que critério, em que prazo e com qual aprovação. Comunicar no sistema sem lastro de análise é passivo, não conformidade.

Para quem audita, o programa de PLD/FT vira objeto de teste de efetividade.A avaliação interna de risco, a política, o monitoramento e a comunicação são controles que sustentam afirmações relevantes das demonstrações e a própria continuidade da atividade sob risco regulatório. Onde há trabalho de auditoria ou de asseguração, esses controles precisam ter desenho testável e operação evidenciada, não apenas existência formal.

O que a abordagem baseada em risco realmente exige

A abordagem baseada em risco parte de uma inversão simples. Em vez de aplicar o mesmo procedimento a todo cliente e a toda operação, a atividade supervisionada precisa primeiro medir onde o risco de lavagem se concentra e, então, distribuir o esforço de controle na proporção desse risco. O ponto de partida é a avaliação interna de risco: um documento que classifica clientes, produtos, canais e regiões por exposição, com metodologia explícita e revisão periódica.

Desse documento decorre tudo. A intensidade da identificação e do conhecimento do cliente, a profundidade da diligência ampliada para casos de maior risco, a régua de monitoramento das operações e os gatilhos de alerta passam a ser justificados pela avaliação de risco, não por praxe. Quando a supervisão pergunta por que um cliente de alto risco recebeu o mesmo tratamento de um cliente comum, a resposta tem de estar na metodologia, e a metodologia tem de estar aplicada de fato.

É aí que a maioria dos programas falha. A política descreve a abordagem baseada em risco em tese, mas os controles operam de forma linear na prática. A avaliação de risco fica desatualizada, não conversa com o cadastro e não muda o comportamento do monitoramento. O resultado é um programa que existe no papel e não resiste a um teste de efetividade, seja o do supervisor, seja o do auditor.

Onde isso toca o mundo do mercado financeiro

Os setores de supervisão direta do COAF, à primeira vista, parecem distantes do mercado de capitais. Não estão. O fomento comercial, por exemplo, é origem frequente de recebíveis que alimentam fundos de investimento em direitos creditórios. Um originador com programa de prevenção frágil contamina a cadeia: o lastro cedido ao fundo carrega o risco de origem, e a diligência sobre o cedente vira parte da avaliação de risco de quem estrutura, administra e audita a operação.

Por isso a instrução funciona como referência de método mesmo para quem não é supervisionado diretamente pelo COAF. O padrão de abordagem baseada em risco é o mesmo que a régua do sistema financeiro já exige das instituições autorizadas. A convergência significa que o auditor e o assegurador encontram o mesmo esqueleto de controle em toda a cadeia: avaliação de risco, identificação do cliente, monitoramento, comunicação e governança do programa. Muda o porte e a sofisticação, não a lógica.

O caso anonimizado que se repete

Uma atividade de fomento comercial recebe uma inspeção e apresenta um manual de prevenção robusto, atualizado e bem redigido. A inspeção pede a avaliação interna de risco. O documento existe, mas tem dois anos, foi feito por um consultor externo e nunca foi incorporado à rotina. O monitoramento aplica os mesmos parâmetros a todos os clientes, sem distinção de risco. Há comunicações de não ocorrência enviadas em dia, porém sem qualquer registro de que uma análise tenha efetivamente ocorrido em cada período.

Do ponto de vista formal, nada falta. Do ponto de vista da abordagem baseada em risco, tudo falta: o programa não mede risco, não calibra controle por risco e não deixa trilha da decisão. A distância entre o manual e a operação é precisamente o que a instrução quer eliminar, e é o primeiro lugar onde um trabalho de auditoria ou de asseguração encontra deficiência relevante. O ajuste não é reescrever a política. É fazer a política governar o que a atividade faz todos os dias, com evidência de que governa.

Como a MERC pode ajudar

A MERC atua na avaliação e na asseguração de programas de prevenção à lavagem de dinheiro sob a ótica de controles e de evidência. O trabalho parte da avaliação interna de risco, testa se o desenho dos controles corresponde ao risco declarado e verifica se a operação deixa trilha auditável: identificação do cliente, diligência ampliada nos casos de maior risco, monitoramento, tratamento de alertas e comunicação ao órgão competente. Onde há atuação como originador de recebíveis para fundos, a MERC conecta a qualidade do programa de prevenção à qualidade do lastro cedido, integrando o exame ao contexto de auditoria das demonstrações e de asseguração de controles. O foco não é produzir mais um relatório de conformidade formal, e sim demonstrar, com evidência, que o programa funciona na proporção do risco que a atividade corre.

Perguntas frequentes

A quem a Instrução Normativa COAF nº 1/2026 se aplica diretamente?

Aos setores supervisionados diretamente pelo COAF, ou seja, atividades sem regulador próprio, como fomento comercial, comércio de joias, pedras e metais preciosos e negociação de bens de luxo e de alto valor. Instituições sob a supervisão de um regulador setorial seguem a norma desse regulador, que adota a mesma lógica de abordagem baseada em risco.

O que muda na prática com a abordagem baseada em risco?

Muda o critério que justifica cada controle. Em vez de aplicar o mesmo procedimento a todos, a atividade precisa medir o risco por cliente, produto, canal e região e distribuir o esforço de controle na proporção desse risco, com metodologia documentada e efetivamente aplicada.

Ter um manual de PLD atualizado é suficiente?

Não. O manual é ponto de partida. A norma cobra que o programa opere conforme a avaliação de risco, que os controles sejam proporcionais ao risco e que exista trilha da decisão. Um manual sem operação evidenciada não resiste a um teste de efetividade.

A comunicação de não ocorrência é apenas uma formalidade?

Não. Ela declara que o monitoramento funcionou no período e que, tendo funcionado, nada suspeito foi identificado. Sem registro de que a análise ocorreu, a comunicação vira um envio vazio, sem lastro de conformidade.

Como a auditoria trata o programa de prevenção?

Como um conjunto de controles que sustenta afirmações relevantes e a continuidade da atividade sob risco regulatório. O trabalho testa desenho e operação: se o controle está desenhado para responder ao risco e se há evidência de que operou no período, e não apenas de que existe no papel.

Por que isso importa para fundos e securitizações?

Porque originadores com programa de prevenção frágil transferem risco de origem para o lastro cedido. A qualidade do programa do cedente entra na avaliação de risco de quem estrutura, administra e audita a operação, tornando o tema relevante para além dos setores de supervisão direta.