Regulação
Diligência reforçada para investidor não residente: o que muda com a nova regra de PLD/FTP
15 de julho de 2026
Nova regra da CVM exige diligência reforçada para investidores não residentes de jurisdições de alto risco. Cadastro, beneficiário final e controles.
Resumo
AResolução CVM 245(editada em julho de 2026, vigência em15/jul/2026) altera a Resolução CVM 50 e cria oart. 17-A: medidas reforçadas de diligência devida para operações deinvestidores não residentes (INR)oriundos de jurisdições constantes das listas doGAFI.
O dever não se limita ao cliente direto: alcança clientes — não residentes ou não —relacionados a estruturas societárias, cadeias de controle, beneficiários finais ou representantesvinculados às jurisdições listadas, e qualquer situação de alto risco derivada dessas listas.
O pano de fundo é ofollow-up da avaliação mútua do Brasil no GAFIe o alinhamento àRecomendação 19— ou seja, a régua de supervisão sobe, e a efetividade (não a formalidade) é o critério.
Para intermediários, gestoras e demais obrigados, o desafio é dedado e controle: identificar vínculo indireto exige cadastro de beneficiário final íntegro, monitoramento baseado em risco e trilha de evidência que sustente cada julgamento perante o regulador e a auditoria.
Dimensão | Antes (Resolução CVM 50 "padrão") | Com o art. 17-A (vigência 15/jul/2026) |
|---|---|---|
Gatilho | Abordagem baseada em risco definida internamente pela instituição | Gatilho normativo objetivo: INR de jurisdição listada pelo GAFI exige diligênciareforçada |
Perímetro | Cliente e beneficiário final na forma da política interna | Cliente direto+ estruturas societárias, cadeias de controle, beneficiários finais e representantesvinculados direta ou indiretamente às jurisdições listadas |
Procedimentos | Art. 16 — identificação, classificação de risco, monitoramento | Art. 16+ procedimentos mínimos adicionaisde diligência reforçada previstos no novo artigo |
Atualização | Periódica, conforme risco | Sensível amudanças nas listas do GAFI— a base precisa reagir quando a lista muda |
Evidência | Dossiê cadastral e registros de monitoramento | Trilha completa do julgamento: por que o vínculo foi (ou não foi) identificado, quem aprovou, o que foi feito |
O que o artigo 17-A realmente pede
A estrutura da nova regra tem duas camadas. A primeira é direta: operações ou situações envolvendo cliente classificado como investidor não residente oriundo de jurisdição listada pelo GAFI devem ser objeto de medidas reforçadas de diligência devida — observando o que o art. 16 da Resolução CVM 50 já exige e acrescentando procedimentos mínimos adicionais. Até aqui, trata-se de formalizar o que a abordagem baseada em risco já recomendava: jurisdição de alto risco pede mais profundidade, não mais papel.
A segunda camada é a que muda o jogo operacional. Os deveres se aplicam também a clientes — investidores não residentesou não— que estejam relacionados com estruturas societárias, cadeias de controle, beneficiários finais ou representantes direta ou indiretamente vinculados às jurisdições listadas, além de qualquer outra situação de alto risco derivada das listas. Em outras palavras: um cliente domiciliado no Brasil, com veículo de investimento local, pode atrair diligência reforçada se, em alguma camada da sua cadeia societária, houver vínculo com jurisdição listada. A pergunta deixa de ser "onde o cliente mora" e passa a ser "o que existe dentro da estrutura do cliente" — e essa pergunta só se responde com dado de beneficiário final completo, atualizado e pesquisável.
O contexto também importa. A alteração ocorre no âmbito do follow-up da última avaliação mútua do Brasil no GAFI e busca alinhar a regulamentação à Recomendação 19 do organismo, que trata exatamente de países de maior risco. Avaliação mútua é um processo em que a efetividade — não a existência formal de normas — é o critério central. É razoável esperar que a supervisão siga a mesma lógica: menos interesse em manuais bem escritos, mais interesse em casos concretos em que o vínculo foi identificado, escalado e tratado.
De cadastro a arquitetura: onde as estruturas quebram
A experiência de trabalhos de avaliação de controles de PLD/FTP mostra um padrão recorrente: a política é adequada, o manual é atualizado, o treinamento aconteceu — e a base cadastral não sustenta nada disso. Beneficiário final registrado até o primeiro nível, quando a norma pede a pessoa natural no topo da cadeia. Campos de jurisdição preenchidos com o país do veículo, não com o país do controlador. Estruturas em camadas — fundo investe em veículo, que é controlado por holding, que tem sócio em jurisdição listada — que nenhuma consulta simples alcança, porque o dado está fragmentado entre sistemas de cadastro, custódia e compliance.
O art. 17-A expõe essa fragilidade porque o gatilho dele é justamente o vínculo indireto. Para cumpri-lo com efetividade, a instituição precisa de três capacidades que não se improvisam. Primeiro,profundidade de cadastro: a cadeia societária mapeada até o beneficiário final pessoa natural, com jurisdição registrada em cada camada — não apenas na ponta. Segundo,capacidade de reação a mudanças de lista: as listas do GAFI são revisadas periodicamente; quando uma jurisdição entra, a base inteira precisa ser revarrida, e isso exige consulta estruturada, não revisão manual de dossiês. Terceiro,integração entre cadastro e monitoramento: a classificação de risco do cliente precisa mudar quando o vínculo é identificado, e essa mudança precisa disparar os procedimentos adicionais — aprovação em alçada adequada, aprofundamento de origem de recursos, monitoramento intensificado de operações.
Governança, evidência e o papel da asseguração
Diligência reforçada sem trilha de evidência é diligência que não aconteceu — pelo menos aos olhos de quem supervisiona. Cada decisão relevante do fluxo precisa deixar rastro: a consulta que identificou (ou afastou) o vínculo, os documentos adicionais obtidos, o julgamento sobre origem de recursos, a alçada que aprovou o início ou a manutenção do relacionamento, as operações monitoradas e os alertas tratados. Esse rastro cumpre três papéis ao mesmo tempo: protege a instituição na supervisão, alimenta o relatório anual de avaliação interna de riscos que a própria Resolução CVM 50 exige, e permite que a avaliação independente dos controles diga algo com lastro.
É aqui que a asseguração entra. A avaliação independente da estrutura de PLD/FTP — desenho e efetividade operacional dos controles — deixa de ser exercício de conformidade documental e passa a testar o que a norma agora pede: a base identifica vínculos indiretos? A revarredura acontece quando a lista muda? Os procedimentos adicionais disparam quando deveriam? A amostra de casos sustenta a narrativa? Para administradores e comitês, esse tipo de trabalho responde à pergunta que a avaliação mútua tornou inevitável: se o supervisor testar a efetividade amanhã, o que ele encontra?
Caso anonimizado: o vínculo que morava na terceira camada
Uma gestora de recursos de porte médio, com carteira relevante de investidores não residentes, mantinha política de PLD considerada madura — classificação de risco por jurisdição, comitê ativo, monitoramento transacional calibrado. Em um trabalho de avaliação independente dos controles, o teste de profundidade cadastral selecionou uma amostra de estruturas de investimento e refez, de forma independente, o mapeamento das cadeias societárias. Em duas estruturas, a cadeia registrada parava no administrador fiduciário do veículo; a reconstituição encontrou, na terceira camada, controladores domiciliados em jurisdição que havia entrado na lista de monitoramento intensificado do GAFI meses antes. O cadastro não estava errado no dia em que foi feito — estava desatualizado em relação à lista, e nenhum processo revarria a base quando a lista mudava.
O ajuste não foi punitivo, porque a fragilidade foi identificada em avaliação voluntária, não em supervisão. A gestora implantou rotina de revarredura vinculada ao calendário de atualização das listas, reformulou o cadastro para registrar jurisdição em todas as camadas e criou alçada específica para relacionamentos com vínculo indireto identificado. O aprendizado é o que o art. 17-A agora universaliza: o risco não mora no cliente que declara jurisdição listada no formulário — mora na estrutura em que ninguém perguntou.
Como a MERC pode ajudar
A MERC, primeira e única auditoria especializada no mercado financeiro brasileiro, realiza avaliações independentes de estruturas de PLD/FTP para intermediários, gestoras, administradores fiduciários e demais participantes obrigados pela Resolução CVM 50 — agora com o olhar adicional que o art. 17-A exige: profundidade de cadastro de beneficiário final, capacidade de identificação de vínculos indiretos, reação a mudanças nas listas do GAFI e trilha de evidência dos julgamentos. Os trabalhos combinam avaliação de desenho e teste de efetividade operacional, com reporte utilizável por comitês, conselhos e supervisão.
Para instituições que precisam se adequar à nova regra, a MERC apoia o diagnóstico de gap entre a política atual e os procedimentos mínimos da diligência reforçada, a revisão da arquitetura de dados cadastrais e a preparação para o ambiente de supervisão orientada a efetividade que o ciclo de avaliação mútua do Brasil consolidou. Conformidade que não se demonstra com dado é apenas intenção — e o custo de descobrir isso na supervisão é sempre maior do que o de descobrir antes.
Perguntas frequentes
O que é a Resolução CVM 245 e quando entra em vigor?
É a norma editada pela CVM em julho de 2026 que altera pontualmente a Resolução CVM 50, criando o art. 17-A com medidas reforçadas de diligência devida para operações de investidores não residentes oriundos de jurisdições listadas pelo GAFI. Entrou em vigor em 15 de julho de 2026.
A regra só alcança investidores não residentes?
Não. Os deveres também se aplicam a clientes — não residentes ou não — relacionados a estruturas societárias, cadeias de controle, beneficiários finais ou representantes vinculados, direta ou indiretamente, às jurisdições listadas, além de qualquer outra situação de alto risco derivada das listas. O vínculo indireto é o ponto que mais exige das bases cadastrais.
O que significa "diligência reforçada" na prática?
Além dos procedimentos ordinários do art. 16 da Resolução CVM 50 (identificação, classificação de risco, monitoramento), a instituição deve adotar procedimentos mínimos adicionais: maior profundidade na identificação do beneficiário final e da origem dos recursos, aprovação em alçada adequada e monitoramento intensificado das operações, tudo documentado.
Por que a mudança aconteceu agora?
A alteração se insere no processo de follow-up da última avaliação mútua do Brasil promovida pelo GAFI e busca alinhar a regulamentação da CVM à Recomendação 19 do organismo, que trata de países de maior risco. Nesse ciclo, a efetividade dos controles — não sua existência formal — é o critério de avaliação.
O que muda para a auditoria e a asseguração desses controles?
A avaliação independente da estrutura de PLD/FTP passa a testar capacidades específicas: identificação de vínculos indiretos nas cadeias societárias, revarredura da base quando as listas do GAFI mudam, disparo efetivo dos procedimentos adicionais e trilha de evidência dos julgamentos. O teste de profundidade cadastral, com reconstituição independente de estruturas, tende a ganhar peso.
Este artigo trata de alguma instituição específica?
Não. O texto parte da mudança normativa — a Resolução CVM 245 e o novo art. 17-A da Resolução CVM 50 — para tratar do tema técnico: diligência reforçada, cadastro de beneficiário final, monitoramento e asseguração. Os exemplos são anonimizados e ilustrativos, sem referência a qualquer participante identificável.
Este material tem caráter informativo e técnico e não constitui aconselhamento jurídico, contábil ou de auditoria para caso específico. A adequação à Resolução CVM 50 e às suas alterações depende das circunstâncias de cada instituição e das normas vigentes.
