Introdução: um ano depois, a investigação ainda revela quem ajudou de dentro
Em 24 de setembro de 2026, a Receita Federal, o Gaeco do Ministério Público de São Paulo e forças estaduais deflagraram a Operação Crédito Oculto, novo desdobramento da Operação Carbono Oculto. A operação original, de 28 de agosto de 2025, foi apresentada pela Receita Federal e pelo MPSP como a maior já realizada contra o crime organizado no país e expôs o uso de fintechs e fundos de investimento para lavar recursos no setor de combustíveis. Em maio de 2026, a Operação Fluxo Oculto mostrou que o esquema havia se reorganizado em seis novas fintechs, com movimentação superior a R$ 26 bilhões entre 2022 e 2025.
A terceira fase mudou o foco da investigação. Segundo a Receita Federal, a aquisição de uma das maiores distribuidoras de combustíveis do país foi viabilizada por uma estrutura que reunia banco, fundos de investimento, escritório de advocacia, holdings e empresas de fachada. A conclusão do órgão é direta: as estruturas de lavagem foram montadas não apenas pela organização criminosa, mas essencialmente por operadores do mercado financeiro que prestam esse tipo de serviço a diferentes grupos criminosos.
Isso desloca a pergunta que interessa a quem dirige uma instituição financeira. Operações como as descritas pela Receita passam, necessariamente, por pessoas: alguém abre a conta, alguém registra o aporte, alguém estrutura o fundo, alguém aprova a operação de crédito. O esquema não atravessou o sistema regulado sem ser visto. Atravessou sem ser reportado.
A questão, portanto, não é se havia controles. É se quem estava dentro tinha onde reportar o que via, com segurança, sem passar pelas mesmas estruturas que se beneficiavam da operação. É essa a pergunta que o canal de denúncias responde, e é ela que conduz este artigo: o que a Circular BCB 3.978/2020 exige em PLD/FT, o que mudou nela em 2026, e por que o canal de denúncias precisa estar integrado ao programa de prevenção antes de 31 de dezembro.
1. A conta bolsão escondia o cliente final. O canal de denúncias expõe o que se vê de dentro
O mecanismo que deu opacidade ao esquema foi a conta bolsão: uma conta aberta em banco em nome da própria fintech, na qual os recursos de muitos clientes circulam misturados. Para o banco, o titular era a fintech. Os clientes finais, incluindo os recursos de origem ilícita, ficavam registrados apenas em controles internos da fintech, as chamadas contas gráficas.
A subsecretária de fiscalização da Receita Federal, Andrea Costa Chaves, descreveu publicamente o mecanismo como um “problema” para as investigações, justamente porque o banco sabe que o dinheiro é da fintech, mas não sabe quem é o depositante final. O MPSP tratou o modelo como um ponto cego para os mecanismos de prevenção à lavagem de dinheiro. Na terceira fase, a Receita descreveu o mesmo padrão em escala: R$ 100 milhões que passaram, em poucos minutos, por múltiplas contas gráficas ocultas em contas bolsão de fintechs, usadas como simples contas de passagem até chegarem ao destino.
Há um detalhe que muda a leitura do caso. Nem todas as fintechs envolvidas eram instituições autorizadas pelo Banco Central. Levantamento do Finsiders Brasil nos registros do BACEN sobre as fintechs alvo da Fluxo Oculto encontrou empresa sem licença de instituição de pagamento e outras com autorização ainda marcada como pendente de validação. O ponto de contato regulado do esquema, portanto, nem sempre era a fintech. Eram as instituições autorizadas que mantinham as contas, estruturavam os fundos e concediam as operações.
A Circular 3.978 já previa esse risco. O artigo 31 determina que, quando uma instituição autorizada mantém relação de negócio com terceiro não sujeito a autorização do BACEN que participe do mesmo arranjo de pagamento, o contrato deve garantir à instituição acesso à identificação dos destinatários finais dos recursos. O problema não era ausência de norma. Era a distância entre a regra e o que acontecia na operação.
É aqui que o canal de denúncias encontra seu papel. Um cenário hipotético ajuda a visualizar: um analista de cadastro percebe que a conta de uma fintech parceira recebe volumes incompatíveis com a base de clientes declarada, mas a relação é estratégica para a área comercial que a trouxe. Se o único caminho para reportar passa por essa mesma área, a percepção do analista morre na mesa dele. Um canal de denúncias com anonimato técnico garantido leva essa percepção diretamente ao responsável pelo programa de PLD/FT, sem passar por quem tem interesse em que ela não chegue.
O risco concreto: sem um canal de denúncias que funcione fora da hierarquia, a instituição só descobre o que seus próprios colaboradores já sabiam quando a informação chega por outra via: a imprensa, um ofício do regulador ou um mandado de busca.
2. A Circular 3.978 não cita o canal de denúncias, mas exige o que só ele entrega
O que mudou na Circular 3.978 em 2026, em resumo:
A Resolução BCB nº 588, de 23 de setembro de 2026, em vigor desde 1º de outubro, incluiu no artigo 49 da Circular duas novas hipóteses de comunicação automática ao COAF, independentemente de análise de suspeição: operações de câmbio com entrega ou recebimento de moeda estrangeira em espécie de valor igual ou superior a US$ 10 mil, e transferências de ativos virtuais para ou de carteiras autocustodiadas de valor igual ou superior ao equivalente a US$ 10 mil. As regras alcançam as instituições autorizadas pelo BACEN e as prestadoras de serviços de ativos virtuais.
Em julho de 2026, a Instrução Normativa BCB nº 761 divulgou orientações sobre as medidas reforçadas que devem ser aplicadas a operações e relações de negócio envolvendo países e territórios com deficiências estratégicas apontadas pelo Grupo de Ação Financeira (GAFI).
O que a Circular exige, segundo o próprio texto da norma:
Política de PLD/FT: documentada, aprovada pelo conselho de administração ou, na falta dele, pela diretoria, e mantida atualizada. Entre seus conteúdos mínimos estão diretrizes para a promoção de cultura organizacional de prevenção, alcançando funcionários, parceiros e prestadores de serviços terceirizados, e para a capacitação dos funcionários sobre o tema. A política deve ser divulgada a todos eles em linguagem clara e acessível.
Governança: indicação formal ao BACEN de um diretor responsável pelo cumprimento da Circular.
Avaliação Interna de Risco: documentada e aprovada pelo diretor responsável, encaminhada para ciência aos comitês de risco e de auditoria e ao conselho, e revisada a cada dois anos ou sempre que houver mudança significativa nos perfis de risco.
Monitoramento, seleção e análise: até 45 dias para selecionar operações e situações suspeitas a partir de sua ocorrência, e até 45 dias para analisá-las a partir da seleção, com a análise formalizada em dossiê.
Comunicação ao COAF: operações e situações suspeitas devem ser comunicadas até o dia útil seguinte à decisão de comunicar. As hipóteses automáticas do artigo 49 (operações em espécie a partir de R$ 50 mil e, desde outubro, as duas novas hipóteses de US$ 10 mil) devem ser comunicadas até o dia útil seguinte à ocorrência.
Conhecimento de funcionários, parceiros e prestadores: procedimentos de identificação e qualificação formalizados em documento aprovado pela diretoria, com classificação das atividades em categorias de risco.
Acompanhamento e efetividade: mecanismos de controle com trilhas de auditoria, métricas e indicadores, e um relatório anual de avaliação de efetividade.
Em nenhum desses dispositivos aparece a expressão “canal de denúncias”. Mas a norma exige duas coisas que dependem dele. A primeira é a cultura organizacional de prevenção, que o relatório de efetividade precisa avaliar. Uma política aprovada e uma lista de presença de treinamento mostram que a instituição comunicou. Não mostram que os colaboradores agem. Relatos recebidos, categorizados e tratados mostram.
A segunda é a capacidade de identificar o que os sistemas não pegam. A própria Circular manda dispensar atenção especial a operações que, por habitualidade, valor ou forma, configurem artifício para burlar os procedimentos de controle. As novas hipóteses de US$ 10 mil criam um incentivo previsível para o fracionamento de operações logo abaixo do limite. E o texto da Resolução 588 não resolve esse ponto sozinho: o novo dispositivo trata cada operação individualmente, sem critério de acumulação no mesmo dia. Uma transferência de US$ 15 mil dividida em duas de US$ 7,5 mil não dispara, por si só, a comunicação automática ao COAF. A detecção desse padrão depende do monitoramento previsto na Circular e, sobretudo, de quem o percebe na operação, muitas vezes o colaborador que atende o cliente no balcão de câmbio ou que acompanha a carteira. O canal de denúncias é o caminho para que essa percepção vire registro.
O risco concreto: uma instituição com política aprovada, treinamento realizado e nenhum relato registrado não consegue demonstrar que sua cultura de prevenção existe na prática. Silêncio não é prova de integridade. Para o supervisor, pode ser sinal de que ninguém confia no caminho disponível para falar.
3. O canal de denúncias detecta o que o monitoramento não alcança
A Circular exige que as instituições documentem os parâmetros, variáveis, regras e cenários usados no monitoramento de operações. É uma exigência correta, e também revela o limite estrutural dos sistemas: eles enxergam o que foi configurado para ser enxergado. A conta bolsão é o exemplo perfeito. Para o banco que a mantinha, as movimentações eram da fintech, um cliente pessoa jurídica com volume compatível com sua atividade declarada. Nenhum parâmetro precisava ser violado.
A pessoa que está dentro da operação percebe o que o parâmetro não captura: o cliente que sempre deposita valores logo abaixo de um limite, o contrato de parceria que ninguém sabe explicar, a operação de crédito aprovada fora do fluxo normal. Para que essa percepção produza efeito, o canal de denúncias precisa cumprir o que a Resolução CMN nº 4.859/2020 exige: permitir o reporte sem necessidade de identificação, contar com componente responsável que atue com independência, imparcialidade e isenção, e gerar relatório semestral aprovado pela alta administração. O detalhamento desses requisitos está em nosso artigo sobre o que o BACEN e a CVM exigem do canal de denúncias.
A norma não exige que o canal de denúncias seja gerido por terceiros. O que garante a independência, na prática, é a arquitetura do canal de denúncias: anonimato técnico ao denunciante, que impede sua identificação mesmo sob pressão interna; imutabilidade dos relatos registrados, que impede que uma denúncia seja alterada ou apagada; e auditabilidade completa de todas as ações de tratamento, que permite verificar quem acessou, o que foi feito e quando.
No contexto de PLD/FT, essa arquitetura tem uma função adicional que costuma passar despercebida. O artigo 50 da Circular proíbe que as comunicações ao COAF sejam feitas dando ciência aos envolvidos ou a terceiros. Um relato sobre possível lavagem que circula por e-mail, passa por gestores intermediários ou fica acessível a muitas pessoas antes de chegar ao responsável pode alertar exatamente quem não deveria saber. O canal de denúncias com controle de acesso e trilha de auditoria protege a apuração desde o primeiro minuto.
O risco concreto: um canal de denúncias sem anonimato técnico silencia quem mais sabe, porque quem conhece um esquema por dentro costuma ser também quem mais teme retaliação. E um canal de denúncias sem controle de acesso pode transformar o próprio relato em fonte de vazamento.
4. Comunicação de qualidade ao COAF começa no dossiê, e o dossiê pode começar no relato
Em 2025, o COAF recebeu 3,1 milhões de comunicações de operações suspeitas, recorde histórico e alta de 20% sobre as 2,5 milhões de 2024, e produziu 20.548 Relatórios de Inteligência Financeira, média de 56 por dia. Estudo do Fórum Brasileiro de Segurança Pública e do Instituto Esfera mostrou que essas comunicações cresceram 766% entre 2015 e 2024.
O próprio órgão reconhece que suas ferramentas não acompanharam esse volume. Em outubro de 2025, o presidente do COAF, Ricardo Saadi, declarou no 15º Congresso de Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo que “nosso sistema precisa de atualização”, defendendo o uso de inteligência artificial. Em março de 2026, COAF, Febraban e ABBC assinaram acordo de cooperação técnica para modernizar os sistemas do órgão, incluindo inteligência artificial e machine learning.
Com mais capacidade de cruzamento, comunicações genéricas ficam mais expostas. E a qualidade de uma comunicação depende do que vem antes dela. A Circular exige que a análise de cada operação selecionada seja formalizada em dossiê, independentemente de haver ou não comunicação ao COAF, e que a decisão de comunicar seja fundamentada nas informações desse dossiê e registrada nele de forma detalhada.
Um relato recebido pelo canal de denúncias, registrado de forma imutável, com data, hora, conteúdo original e histórico de tratamento, é exatamente o tipo de elemento que dá substância a esse dossiê. Ele documenta o que foi percebido, por quem foi analisado, em quanto tempo e com qual conclusão. Nenhum sistema de monitoramento produz essa informação, porque ela nasce da observação humana.
O risco concreto: quando o dossiê se apoia apenas em alertas de sistema, sem o registro do que foi percebido por quem estava na operação, o resultado tende a ser uma comunicação genérica ou, pior, uma decisão de não comunicar sem lastro documental. Sem um canal de denúncias que registre e preserve esses relatos, a instituição perde justamente a peça que daria substância à análise. Com o COAF mais sofisticado e a fiscalização mais atenta, as duas situações ficam mais fáceis de identificar.
5. Prazos de adequação são onde os atalhos aparecem, e o canal de denúncias é onde eles são reportados
A resposta regulatória às operações criou um calendário apertado, que se concentra no último trimestre de 2026:
Maio de 2026: encerrou-se a janela única, prevista na Resolução BCB nº 494/2025, para que instituições de pagamento em funcionamento sem autorização solicitassem autorização ao BACEN. Quem não pediu, ou teve o pedido indeferido, deve encerrar as atividades no prazo de 30 dias após a notificação.
1º de outubro de 2026: entraram em vigor as novas hipóteses de comunicação automática ao COAF da Resolução BCB nº 588.
6 de novembro de 2026: instituições autorizadas pelo BACEN ficam proibidas, pela Resolução BCB nº 589, de realizar ou viabilizar operações no mercado de ativos virtuais com contrapartes que prestem esses serviços sem autorização do BACEN, salvo exceções previstas.
31 de dezembro de 2026: termina o prazo para que contratos de Banking as a Service vigentes se adequem à Resolução Conjunta nº 16/2025, que vedou o uso de contas bolsão nesse modelo. A mesma data é a data-base do relatório semestral do canal de denúncias exigido pela Resolução CMN nº 4.859/2020 e do relatório anual de efetividade da Circular 3.978.
A supervisão acompanha esse calendário. Em março de 2026, Gerson Romantini, chefe de divisão do Departamento de Supervisão de Conduta do BACEN, afirmou que o Banco Central conduzia inspeções em todas as mais de 200 instituições de pagamento autorizadas, classificando fintechs e SCDs como segmento de “risco aumentado em termos de PLD”.
Prazos curtos de adequação são o ambiente em que atalhos aparecem. Outro cenário hipotético: um contrato de Banking as a Service é reescrito para cumprir a Resolução Conjunta 16, mas, na operação, os recursos dos clientes continuam circulando de forma agregada. Quem percebe a diferença entre o contrato e a prática é quem executa a operação, não quem assinou o contrato. O canal de denúncias permite que essa diferença chegue à governança enquanto ainda há tempo de corrigir, antes que o supervisor a encontre.
O risco concreto: quando o supervisor identifica uma adequação feita apenas no papel, a primeira pergunta é se alguém dentro da instituição sabia. Se sabia e não tinha onde reportar, a falha deixa de ser pontual e passa a ser de governança.
6. No relatório de efetividade de 2026, o canal de denúncias vira evidência
A Circular 3.978 exige mecanismos de acompanhamento e controle que incluam processos, testes e trilhas de auditoria, métricas e indicadores adequados, e a identificação e correção de deficiências. Exige também um relatório anual de avaliação de efetividade, com data-base em 31 de dezembro, encaminhado ao comitê de auditoria e ao conselho de administração até 31 de março do ano seguinte. Esse relatório deve avaliar, entre outros pontos, a governança da política de PLD/FT, as medidas de desenvolvimento da cultura organizacional, os programas de capacitação e os procedimentos para conhecer funcionários, parceiros e prestadores. As deficiências encontradas exigem plano de ação, acompanhado até 30 de junho.
Em outras palavras: o relatório que avalia o exercício de 2026 está sendo construído agora, e ele precisa de evidências objetivas. O canal de denúncias é uma das poucas fontes capazes de fornecer indicadores sobre o comportamento real dos colaboradores, e não apenas sobre o que a instituição comunicou a eles. Entre os dados que um canal de denúncias bem estruturado gera:
Volume e evolução dos relatos ao longo do período, que indicam se o canal de denúncias é conhecido e usado.
Categorização dos relatos, incluindo uma categoria específica para indícios de lavagem de dinheiro e financiamento do terrorismo.
Tempo de tratamento entre o recebimento e a conclusão de cada caso.
Encaminhamento ao diretor responsável pela Circular nos relatos com potencial de PLD/FT, com registro de quando e como ocorreu.
Desfecho de cada caso, incluindo os que resultaram em comunicação ao COAF.
Os mesmos dados alimentam o relatório semestral exigido pela Resolução CMN nº 4.859/2020, que também tem data-base em 31 de dezembro. Uma única base de informação, imutável e auditável, sustenta os dois documentos. Para aprofundar a construção desses indicadores, vale consultar nosso conteúdo sobre métricas para avaliar o canal de denúncias. E, ao avaliar um canal de denúncias para instituições financeiras, vale verificar se ele produz essas informações de forma nativa, com trilha de auditoria, ou se dependerá de extrações manuais.
O risco concreto: um relatório de efetividade que descreve a cultura organizacional apenas com base em treinamentos realizados não demonstra efetividade. Demonstra esforço. Quando o supervisor ou o conselho perguntar como a instituição sabe que os colaboradores reportam o que veem, a resposta precisa ser um dado, não uma declaração.
7. Para o administrador, o canal de denúncias é registro de diligência
Em 24 de março de 2026 foi sancionada a Lei nº 15.358/2026, chamada de Lei Antifacção, que institui o marco legal de combate ao crime organizado e alterou dispositivos da Lei nº 9.613/1998. Além de criar novos tipos penais, a lei atribui às instituições financeiras e de pagamento papel ativo na identificação, no bloqueio e no reporte de recursos ligados a organizações criminosas, e prevê medidas cautelares que podem alcançar pessoas jurídicas.
Especialistas em direito penal têm chamado atenção para um ponto que interessa diretamente a diretores e profissionais de compliance: a combinação da nova lei com a regra do Código Penal sobre omissão, segundo a qual responde pelo resultado quem tinha o dever de agir para evitá-lo. Na leitura desses especialistas, quem ocupa posição de responsabilidade formal pela prevenção à lavagem pode, em tese, ser chamado a responder por omissão. Se as normas administrativas do BACEN são suficientes para criar esse dever no plano penal ainda é uma questão em aberto no direito brasileiro. Mas a tendência apontada é de que, quanto mais explícitos forem os deveres regulatórios, maior a exposição de quem deixa de cumpri-los.
Diante de uma discussão ainda não resolvida, a postura prudente é a mesma em qualquer cenário: conseguir demonstrar que a instituição agiu. E agir, em PLD/FT, começa por ouvir. O canal de denúncias, com registro imutável e auditável, documenta que a instituição ofereceu um caminho seguro para reportar, que recebeu os relatos, que os tratou em prazo razoável, que encaminhou ao responsável e que decidiu de forma fundamentada. Não é uma blindagem jurídica, e nenhuma ferramenta substitui uma cultura de integridade genuína. Mas é a evidência que mostra que essa cultura existe.
O risco concreto: em uma discussão sobre omissão, o administrador que não consegue demonstrar que a instituição ouviu e agiu fica sem o principal argumento de defesa, mesmo que nunca tenha tido conhecimento direto do problema.
8. Onde o canal de denúncias entra no PLD de cada tipo de instituição
O perímetro regulatório de PLD/FT varia conforme o tipo de instituição, mas a pergunta do supervisor é a mesma para todas.
Bancos, instituições de pagamento, sociedades de crédito direto e cooperativas de crédito estão sujeitos à Circular 3.978 por serem autorizados a funcionar pelo BACEN. No caso das cooperativas, as particularidades da governança cooperativa estão detalhadas em nosso conteúdo sobre canal de denúncias em cooperativas.
Corretoras e distribuidoras de títulos e valores mobiliários são autorizadas pelo BACEN e atuam no mercado de valores mobiliários. Por isso, respondem tanto à Circular 3.978 quanto à Resolução CVM nº 50/2021, que disciplina o PLD/FTP no mercado de capitais.
Gestoras de recursos autorizadas pela CVM seguem a Resolução CVM nº 50/2021. Em julho de 2026, a CVM também passou a detalhar medidas reforçadas para operações ligadas a jurisdições apontadas pelo GAFI, em movimento paralelo ao do BACEN.
Prestadoras de serviços de ativos virtuais passaram a integrar o perímetro do BACEN pelo marco regulatório de 2025 e estão sujeitas às regras de PLD/FT da Circular 3.978, incluindo as novas hipóteses de comunicação da Resolução BCB nº 588.
Em qualquer desses perímetros, a integração entre o canal de denúncias e o programa de PLD/FT passa pelos mesmos pontos:
O canal de denúncias referenciado na política de PLD/FT, como mecanismo formal de reporte interno de situações suspeitas, ao lado do monitoramento automatizado.
Uma categoria de PLD/FT na triagem dos relatos, com encaminhamento documentado ao diretor responsável pela Circular ou pela Resolução CVM 50.
Registro imutável de cada relato e de cada ação de tratamento, para que possa compor o dossiê de análise exigido pela norma.
Indicadores do canal de denúncias incorporados ao relatório de efetividade e ao relatório semestral da Resolução CMN 4.859.
Capacitação unificada, em que os colaboradores aprendem no mesmo momento os sinais de alerta de PLD/FT, incluindo o fracionamento abaixo dos novos limites de US$ 10 mil, e como reportá-los pelo canal de denúncias.
Política de não retaliação documentada e comunicada, sem a qual o canal de denúncias existe mas não é usado.
O risco concreto: perímetros diferentes não mudam a pergunta que o supervisor fará. Em todos eles, ela será como a instituição sabe o que seus colaboradores sabem.
Conclusão: a pergunta que o relatório de efetividade de 2026 vai responder
Um ano depois da Carbono Oculto, a terceira fase da investigação deixou claro que o problema não estava apenas nas fintechs de fachada. Estava nas estruturas financeiras reguladas que, segundo a Receita Federal, foram usadas por operadores do mercado para dar aparência de legalidade a recursos do crime. A resposta regulatória veio em sequência: autorização obrigatória para instituições de pagamento, vedação das contas bolsão, novas hipóteses de comunicação ao COAF, lei de combate ao crime organizado. E o calendário converge para 31 de dezembro de 2026.
Nesse ambiente, ter uma política de PLD/FT aprovada é o mínimo. O que diferencia uma instituição que resiste à fiscalização de uma que se torna o próximo exemplo é a capacidade de demonstrar que ouviu quem estava dentro, registrou o que ouviu e agiu a partir disso.
Quando o relatório de efetividade de 2026 chegar ao conselho, ele vai mostrar que a sua instituição ouviu quem estava dentro, ou apenas que ela tinha um canal de denúncias?
Se a resposta gerar alguma dúvida, a BCompliance&Law pode ajudar. Conheça nossa solução especializada para o mercado financeiro e descubra o caminho mais adequado para o porte e o momento da sua instituição.
