Resolução Susep nº 99/2026: o que muda no PLD/FTP e como preparar o Compliance para 2027

A prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP) está entrando em uma nova etapa no mercado supervisionado pela Superintendência de Seguros Privados (Susep). A Resolução Susep nº 99/2026 atualiza as regras de prevenção a ilícitos financeiros, reforçando a importância de uma abordagem baseada em risco e de controles compatíveis com as características de cada instituição e dos relacionamentos que ela mantém. Com entrada em vigor prevista para 1º de janeiro de 2027, a norma substituirá a Circular Susep nº 612/2020 e exigirá atenção das organizações abrangidas à adequação de seus processos.

A mudança ocorre em um contexto no qual as instituições precisam lidar com estruturas empresariais complexas, relações comerciais que atravessam fronteiras e riscos que nem sempre são evidentes nos cadastros convencionais. Nesse cenário, cumprir as exigências regulatórias não se resume a preencher formulários, conferir documentos ou executar verificações pontuais. É necessário compreender quem está por trás de cada relacionamento, identificar vínculos relevantes e avaliar se as informações disponíveis são compatíveis com o perfil e as atividades dos envolvidos.

Um dos pontos centrais dessa transformação é o fortalecimento da abordagem baseada em risco, que orienta a intensidade dos procedimentos de diligência conforme as características de cada cliente, operação e relacionamento. A resolução prevê diferentes níveis de diligência, permitindo que as instituições adotem procedimentos proporcionais aos riscos identificados, sem negligenciar os controles necessários. Na prática, isso exige critérios consistentes para classificar riscos, justificar decisões e definir quando uma análise precisa ser aprofundada.

Essa capacidade de avaliação depende diretamente da qualidade das informações utilizadas. Dados incompletos, desatualizados ou desconectados de seu contexto podem comprometer a identificação de riscos e enfraquecer decisões de Compliance. Quando uma organização conhece apenas os dados cadastrais básicos de um cliente, pode deixar de perceber relações societárias relevantes, vínculos com outras empresas ou informações que alterariam sua avaliação de risco. Por isso, a análise precisa ir além da coleta inicial e considerar a consistência, a atualização e a integração das informações disponíveis.

A qualidade dos dados é um fator determinante para a gestão de riscos corporativos. O enriquecimento de dados cadastrais permite complementar informações, identificar inconsistências e ampliar a compreensão sobre clientes, parceiros e fornecedores, contribuindo para análises mais completas e decisões mais seguras. Essa prática é especialmente relevante em processos de Compliance, nos quais informações desatualizadas ou incompletas podem comprometer a identificação de riscos e a avaliação de terceiros. Nesse contexto, o enriquecimento de dados cadastrais como ferramenta de gestão de riscos corporativos ajuda a demonstrar por que a confiabilidade das informações é essencial para decisões mais bem fundamentadas.

A nova regulamentação também reforça a importância de procedimentos adequados para a identificação de pessoas expostas politicamente (PEPs), beneficiários finais e outros fatores relevantes para a avaliação de risco. Para as instituições abrangidas, isso significa desenvolver processos capazes de identificar pessoas relacionadas a uma empresa, compreender estruturas societárias e obter informações adicionais sobre clientes e origem dos recursos quando aplicável. A análise não deve se limitar à identificação de um nome em uma base: precisa considerar o contexto e os fatores que determinam o nível de risco.

Diante desse cenário, a preparação para 2027 envolve mais do que revisar políticas e procedimentos internos. As instituições precisam avaliar se seus processos de identificação, qualificação, classificação e monitoramento estão alinhados às novas exigências, se as informações utilizadas são suficientes para sustentar suas análises e se os controles permitem responder adequadamente a mudanças no perfil de risco. A efetividade do PLD/FTP depende da combinação entre critérios claros, dados consistentes e capacidade de transformar informações em decisões fundamentadas.

Ao longo deste artigo, vamos analisar as principais mudanças introduzidas pela Resolução Susep nº 99/2026, seus impactos para as áreas de Compliance e os pontos que merecem atenção na preparação das instituições supervisionadas. O objetivo é compreender como a atualização regulatória se traduz em desafios operacionais e por que a qualidade das informações se tornou um componente estratégico para uma gestão de riscos mais consistente.

Guia rápido: aqui você vai encontrar

• O que é a Resolução Susep nº 99/2026 e quando ela entra em vigor.
• As principais mudanças nas regras de PLD/FTP para as instituições supervisionadas pela Susep.
• Como funciona a abordagem baseada em risco e quais são os níveis de diligência previstos na nova regulamentação.
• A importância da identificação de beneficiários finais e pessoas expostas politicamente (PEPs).
• Como o monitoramento contínuo contribui para a identificação e avaliação de riscos.
• Por que a qualidade dos dados é fundamental para processos de Compliance mais consistentes.
• Como preparar os processos internos para as exigências que entram em vigor em 2027.
• Como a upLexis apoia a análise de riscos e os processos de Compliance.
• Perguntas frequentes sobre a Resolução Susep nº 99/2026 (FAQ).
• Resumo geral: principais mudanças e pontos de atenção para a adequação regulatória.

O que é a Resolução Susep nº 99/2026 e quando ela entra em vigor

A Resolução Susep nº 99/2026 é a norma que atualiza as políticas, os procedimentos e os controles internos de prevenção e combate à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa (PLD/FTP) nos mercados supervisionados pela Superintendência de Seguros Privados (Susep). Publicada em 1º de outubro de 2026, a resolução substituirá a Circular Susep nº 612/2020 e entrará em vigor em 1º de janeiro de 2027.

A atualização faz parte do processo de modernização do marco regulatório, com o objetivo de alinhar as exigências à legislação mais recente, fortalecer a abordagem baseada em risco e ampliar a convergência com padrões nacionais e internacionais de prevenção a ilícitos financeiros. O processo de elaboração também contou com participação pública: 57 sugestões foram recebidas durante a consulta pública, conforme informou a Susep ao anunciar a publicação da nova regulamentação.

A nova resolução atualiza o alcance das regras de PLD/FTP

Uma das mudanças é a inclusão expressa do financiamento da proliferação de armas de destruição em massa no escopo da regulamentação. A resolução também amplia o conjunto de entidades abrangidas, incluindo sociedades cooperativas de seguros, administradoras de operações de proteção patrimonial mutualista, sociedades processadoras de ordem do cliente (SPOC) e sociedades seguradoras de propósito específico (SSPE).

A norma também explicita três níveis de diligência — simplificada, padrão e reforçada —, que devem ser aplicados conforme a avaliação interna de riscos e as orientações divulgadas pela Susep. Essa estrutura busca adequar a intensidade dos procedimentos ao risco identificado, preservando os requisitos mínimos de identificação e monitoramento dos clientes.

A entrada em vigor em 2027 exige preparação antecipada

Até 1º de janeiro de 2027, as instituições abrangidas precisam avaliar como as novas exigências se aplicam às suas atividades e identificar eventuais lacunas nos controles existentes. Essa preparação envolve revisar políticas internas, critérios de classificação de risco, procedimentos cadastrais, diligência sobre beneficiários finais e pessoas expostas politicamente (PEPs), além dos mecanismos de monitoramento e registro.

A adequação não deve se limitar à atualização dos documentos internos. É necessário verificar se os procedimentos adotados são compatíveis com os riscos das operações, se as informações disponíveis sustentam as análises e se as equipes responsáveis estão preparadas para executar os controles. Antecipar essa avaliação permite estabelecer prioridades e organizar a transição para a nova regulamentação com maior segurança.

As principais mudanças nas regras de PLD/FTP para as instituições supervisionadas pela Susep

A Resolução Susep nº 99/2026 atualiza os procedimentos de prevenção à lavagem de dinheiro, ao financiamento do terrorismo e ao financiamento da proliferação de armas de destruição em massa. Entre os principais pontos estão a adoção de critérios proporcionais ao risco, a revisão dos procedimentos de identificação e qualificação de clientes e o fortalecimento dos controles internos das instituições abrangidas.

Uma das mudanças relevantes é a previsão de 3 níveis de diligência — simplificada, padrão e reforçada —, que orientam a profundidade das verificações conforme o risco identificado. Essa estrutura busca adequar os procedimentos às características de cada relacionamento, sem dispensar os requisitos mínimos previstos na regulamentação. Os critérios para aplicação de cada nível devem considerar a avaliação interna de riscos e as disposições estabelecidas pela Susep na Resolução nº 99/2026, que prevê três níveis de diligência.

A classificação de risco orienta a profundidade das verificações

A adoção de diferentes níveis de diligência exige critérios claros para classificar clientes e relacionamentos. Situações de menor risco podem admitir procedimentos simplificados quando os requisitos regulatórios forem atendidos, enquanto cenários que demandam maior atenção exigem verificações adicionais e uma análise mais aprofundada.

Para colocar essa abordagem em prática, as instituições precisam definir parâmetros consistentes, documentar as decisões e estabelecer condições para reavaliar a classificação quando surgirem novas informações. A proporcionalidade dos controles depende da capacidade de identificar e justificar os riscos, e não apenas da aplicação automática de categorias.

A revisão dos controles exige atenção aos processos internos

A atualização regulatória também exige que as instituições avaliem se suas políticas e seus procedimentos contemplam o escopo atualizado de PLD/FTP. Isso inclui revisar a identificação e a qualificação de clientes, a análise de beneficiários finais, o tratamento de pessoas expostas politicamente (PEPs) e os mecanismos de monitoramento e registro.

A conformidade depende da integração entre políticas, informações confiáveis e procedimentos efetivos. Por isso, a revisão deve considerar não apenas os documentos formais, mas também a execução cotidiana dos controles, a capacitação das equipes e a capacidade de demonstrar que as medidas adotadas são compatíveis com os riscos identificados.

Como funciona a abordagem baseada em risco e quais são os níveis de diligência

A abordagem baseada em risco é um dos pilares dos programas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP). Em vez de aplicar os mesmos procedimentos a todos os clientes e relacionamentos, as instituições devem considerar fatores como perfil, atividade econômica, estrutura societária, localização geográfica e natureza das operações para determinar a intensidade das verificações necessárias.

Essa abordagem depende de uma Avaliação Interna de Riscos (AIR) consistente, capaz de identificar as principais ameaças às quais a instituição está exposta e orientar a adoção de medidas proporcionais. A dimensão desse desafio aparece na Pesquisa de Maturidade PLD/FTP 2025, realizada pela EY: 50% das corretoras e distribuidoras de títulos e valores mobiliários participantes consideraram baixo seu nível de maturidade na avaliação interna de riscos, conforme divulgado pela EY em seu levantamento sobre os desafios da AIR nas instituições financeiras.

O resultado evidencia a importância de aprimorar os critérios utilizados para identificar, classificar e acompanhar riscos. Uma avaliação pouco estruturada pode dificultar a definição de prioridades, comprometer a alocação de recursos e resultar em controles insuficientes para situações de maior exposição. Por isso, a abordagem baseada em risco exige processos documentados, informações confiáveis e revisões periódicas que acompanhem as mudanças no perfil dos clientes e nas atividades da instituição.

A avaliação interna de riscos orienta a aplicação dos controles

A AIR permite identificar os fatores de exposição relevantes para cada instituição e estabelecer critérios para a adoção de medidas preventivas. Essa análise deve considerar as características dos clientes, dos produtos e serviços oferecidos, dos canais de distribuição e das regiões em que a organização atua, entre outros elementos pertinentes à sua realidade operacional.

Com base nessa avaliação, as equipes de Compliance podem estabelecer procedimentos compatíveis com os riscos identificados, justificar decisões e definir quando uma relação comercial exige verificações adicionais. A classificação de risco precisa refletir as características reais de cada relacionamento, e não apenas regras genéricas ou informações cadastrais isoladas.

Para isso, a qualidade dos dados é fundamental. Informações atualizadas sobre pessoas, empresas, vínculos societários e atividades econômicas ajudam a ampliar o contexto da análise e a identificar fatores que poderiam passar despercebidos em verificações superficiais.

Os níveis de diligência determinam a profundidade das verificações

A Resolução Susep nº 99/2026 prevê três níveis de diligência: simplificada, padrão e reforçada. A aplicação de cada modalidade deve observar os critérios regulatórios e a avaliação de risco pertinente, permitindo que a instituição dimensione a profundidade das verificações de acordo com as características de cada situação.

A diligência simplificada pode ser utilizada quando as condições previstas na regulamentação e a classificação de risco permitirem. A diligência padrão corresponde aos procedimentos ordinários aplicáveis, enquanto a diligência reforçada exige medidas adicionais em situações que demandam maior atenção. A adoção de procedimentos simplificados não elimina as obrigações mínimas de identificação e controle.

A efetividade dessa estrutura depende da capacidade de justificar a classificação e aprofundar a análise sempre que necessário. Isso envolve documentar os critérios adotados, verificar informações relevantes e reavaliar o risco quando surgirem novos elementos. Dessa forma, os níveis de diligência deixam de ser apenas categorias operacionais e passam a orientar uma gestão de riscos mais consistente.

A importância da identificação de beneficiários finais e pessoas expostas politicamente (PEPs)

Conhecer uma empresa vai muito além de consultar sua razão social, seu CNPJ ou os nomes que aparecem formalmente em seus registros. Em processos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP), é fundamental compreender quem efetivamente controla uma organização, quem se beneficia de suas atividades e quais vínculos podem representar fatores adicionais de risco. Essa análise ganha relevância diante de estruturas societárias complexas, participações indiretas e empresas constituídas em diferentes jurisdições.

A dimensão desse desafio aparece em um estudo divulgado pelo Fundo Monetário Internacional (FMI): US$ 12 trilhões, quase 40% do investimento estrangeiro direto global, estavam associados a estruturas empresariais sem atividade econômica real, conhecidas como empresas de fachada ou shell companies. O levantamento ressalta que nem todos esses fluxos são ilícitos, mas destaca como a falta de transparência sobre os proprietários efetivos pode dificultar a identificação de operações questionáveis. O dado é apresentado pelo FMI em sua análise sobre transparência e identificação de beneficiários finais.

Nesse contexto, identificar o beneficiário final é uma etapa essencial para compreender a estrutura de propriedade e controle de uma empresa. A verificação também precisa considerar pessoas expostas politicamente (PEPs), seus vínculos relevantes e outros fatores que possam influenciar a avaliação de risco. A presença de uma PEP não significa, por si só, que exista irregularidade, mas pode exigir procedimentos adicionais de diligência, conforme a regulamentação aplicável e o risco identificado.

A identificação do beneficiário final revela estruturas de controle indireto

O beneficiário final é a pessoa natural que, em última instância, possui, controla ou se beneficia de uma pessoa jurídica ou de outra estrutura. Sua identificação pode exigir a análise de participações societárias sucessivas, relações de controle indireto e vínculos entre empresas e pessoas físicas.

Quando a verificação se limita aos sócios diretamente registrados, estruturas intermediárias podem dificultar a compreensão de quem realmente exerce o controle. Por isso, a análise societária precisa considerar a cadeia de propriedade e os elementos disponíveis para identificar o controlador efetivo, respeitando os critérios e as exigências legais aplicáveis.

Esse trabalho contribui para processos de Know Your Customer (KYC), diligência sobre terceiros e avaliação de riscos reputacionais e financeiros. A integração de informações cadastrais e societárias ajuda a contextualizar os relacionamentos e identificar situações que mereçam investigação adicional.

A análise de PEPs exige contexto além da identificação nominal

As pessoas expostas politicamente ocupam ou ocuparam funções públicas relevantes e podem estar sujeitas a riscos específicos relacionados à corrupção e ao uso indevido de recursos públicos. Por esse motivo, os procedimentos de PLD/FTP devem contemplar sua identificação e o tratamento adequado dos relacionamentos associados, conforme as regras aplicáveis.

Encontrar uma PEP em uma base de dados não encerra a análise de risco. É necessário considerar o contexto do relacionamento, a natureza da operação, os vínculos relevantes e os demais fatores que possam justificar diligência reforçada. A classificação deve ser fundamentada e não pode presumir comportamento ilícito apenas em razão da função pública exercida.

A combinação entre identificação de PEPs, análise de beneficiários finais e verificação de vínculos permite uma visão mais completa das pessoas e empresas avaliadas. Com informações confiáveis e procedimentos proporcionais ao risco, as equipes de Compliance conseguem documentar melhor suas decisões e direcionar a atenção para situações que realmente exigem aprofundamento.

Como o monitoramento contínuo contribui para a identificação e avaliação de riscos

A identificação de riscos em processos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP) não deve se limitar ao momento de cadastro ou à aprovação inicial de um relacionamento comercial. O perfil de risco de uma pessoa ou empresa pode mudar ao longo do tempo, seja por alterações societárias, novas conexões comerciais, mudanças na atividade econômica ou movimentações que não correspondam ao comportamento esperado.

Nesse cenário, o monitoramento contínuo permite acompanhar informações relevantes e reavaliar relacionamentos sempre que surgirem novos elementos. A tecnologia tem desempenhado um papel crescente nesse processo: segundo o Global Compliance Study 2025, da PwC, 75% das empresas pesquisadas utilizam tecnologia em atividades de Compliance e monitoramento de transações. O resultado evidencia a importância de recursos tecnológicos para apoiar o acompanhamento das operações, organizar informações e direcionar a atenção das equipes para situações que exigem análise adicional.

Entretanto, monitorar não significa apenas acumular alertas ou executar consultas repetidas. A efetividade depende da capacidade de contextualizar as informações, avaliar sua relevância e transformar sinais de alerta em decisões fundamentadas. Para isso, as instituições precisam estabelecer critérios claros, documentar as análises e definir procedimentos para investigar ocorrências que possam indicar mudanças no perfil de risco ou situações potencialmente suspeitas.

O acompanhamento contínuo permite identificar mudanças no perfil de risco

As informações utilizadas na avaliação de clientes e empresas podem se tornar insuficientes à medida que os relacionamentos evoluem. Uma alteração na composição societária, a identificação de um novo vínculo relevante ou uma mudança significativa na atividade de uma organização pode justificar uma nova análise, dependendo das circunstâncias.

Por isso, o monitoramento deve estar conectado à avaliação interna de riscos e aos critérios de diligência adotados pela instituição. A frequência e a profundidade das verificações precisam considerar o risco identificado, as exigências regulatórias e as características de cada relacionamento. Esse processo permite atualizar avaliações e identificar situações que mereçam aprofundamento.

A integração de informações cadastrais, societárias e de outras fontes pertinentes contribui para ampliar o contexto das análises. Com dados consistentes e atualizados, as equipes conseguem investigar mudanças relevantes e avaliar se elas são compatíveis com o perfil conhecido do cliente.

A tecnologia ajuda a priorizar alertas e qualificar as análises

O volume de informações e de operações pode tornar difícil identificar manualmente todos os sinais relevantes. Ferramentas tecnológicas podem apoiar a organização de dados, a aplicação de critérios de monitoramento e a identificação de ocorrências que precisam ser examinadas pelas equipes responsáveis.

A tecnologia não substitui o julgamento profissional nem as obrigações de controle da instituição. Seu papel é apoiar a análise, facilitar o acesso a informações e contribuir para que os recursos de Compliance sejam direcionados de acordo com os riscos identificados. Alertas precisam ser avaliados em contexto, e decisões devem ser documentadas conforme os procedimentos internos e a regulamentação aplicável.

Quando o monitoramento é integrado a processos estruturados de diligência e reavaliação, a instituição ganha melhores condições para acompanhar a evolução dos relacionamentos e responder a novos fatores de risco. Dessa forma, o acompanhamento contínuo deixa de ser uma atividade isolada e passa a fazer parte de uma estratégia consistente de prevenção a ilícitos financeiros.

Por que a qualidade dos dados é fundamental para processos de Compliance mais consistentes

A efetividade dos processos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP) depende diretamente da qualidade das informações utilizadas nas análises. Dados incompletos, desatualizados ou inconsistentes podem dificultar a identificação de pessoas, ocultar vínculos relevantes e comprometer a avaliação do risco associado a clientes, fornecedores e parceiros comerciais.

A dimensão desse desafio aparece no relatório de monitoramento de 2025 da Organização para a Cooperação e Desenvolvimento Econômico (OCDE). Entre 24 jurisdições avaliadas quanto à disponibilidade de informações sobre beneficiários finais, apenas 3 demonstraram níveis satisfatórios de efetividade na implementação de seus registros, conforme os resultados apresentados pela OCDE em seu relatório sobre transparência e intercâmbio de informações. O resultado evidencia que a existência de registros e mecanismos de consulta não garante, por si só, que as informações disponíveis sejam suficientes e efetivas para identificar quem realmente controla uma estrutura empresarial.

No contexto corporativo, essa distinção é fundamental. Ter acesso a dados não é o mesmo que dispor de informações confiáveis para tomar decisões. Para avaliar riscos de maneira consistente, as instituições precisam verificar a atualidade dos registros, confrontar informações provenientes de diferentes fontes e compreender as relações entre pessoas físicas e jurídicas. Sem esse cuidado, a análise pode apresentar lacunas justamente nos pontos que exigem maior atenção.

Dados consistentes ampliam a capacidade de identificar riscos

A qualidade dos dados envolve diferentes dimensões: precisão, atualização, completude, consistência e possibilidade de verificação. Em processos de Compliance, essas características ajudam a estabelecer se as informações disponíveis são suficientes para identificar um cliente, compreender sua estrutura societária e avaliar os fatores relevantes para a classificação de risco.

Informações divergentes entre bases, por exemplo, podem indicar desde erros cadastrais até mudanças que precisam ser investigadas. Da mesma forma, a ausência de dados sobre sócios, administradores ou beneficiários finais pode limitar a compreensão sobre quem exerce controle efetivo sobre uma organização.

Por isso, a qualificação dos dados deve fazer parte da própria estratégia de gestão de riscos. Cruzar informações, verificar fontes e atualizar registros contribui para reduzir lacunas e oferece uma base mais consistente para a aplicação dos procedimentos de diligência.

A integração de informações fortalece as decisões de Compliance

A análise de riscos torna-se mais completa quando informações cadastrais, societárias e relacionais podem ser avaliadas em conjunto. Essa integração permite identificar conexões que não seriam evidentes em consultas isoladas e oferece mais contexto para investigar inconsistências ou alterações no perfil de um relacionamento.

A tecnologia pode apoiar esse trabalho ao organizar grandes volumes de informações, facilitar consultas e contribuir para a identificação de vínculos relevantes. Entretanto, a confiabilidade da análise depende também da qualidade das fontes, dos critérios utilizados e da avaliação realizada pelos profissionais responsáveis.

Quando os dados são consistentes e contextualizados, as equipes de Compliance conseguem fundamentar melhor suas decisões, documentar as verificações e direcionar esforços para situações que exigem maior atenção. Dessa forma, a qualidade das informações deixa de ser apenas uma questão operacional e passa a constituir um elemento essencial para a efetividade dos controles internos.

Como preparar os processos internos para as exigências que entram em vigor em 2027.

A entrada em vigor da Resolução Susep nº 99/2026, em 1º de janeiro de 2027, exige que as instituições supervisionadas pela Susep revisem seus processos internos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP). Mais do que atualizar documentos, será necessário verificar se as políticas, os controles e os procedimentos adotados estão alinhados às novas exigências regulatórias e funcionam na prática.

Essa preparação envolve diferentes áreas, incluindo Compliance, Jurídico, Gestão de Riscos, Auditoria e Tecnologia. A atuação integrada permite identificar lacunas, estabelecer prioridades e organizar as mudanças necessárias antes da entrada em vigor da norma.

Nesse contexto, a pesquisa Future of Controls, da Deloitte, aponta que 64% das empresas brasileiras participantes testam seus controles internos pelo menos uma vez por ano, enquanto 28% ainda dependem de controles manuais. Esses dados reforçam a importância de avaliar não apenas a existência dos controles, mas também sua efetividade, rastreabilidade e capacidade de acompanhar mudanças nos riscos.

O diagnóstico de aderência identifica lacunas antes da entrada em vigor

O primeiro passo é realizar um diagnóstico de aderência entre os procedimentos atuais e as exigências da Resolução Susep nº 99/2026. Essa análise deve considerar as políticas de PLD/FTP, os critérios de classificação de risco, os procedimentos de identificação e diligência, o monitoramento de operações e os fluxos de comunicação interna.

A partir desse levantamento, a instituição pode identificar quais processos precisam ser atualizados, quais controles demandam ajustes e quais responsabilidades devem ser redefinidas. Também é importante estabelecer responsáveis e prazos para cada ação, evitando que a adequação fique restrita a mudanças documentais sem aplicação efetiva na rotina.

O diagnóstico deve considerar, ainda, a qualidade das informações utilizadas nas análises, a integração entre sistemas e a capacidade de manter registros que permitam demonstrar a execução dos procedimentos. Dessa forma, a organização constrói uma visão clara das prioridades e consegue direcionar recursos para os pontos de maior exposição.

Os testes de controles verificam se os procedimentos funcionam na prática

Depois de revisar políticas e procedimentos, é necessário verificar se os controles funcionam de maneira consistente. Os testes podem avaliar, por exemplo, se a classificação de risco está sendo aplicada corretamente, se os procedimentos de diligência são compatíveis com o perfil identificado e se os alertas gerados pelo monitoramento recebem tratamento adequado.

Também é importante examinar a documentação das análises, a justificativa das decisões e os mecanismos de escalonamento de situações que exigem avaliação adicional. Esses elementos ajudam a demonstrar que os procedimentos não existem apenas formalmente, mas fazem parte da operação cotidiana.

A preparação para 2027 deve incluir um plano de ação com prioridades, responsáveis, prazos e mecanismos de acompanhamento. Revisões periódicas permitem identificar falhas, corrigir inconsistências e adaptar os controles quando surgirem novos riscos. Assim, a adequação regulatória passa a ser um processo contínuo de melhoria, e não apenas uma resposta pontual à entrada em vigor da resolução.

Como a upLexis apoia a análise de riscos e os processos de Compliance.

A adequação à Resolução Susep nº 99/2026 exige que as instituições supervisionadas fortaleçam seus processos de identificação, avaliação e monitoramento de riscos. Para isso, é importante contar com informações qualificadas sobre clientes, parceiros e demais pessoas e empresas relacionadas à operação, além de procedimentos capazes de transformar esses dados em análises úteis para a tomada de decisão.

A upLexis oferece soluções de inteligência de dados para investigação empresarial, Due Diligence, Background Check e gestão de riscos, com destaque para o upMiner, plataforma que automatiza pesquisas e reúne informações de diferentes fontes para apoiar a análise de pessoas físicas e jurídicas. A solução permite consultar dados cadastrais, processos judiciais, informações societárias, mídias negativas e listas restritivas, entre outras informações relevantes para as verificações de Compliance. Conheça as soluções da upLexis.

O upMiner reúne informações que apoiam as análises de PLD/FTP

O upMiner permite realizar pesquisas sobre pessoas e empresas e organizar os resultados em dossiês personalizados, contribuindo para que as equipes de Compliance tenham uma visão mais ampla dos alvos analisados. A plataforma também oferece recursos que auxiliam na investigação de vínculos e na identificação de informações que podem exigir aprofundamento.

Entre as funcionalidades disponíveis estão:

• Dossiês: reúnem informações sobre pessoas e empresas em relatórios personalizados, apoiando processos de investigação e diligência.
• upLink: apresenta graficamente os vínculos entre pessoas e empresas, contribuindo para a análise de relações societárias e conexões indiretas.
• upSearch: permite consultar processos e pesquisar termos publicados em Diários Oficiais, apoiando investigações jurídicas.
• Comparador Societário: facilita a consulta de alterações na composição societária das empresas ao longo do tempo.
• Dossiê Internacional: reúne informações estruturadas provenientes de fontes internacionais.
• upScore: permite personalizar critérios de pontuação para apoiar a classificação de risco conforme os parâmetros definidos pela organização.
• upFlag: permite sinalizar pessoas e empresas por meio de listas restritivas.

Essas funcionalidades podem apoiar diferentes etapas da diligência, desde a coleta de informações até a investigação de relações empresariais e a avaliação de sinais de alerta. A aplicação dos recursos deve considerar os critérios internos de risco e os procedimentos adotados pela instituição, sem substituir a análise profissional nem as obrigações regulatórias aplicáveis.

As soluções da upLexis apoiam a diligência e o monitoramento de terceiros

Além do upMiner, a upLexis oferece recursos que podem contribuir para integrar informações aos processos de gestão de riscos. O Marketplace de APIs, por exemplo, permite integrar dados aos sistemas utilizados pela organização e automatizar consultas de terceiros. Já as funcionalidades de análise de dossiês e cruzamento de informações ajudam a organizar evidências para subsidiar avaliações internas.

Esses recursos são relevantes para instituições que precisam avaliar clientes, fornecedores, parceiros e outros relacionamentos comerciais de acordo com seus critérios de risco. A consulta de informações societárias, jurídicas e reputacionais pode contribuir para identificar relações que mereçam investigação adicional, enquanto a automação ajuda a reduzir tarefas manuais e a padronizar etapas das verificações.

Na preparação para a Resolução Susep nº 99/2026, as soluções podem apoiar a estruturação de processos mais consistentes de diligência e análise de riscos, desde que utilizadas em conjunto com políticas internas, critérios de classificação e procedimentos de monitoramento adequados.

A tecnologia não substitui a responsabilidade da instituição de avaliar os riscos e cumprir a regulamentação. Seu papel é ampliar o acesso a informações, facilitar a investigação de pessoas e empresas e oferecer subsídios para decisões mais fundamentadas.
Clique no banner abaixo e solicite seu teste grátis! 👇

Perguntas frequentes sobre a Resolução Susep nº 99/2026 (FAQ).

O que é a Resolução Susep nº 99/2026?

A Resolução Susep nº 99/2026 estabelece regras para a prevenção à lavagem de dinheiro, ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP) no âmbito das instituições supervisionadas pela Superintendência de Seguros Privados (Susep). A norma atualiza os procedimentos de prevenção, identificação, avaliação e monitoramento de riscos, reforçando a importância de controles internos compatíveis com o perfil de cada instituição e de seus relacionamentos.

Quando a Resolução Susep nº 99/2026 entra em vigor?

A resolução entra em vigor em 1º de janeiro de 2027. Até essa data, as instituições supervisionadas devem avaliar seus procedimentos atuais, identificar eventuais lacunas e planejar as adequações necessárias para atender às novas exigências. A preparação antecipada permite revisar políticas, capacitar equipes e testar controles antes do início da vigência.

Quais instituições precisam se adequar à nova resolução?

As exigências se aplicam às instituições abrangidas pela regulamentação da Susep, conforme o escopo definido na própria norma. As organizações devem verificar seu enquadramento regulatório e avaliar como as novas disposições afetam seus processos de PLD/FTP, considerando suas atividades, seus produtos, seus clientes e os riscos associados às operações.

O que muda nos procedimentos de PLD/FTP?

A resolução reforça a necessidade de uma abordagem baseada em risco, com procedimentos de identificação, avaliação e diligência proporcionais à exposição identificada. As instituições devem revisar seus critérios de classificação, seus mecanismos de monitoramento e seus controles internos para garantir que as medidas adotadas sejam compatíveis com os riscos de lavagem de dinheiro e financiamento do terrorismo e da proliferação.

O que são os níveis de diligência previstos na regulamentação?

Os níveis de diligência representam diferentes profundidades de verificação conforme o risco identificado. A aplicação de procedimentos simplificados, padrão ou reforçados deve observar os critérios regulatórios e internos pertinentes. Quanto maior a exposição ao risco, maior pode ser a necessidade de aprofundar as verificações, obter informações adicionais e documentar a justificativa das decisões, respeitando as exigências aplicáveis.

Qual é a importância da identificação de beneficiários finais?

A identificação do beneficiário final ajuda a compreender quem efetivamente possui ou controla uma empresa, inclusive quando existem estruturas societárias indiretas. Essa análise contribui para identificar relações que não seriam evidentes apenas pela consulta aos dados cadastrais básicos e pode revelar elementos relevantes para a avaliação de riscos. As instituições devem adotar procedimentos compatíveis com as exigências regulatórias e com a complexidade das estruturas analisadas.

Como as pessoas expostas politicamente (PEPs) devem ser consideradas na análise de riscos?

A identificação de uma pessoa exposta politicamente (PEP) é um elemento importante da diligência, mas não significa, por si só, que exista irregularidade ou que o relacionamento deva ser automaticamente rejeitado. A instituição deve considerar o contexto, os vínculos relevantes, a origem dos recursos quando aplicável e os demais fatores pertinentes à avaliação. As medidas de diligência e monitoramento devem seguir a regulamentação e os procedimentos internos aplicáveis.

O que significa monitoramento contínuo no contexto de PLD/FTP?

O monitoramento contínuo consiste em acompanhar informações, operações e relacionamentos para identificar mudanças que possam alterar o perfil de risco. Isso pode incluir alterações societárias, novas informações judiciais ou reputacionais e outros sinais que justifiquem uma revisão da análise. O acompanhamento deve estar integrado aos procedimentos internos, com critérios definidos para tratar alertas, atualizar informações e registrar as providências adotadas.

Como a qualidade dos dados influencia o Compliance?

A qualidade dos dados afeta diretamente a consistência das verificações e das decisões. Informações incompletas, desatualizadas ou divergentes podem dificultar a identificação de beneficiários finais, vínculos empresariais e outros sinais relevantes. Por isso, é importante utilizar fontes confiáveis, cruzar informações e documentar as verificações, mantendo procedimentos para tratar inconsistências e atualizar os registros.

Como preparar a instituição para a entrada em vigor da resolução em 2027?

A preparação deve começar com um diagnóstico de aderência à norma, seguido da revisão de políticas e procedimentos, da avaliação dos controles internos e da definição de um plano de ação. Também é recomendável estabelecer responsáveis e prazos, capacitar as equipes envolvidas, testar os controles e verificar se os processos de diligência e monitoramento estão documentados. A adequação deve considerar as características e os riscos específicos de cada instituição.

Como a upLexis pode apoiar os processos de PLD/FTP?

A upLexis oferece soluções de inteligência de dados que apoiam a investigação de pessoas e empresas, a diligência de terceiros e a análise de riscos. A plataforma upMiner permite reunir informações de diferentes fontes em pesquisas e dossiês, enquanto recursos como o upLink, para visualização de vínculos, o Comparador Societário, para análise de alterações societárias, e o upScore, para parametrização de critérios de pontuação, podem contribuir para verificações mais abrangentes. A aplicação desses recursos deve estar alinhada aos procedimentos internos e às obrigações regulatórias de cada instituição.

Resumo geral: principais mudanças e pontos de atenção para a adequação regulatória.

A Resolução Susep nº 99/2026, com entrada em vigor prevista para 1º de janeiro de 2027, representa um marco de atualização das regras de prevenção à lavagem de dinheiro, ao financiamento do terrorismo e da proliferação de armas de destruição em massa (PLD/FTP) para as instituições supervisionadas pela Susep. A nova regulamentação exige atenção à forma como as organizações identificam, avaliam e monitoram riscos, reforçando a importância de procedimentos proporcionais à exposição de cada relacionamento.

Para se preparar, as instituições devem revisar suas políticas de PLD/FTP, avaliar a efetividade dos controles internos, aprimorar os processos de diligência e estabelecer mecanismos consistentes de monitoramento. A identificação de beneficiários finais, a análise de pessoas expostas politicamente (PEPs) e a atualização das informações cadastrais também são aspectos importantes para construir avaliações mais completas e fundamentar decisões.

Outro ponto central é a qualidade dos dados utilizados nas análises de Compliance. Informações incompletas, desatualizadas ou fragmentadas podem comprometer a identificação de vínculos e dificultar a avaliação de riscos. Por isso, a integração de fontes confiáveis, o registro das verificações e a revisão periódica dos procedimentos contribuem para fortalecer os controles e ampliar a capacidade de resposta das equipes.

Nesse contexto, soluções de inteligência de dados, como o upMiner e os recursos da upLexis para investigação empresarial e análise de pessoas e empresas, podem apoiar a coleta e a organização de informações relevantes para os processos de diligência. A tecnologia contribui para ampliar a visão sobre os relacionamentos analisados e identificar elementos que merecem atenção, sem substituir a avaliação profissional nem as responsabilidades regulatórias das instituições.

A adequação à Resolução Susep nº 99/2026 deve ser tratada como um processo estruturado, com responsáveis definidos, prazos, testes e acompanhamento contínuo. Antecipar as revisões e corrigir eventuais lacunas antes de 2027 permite que as instituições fortaleçam seus processos de PLD/FTP e estejam mais bem preparadas para aplicar os requisitos regulatórios na prática.