AML em fiduciárias: obrigações 2026, KYC, PEP, MROS e dossiê de conformidade

Você administra uma fiduciária em Genebra ou é responsável pela conformidade em um escritório. E sente que 2026 será um “pequeno” endurecimento AML? Leitura equivocada. O escopo está ampliando, as expectativas aumentam e dossiês “pela metade” vão custar caro.

Serei direto: AML não se gerencia com um fichário empoeirado e um formulário KYC assinado uma vez. É gerenciado como um sistema. Com provas. E reflexos.

Fontes úteis para contextualizar: (fonte: Revisão AML/LTPM 2026 (Secretaria de Estado para Assuntos Financeiros Internacionais SFI)), (fonte: Bases legais AML e OBA (textos oficiais, fedlex)), (fonte: Bases legais da FINMA (AML, OBA, OBA-FINMA)), (fonte: FAQ AML (ch.ch, portal Estado suíço)), (fonte: Guia anti-lavagem e registro de beneficiários econômicos (admin.ch)), (fonte: Posições 2026 (news EXPERTsuisse)).

Escopo 2026: quem está sujeito ao AML e quais atividades?

A questão não é “sou uma fiduciária?”. A verdadeira questão: “faço uma atividade que me coloca no escopo AML?”

Na prática, em Genebra, muitos escritórios descobrem que são “sujeitos” quando um cliente pede uma estrutura exótica ou o banco faz perguntas inesperadas.

Atividades fiduciárias que ativam o AML

Sem ser jurista, lembre-se de uma lógica simples: ao intervir em fluxos, estruturas ou operações que podem ocultar a origem dos fundos, você está no âmbito AML.

Tipicamente, observa-se:

• constituição, administração, gestão de empresas (especialmente com acionistas não residentes)
• disponibilização de administradores, gestores, domiciliação (conforme o papel real)
• assistência na abertura de contas, organização de pagamentos, gestão de tesouraria
• operações sobre ativos (mesmo quando “não é você quem recebe o dinheiro”, mas você orquestra)

Armadilha clássica: “Só fazemos a contabilidade”. Sim… mas você prepara pagamentos, dá instruções, gerencia procurações, é o intermediário que viabiliza a operação. Resultado? Você está sob observação.

2026: o que muda no espírito (e na prática)

Mesmo que o texto não “revolucione” tudo, a execução muda:

• mais rastreabilidade esperada sobre o beneficiário econômico (BE)
• mais exigências sobre a justificativa econômica das operações
• mais coerência entre o perfil do cliente e os fluxos observados

Na nossa opinião, a verdadeira mudança de 2026 é tolerância zero para dossiês incompletos. Antes, alguns passavam despercebidos. Amanhã, vira risco para o escritório.

Tabela — mapeamento rápido de situações (visão prática)

Obrigações de diligência e documentação (SRO, controles internos, registros)

AML não é “fazer alguém assinar um papel”. É provar que fez seu trabalho e pode demonstrar isso 18 meses depois, quando todos já esqueceram.

SRO: filiação, regras internas e o que realmente será exigido

Se está sujeito, deve ser filiado a uma organização autorregulada (SRO) ou estar sob supervisão equivalente conforme seu status. Nos controles, não pedem sua opinião. Pedem:

• seu regulamento interno AML (atualizado)
• seus processos (quem faz o quê, quando, como)
• suas provas de execução (dossiês, logs, validações)

Observação prática: muitos escritórios têm regulamento interno “copiado” que não corresponde à realidade. É pior que nada. Porque prova que não segue suas próprias regras.

Controles internos: separação de funções, mesmo em equipe pequena

São três no escritório? Ótimo. Ainda assim dá para separar:

• quem coleta os documentos
• quem valida o risco e a entrada
• quem faz o acompanhamento periódico

Quando não for possível, documente a compensação: dupla validação pontual, revisão trimestral por sócio, checklists assinadas.

Registros: o que precisa entregar em 10 minutos

No dia que a SRO ou auditor pedir, você deve produzir rapidamente:

• lista de relações comerciais (clientes ativos)
• classificação de risco (baixo / padrão / alto) + data da revisão
• registro PEP (ou ao menos prova de screening e resultados)
• registro de alertas / incidentes / decisões (inclusive “falso alerta”)

Procedimentos KYC: identificação do cliente, beneficiários, comprovantes e obrigações reforçadas

O KYC é seu seguro. Mas muitos tratam como formalidade. E depois, quando chega um fluxo estranho, não há nada para explicar.

Identificação do cliente: pessoa física vs pessoa jurídica

Para pessoa física:

• documento de identidade válido (cópia legível)
• endereço e comprovante (conforme sua política)
• atividade profissional, empregador, país de tributação (quando relevante)

Para empresa:

• extrato do registro comercial (ou equivalente)
• estatuto / documentos constitutivos
• órgãos, poderes de assinatura
• descrição da atividade real (não “consultoria” em uma linha)

Pergunta simples: “Quem assina, quem decide, quem se beneficia?” Se não tem a resposta, não tem KYC.

Beneficiário econômico (BE): o ponto que quebra dossiês

O BE é a pessoa física que controla ou realmente se beneficia. E não, “é um trust” não é resposta.

O que se espera de um dossiê correto:

• declaração BE assinada
• organograma claro (mesmo em uma página)
• documentos que corroboram (registro, acordo de acionistas se necessário, documentos de constituição)

Armadilha clássica: pega a declaração BE, arquiva e nunca verifica se bate com a realidade (país, atividade, fluxos). Quando explode, a declaração não salva.

Comprovantes: o que faz diferença na auditoria

Um bom dossiê KYC contém provas “utilizáveis”:

• contratos (clientes/fornecedores) quando a atividade é nova ou atípica
• faturas tipo, site, pitch deck (sim, até isso)
• comprovantes de origem dos fundos quando há aporte, empréstimo ou injeção de capital

Obrigações reforçadas: quando precisa entrar em “risco elevado”

Você entra em reforçado quando:

• PEP (ou próximo/associado) identificado
• país de risco / sanções / corrupção elevada
• estrutura complexa sem razão econômica clara
• atividade intensiva em dinheiro ou fluxos incoerentes

Reforçado significa:

• mais documentos
• validação por nível sênior
• frequência de revisão mais curta
• justificativa escrita da decisão de aceitar

Checklist KYC (entrada) — versão escritório

• Mandato assinado + escopo claro (o que faz / não faz)
• Identificação do cliente (ID / RC / estatuto)
• BE identificado + declaração assinada + organograma
• Objetivo e natureza da relação (2–5 frases, não uma fórmula)
• Perfil esperado dos fluxos (valores, países, frequência, contrapartes)
• Screening PEP/sanções documentado
• Classificação de risco + data da próxima revisão
• Validação interna (quem aceitou, quando)

Monitoramento contínuo: PEP, listas de sanções, monitoramento automatizado

O controle inicial é bom. Mas a lavagem ocorre muitas vezes depois. Quando a relação está estabelecida e todos baixam a guarda.

PEP: o que escritórios subestimam

PEP não significa “proibido”. Significa “precisa explicar por que aceita e como monitora”.

Na prática, o que complica:

• PEP indireto (parente, cônjuge, associado)
• PEP “local” (função pública, empresas estatais)
• mudança de status (um cliente vira PEP após a entrada)

Sanções: o risco direto

Sanções são binárias: se passar batido, está em apuros. E não é raro: homônimos, transliterações, empresas de fachada.

Reflexo: guardar prova datada do screening e um procedimento “o que fazer se houver match?”.

Monitoramento: manual, semi-automatizado, automatizado… mas comprovável

Pode ser simples, mesmo sem ferramenta cara, desde que seja coerente:

• revisão periódica de clientes de risco elevado (ex. trimestral)
• revisão semestral de clientes padrão
• revisão anual de clientes de baixo risco

E principalmente: um registro de alertas. Um alerta tratado sem registro é como se nunca tivesse sido tratado.

Tabela — exemplo de plano de monitoramento realista

Comunicação MROS: limites de declaração, procedimento e proteção legal

O MROS assusta. Muitas vezes porque se confunde “suspeita” com “prova”. Você não é promotor. É um profissional sujeito à obrigação de comunicar em certas situações.

Para o marco legal e explicações oficiais: (fonte: FAQ AML (ch.ch, portal Estado suíço)), (fonte: Bases legais AML e OBA (textos oficiais, fedlex)).

Quando comunicar: o verdadeiro gatilho

O gatilho é suspeita fundada. Não “não gosto da cara dele”, não “é um cliente complicado”. Suspeita fundada é quando os elementos disponíveis tornam plausível um vínculo com infração anterior, organização criminosa ou fundos ilícitos, e não é possível eliminar a dúvida com esclarecimentos razoáveis.

Exemplos concretos:

• aportes “empréstimos” sem contrato, sem cronograma, sem lógica
• faturas circulares entre empresas vinculadas, sem substância
• fluxos para jurisdições sensíveis sem razão comercial
• recusa em fornecer documentos simples (BE, contratos, origem dos fundos)

Procedimento interno: quem decide e como documentar

No escritório, é preciso um procedimento escrito:

1. quem recebe o alerta (colaborador, contador, admin)
2. quem analisa (responsável de compliance / sócio)
3. quais esclarecimentos são tentados (e quais não)
4. quem decide comunicar
5. como arquivar o dossiê MROS

Proteção legal e confidencialidade: atenção ao “tipping-off”

Não pode avisar o cliente que está comunicando (tipping-off). E precisa proteger os colaboradores: uma decisão MROS deve ser assumida pelo escritório, não por “João, júnior, que viu algo”.

Observação prática: alguns escritórios escrevem e-mails internos muito explícitos (“é lavagem”). Má ideia. Seja factual: fatos, datas, valores, incoerências, documentos faltantes.

Montagem e controle do dossiê de conformidade: organização, armazenamento, auditorias internas

Um dossiê de conformidade robusto conta uma história coerente: quem é o cliente, por que foi aceito, como funciona e como é monitorado.

Organização: um dossiê único, não 12 lugares

Se seus documentos estão em:

• um e-mail
• um drive
• um ERP
• um fichário físico

… vai perder tempo e elementos. Boa prática: dossiê central (físico ou digital), com estrutura padrão.

Armazenamento: integridade, acesso e prova de data

Vão perguntar: “quem teve acesso? quando o documento foi adicionado? é a versão final?”

Mesmo sem ferramenta sofisticada, pode:

• nomear arquivos com data (YYYY-MM-DD)
• bloquear pastas de clientes (direitos de acesso)
• manter trilha de validação (PDF assinado, nota interna)

Auditorias internas: o controle que evita desastre

Na nossa opinião, escritório que espera a auditoria SRO para descobrir falhas está em risco.

Ritmo realista:

• mini-auditoria trimestral em 5 dossiês (incluindo 2 de risco elevado)
• auditoria anual completa em amostra maior

O que se verifica: coerência BE, screening, perfil de fluxos, revisões periódicas, decisões documentadas.

Checklist “dossiê de conformidade pronto para auditoria”

• KYC completo + BE + organograma
• Perfil de risco motivado (não só um campo)
• Screening PEP/sanções com prova datada
• Notas de revisões periódicas (datas, constatações, ações)
• Comprovantes de operações atípicas (contratos, faturas, explicações)
• Registro de alertas e decisões (inclusive encerramento)
• Rastreabilidade das validações internas

Passo a passo: deixar seu escritório “limpo” antes de 2026

Vamos ao concreto. Eis uma sequência que funciona no escritório, sem paralisar todos por 3 meses.

Passo 1 — Mapear seus serviços e riscos reais (1 semana)

• liste seus serviços (contabilidade, salários, domiciliação, admin, abertura de conta, etc.)
• para cada serviço, anote: “toco fluxos? crio/controlo estrutura?”
• classifique os mandatos existentes: baixo / padrão / elevado

Passo 2 — Padronizar seus dossiês (2 semanas)

• crie uma estrutura única
• imponha checklist KYC de entrada
• imponha checklist de revisão periódica

Passo 3 — Registrar decisões (imediato)

Uma tabela interna simples basta no início:

• data
• cliente
• alerta / evento
• decisão
• quem valida
• documentos

Passo 4 — Revisar dossiês “antigos” (4 a 8 semanas)

Comece por:

• PEP potenciais
• estruturas complexas
• clientes não residentes

E faça uma coisa: preencher as lacunas. Não reescrever a história.

Passo 5 — Testar seu sistema (auditoria interna)

Pegue 10 dossiês aleatórios. Pergunte: “se a SRO chegar amanhã, conseguimos defender cada dossiê sem suar?”

Caso prático (Genebra): uma Ltda de consultoria que transfere para o exterior

Situação real (típica):

• Cliente: Ltda em Genebra, consultoria TI
• Faturamento anual: CHF 1’200’000
• Margem bruta: CHF 720’000
• Gestor: residente suíço
• Acionista: holding em Chipre
• BE declarado: pessoa física residente nos Emirados

Em 3 meses, a empresa:

• recebe CHF 310’000 de 4 clientes suíços
• paga CHF 185’000 a “subcontratados” em Portugal e Dubai
• paga CHF 90’000 em “management fees” à holding

Problema: nenhum documento sólido. Só faturas PDF genéricas.

Um dossiê de conformidade defensável exige:

1. BE: organograma + prova de controle (documentos da holding, registro, declaração)
2. Objetivo econômico: por que uma holding em Chipre? por que management fees?
3. Subcontratação: contratos, entregáveis, provas de serviço (tickets, relatórios, acesso, e-mails de projeto)
4. Perfil de fluxos: justificativa escrita de que pagamentos internacionais são esperados, com países e valores

Decisão do escritório (exemplo):

• solicitar em 10 dias: contratos + entregáveis + explicação dos management fees + base de cálculo
• se houver recusa ou incoerências persistentes: escalada interna, risco elevado, revisão reforçada
• se suspeita fundada não for eliminada: análise MROS conforme procedimento

Esse caso é comum no fechamento anual. O contador encontra despesas “consultoria” enormes, sem substância. Todos entram em pânico. Se o KYC e o monitoramento são feitos desde o início, economiza-se muito tempo.

3 erros caros para fiduciárias de Genebra (e como corrigir)

Erro 1 — “Temos cópia do passaporte, então está ok”

Não. Você tem uma identidade, não uma compreensão.

Correção: adicione nota “objetivo e natureza” + perfil de fluxos + BE corroborado.

Erro 2 — Dossiê PEP tratado como padrão

PEP não é um carimbo. É um nível de monitoramento.

Correção: validação sênior + revisão mais frequente + justificativa escrita da aceitação.

Erro 3 — Alerta tratado verbalmente, sem registro

Clássico: “falamos, não era nada”. Mas na auditoria, “falamos” não existe.

Correção: registro de alertas, mesmo minimalista. Uma linha, uma decisão, um documento.

Riscos de não conformidade e sanções 2026

Não é só uma advertência. O risco é múltiplo:

• medidas da SRO (exigências corretivas, auditorias reforçadas)
• dano reputacional (em Genebra, é rápido)
• ruptura bancária (cliente perde o banco, você perde o mandato)
• responsabilidade do escritório e dos órgãos conforme o caso

E há um risco muito concreto: “risco de carteira”. Um dossiê tóxico pode desencadear revisão de 30 dossiês.

Na nossa opinião, a melhor abordagem é investir em disciplina documental. Não em frases complicadas. Uma boa nota interna factual vale mais que um relatório de 12 páginas que não prova nada.

O que seu cliente precisa entender (senão você assume todo o risco)

Você pode fazer um KYC perfeito. Se o cliente não colaborar, está bloqueado.

Deixe claro no mandato:

• obrigação de fornecer documentos em prazo razoável
• direito de suspender serviços se faltarem documentos
• direito de rescindir se houver incoerências graves

Frase simples que uso em reuniões: «Se você não pode explicar de onde vem o dinheiro e por que circula assim, eu não posso te acompanhar.» Isso esclarece tudo.

FAQ AML para fiduciárias: 2026

1) Uma fiduciária “só contabilidade” está sujeita ao AML?

Depende do que realmente faz. Se limita-se à contabilidade sem intervir em fluxos, organizar pagamentos ou administrar estruturas, o risco de sujeição é diferente. O problema é que muitos mandatos “contabilidade” derivam para gestão operacional (pagamentos, procurações, abertura de contas). E aí muda de categoria.

2) O que é um BE aceitável em um dossiê?

Um BE aceitável é uma pessoa física identificada, com declaração assinada e elementos que corroboram (organograma, documentos da empresa, coerência econômica). Se só tem um nome em um formulário, sem nada por trás, está vulnerável.

3) Com que frequência revisar um dossiê de cliente?

Não há frequência mágica para todos. Defina a frequência conforme o risco e cumpra. Baixo: anual. Padrão: semestral. Elevado: trimestral. Ponto-chave: manter prova datada da revisão e decisões.

4) O que fazer se o cliente se recusa a informar a origem dos fundos?

Documente o pedido, a recusa e avalie se a dúvida pode ser eliminada de outra forma. Muitas vezes, não. Nesse caso, não siga “como se nada”. Escale internamente, requalifique o risco e considere comunicação MROS se a suspeita for fundada.

5) O que significa um match em lista de sanções?

Significa: parar e verificar. Muitos matches são homônimos. Mas precisa provar que revisou e concluiu. Sem prova, está exposto.

6) Como preparar uma auditoria SRO sem perder a saúde?

Padronize dossiês, mantenha registros (clientes, riscos, PEP/sanções, alertas), faça mini-auditoria interna trimestral. A auditoria SRO vai bem se pode entregar documentos rápido e a história do dossiê é coerente.

Referências

• FAQ AML (ch.ch, portal Estado suíço)
• Guia anti-lavagem e registro de beneficiários econômicos (admin.ch)
• Posições 2026 (news EXPERTsuisse)
• Bases legais AML e OBA (textos oficiais, fedlex)
• Revisão AML/LTPM 2026 (Secretaria de Estado para Assuntos Financeiros Internacionais SFI)
• Bases legais da FINMA (AML, OBA, OBA-FINMA)