Matriz de risco em PLD/FT: critérios e revisões

A matriz de risco em PLD/FT organiza critérios para classificar exposições, definir controles proporcionais e sustentar decisões de governança. Ela conecta avaliação interna de risco, abordagem baseada em risco, dados cadastrais, comportamento operacional, revisão periódica e evidências.

Quando a matriz é frágil, a instituição tende a tratar riscos diferentes do mesmo jeito, aplicar diligência sem critério claro ou depender de justificativas difíceis de reconstruir depois. Uma matriz bem estruturada deixa explícito por que um cliente, produto, canal ou operação recebeu determinada classificação.

Este conteúdo tem intenção metodológica e se conecta à consultoria em PLD da FusionX, porque a definição de critérios, pesos e revisões exige alinhamento entre regulação, operação, dados e governança.

O papel da matriz na abordagem baseada em risco

A abordagem baseada em risco exige que controles sejam proporcionais à exposição identificada. A matriz ajuda a transformar essa orientação em uma rotina operacional: quais fatores serão avaliados, como cada fator pesa, quais faixas de risco existem e que tratamento cada faixa aciona.

Esse ponto complementa o artigo sobre PLD/FT e automação regulatória, porque tecnologia só gera valor quando os critérios de risco estão claros o suficiente para orientar alertas, diligência e revisão.

Avaliação interna de risco: identifica exposições relevantes da instituição, considerando perfil de clientes, produtos, serviços, canais, geografias e operação.
Critérios de classificação: traduzem essas exposições em fatores avaliáveis e revisáveis.
Abordagem baseada em risco: aplica controles, diligência e monitoramento de forma proporcional à classificação.
Governança: define responsáveis, revisão, aprovação, exceções e evidências da metodologia.

Critérios que normalmente compõem uma matriz

Não existe uma matriz universal que sirva para qualquer instituição. Os critérios precisam refletir modelo de negócio, produtos, canais, perfil de clientes, jurisdições, histórico de alertas, capacidade operacional e exigências regulatórias aplicáveis.

Mesmo assim, alguns grupos de fatores aparecem com frequência em estruturas de PLD/FT e ajudam a orientar o desenho inicial da metodologia.

Perfil cadastral: natureza jurídica, atividade econômica, estrutura societária, beneficiário final, PEP e informações de identificação.
Geografia: domicílio, origem ou destino de recursos, jurisdições sensíveis e regiões de maior exposição.
Produto ou serviço: complexidade, possibilidade de movimentação, liquidez, anonimização, velocidade e finalidade.
Canal de relacionamento: onboarding digital, presencial, intermediado, parceiros, correspondentes ou canais de autosserviço.
Comportamento transacional: compatibilidade com perfil, recorrência, volume, fragmentação, atipicidade e histórico de alertas.
Relacionamento: tempo de vínculo, qualidade documental, revisões anteriores, exceções e ocorrências relevantes.

Como pontuar sem criar falsa precisão

Uma matriz pode usar pesos, faixas, notas e regras de combinação. O cuidado é evitar que a matemática pareça mais precisa do que a própria qualidade dos dados permite. Pontuação ajuda a padronizar, mas precisa ser acompanhada de justificativa metodológica.

O desenho deve deixar claro quais fatores são determinantes, quais são complementares e quais exigem revisão humana. Um único fator crítico pode justificar classificação mais alta, mesmo que a soma geral pareça moderada.

Definir cada fator com linguagem objetiva e aplicável pela operação.
Separar critérios automáticos de critérios que exigem julgamento técnico.
Registrar pesos e faixas com justificativa de risco.
Evitar excesso de campos que não mudam a decisão final.
Tratar exceções de forma documentada, com responsável e motivo.
Testar a matriz com casos reais antes de considerar a metodologia estável.

Revisão periódica e gatilhos de atualização

A matriz não deve ficar congelada. Mudanças no portfólio, nas tipologias, nas regras internas, nos canais, nos dados ou no apetite de risco podem tornar a classificação antiga insuficiente.

Além da revisão periódica, a instituição deve definir gatilhos para reavaliar critérios. Esses gatilhos ajudam a demonstrar que a matriz acompanha a evolução da operação e não existe apenas como documento estático.

Lançamento de produto, serviço, canal ou parceria relevante.
Mudança no perfil da base de clientes ou no volume operacional.
Aumento de alertas, falsos positivos ou casos escalados.
Identificação de novas tipologias ou padrões de comportamento.
Achados de auditoria, controles internos ou fiscalização.
Alteração regulatória ou revisão da avaliação interna de risco.
Evidência de que a classificação não está orientando controles adequados.

Da metodologia para a operação

A matriz só sustenta o programa de PLD/FT quando se conecta ao dia a dia. A classificação de risco precisa orientar diligência, atualização cadastral, monitoramento, fila de alertas, revisão gerencial e documentação das decisões.

Essa conexão também aparece no conteúdo sobre critérios para escolher uma ferramenta de PLD. Uma solução tecnológica precisa conseguir refletir a metodologia da instituição, e não impor uma classificação opaca.

Risco baixo pode ter revisão e diligência proporcionais, sem abandonar controles mínimos.
Risco médio pode exigir campos adicionais, acompanhamento mais frequente e regras específicas.
Risco alto pode acionar diligência reforçada, aprovação superior e monitoramento mais próximo.
Mudanças de classificação precisam gerar histórico e, quando necessário, revisão de casos em aberto.
Indicadores de efetividade devem mostrar se a matriz melhora priorização e qualidade das análises.

Evidências e governança da matriz

Auditoria e supervisão não avaliam apenas o resultado da classificação. Elas também podem questionar como a matriz foi desenhada, aprovada, aplicada, revisada e registrada. Por isso, a documentação da metodologia é parte do controle.

A instituição precisa preservar a trilha entre decisão metodológica e aplicação operacional. Isso inclui versões da matriz, histórico de mudanças, critérios de exceção, responsáveis e impactos das revisões.

Documento metodológico com critérios, pesos, faixas e racional.
Aprovação por instância responsável e registro de responsáveis técnicos.
Data de implantação, revisão e versão vigente.
Evidências usadas para calibrar ou revisar critérios.
Registro de exceções e tratamentos diferenciados.
Indicadores que mostrem impacto em diligência, alertas e monitoramento.

Como a FusionX apoia essa estruturação

A consultoria em PLD da FusionX pode apoiar diagnóstico de maturidade, revisão de avaliação interna de risco, desenho de critérios, documentação metodológica e conexão entre matriz, processos e tecnologia.

Quando a matriz precisa sair do documento e entrar em rotina operacional, o Eagle pode apoiar a aplicação dos critérios em alertas, evidências, dossiês e decisões rastreáveis.

Referências técnicas

Circular BCB 3.978/2020, especialmente os pontos relacionados a avaliação interna de risco, abordagem baseada em risco, monitoramento, controles e documentação.
Lei 9.613/1998, texto compilado.
Banco Central – Prevenção à lavagem de dinheiro e ao financiamento do terrorismo.

Perguntas frequentes

O que é matriz de risco em PLD/FT?

Matriz de risco em PLD/FT é uma metodologia para classificar clientes, produtos, canais, operações ou relações conforme critérios de exposição a lavagem de dinheiro e financiamento do terrorismo. Ela ajuda a aplicar controles proporcionais ao risco.

Qual é a relação entre matriz de risco, AIR e ABR?

A avaliação interna de risco identifica exposições relevantes da instituição. A abordagem baseada em risco orienta controles proporcionais a essas exposições. A matriz transforma essa lógica em critérios, pesos, faixas e revisões operacionais.

Com que frequência revisar a matriz de risco?

A revisão deve ocorrer periodicamente e também quando houver mudança relevante em produtos, canais, base de clientes, tipologias, regras internas, exigências regulatórias, dados ou apetite de risco.

A matriz de risco pode ser automatizada?

Pode, desde que os critérios sejam documentados, revisáveis e compreendidos pela governança. A automação deve apoiar consistência e rastreabilidade, não substituir a responsabilidade técnica pela metodologia.

Quais evidências precisam ficar registradas na matriz?

Devem ficar registrados critérios usados, pesos, fontes de dados, justificativa metodológica, data de revisão, responsáveis, aprovações, exceções e impactos operacionais da classificação de risco.