Quem está do outro lado do CNPJ

O Banco Central está inspecionando todas as instituições de pagamento do país. São mais de 200, e a declaração veio em março de 2026, junto com o tratamento de fintechs, IPs e SCDs como categoria de risco aumentado de PLD sob a Circular BCB 3.978/2020.

Quem já passou por uma inspeção sabe que a pergunta difícil não é sobre a transação. É sobre a contraparte. O fiscal escolhe um cliente da carteira, pede o dossiê da época e pergunta como a instituição chegou àquela conclusão. Se a resposta depender do que um analista lembra, a conversa já começou mal.

O trabalho está depois do alerta

O mercado de detecção funciona. Fintech nenhuma sofre por falta de alerta, e os times de compliance que conheço têm mais sinal do que capacidade de aprofundar.

O que continua artesanal é a qualificação da contraparte. É ali que as decisões sancionadoras recentes do BC batem: procedimentos cadastrais frágeis, avaliação insuficiente da capacidade financeira do cliente, operação atípica que não virou comunicação ao COAF. Em caso julgado em 2026, a punição alcançou administradores pessoalmente, com multa individual e inabilitação por anos para cargo em instituição regulada. Quem assina passou a ter pele em jogo.

Na prática, um analista gasta de 30 minutos a 4 horas por contraparte pulando entre Receita, listas de sanções, tribunais e busca aberta. Monta um raciocínio bom e o registra pela metade, porque o registro não é o trabalho, é o que sobra dele. Seis meses depois, a parte que importava para a auditoria é justamente a que não foi escrita.

O problema de verdade é a cadeia societária

Aqui está o limite que trava a maioria das análises. Com dado só cadastral, cerca de 38% dos grafos societários não chegam a uma pessoa física.

A mecânica é sempre parecida. A PJ tem uma holding no quadro. A holding tem outra holding. No terceiro nível aparece um fundo, ou uma sociedade com sócio estrangeiro, ou uma SCP que não expõe participação. A cadeia morre antes do beneficiário final e o analista fica com duas opções ruins: escrever que não identificou, o que deixa o dossiê frágil, ou escrever o que conseguiu ver e deixar implícito que aquilo é o quadro completo.

Nenhuma das duas sobrevive a uma pergunta direta do fiscal.

Resolver isso não é questão de consultar mais uma fonte. É questão de tratar a estrutura como grafo: atravessar as camadas interpostas, trazer o processo judicial de cada sócio direto e indireto como vínculo dentro do mesmo grafo, e declarar com precisão onde a cadeia parou e por qual motivo. Um "não identificado" com o ponto exato da ruptura é uma resposta defensável. Um "não identificado" sem endereço é uma lacuna.

O que a NeoLabsAI faz

A NeoLabsAI é um workspace de análise de contraparte para PLD e compliance. Uma busca por CNPJ, CPF ou nome abre a investigação inteira, e o dossiê sai em minutos.

Por baixo estão o quadro societário de todos os CNPJs do Brasil, 200 milhões de processos judiciais e as listas de sanções nacionais e internacionais de CGU, DOU, OFAC e ONU, cruzados com dezenas de outras fontes atualizadas diariamente. O grafo atravessa as holdings até o beneficiário final. O score vai de 0 a 100 e se decompõe em cinco famílias de risco (sancionatório, estrutural, judicial, PEP e jurisdicional), com cada regra acionada mostrando seu peso e sua evidência. O analista vê por que pontuou, e não apenas quanto.

No fim, o relatório técnico de PLD/FT já vem com tipologia COAF sugerida, fundamento legal e minuta de comunicação. Minuta, sempre, até a validação humana.

Por que isso se sustenta na auditoria

Três decisões de arquitetura sustentam o resto, e elas são a razão de o produto existir dessa forma.

Regras antes de modelos. Cada ponto do score rastreia até uma regra com identificador, racional normativo e evidência, em um catálogo versionado. Um score que não se explica é um passivo na inspeção, por mais preciso que seja.

O sistema recomenda, o humano decide. A aprovação continua com a instituição e a comunicação ao regulador continua sob responsabilidade humana. É o que o art. 44 da própria 3.978 pede, e é também o que faz sentido para quem assina.

Tudo reconstruível. Registro imutável com autor, timestamp e hash de evidência pelos cinco anos regulatórios. A análise de dezoito meses atrás pode ser refeita com os mesmos dados e as mesmas regras daquela data, não com as de hoje.

Cada capacidade tem âncora normativa explícita: Lei 9.613/1998, Circular BACEN 3.978/2020, Resolução BCB 119/2021, Recomendação GAFI 24, Decreto 9.726/2019, normas do COAF e LGPD.

Onde isso entra

No onboarding de PJ, quando a estrutura societária não cabe em uma consulta de CNPJ e a decisão precisa sair no mesmo dia. Na revisão periódica, quando a carteira mudou e reanalisar tudo do zero não é realista. E depois de um alerta do monitoramento transacional, quando a pergunta deixa de ser se a operação é atípica e passa a ser quem está do outro lado dela.

As ferramentas de detecção que a instituição já tem continuam fazendo o trabalho delas. A NeoLabsAI começa onde elas terminam.

Velocidade e rigor pararam de ser um trade-off. O que era caro é juntar as peças, e essa parte se resolve com engenharia de dado, grafo e um catálogo de regras auditável. O julgamento fica com o analista, o MLRO e o CCO, que é onde ele deve ficar.

Se quiser ver como isso se parece na sua carteira, escolha um CNPJ complexo e me procure. Trinta minutos bastam.