A Susep reescreveu o PLD/FTP: conhecer o prestador terceirizado deixou de ser rodapé

Na quinta-feira, 1º de outubro de 2026, a Superintendência de Seguros Privados (Susep) publicou no Diário Oficial da União a Resolução Susep nº 99, de 24 de setembro de 2026. O ato atualiza as regras de prevenção à lavagem de dinheiro, ao financiamento do terrorismo e à proliferação de armas de destruição em massa (PLD/FTP) para o mercado supervisionado, revoga a Circular Susep nº 612/2020 e entra em vigor em 1º de janeiro de 2027.

O titular mais óbvio fala de clientes, PEPs e comunicação ao Coaf. O trecho que muda o expediente de quem contrata em escala é outro: o Capítulo XI — Dos procedimentos destinados a conhecer funcionários, parceiros e prestadores de serviços terceirizados — e a forma como a política e a avaliação interna de risco passam a tratar esses terceiros como variável explícita, não como anexo de RH ou de Compras.

O fato

Três peças se encaixam.

O ato. A Resolução Susep nº 99/2026 foi aprovada pelo Conselho Diretor em 23 de setembro de 2026, assinada em 24 de setembro e publicada no DOU de 01/10/2026 (Seção 1, edição extra). Dispõe sobre política, procedimentos e controles internos de PLD/FTP, com fundamento nos arts. 10, 11 e 12 da Lei nº 9.613/1998, entre outros normativos citados no preâmbulo.

O perímetro. Sujeitam-se às obrigações do art. 2º, entre outros: sociedades seguradoras e de capitalização; entidades abertas de previdência complementar (EAPC); resseguradores locais e admitidos; corretoras de resseguro; corretores de seguros (pessoas naturais ou jurídicas); sociedades seguradoras de propósito específico; sociedades cooperativas de seguros; administradoras de operações de proteção patrimonial mutualista; e sociedades processadoras de ordem do cliente (SPOC). Filiais, subsidiárias e assemelhadas no exterior das pessoas do caput, e filiais de empresas estrangeiras autorizadas pela Susep, seguem o mesmo regime (parágrafo único do art. 2º).

O calendário. Art. 53: vigência em 1º de janeiro de 2027. Art. 52: fica revogada a Circular Susep nº 612, de 18 de agosto de 2020. Até 31 de dezembro de 2026, o marco anterior permanece; o restante de 2026 é janela de adequação, não feriado regulatório.

No mesmo pacote de comunicação, a Susep destacou a Instrução Normativa Susep nº 40, de 30 de setembro de 2026, que atualiza o fluxo interno da Autarquia para análise e encaminhamento de situações suspeitas ao Coaf. A IN 40 organiza o procedimento da supervisora; a Resolução 99 organiza as obrigações das supervisionadas. São instrumentos distintos.

Por que isso importa para quem contrata terceiros

Porque a Resolução não trata “terceiro” só como sinônimo de cliente ou beneficiário.

No art. 3º, VIII, outras partes relacionadas incluem, a título exemplificativo, estipulantes, representantes de seguro, distribuidores, intermediários, contrapartes em negociações privadas e em operações com ativos, intermediários financeiros, funcionários, prestadores de serviços, auditores independentes, consultores, administradores de recursos, gestores e custodiantes, entre outros. Já o art. 3º, XI, define devida diligência como conjunto de política, procedimentos e controles que as pessoas do art. 2º devem aplicar continuamente — identificação e verificação do cliente, beneficiário final quando aplicável, compreensão do propósito da relação, monitoramento contínuo (inclusive atualização cadastral) e medidas compatíveis com o risco de lavagem, financiamento do terrorismo e da proliferação.

Isso é Continuous Due Diligence com gramática de PLD/FTP. O Capítulo XI leva a mesma lógica para quem trabalha dentro ou para a supervisionada: funcionários, parceiros e prestadores de serviços terceirizados.

Quem opera fora do perímetro da Susep não vira, por este ato, sujeito obrigado do mercado de seguros. O que o texto faz — e o que o mercado de compliance de cadeia deveria ler com atenção — é tornar mensurável o padrão: conhecer, classificar por risco, formalizar, atualizar e testar efetividade, inclusive sobre a força de trabalho terceirizada.

O que a Resolução muda no expediente de terceiros

Até a Circular 612/2020, o mercado supervisionado já vivia sob regras de PLD/FTP. A Resolução 99 não inventa a Lei 9.613; reescreve o manual operacional e amplia o escopo de quem precisa aplicá-lo (cooperativas de seguros, administradoras de proteção patrimonial mutualista, SPOCs, alinhamento à Lei nº 15.040/2024).

No que toca a parceiros e prestadores, quatro blocos importam na prática.

1. Política com seleção e contratação sob risco PLD/FTP

O art. 5º exige política, procedimentos e controles efetivos que contemplem, no mínimo, identificação de clientes, beneficiários, beneficiários finais, funcionários, terceiros e outras partes relacionadas, manutenção de registros, e um programa contínuo de treinamento de funcionários, parceiros e prestadores de serviços terceirizados (inciso IV), voltado ao cumprimento da Lei 9.613, da Resolução e dos demais regulamentos de PLD/FTP.

O art. 6º detalha o conteúdo mínimo da política. Entre as diretrizes: seleção e contratação de funcionários, parceiros e prestadores de serviços terceirizados, tendo em vista o risco de lavagem e de financiamento do terrorismo e da proliferação (inciso I, alínea f); e procedimentos de coleta, verificação, validação e atualização de informações, com condução das devidas diligências, visando conhecer clientes, funcionários, parceiros e prestadores (inciso II, alínea a).

O art. 9º fecha o ciclo de cultura: a política deve ser divulgada a funcionários, parceiros e prestadores de serviços terceirizados, em linguagem clara e acessível, com detalhamento compatível com as funções e com a sensibilidade das informações.

Em outras palavras: o prestador não é só “fornecedor homologado”. Entra na política, no treinamento e na comunicação do programa.

2. Avaliação interna de risco que inclui as atividades dos terceiros

O art. 13 obriga avaliação interna para identificar, compreender e mensurar o risco de uso dos produtos e serviços para lavagem, financiamento do terrorismo e da proliferação. Entre os perfis mínimos a considerar (art. 13, § 1º): clientes; beneficiários de produtos de acumulação; o próprio modelo de negócio e a área geográfica; operações, produtos, serviços, canais e novas tecnologias; e as atividades exercidas pelos funcionários, parceiros e prestadores de serviços terceirizados (inciso V).

O risco identificado deve ser avaliado quanto à probabilidade e à magnitude dos impactos financeiro, jurídico, reputacional e de sustentabilidade (§ 2º). Devem existir categorias de risco que permitam diligência reforçada, padrão e — para menor risco — simplificada (§ 3º), em linha com o que a própria Susep descreveu publicamente como os três níveis da nova abordagem baseada em risco.

Sem mapear o que o prestador faz (acesso a dados, contato com cliente, intermediação de pagamento, operação em jurisdição sensível), a avaliação interna fica incompleta por construção.

3. Capítulo XI: conhecer, formalizar, classificar, atualizar

Os arts. 39 a 41 são o núcleo operacional para a cadeia de pessoas:

• Art. 39. Implementar procedimentos destinados a conhecer funcionários, parceiros e prestadores de serviços terceirizados, incluindo identificação e qualificação. Esses procedimentos devem ser compatíveis com a política (Capítulo IV) e com a avaliação interna de risco (Capítulo VI).
• Art. 40. Formalizar os procedimentos em documento específico aprovado pela diretoria, mantido atualizado.
• Art. 41. Classificar as atividades exercidas por esses funcionários, parceiros e prestadores nas categorias de risco da avaliação interna. A classificação e as informações usadas para ela devem permanecer atualizadas. Os critérios de classificação devem constar do documento do art. 40.

Não basta um checklist de admissão. A norma pede método aprovado pela alta administração, categorias de risco por atividade e manutenção no tempo — o oposto do PDF arquivado no onboarding.

4. Efetividade anual que pergunta pelo Capítulo XI

O art. 42 exige avaliação da efetividade da política, dos procedimentos e dos controles. O relatório é anual, com data-base de 31 de dezembro, e deve ser encaminhado até 31 de março do ano seguinte ao comitê de auditoria (quando houver), à diretoria e, se existir, ao conselho de administração.

O art. 43 detalha o conteúdo. Entre os diagnósticos obrigatórios está a avaliação dos procedimentos destinados a conhecer os funcionários, parceiros e prestadores de serviços terceirizados (inciso que a própria Susep e análises do texto consolidam como item f do diagnóstico). Ou seja: na primeira rodada sob a Resolução 99, a diretoria receberá — ou deveria receber — um relatório que testa se o Capítulo XI existe de verdade.

A infração às disposições da Resolução é punida nos termos do art. 12 da Lei nº 9.613/1998 e da regulamentação em vigor (art. 45 da Resolução). Não é necessário inventar tabela de multas aqui: o caminho sancionatório está na lei e nos atos complementares da supervisão.

O problema para as empresas

O problema mais caro não é desconhecer a data de 1º de janeiro de 2027. É tratar o Capítulo XI como “tema de RH” enquanto Compliance só olha cliente e Coaf.

Três lacunas se repetem em quem opera com muitos prestadores — corretoras, call centers, tecnologia, sinistros, distribuição, consultorias, gestores e demais “outras partes relacionadas”:

Lacuna 1 — Homologação sem classificação de atividade. O art. 41 não pede só “conhecer a pessoa jurídica”. Pede classificar a atividade no mapa de risco PLD/FTP. Prestador com acesso a cadastro de clientes, a pagamentos ou a dados de sinistro não é a mesma categoria de risco de um fornecedor de material de escritório.

Lacuna 2 — Documento inexistente ou sem aprovação da diretoria. O art. 40 exige documento específico, aprovado pela diretoria e atualizado. Uma política genérica de compras ou um código de ética sem critérios de risco PLD/FTP para terceiros não descreve o que a norma pede.

Lacuna 3 — Cadastro congelado no dia da contratação. O § 1º do art. 41 exige manter atualizadas a classificação e as informações usadas nela. Mudança societária, novo PEP no quadro, sanção pública, alteração de escopo do contrato ou de jurisdição de operação mudam o risco. Quem só reabre a pasta na renovação anual chega atrasado ao relatório de efetividade de 31 de março.

Para a tomadora que não é supervisionada pela Susep, o efeito é indireto, mas real: bancos, seguradoras, corretores e demais sujeitos do art. 2º vão exigir da sua cadeia evidência alinhada a esse padrão — porque a nota deles, no relatório de efetividade e na supervisão, depende disso.

Checklist para a tomadora / contratante (e para a supervisionada)

Para Compliance, Jurídico, Compras, RH e Operações de quem contrata parceiros e prestadores sob o guarda-chuva da Resolução 99 — e, por analogia de gestão, para qualquer empresa que queira o mesmo nível de evidência sobre terceiros críticos:

1. Mapear o perímetro do art. 2º. Confirme se a empresa (ou entidade do conglomerado) está no rol ampliado — inclusive cooperativas de seguros, administradoras de proteção patrimonial mutualista e SPOCs.
2. Inventariar funcionários, parceiros e prestadores relevantes para PLD/FTP, com foco em quem toca cliente, dado, pagamento, distribuição, sinistro, ativo ou relacionamento com a Administração.
3. Redigir (ou reescrever) o documento do art. 40 com critérios de identificação, qualificação e classificação de risco por atividade; submeter à aprovação da diretoria; versionar e datar.
4. Alinhar a política do art. 6º: seleção/contratação sob risco PLD/FTP; diligências de conhecer; treinamento contínuo (art. 5º, IV); divulgação clara da política (art. 9º).
5. Incluir as atividades dos terceiros na avaliação interna de risco (art. 13, § 1º, V) e amarrar categorias de diligência simplificada, padrão e reforçada.
6. Definir gatilhos de atualização (mudança societária, PEP, sanção, novo escopo, novo país, incidente, denúncia) — não só aniversário de contrato.
7. Separar acesso a sistemas sensíveis (incluindo comunicações ao Coaf / Siscoaf): a orientação pública da Susep reforça que a Pessoa Obrigada responde pelo acesso de usuários; incluir terceiros de consultoria ou contabilidade nesse acesso é cenário de alto cuidado sob a Lei antilavagem.
8. Preparar o relatório de efetividade (arts. 42–43) com testes e indicadores que cubram o Capítulo XI — não só KYC de cliente.
9. Revisar cláusulas contratuais de parceiros e prestadores: obrigação de informar mudanças relevantes, direito de auditoria, treinamento, rescisão por violação de controles PLD/FTP, e fluxo de comunicação de suspeitas ao responsável interno.
10. Usar o 4º trimestre de 2026 como janela de gap assessment. Em 1º de janeiro de 2027 a Circular 612 cai; o que não estiver formalizado no documento do art. 40 e na avaliação interna vira defeito estrutural, não “melhoria contínua”.

A perspectiva do Continuous Due Diligence

A Resolução Susep nº 99 não usa o termo “Califix”. Usa devida diligência contínua, atualização cadastral, classificação de risco por atividade e avaliação anual de efetividade — inclusive sobre prestadores.

Uma pasta de homologação pode estar correta no dia da assinatura e obsoleta no dia em que o prestador muda de sócio, de escopo ou de jurisdição. O Capítulo XI existe precisamente para impedir que “conhecer o terceiro” seja um evento único.

É para esse tipo de acompanhamento contínuo de contratados e terceiros que plataformas de Continuous Due Diligence, como a Califix, foram desenhadas. A ferramenta não substitui o diretor responsável (art. 12), nem a política aprovada pela alta administração, nem a comunicação ao Coaf. O que ela sustenta é a capacidade de manter identificação, risco e evidência vivos enquanto o contrato — e o relatório de 31 de março — avançam.

Conclusão

A Susep fechou, em outubro de 2026, a atualização do marco de PLD/FTP do mercado supervisionado. A Resolução 99 amplia o perímetro de obrigados, reforça a abordagem baseada em risco e dedica um capítulo inteiro a funcionários, parceiros e prestadores de serviços terceirizados.

Quem usar o restante de 2026 só para revisar o formulário de cliente chega a janeiro de 2027 pela metade. Quem tratar o Capítulo XI como sistema — documento da diretoria, risco por atividade, atualização e teste de efetividade — chega com evidência. O Coaf e a supervisão perguntarão pela segunda opção.

Fontes

1. Resolução Susep nº 99, de 24 de setembro de 2026 (DOU de 01/10/2026, Seção 1, edição extra): in.gov.br
2. Susep. “Resolução Susep nº 99/2026, a nova norma de PLD/FTP da Susep” (publicado 02/10/2026; atualizado 08/10/2026): gov.br/susep
3. Susep. “Susep atualiza regras de prevenção à lavagem de dinheiro e reforça procedimentos internos de comunicação ao Coaf”, 02/10/2026: gov.br/susep
4. Susep. Perguntas frequentes sobre PLD/FTP (acesso de terceiros ao Siscoaf e orientação às Pessoas Obrigadas): gov.br/susep
5. Lei nº 9.613, de 3 de março de 1998 (arts. 10, 11 e 12 — obrigações e sanções administrativas): planalto.gov.br
6. Lei nº 15.040, de 2024 (marco legislativo citado pela Susep para adequação terminológica e de escopo no setor): referência contextual na página oficial da Resolução 99 acima.