Se você vai operar uma fintech na América Latina em 2026, o compliance deixou de ser um departamento a quem se pede permissão no fim. É arquitetura. A forma como você constrói o seu KYC e AML no primeiro dia determina se consegue entrar em um novo país em semanas ou se terá que reescrever metade da plataforma. México, Colômbia, Brasil e Argentina avançam em direções parecidas, mas em ritmos diferentes, e cada regulador tem o seu próprio sotaque.
A armadilha mais comum é construir para um único país. Você lança no México cumprindo a Lei Fintech, tudo funciona e, ao expandir para a Colômbia, descobre que o seu fluxo de identidade, a sua retenção de evidências e os seus relatórios não se encaixam. O objetivo deste artigo é ajudar você a pensar o stack como uma camada comum que se adapta por jurisdição, em vez de quatro integrações isoladas que brigam entre si.
México: a Lei Fintech e a CNBV definem o padrão
O México foi pioneiro na região com a sua lei de instituições de tecnologia financeira, o que significa expectativas maduras. A CNBV, junto com o regime de prevenção à lavagem de dinheiro, espera identificação robusta do cliente, cadastros completos, prazos de conservação prolongados e reportes estruturados de operações relevantes e incomuns. A identificação biométrica e a validação contra fontes oficiais já são práticas esperadas, não diferenciais.
Na prática, isso obriga a três coisas: níveis de KYC escalonados conforme o tipo de conta e o risco, um cadastro digital que sobreviva a uma auditoria e um processo de reporte que não dependa de extrair dados à mão todo mês. Se o seu KYC vive em uma planilha, o México vai deixar isso claro rapidamente.
Colômbia: a SFC e o valor do sandbox
A Colômbia apostou na inovação supervisionada. A Superintendencia Financiera mantém uma abordagem baseada em risco e um sandbox regulatório que permite testar modelos com o acompanhamento do regulador. Para uma fintech que está entrando, o sandbox é uma vantagem real: reduz a incerteza e dá a você uma relação precoce com o supervisor, em vez de um primeiro contato na forma de uma sanção.
O que a SFC valoriza é a gestão de risco demonstrável: políticas claras de conhecimento do cliente, segmentação por risco e monitoramento proporcional ao perfil. A due diligence reforçada para clientes de maior risco e para PEPs não é opcional. Se você entrar pelo sandbox, chegue com o seu framework documentado; a conversa será muito mais rápida.
Brasil: o Banco Central e a era do Pix
O Brasil é o maior mercado e o mais dinâmico tecnologicamente, em grande parte por causa do Pix. A onipresença dos pagamentos instantâneos reescreve as regras do monitoramento: as transações são imediatas e irreversíveis, então os controles de fraude e lavagem de dinheiro precisam operar em tempo real, não em lotes noturnos. O Banco Central tem sido ativo em endurecer os requisitos de segurança e prevenção à medida que o volume do Pix cresce.
Para o seu stack, isso significa monitoramento transacional capaz de pontuar e, quando necessário, reter operações antes que sejam liquidadas. Regras estáticas não bastam quando um atacante move fundos em segundos. Você precisa de scoring dinâmico, listas atualizadas e a capacidade de pausar uma conta sem quebrar a experiência do usuário legítimo.
Argentina: volatilidade e foco no fluxo de fundos
A Argentina acrescenta uma camada própria: inflação alta, controles cambiais em constante mudança e forte adoção de cripto como refúgio. O marco de prevenção à lavagem de dinheiro, alinhado com padrões internacionais, foca na origem e no destino dos fundos e na rastreabilidade de operações que cruzam entre pesos, dólares e ativos digitais. A regra prática é presumir que qualquer fluxo cripto-fiat vai receber escrutínio.
O que isso exige da sua operação é rastreabilidade de ponta a ponta e uma política clara de origem de fundos que se sustente em um ambiente regulatório que não para de mudar. Não construa presumindo que as regras de hoje serão as mesmas daqui a doze meses; construa de modo a poder ajustar limites e políticas sem tocar no código base.
O stack que escala em vez de ser reescrito
O fio comum aos quatro países é claro: identidade robusta, screening contínuo, monitoramento em tempo real e evidência auditável. A forma de evitar reescrever a sua plataforma toda vez que cruza uma fronteira é separar a camada de compliance da lógica de negócio e configurá-la por jurisdição, em vez de codificá-la de forma fixa.
- KYC e identidade: um provedor de verificação robusto como Sumsub ou Didit, cobrindo documento, biometria e prova de vida, com níveis configuráveis por país e por risco.
- Screening de sanções e PEP: listas globais e locais, com screening no cadastro e de forma recorrente, não uma única vez.
- Monitoramento de transações: regras e scoring que rodam em tempo real, especialmente para mercados de pagamento instantâneo como o Brasil.
- Origem e destino dos fundos (SOF/SOW): captura e verificação de evidências para depósitos relevantes, com rastreabilidade cripto-fiat onde se aplique.
- Trilha de auditoria: um registro imutável de cada decisão de KYC e AML, retenção pelos prazos que cada regulador exige e relatórios que se geram sozinhos.
O compliance que escala não se projeta país a país; projeta-se como uma camada comum configurada por país. A diferença se paga em cada expansão.
Construir essa camada uma vez, bem-feita, é o que separa as fintechs que abrem um novo mercado em um trimestre daquelas que ficam presas reescrevendo fluxos. Na Horizon integramos esse stack dentro do Orion e o orquestramos com o Smart Dashboard para que o KYC, o screening, o monitoramento e a trilha de auditoria vivam no mesmo lugar e se adaptem a cada regulador. O objetivo não é apenas cumprir hoje no México; é poder dizer sim à Colômbia, ao Brasil ou à Argentina sem começar do zero.