KYC (Conheça Seu Cliente)

KYC, sigla de Conheça o Seu Cliente, é o processo regulamentado que as instituições financeiras usam para verificar quem são seus clientes, entender a finalidade do relacionamento e avaliar o risco que o cliente representa. É uma exigência legal na maioria das jurisdições e se aplica antes da abertura de uma conta e continuamente a partir de então.

O KYC existe para evitar que as instituições financeiras sejam usadas — conscientemente ou não — para lavagem de dinheiro, financiamento do terrorismo, fraude, evasão de sanções e evasão fiscal. É o componente voltado ao cliente de um programa de conformidade de combate à lavagem de dinheiro (AML) mais amplo.

A obrigação vai muito além dos bancos. Normalmente, aplica-se a instituições de microfinanças, cooperativas de crédito e SACCOs, provedores de pagamento, operadoras de dinheiro móvel, seguradoras, corretoras de valores, provedores de serviços de criptoativos e, em muitas jurisdições, a advogados, contadores, agentes imobiliários e negociantes de metais preciosos.

Por que o KYC existe

O órgão internacional que define os padrões é o Financial Action Task Force (FATF), um órgão intergovernamental fundado em 1989, cujas recomendações formam a base da maioria das leis nacionais de combate à lavagem de dinheiro. A Recomendação 10 do FATF estabelece as obrigações de devida diligência do cliente, e os países-membros as transpõem para a legislação nacional e para as orientações dos reguladores.

Como a implementação é nacional, os documentos, limites e prazos específicos variam de acordo com a jurisdição — mas a estrutura subjacente é consistente em quase todos os lugares: identificar o cliente, verificar a identidade, entender o relacionamento, classificar o risco e monitorar ao longo do tempo.

Os quatro pilares do KYC

1. Programa de Identificação do Cliente (CIP)

Coletar informações de identificação e verificá-las em fontes confiáveis e independentes. Para uma pessoa física, geralmente são o nome completo, a data de nascimento, o endereço residencial e o número de um documento de identificação emitido pelo governo. A verificação pode ser documental (um documento de identidade mais comprovante de endereço) ou não documental (comparar os dados com uma base de dados nacional de identidade, birô de crédito ou registro de telecomunicação).

2. Devida Diligência do Cliente (CDD)

Ir além da identidade para entender o cliente: a natureza e a finalidade do relacionamento, a origem esperada dos recursos, o padrão previsto de transações e — para pessoas jurídicas — a estrutura de propriedade e controle. A devida diligência produz a linha de base com a qual a atividade futura é avaliada.

3. Devida Diligência Reforçada (EDD)

Escrutínio adicional para clientes de maior risco. A devida diligência reforçada normalmente exige aprovação da alta administração para a integração, evidências documentadas da origem do patrimônio e da origem dos recursos, além de revisão mais frequente. Os gatilhos comuns incluem:

• Pessoas politicamente expostas (PEPs) — pessoas que ocupam funções públicas de destaque, além de seus familiares e associados próximos
• Clientes sediados em jurisdições de alto risco ou sancionadas, ou que realizam transações com elas
• Estruturas de propriedade complexas, trusts ou entidades com ações ao portador
• Negócios intensivos em dinheiro, empresas de serviços monetários e outros setores de alto risco
• Achados de mídia negativa ou riqueza sem origem comprovada

4. Monitoramento contínuo

O KYC não é uma verificação pontual. As instituições devem monitorar as transações em relação ao perfil esperado, verificar clientes em listas de sanções e de PEPs de forma contínua, atualizar os registros dos clientes periodicamente e investigar e reportar atividades suspeitas à unidade de inteligência financeira nacional.

O processo de KYC passo a passo

1. Coletar informações de identificação e documentos exigidos na integração.
2. Verificar as informações em fontes independentes — um registro nacional de identidade, um registro empresarial, um birô de crédito ou uma verificação de autenticação documental e biométrica.
3. Consultar o cliente em listas de sanções, bases de dados de PEPs e mídia negativa.
4. Identificar os beneficiários finais de pessoas jurídicas — as pessoas físicas que, em última instância, possuem ou controlam o cliente. Muitas jurisdições usam um limite de 25% de participação como gatilho, além de um teste de controle separado.
5. Classificar o risco do cliente, geralmente em faixas baixa, média e alta, conforme geografia, produto, canal, ocupação ou setor, e o perfil de transação esperado.
6. Aprovar ou escalar. Clientes de baixo risco podem se qualificar para due diligence simplificada; clientes de alto risco exigem EDD e aprovação superior.
7. Monitorar e atualizar. O monitoramento de transações ocorre continuamente; os ciclos de revisão periódica costumam ser anuais para alto risco e a cada dois a cinco anos para risco mais baixo, com revisões por evento quando algo muda.

Documentos comuns de KYC

Pessoas físicas

• Documento de identificação com foto emitido pelo governo — carteira de identidade nacional, passaporte, carteira de motorista.
• Comprovante de endereço — conta de serviços públicos, extrato bancário, contrato de aluguel ou carta de uma autoridade reconhecida.
• Número de identificação fiscal ou nacional, quando aplicável
• Uma fotografia ou prova de vida, no onboarding digital.

Empresas (Know Your Business, ou KYB)

• Certidão de constituição ou registro empresarial.
• Contrato social e estatuto social, ou documentos constitucionais equivalentes.
• Registro de diretores e acionistas.
• Comprovante do endereço empresarial registrado.
• Resolução do conselho ou mandato que identifique os signatários autorizados.
• Documentos de identificação de diretores, signatários autorizados e beneficiários finais.
• Registro fiscal e, quando pertinente, licença comercial ou de funcionamento.

eKYC e verificação digital

eKYC é a execução eletrônica das mesmas obrigações. Em vez de coletar documentos em papel, a instituição verifica a identidade por meios digitais:

• Captura de documentos com verificações automatizadas de autenticidade
• Correspondência biométrica — uma selfie ou prova de vida comparada com a foto do documento de identidade.
• Verificação direta em bases de dados ou registros nacionais de identidade.
• Cruzamento de dados de operadoras de telefonia móvel e birôs de crédito.
• Assinatura eletrônica e captura de consentimento com trilha de auditoria.

O eKYC reduz o onboarding de dias para minutos e elimina a dependência de agências. Também concentra o risco: ataques de apresentação, identidades sintéticas e falsificação de documentos têm como alvo a verificação automatizada, de modo que a maioria das instituições mantém revisão manual para exceções e perfis de maior risco.

KYC vs AML vs CDD vs KYB

• AML (prevenção à lavagem de dinheiro): O programa completo de compliance — políticas, controles, monitoramento, reportes, treinamento e auditoria.
• KYC (conheça seu cliente): A parte do AML voltada ao cliente — identificar, verificar e classificar o risco dos clientes.
• CDD (due diligence do cliente): O trabalho de due diligence dentro do KYC — entender a finalidade, a origem dos fundos e a titularidade.
• KYB (conheça seu negócio): KYC aplicado a clientes empresariais, incluindo a identificação dos beneficiários finais.
• EDD (Due Diligence Reforçada): A versão reforçada da CDD para clientes de maior risco.

Em resumo: a CDD e a EDD são componentes do KYC, o KYC é um componente da AML e a KYB é o KYC para entidades.

Custo, atrito e inclusão financeira

O KYC impõe custos reais para ambos os lados da relação.

Para as instituições, isso significa infraestrutura de verificação, assinaturas de serviços de triagem, equipe de compliance, sistemas de monitoramento e campanhas periódicas de atualização cadastral — custos em grande parte fixos que recaem pesadamente sobre carteiras de pequeno valor e alto volume onde a receita por cliente é baixa.

Para os clientes, as exigências documentais podem ser uma barreira. O comprovante de endereço é difícil onde os sistemas de endereçamento são informais; os documentos de identidade não são universais; os documentos de registro de empresas podem estar desatualizados ou indisponíveis para pequenos comerciantes. É por isso que o FATF e os reguladores nacionais endossam explicitamente uma abordagem baseada em risco: aplicar due diligence simplificada a produtos comprovadamente de baixo risco — contas de pequeno saldo, carteiras digitais com limites, crédito de pequeno valor — para que a conformidade não exclua os clientes que os sistemas financeiros se destinam a alcançar.

Há também uma tensão permanente com a lei de proteção de dados. O KYC impõe a coleta e a retenção de um volume significativo de dados pessoais, enquanto os regimes de privacidade exigem minimização, limitação de finalidade, segurança e prazos de retenção definidos. As instituições têm de atender a ambas as exigências: coletar o que as regras de AML exigem, mantê-los pelo período de retenção obrigatório, protegê-los e excluí-los quando nenhuma das duas obrigações se aplicar.

Consequências de um KYC deficiente

A fiscalização é significativa e pública. Os reguladores impuseram penalidades muito altas a instituições por falhas sistêmicas de KYC e AML, e as consequências vão além das multas, incluindo ordens de remediação, restrições de negócios, acordos de não persecução penal, responsabilidade pessoal de profissionais de compliance, condições de licença e revogação. O acesso a bancos correspondentes — a capacidade de movimentar dinheiro internacionalmente — costuma ser a primeira baixa, o que, para uma instituição pequena, pode ser existencial.