Erros de implementação de KYC que reprovam em auditoria

Quase nenhum programa de conheça seu cliente reprova em auditoria por não existir. Reprova por existir pela metade: o fluxo aprova e recusa clientes todos os dias, mas não consegue provar por que decidiu, não reavalia quem já entrou e não cumpre os prazos que a norma define. São defeitos de implementação, não de intenção, e por isso se repetem entre empresas que nunca se falaram.

Este artigo reúne os erros que mais aparecem quando um programa de KYC (do inglês know your customer, conheça seu cliente) encontra uma fiscalização ou uma auditoria de conformidade, com a norma que cada um viola. A referência principal é o arcabouço das instituições autorizadas pelo Banco Central do Brasil, a Circular BCB 3.978/2020, mas a lógica vale para qualquer setor obrigado pela Lei 9.613/1998.

Erro 1: tratar o cadastro como evento, não como processo

O programa verifica bem no primeiro dia e nunca mais. A Circular 3.978 exige o contrário: o artigo 17 manda manter atualizadas as informações de identificação, e o artigo 18, parágrafos 4º e 5º, exige reavaliação permanente da qualificação conforme a relação de negócio evolui. O cliente aprovado em janeiro pode virar pessoa exposta politicamente em outubro, e a checagem feita uma única vez não alcança isso. O desenho do processo contínuo, com gatilhos e prazos, está no artigo sobre KYC contínuo.

Erro 2: classificar risco com uma régua que não existe no papel

Muitos fluxos têm categorias de risco nos sistemas, mas não têm a avaliação interna de risco documentada que os artigos 10 a 12 da circular exigem, com revisão a cada dois anos. A fiscalização pergunta de onde saiu a régua, e a resposta honesta é que ela nasceu no código, sem documento que a justifique. Classificar cliente com uma régua que a avaliação interna não sustenta é incoerência visível em minutos. O método para construir e documentar essa régua está no artigo sobre abordagem baseada em risco.

Erro 3: triagem de listas feita uma vez, ou contra a lista errada

Dois defeitos irmãos. O primeiro é temporal: sanção e condição de PEP mudam depois do onboarding, e triagem que não recorre sobre a base viva deixa de capturar exatamente o caso que interessa. O segundo é de cobertura: tratar "a lista" como uma coisa só, quando o que existe é um catálogo de arquivos oficiais com finalidades e chaves de casamento diferentes, mapeado no artigo sobre o que cada lista de sanções e PEP cobre. E entre a lista e o cadastro mora o terceiro problema, o casamento por nome, que produz falsos positivos previsíveis quando feito sem método, assunto do artigo sobre casar nome em lista de sanção.

Erro 4: prazos de monitoramento estourados em silêncio

A esteira da Circular 3.978 tem relógio: seleção de operações suspeitas em até 45 dias da ocorrência (artigo 39, parágrafo único), análise do que foi selecionado em mais 45 dias com conclusão formalizada em dossiê (artigo 43), e comunicação ao COAF, o Conselho de Controle de Atividades Financeiras, até o dia útil seguinte à decisão de comunicar (artigo 48). Programas construídos sobre planilha e revisão mensal não cabem nesses prazos, e o atraso não avisa: ele aparece pronto na fiscalização, como fila acumulada. O circuito completo da comunicação está no artigo sobre comunicação ao COAF.

Erro 5: decidir sem conseguir reconstruir a decisão

O artigo 43 exige dossiê da análise; o artigo 67 manda conservar por no mínimo dez anos as informações de clientes, os registros de operações e os dossiês. Na prática, o defeito aparece assim: o sistema sabe que o cliente foi aprovado, mas não sabe com qual versão da régua, com quais dados de entrada e por qual motivo. Sem isso, cada resposta à auditoria vira arqueologia. A decisão precisa carregar a própria explicação, tema do artigo sobre score de risco explicável.

Erro 6: retenção fora da régua, para os dois lados

Guardar de menos viola a norma setorial, que exige os dez anos do artigo 67. Guardar de mais, ou guardar tudo para sempre por preguiça de desenhar o descarte, viola o princípio da necessidade da Lei 13.709/2018, a LGPD. Os dois erros convivem no mesmo sistema com frequência: o dossiê obrigatório incompleto e, ao lado, mídia de selfie de cliente recusado guardada sem prazo nem finalidade. A régua de cada tipo de dado está no artigo sobre retenção de dados de verificação.

O que está em jogo

A Lei 9.613/1998, no artigo 12, define as sanções administrativas para quem descumpre os deveres de identificação, registro e comunicação: advertência, multa que pode chegar a vinte milhões de reais, inabilitação temporária de administradores por até dez anos e cassação ou suspensão da autorização de funcionamento. A multa é a parte visível; a inabilitação de administrador e a cassação são as que encerram histórias.

A boa notícia é que os seis erros acima têm o mesmo antídoto: transformar obrigação em rotina de sistema. Atualização com gatilho, régua documentada e versionada, triagem recorrente, esteira com relógio, decisão que se explica e retenção com prazo por tipo de dado. O momento mais barato de instalar essa rotina é antes de ligar o fluxo, com o roteiro do checklist de homologação de KYC. Auditoria difícil é a que encontra improviso; a que encontra rotina termina em relatório curto.

Fontes citadas

• Circular BCB 3.978/2020, artigos 10 a 12, 17, 18, 39, 43, 48 e 67, disponível no portal do Banco Central do Brasil: bcb.gov.br
• Lei 9.613/1998, artigo 12, sanções administrativas, com a redação da Lei 12.683/2012, disponível no portal do Planalto: planalto.gov.br
• Lei 13.709/2018 (LGPD), artigo 6º, inciso III, princípio da necessidade, disponível no portal do Planalto: planalto.gov.br