KYB na prática, do CNPJ ao quadro de sócios

KYB é a sigla de know your business, o irmão corporativo do KYC. Enquanto o KYC confirma a identidade de uma pessoa física, o KYB responde a uma pergunta mais difícil: essa empresa existe, está ativa, e quem são as pessoas de carne e osso por trás dela?

A pergunta é mais difícil porque empresa é uma abstração jurídica. Ela pode ter sido aberta ontem, pode ter sócios que são outras empresas, que por sua vez têm sócios que são outras empresas, e no fim dessa cadeia pode estar uma única pessoa que preferiria não aparecer. Todo o desenho do KYB moderno existe para percorrer essa cadeia até o fim.

O ponto de partida: o cadastro CNPJ da Receita Federal

No Brasil, a fonte primária sobre empresas é o Cadastro Nacional da Pessoa Jurídica, o CNPJ, mantido pela Receita Federal do Brasil e regulamentado hoje pela Instrução Normativa RFB 2.119, de 6 de dezembro de 2022. O cadastro registra os dados essenciais: razão social, nome fantasia, natureza jurídica, data de abertura, endereço, atividade econômica (CNAE), situação cadastral e o quadro de sócios e administradores.

A situação cadastral merece atenção especial de quem faz onboarding: uma empresa pode estar ativa, suspensa, inapta, baixada ou nula. Aceitar como cliente um CNPJ inapto, por exemplo, significa transacionar com uma empresa que descumpriu obrigações perante a própria Receita. A consulta pública de CNPJ no site da Receita Federal exibe essa situação, e a Receita também publica a base completa do cadastro em seu portal de dados abertos, o que permite verificação programática.

QSA: o quadro de sócios e administradores

QSA é a sigla para Quadro de Sócios e Administradores, a lista oficial de quem compõe a sociedade e de quem a administra. Para cada integrante, o cadastro informa o nome, a qualificação (sócio-administrador, diretor, presidente, entre dezenas de códigos definidos pela Receita) e, quando o sócio é outra pessoa jurídica, o CNPJ dela.

Para um fluxo de KYB, o QSA é o mapa que conecta a empresa às pessoas. Um processo sério faz três coisas com ele:

1. Confirma que a pessoa que se apresenta como representante da empresa de fato consta no quadro, com qualificação compatível com o poder de contratar.
2. Roda a verificação de identidade de pessoa física sobre esses representantes: documento, prova de vida, validação de CPF. Empresa não tira selfie; quem responde por ela, sim.
3. Percorre os sócios pessoa jurídica, consultando o QSA de cada um, até chegar a pessoas físicas.

Esse terceiro passo tem nome na regulação: identificação do beneficiário final.

Beneficiário final: a pessoa no fim da cadeia

Beneficiário final é a pessoa natural que, em última instância, possui, controla ou se beneficia da pessoa jurídica. O conceito é central nas 40 Recomendações do GAFI, o Grupo de Ação Financeira Internacional: a Recomendação 24 trata da transparência sobre quem controla pessoas jurídicas, exatamente porque estruturas societárias em camadas são o instrumento clássico para ocultar dono de dinheiro.

No Brasil, a obrigação de informar o beneficiário final ao cadastro CNPJ foi introduzida pela Instrução Normativa RFB 1.863/2018 e hoje está consolidada na IN RFB 2.119/2022, que define as entidades obrigadas e os documentos exigidos. Do lado de quem verifica, a Circular BCB 3.978/2020 exige que as instituições autorizadas pelo Banco Central qualifiquem clientes pessoa jurídica analisando a cadeia de participação societária até identificar a pessoa natural caracterizada como beneficiário final, e a Resolução CVM 50/2021 impõe o mesmo dever no mercado de capitais.

O que pode dar errado sem KYB

Os padrões de fraude com CNPJ são conhecidos e se repetem:

• Empresa de fachada: CNPJ formalmente ativo, aberto com dados de um laranja, usado para abrir contas e movimentar dinheiro de origem ilícita.
• Representante falso: a empresa é legítima, mas quem se apresenta em nome dela não tem vínculo nenhum com o quadro societário, e a plataforma que não confere o QSA assina contrato com um estranho.
• Cadeia opaca: sócios pessoa jurídica em sequência, às vezes com elo no exterior, montados para que ninguém chegue ao beneficiário final.
• CNPJ baixado ou inapto reaproveitado em documentos visualmente convincentes, apostando que o verificador não consulta a situação cadastral no dia.

Cada um desses padrões é barrado por uma checagem objetiva e automatizável: situação cadastral na fonte, QSA na fonte, verificação de identidade dos representantes, travessia da cadeia societária. Em fluxos automatizados, como os que construímos na UNIFOKAL, a consulta do CNPJ e do quadro de sócios roda junto com a verificação biométrica do representante, e o resultado inteiro chega por webhook com a trilha de cada checagem.

Detalhes operacionais que separam um KYB bom de um enfeite

Primeiro, a fonte importa. QSA obtido da consulta oficial da Receita, com data da consulta registrada, é evidência. Dado societário copiado de um agregador sem origem declarada, não. Segundo, a data importa: quadro societário muda, e uma consulta de seis meses atrás pode descrever uma empresa que já trocou de dono. Terceiro, o contrato social complementa o cadastro: em sociedades limitadas, é nele que estão os poderes de administração detalhados, e é comum que a análise documental do PDF societário faça parte do fluxo.

Por fim, vale registrar o que muda no próprio identificador: desde a Instrução Normativa RFB 2.229/2024, o Brasil passou a admitir CNPJ alfanumérico para novas inscrições a partir de julho de 2026, o que afeta validação de dígito, máscaras de formulário e bancos de dados que armazenam CNPJ como número. Sistemas de KYB precisam aceitar os dois formatos, tema que tratamos em artigo próprio nesta mesma categoria.

Fontes citadas

• Instrução Normativa RFB 2.119/2022, da Receita Federal do Brasil, que regulamenta o CNPJ
• Instrução Normativa RFB 1.863/2018, que introduziu a obrigação de informar beneficiário final ao CNPJ
• Instrução Normativa RFB 2.229/2024, que instituiu o CNPJ alfanumérico
• Consulta pública de CNPJ e dados públicos do cadastro, na página oficial do CNPJ da Receita Federal do Brasil: gov.br/receitafederal
• Circular BCB 3.978/2020, do Banco Central do Brasil, sobre qualificação de clientes pessoa jurídica e beneficiário final
• Resolução CVM 50/2021, da Comissão de Valores Mobiliários
• Recomendações do GAFI (FATF), em especial a Recomendação 24, sobre transparência e beneficiário final de pessoas jurídicas