KYC nas instituições de pagamento: o recorte do Banco Central para as IPs

Instituição de pagamento virou sinônimo de fintech no vocabulário do dia a dia, mas é uma figura jurídica específica, com regras próprias de constituição, de funcionamento e de prevenção à lavagem de dinheiro. Muita empresa começa a operar carteira digital, conta de pagamento ou maquininha sem entender que herdou, junto com o modelo de negócio, um conjunto de obrigações de conhecer o cliente que o Banco Central cobra em fiscalização. Este texto separa o recorte das instituições de pagamento, a sigla é IP, do restante do sistema financeiro.

O objetivo é responder a três perguntas: o que é uma instituição de pagamento aos olhos do Banco Central, quando ela precisa de autorização prévia e quando opera dispensada dela, e o que exatamente ela deve no conhecer o cliente. O público é quem está montando ou integrando uma IP e precisa desenhar o fluxo de verificação sem descobrir a obrigação na hora da fiscalização.

O que é uma instituição de pagamento

A figura nasceu com a Lei 12.865, de 9 de outubro de 2013, que criou os arranjos de pagamento e as instituições de pagamento e os integrou ao Sistema de Pagamentos Brasileiro, sob a regulação do Banco Central do Brasil e do Conselho Monetário Nacional. A instituição de pagamento não é instituição financeira: ela não pode realizar atividades privativas de banco, como emprestar os recursos que mantém dos clientes, e os saldos em moeda eletrônica precisam ser integralmente garantidos.

O detalhamento de constituição e funcionamento está na Resolução BCB 80, de 25 de março de 2021, que organiza as modalidades de instituição de pagamento: o emissor de moeda eletrônica, que gere a conta de pagamento pré-paga; o emissor de instrumento de pagamento pós-pago, como o cartão de crédito; o credenciador, que habilita o estabelecimento a aceitar o instrumento; e o iniciador de transação de pagamento, figura do Open Finance que movimenta a conta sem custodiar recursos. Cada modalidade tem um perfil de risco diferente, e isso importa no desenho da diligência.

Quando precisa de autorização, e quando opera dispensada

Aqui está o ponto que mais gera confusão. Nem toda instituição de pagamento precisa de autorização prévia do Banco Central para começar a operar. A Resolução BCB 80/2021 estabelece faixas de porte: abaixo de determinados patamares de movimentação ou de saldo em moeda eletrônica, a instituição pode operar dispensada do pedido prévio de autorização, e ao ultrapassá-los passa a ser obrigada a solicitar a autorização. Os valores exatos das faixas estão na própria resolução e são revistos ao longo do tempo, então o número que vale é sempre o do texto vigente, não o de memória.

Dispensa de autorização não é dispensa de regra. Mesmo a instituição que opera na faixa dispensada está integrada ao arranjo de pagamento e sujeita às obrigações de prevenção à lavagem da Lei 9.613/1998. E, no instante em que a instituição é autorizada a funcionar pelo Banco Central, ela passa a ser, para todos os efeitos, uma instituição autorizada, e responde integralmente à norma de PLD-FT do setor.

Onde a IP herda a Circular BCB 3.978/2020

A norma de prevenção à lavagem que se aplica às instituições autorizadas a funcionar pelo Banco Central é a Circular BCB 3.978/2020. É dela que a instituição de pagamento herda o desenho de conhecer o cliente: identificar, qualificar e classificar cada cliente, com coleta de dados mínimos, atualização e enquadramento em categoria de risco. É dela também que vêm a avaliação interna de risco, o monitoramento de operações, a comunicação ao COAF e a guarda de registros por dez anos. Quem quiser o passeio artigo por artigo pela norma pode ler a Circular BCB 3.978 explicada seção por seção.

Um ponto sensível para a conta de pagamento é o momento da identificação. A abertura de conta digital, com o cliente do outro lado da tela e sem agência, é exatamente onde o fraudador tenta entrar. A norma não admite iniciar a relação sem concluir a identificação, e é por isso que o conhecer o cliente, o KYC, precisa acontecer com robustez na entrada, não como um cadastro leve que se completa depois do primeiro uso. A qualificação pode ter algum prazo para se completar, a identificação não é etapa adiável.

O que montar antes do go-live

Traduzida em engenharia, a obrigação da instituição de pagamento vira um fluxo de verificação com trilha auditável. A identificação e a qualificação viram a etapa de confirmar quem é o cliente, com documento, prova de vida e conferência de dados cadastrais. A classificação de risco vira parâmetro que dosa a diligência. O monitoramento vira rotina contínua com prazo e dossiê. E tudo isso precisa deixar registro, porque a fiscalização não pergunta se você acredita que verifica, pergunta o que você consegue provar.

Vale ainda lembrar do iniciador de transação de pagamento, a modalidade que não custodia recursos e por isso tem um perfil de risco distinto: ele não abre conta nem guarda saldo, mas movimenta a conta do cliente em outra instituição, o que desloca parte da diligência para a autenticação e o consentimento em vez do cadastro clássico. Tratar todas as modalidades com o mesmo fluxo é um erro comum, porque a norma cobra proporcionalidade, e o risco de um emissor de moeda eletrônica que guarda saldo não é o mesmo de um credenciador que habilita lojistas.

Antes de ligar o fluxo em produção, vale rodar a lista de conferências de um checklist de homologação de KYC, que separa o que precisa estar de pé do que costuma passar batido. Na UNIFOKAL, por exemplo, cada verificação produz um registro completo de quem foi verificado, quando e com que resultado, que é a evidência documental que uma instituição de pagamento precisa manter à mão. O desenho de retenção de dez anos, imposto pela Circular, precisa nascer junto com o produto, e não ser resolvido no ano em que a norma cobra.

Fontes citadas

• Lei 12.865/2013, que criou os arranjos e as instituições de pagamento, disponível no portal do Planalto
• Resolução BCB 80/2021, do Banco Central do Brasil, sobre constituição, autorização e funcionamento das instituições de pagamento
• Circular BCB 3.978/2020, do Banco Central do Brasil, norma de PLD-FT das instituições autorizadas a funcionar
• Lei 9.613/1998, Lei de Lavagem, disponível no portal do Planalto
• Banco Central do Brasil e Conselho Monetário Nacional, reguladores do Sistema de Pagamentos Brasileiro
• COAF, Conselho de Controle de Atividades Financeiras, destinatário das comunicações de operações suspeitas