O que é KYC e o que a lei brasileira exige de verdade

KYC é a sigla de know your customer, conheça o seu cliente. Na prática brasileira, o termo descreve o conjunto de procedimentos que uma empresa executa para saber quem é a pessoa ou a empresa do outro lado da relação: confirmar identidade, qualificar o cliente, entender o perfil de risco e manter esse conhecimento atualizado ao longo do relacionamento.

Muita gente trata KYC como uma etapa de produto, uma tela de cadastro com foto do documento. É um erro de enquadramento. No Brasil, KYC é obrigação legal para setores inteiros da economia, com norma escrita, prazo de guarda de registros e multa administrativa para quem não cumpre. Este artigo percorre as normas centrais e o que elas exigem na prática.

A base de tudo: a Lei 9.613/1998

A Lei 9.613, de 3 de março de 1998, conhecida como Lei de Lavagem de Dinheiro, é o alicerce do sistema brasileiro de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, o que o mercado abrevia como PLD-FT. Ela foi profundamente alterada pela Lei 12.683/2012, que ampliou o alcance dos crimes antecedentes.

Para quem opera um negócio, os artigos que importam no dia a dia são o 9º, o 10 e o 11. O artigo 9º lista quem está sujeito às obrigações: bancos, corretoras, seguradoras, administradoras de cartão, empresas de arrendamento, factorings, quem comercializa bens de luxo, entre outros. O artigo 10 impõe as obrigações de identificação: as pessoas obrigadas devem identificar seus clientes, manter cadastro atualizado e conservar os registros. O parágrafo 2º do artigo 10 fixa o prazo mínimo de conservação em cinco anos, contados do encerramento da conta ou da conclusão da transação, prazo que a autoridade competente pode ampliar. O artigo 11 cria o dever de comunicar operações suspeitas ao COAF, o Conselho de Controle de Atividades Financeiras.

O descumprimento tem preço definido no artigo 12 da mesma lei: advertência, multa pecuniária que pode chegar a vinte milhões de reais, inabilitação temporária de administradores e cassação ou suspensão de autorização de funcionamento.

O detalhamento do Banco Central: Circular 3.978/2020

Para as instituições autorizadas a funcionar pelo Banco Central do Brasil, a norma operacional é a Circular BCB 3.978, de 23 de janeiro de 2020. Ela substituiu a antiga Circular 3.461/2009 e mudou a lógica do sistema: em vez de uma lista fixa de procedimentos iguais para todos, adotou a abordagem baseada em risco, alinhada às 40 Recomendações do GAFI, o Grupo de Ação Financeira Internacional, cuja Recomendação 10 trata exatamente da diligência devida em relação ao cliente.

Na prática, a circular exige que a instituição tenha uma política formal de PLD-FT aprovada pela alta administração, faça avaliação interna de risco, e execute procedimentos de identificação, qualificação e classificação de risco dos clientes. Identificar é confirmar que a pessoa é quem diz ser. Qualificar é coletar e verificar informações compatíveis com o perfil: renda, ocupação, propósito da relação de negócio. Classificar é atribuir um nível de risco que determina a intensidade do monitoramento.

A circular também trata de pessoas expostas politicamente, de monitoramento de operações e da guarda de registros: o artigo 67 manda conservar as informações coletadas nos procedimentos de qualificação por, no mínimo, dez anos.

Fora dos bancos: CVM, SUSEP e o alcance setorial

O KYC não é exclusividade bancária. No mercado de capitais, a Resolução CVM 50, de 31 de agosto de 2021, impõe obrigações equivalentes a corretoras, distribuidoras, gestoras e demais participantes: política de PLD-FT, abordagem baseada em risco, identificação de beneficiário final e comunicação ao COAF. No setor de seguros, a SUSEP disciplina o tema em circular própria com a mesma espinha dorsal. E os setores sem regulador específico, como factorings em certas situações, respondem diretamente ao COAF, que publica resoluções para os segmentos que supervisiona.

O resultado é que a pergunta certa não é "minha empresa precisa de KYC?", e sim "qual norma alcança a minha operação, e o que ela exige exatamente?". Uma fintech que opera como instituição de pagamento autorizada responde ao Banco Central. Uma plataforma de investimentos responde à CVM. Um marketplace que não é entidade obrigada pode não ter dever legal direto de PLD-FT, mas herda o problema por contrato quando o adquirente ou o banco parceiro repassa as exigências.

O que isso significa em requisitos concretos

Traduzindo as normas em requisitos de operação, um programa de KYC minimamente sério no Brasil precisa cobrir:

• Identificação com prova: confirmar nome e CPF ou CNPJ contra a base da Receita Federal, e validar que o documento apresentado é autêntico e pertence a quem o apresenta.
• Qualificação proporcional ao risco: coletar informações de perfil compatíveis com o produto oferecido, com mais profundidade para clientes de maior risco.
• Monitoramento contínuo: cadastro não é foto, é filme. A Circular 3.978 exige atualização das informações e acompanhamento das operações ao longo do relacionamento.
• Guarda de registros com prazo: cinco anos pela Lei 9.613, dez anos para as informações de qualificação no perímetro do Banco Central. Isso inclui conseguir demonstrar, anos depois, o que foi verificado e quando.
• Trilha de decisão: quem aprovou, com base em quê, em que data. Sem trilha, não há como responder a uma fiscalização.

Onde a tecnologia entra, e onde não substitui ninguém

Verificação automatizada resolve a parte mecânica do problema: leitura de documento, prova de vida, comparação facial, consulta cadastral de CPF e CNPJ, triagem de PEP. Feita por software, essa etapa sai do caminho do usuário legítimo em segundos e produz exatamente a trilha auditável que as normas cobram. É esse o papel de plataformas de verificação de identidade, e é o problema que nós, na UNIFOKAL, escolhemos resolver.

O que a tecnologia não substitui é a responsabilidade. A política de PLD-FT é da empresa, aprovada pela alta administração dela, diz a Circular 3.978. A decisão de comunicar uma operação suspeita ao COAF é da empresa. A escolha dos parâmetros de risco é da empresa. Um bom fornecedor entrega verificação com qualidade medida e registro completo; não entrega, porque não pode, o compliance inteiro de ninguém.

Quem está montando um programa de KYC do zero faz bem em começar pelas fontes primárias listadas abaixo, todas públicas e gratuitas, antes de comprar qualquer ferramenta. A norma diz o que fazer; a ferramenta ajuda a fazer bem feito.

Fontes citadas

• Lei 9.613/1998, artigos 9º a 12, disponível no portal do Planalto: planalto.gov.br
• Lei 12.683/2012, que alterou a Lei 9.613/1998
• Circular BCB 3.978/2020, do Banco Central do Brasil, em especial os capítulos de política de PLD-FT, qualificação de clientes e o artigo 67 sobre guarda de registros
• Resolução CVM 50/2021, da Comissão de Valores Mobiliários
• Recomendações do GAFI (FATF), em especial a Recomendação 10, sobre diligência devida ao cliente
• COAF, Conselho de Controle de Atividades Financeiras, órgão receptor das comunicações do artigo 11 da Lei 9.613/1998