KYC: o que é o Know Your Customer e como fazer a verificação de clientes na prática

KYC é uma das siglas mais repetidas em bancos, fintechs, corretoras e meios de pagamento, e uma das menos explicadas fora das áreas de compliance. Para quem está chegando ao tema, ela parece sinônimo de "pedir documento". Para quem opera, ela é um processo inteiro, com etapas, régua de risco, registro e revisão. Este texto explica o que é KYC, o que a regulação brasileira efetivamente pede, quais são as etapas da verificação de clientes e como aplicá-las sem transformar o cadastro em uma corrida de obstáculos.

O que é KYC

KYC é a sigla em inglês para Know Your Customer, ou "conheça seu cliente". É o conjunto de procedimentos que uma empresa usa para confirmar a identidade de quem está contratando, entender o perfil dessa pessoa ou empresa e classificar o risco que a relação representa.

O conceito nasceu na prevenção à lavagem de dinheiro e ao financiamento do terrorismo. A lógica é direta: se uma instituição não sabe quem é o cliente, também não consegue perceber quando o dinheiro que passa por ele não combina com quem ele diz ser. Com o tempo, o KYC deixou de ser só uma obrigação regulatória e passou a ser também uma ferramenta de prevenção à fraude, de análise de crédito e de proteção da própria operação.

KYC, KYB, KYE e KYS: a família do "conheça seu"

A mesma lógica se aplica a outros públicos, e cada variação ganhou uma sigla própria.

KYC (Know Your Customer) é a verificação de clientes pessoa física, a partir do CPF.

KYB (Know Your Business) é a verificação de clientes pessoa jurídica, a partir do CNPJ. Inclui a situação cadastral da empresa, o quadro societário e a identificação de quem está, de fato, por trás dela.

KYE (Know Your Employee) é a verificação aplicada a funcionários e candidatos, especialmente em funções com acesso a dinheiro, dados ou sistemas críticos. O tema conversa com o background check empresarial.

KYS (Know Your Supplier) é a verificação de fornecedores e parceiros, que entrou na pauta das empresas com programas de integridade mais maduros.

Neste texto, o foco é o KYC, mas quase tudo vale também para o KYB.

O que a regulação brasileira pede

O KYC no Brasil não é uma boa prática opcional para quem atua em setores regulados. Ele está escrito em lei e em normas específicas.

A Lei nº 9.613/1998, a lei de prevenção à lavagem de dinheiro, obriga as pessoas e empresas listadas no artigo 9º a identificar seus clientes e manter cadastro atualizado. A lista vai muito além dos bancos e inclui, entre outros, corretoras, seguradoras, empresas de cartão, factorings, imobiliárias e comerciantes de bens de alto valor.

No sistema financeiro, a Circular nº 3.978/2020 do Banco Central detalha como isso deve ser feito. Ela organiza a política de prevenção em torno de três movimentos: identificar, qualificar e classificar o cliente por risco. Alguns pontos dela costumam pesar no desenho do processo.

Dados mínimos de identificação. Nome ou razão social, endereço e CPF ou CNPJ, com a possibilidade de validar a identidade em bases públicas ou privadas.

Qualificação. Coleta de informações que permitam avaliar a capacidade financeira do cliente, como renda ou faturamento, e identificar condições específicas, como ser uma pessoa exposta politicamente.

Beneficiário final. Em clientes pessoa jurídica, é preciso chegar à pessoa física que controla a empresa, com participação de referência que não pode passar de 25%.

Abordagem baseada em risco. A instituição define procedimentos mais rigorosos para os perfis de maior risco e mais simples para os de menor risco, com a avaliação documentada e revisada periodicamente.

Guarda de registros. As informações de KYC precisam ser mantidas por dez anos, contados a partir do ano seguinte ao fim do relacionamento.

No mercado de capitais, a Resolução CVM nº 50/2021 traz obrigações equivalentes para corretoras, gestoras e demais participantes. E, para quem quer entender como auditoria e regulador olham para esse processo depois que ele está rodando, o tema está em compliance em identificação digital.

Quer colocar o KYC da sua operação em uma só integração, sem somar fornecedores? Fale com um especialista da Valid.

As etapas do KYC na prática

O KYC funciona como uma sequência. Cada etapa responde a uma pergunta diferente, e pular uma delas cria um ponto cego que a próxima não cobre.

1. Identificação: quem diz ser

É a coleta dos dados básicos e do documento. Nome, CPF, data de nascimento, endereço, contato. Hoje, a maior parte dessa etapa acontece por foto do documento, com os dados extraídos automaticamente pela leitura automática de documentos, sem o cliente digitar campo por campo.

2. Verificação: é mesmo quem diz ser

Aqui está a diferença entre ter um cadastro e ter um cliente verificado. A verificação confirma três coisas: que o documento é autêntico, que existe uma pessoa real do outro lado e que essa pessoa é a titular. Cada uma depende de uma camada própria, a documentoscopia, o liveness e a verificação biométrica, que confronta o rosto com bases de referência.

3. Qualificação: qual é o perfil

Com a identidade confirmada, entra a pergunta sobre o perfil. Renda ou faturamento declarados, ocupação, vínculos com empresas, situação cadastral na Receita Federal, existência de processos, restrições e sinais de risco. Boa parte dessas informações vem de consulta a bases externas, como as reunidas no bureau de dados, que cobre mais de 250 milhões de registros de pessoas e mais de 60 milhões de empresas.

4. Classificação de risco: quanto cuidado essa relação exige

O resultado das etapas anteriores vira uma classificação. Pessoa exposta politicamente, presença em listas restritivas ou de sanções, CPF em situação irregular, empresa recém-aberta com sócios que mudam o tempo todo: cada achado sobe ou mantém o nível de risco. É essa classificação que define o que vem depois, da aprovação automática à análise reforçada.

5. Monitoramento: o cliente continua sendo quem era

O KYC não termina na aprovação. Um cliente de baixo risco pode virar pessoa exposta politicamente, ter o CPF suspenso ou entrar em uma lista de sanções. O monitoramento periódico ou por evento é o que mantém a classificação viva, lógica que está detalhada em perpetual KYC.

KYC simplificado e KYC reforçado: a régua por risco

O erro mais comum em projetos de KYC é aplicar o mesmo nível de exigência para todos. O resultado é previsível: o cliente de baixo risco desiste no meio do cadastro, e o de alto risco passa pela mesma régua frouxa que deveria pegar só os casos simples.

A abordagem baseada em risco existe justamente para resolver isso. Na prática, ela se traduz em três trilhas.

Trilha simplificada. Para produtos de baixo valor e perfis sem sinal de alerta, identificação com dados validados em bases confiáveis e uma verificação de identidade leve. O objetivo é aprovar em segundos.

Trilha padrão. Para a maior parte dos clientes, identificação, documento verificado, prova de vida e biometria, mais consulta de bureau e listas restritivas.

Trilha reforçada. Para pessoas expostas politicamente, valores altos, atividades de maior risco ou qualquer achado relevante nas etapas anteriores, entram comprovação de renda e de origem dos recursos, análise humana e aprovação de uma alçada superior.

O que define a trilha não é a vontade de quem desenha o processo, é o risco documentado. E a régua precisa ser ajustável: no KYC e KYB da Plataforma de Segurança Digital da Valid, o time de risco configura cinco níveis, de sem definição a crítico, e o maior nível encontrado em uma consulta define o risco geral, com cada mudança de regra registrada com data, descrição e responsável.

Onde o KYC costuma travar

Quatro problemas aparecem em quase todo projeto de verificação de clientes, independentemente do setor.

Fricção que derruba conversão. Cada campo a mais, cada foto refeita e cada etapa sem explicação aumenta o abandono. KYC bom é aquele que o cliente legítimo quase não percebe.

Fornecedores que não conversam. Um fornecedor para o documento, outro para a biometria, outro para o bureau, outro para as listas. Cada integração é um contrato, um custo, um ponto de falha e um formato de resposta diferente para a equipe de tecnologia interpretar.

Decisão que depende de alguém olhando. Quando a regra não está automatizada, cada caso vai para uma fila de análise manual, e a fila cresce mais rápido que o time.

Registro que não sustenta auditoria. Aprovar o cliente é metade do trabalho. A outra metade é conseguir mostrar, meses depois, o que foi consultado, qual regra foi aplicada e por que a decisão foi aquela.

Esses quatro problemas têm a mesma raiz: tratar cada camada de verificação como um projeto separado.

Por que a verificação precisa ser montada em camadas

Nenhuma consulta isolada responde a todas as perguntas do KYC. O documento verdadeiro pode estar na mão errada. A pessoa real pode estar usando o documento de outra. O titular legítimo pode estar em uma lista de sanções. E um cliente aprovado hoje pode ter outra situação daqui a seis meses.

A confiança vem da integração entre camadas de verificação capazes de confirmar quem a pessoa realmente é em qualquer jornada digital, combinadas conforme o risco e a regra de negócio de cada operação. Na Plataforma de Segurança Digital da Valid, essa combinação é feita no orquestrador de produtos, totalmente no-code: a área de negócio define quais camadas entram em cada trilha, em que ordem e com qual critério de aprovação, sem abrir uma nova demanda para o time de tecnologia a cada ajuste.

Esse desenho também ajuda em um ponto que costuma ficar para depois: a fraude de identidade. Um KYC bem montado não protege só contra lavagem de dinheiro, protege contra o cadastro aberto com dados de outra pessoa, que é a porta de entrada de golpes como a conta laranja.

Conhecer o cliente começa antes do primeiro contrato

KYC não é uma etapa que se cumpre e se esquece. É a forma como a empresa decide, todos os dias e em escala, com quem vale a pena se relacionar e com quanto cuidado. Quando ele é bem desenhado, o cliente legítimo passa rápido, o de risco recebe a atenção que merece e o registro de cada decisão está pronto para quando alguém perguntar.

A Valid é emissora dos principais documentos oficiais do Brasil e opera motores que somam mais de 3 bilhões de validações por ano, o que dá à Plataforma de Segurança Digital da Valid uma visão rara sobre como uma identidade legítima se comporta. Se o KYC da sua operação ainda está espalhado entre fornecedores e filas manuais, converse com o time da Valid e monte a verificação de clientes em uma só jornada.