ChatGPT
Claude
Perplexity
Gemini
Quem atua em banco, fintech, corretora, seguradora, casa de apostas ou plataforma de criptoativos convive com a sigla KYC todos os dias. O que nem sempre fica claro é de onde vem cada exigência. A obrigação de identificar o cliente nasce em uma lei federal, mas quem diz como ela deve ser cumprida é o regulador de cada mercado, e as regras não são idênticas entre um setor e outro. Este texto organiza esse mapa: o que diz a lei de lavagem de dinheiro, o que cada regulador acrescenta, o papel do Coaf, como a LGPD se encaixa e o que acontece com quem descumpre.
Por que o KYC é regulado no Brasil
O KYC, sigla em inglês para Know Your Customer ou "conheça seu cliente", é a principal ferramenta de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. A lógica é simples: se a empresa não sabe quem é o cliente, não consegue perceber quando o dinheiro que passa por ele não combina com quem ele diz ser.
O Brasil é membro do Grupo de Ação Financeira Internacional, o Gafi, organismo que define os padrões globais de combate à lavagem de dinheiro. As recomendações do Gafi colocam a identificação do cliente, a abordagem baseada em risco e a comunicação de operações suspeitas no centro do sistema, e cada país traduz isso em leis e normas próprias. É por isso que a regulação brasileira de KYC tem a mesma espinha que a de outros países, com detalhes ajustados a cada mercado.
O que é KYC e como funcionam as etapas de verificação na prática são temas de outro texto do blog. Aqui, o foco é a regra.
A base de tudo: a Lei nº 9.613/1998
A Lei nº 9.613/1998, conhecida como lei de lavagem de dinheiro, é a origem da obrigação de KYC no Brasil. Ela foi ampliada em 2012 pela Lei nº 12.683, que estendeu a lista de quem está sujeito às regras e endureceu as penalidades.
Quem está obrigado. O artigo 9º lista os setores sujeitos à lei. Além de bancos e instituições financeiras, entram corretoras, seguradoras, administradoras de cartão, empresas de factoring, imobiliárias, juntas comerciais, comerciantes de joias, obras de arte e bens de luxo, entre outros.
Identificar e manter cadastro. O artigo 10 obriga essas empresas a identificar os clientes, manter cadastro atualizado e registrar as operações. Os cadastros e registros devem ser guardados por no mínimo cinco anos, contados do encerramento da conta ou da conclusão da transação, e o regulador pode ampliar esse prazo.
Comunicar o que é suspeito. O artigo 11 determina a comunicação ao Coaf, em até 24 horas, das propostas ou operações que possam constituir indício de lavagem de dinheiro, sem dar ciência ao cliente envolvido.
Responder pelo descumprimento. O artigo 12 prevê advertência, multa, inabilitação de administradores e cassação ou suspensão da autorização para funcionar. A multa pode chegar ao dobro do valor da operação, ao dobro do lucro obtido ou a R$ 20 milhões, e a inabilitação de administradores pode durar até dez anos.
A lei define o "o quê". O "como" fica com os reguladores de cada setor.
Quer transformar as exigências de KYC do seu setor em uma jornada automatizada e auditável? Fale com um especialista da Valid.
O que cada regulador exige
Cada mercado tem uma norma própria que detalha a lei. A estrutura se repete, mas os prazos, os detalhes e os pontos de atenção mudam.
Banco Central: Circular nº 3.978/2020 e Carta Circular nº 4.001/2020
Para bancos, instituições de pagamento, fintechs de crédito e demais instituições autorizadas pelo Banco Central, a referência é a Circular nº 3.978/2020, em vigor desde julho de 2020. Ela exige uma política de prevenção à lavagem de dinheiro aprovada pela alta administração, uma avaliação interna de risco documentada e procedimentos para identificar, qualificar e classificar cada cliente por risco.
Dois pontos dela pesam no desenho do processo. O primeiro é o beneficiário final: em clientes pessoa jurídica, a instituição precisa chegar à pessoa física que controla a empresa, com participação de referência que não pode passar de 25%, incluindo quem exerce o comando de fato. O segundo é o alcance: a norma pede procedimentos para conhecer também funcionários, parceiros e prestadores de serviço.
A Carta Circular nº 4.001/2020 complementa a circular com uma lista de operações e situações que podem indicar lavagem de dinheiro e que precisam de atenção especial no monitoramento, como movimentações incompatíveis com a renda ou o faturamento declarados.
Abertura de conta: Resolução CMN nº 4.753/2019
A Resolução nº 4.753/2019 do Conselho Monetário Nacional trata da abertura, manutenção e encerramento de contas de depósitos. Ela deu às instituições mais liberdade para definir, com base em risco, quais informações e documentos pedir, e permitiu abrir conta por meios eletrônicos. Em troca, exige controles internos documentados para confirmar a identidade do titular e a autenticidade das informações, inclusive por consulta a bases públicas e privadas. Foi essa norma que abriu caminho para a conta digital aberta inteiramente pelo celular.
Mercado de capitais: Resolução CVM nº 50/2021
Corretoras, distribuidoras, gestoras, administradoras de fundos e demais participantes do mercado de valores mobiliários seguem a Resolução CVM nº 50/2021. Ela segue a mesma lógica da norma do Banco Central: política, avaliação interna de risco, identificação e cadastro do cliente, identificação do beneficiário final, monitoramento das operações e comunicação ao Coaf.
Seguros, previdência e capitalização: Circular Susep nº 612/2020
Seguradoras, entidades abertas de previdência complementar, sociedades de capitalização, resseguradores e corretores seguem a Circular Susep nº 612/2020. Além do cliente, a norma pede atenção a beneficiários, terceiros e partes relacionadas, amplia o conceito de pessoa exposta politicamente para representantes, familiares e colaboradores próximos e exige controles sobre funcionários, parceiros e fornecedores.
Apostas: Portaria SPA/MF nº 1.143/2024
Com a regulamentação das apostas de quota fixa, os operadores autorizados passaram a ter regras próprias de prevenção à lavagem de dinheiro, com fiscalização pela Secretaria de Prêmios e Apostas a partir de janeiro de 2025. A portaria exige verificar e validar a identidade dos apostadores, com nível de verificação proporcional ao risco, e impedir o cadastro de pessoas proibidas de apostar pela Lei nº 14.790/2023. As operações precisam ser analisadas em até 30 dias, e as suspeitas comunicadas ao Coaf até o dia útil seguinte à conclusão da análise. A condição de pessoa exposta politicamente vale por cinco anos depois de a pessoa deixar o cargo.
Ativos virtuais: Resoluções BCB nº 519, 520 e 521/2025
Em novembro de 2025, o Banco Central publicou as regras de funcionamento das prestadoras de serviços de ativos virtuais, as empresas que intermediam, custodiam ou negociam criptoativos. As resoluções entraram em vigor em fevereiro de 2026 e exigem, no pedido de autorização, a comprovação de controles internos e de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Nas transferências de ou para carteiras autocustodiadas, a prestadora precisa identificar o proprietário da carteira e verificar a origem e o destino dos ativos.
Setores sem regulador próprio: Resolução Coaf nº 36/2021
Empresas obrigadas pela lei de lavagem de dinheiro que não têm um órgão regulador específico, como factorings e comerciantes de bens de alto valor, seguem as regras do próprio Coaf. A Resolução nº 36/2021 exige política de prevenção proporcional ao porte e ao risco, avaliação interna de risco, identificação de clientes, beneficiários finais, funcionários e parceiros e monitoramento de operações atípicas.
O papel do Coaf
O Conselho de Controle de Atividades Financeiras é a unidade de inteligência financeira do Brasil. Ele não investiga crimes nem aplica penas: recebe as comunicações das empresas obrigadas, cruza as informações e, quando identifica indícios, produz relatórios de inteligência para as autoridades competentes.
Para as empresas, a relação com o Coaf tem três pontos de atenção. A comunicação precisa respeitar o prazo do regulador do setor. Ela é sigilosa: o cliente não pode saber que foi comunicado. E, em vários setores, quando não há nenhuma operação a comunicar no ano, a empresa precisa enviar uma declaração de não ocorrência.
Sanções internacionais e financiamento do terrorismo
Além da lavagem de dinheiro, o KYC sustenta outra obrigação: impedir que recursos cheguem a pessoas e entidades ligadas ao terrorismo. A Lei nº 13.260/2016 tipifica o crime de terrorismo e seu financiamento, e a Lei nº 13.810/2019 determina o cumprimento imediato das sanções impostas pelo Conselho de Segurança das Nações Unidas, incluindo a indisponibilidade de ativos das pessoas listadas.
Na prática, isso significa checar clientes e beneficiários contra listas de sanções no cadastro e sempre que essas listas mudarem. É um dos motivos pelos quais o KYC não pode ser uma conferência feita uma única vez, lógica detalhada no texto sobre perpetual KYC.
KYC e LGPD: como as duas regras convivem
Uma dúvida comum é se a coleta de dados exigida pelo KYC conflita com a Lei Geral de Proteção de Dados. Não conflita, mas exige cuidado.
A LGPD prevê, no artigo 7º, o tratamento de dados pessoais para cumprimento de obrigação legal ou regulatória, o que cobre a coleta de documentos, a guarda de registros e a comunicação ao Coaf. Para dados sensíveis, como a biometria usada na verificação de identidade, o artigo 11 traz hipóteses próprias, entre elas o cumprimento de obrigação legal e a prevenção à fraude em processos de identificação e autenticação.
O que a LGPD acrescenta é disciplina: coletar só o que a regra pede, usar os dados para a finalidade informada, guardar pelo prazo exigido e proteger o acesso. O roteiro para o dado biométrico está em LGPD na prática: como tratar dado biométrico sem gerar passivo.
O que todas as normas têm em comum
Lidas lado a lado, as normas de KYC dos diferentes setores repetem os mesmos sete pilares.
Abordagem baseada em risco. Procedimentos mais rigorosos para os perfis de maior risco e mais simples para os de menor risco, com a avaliação documentada.
Identificação e verificação. Não basta coletar o dado; é preciso confirmar que ele é verdadeiro e que pertence a quem o apresentou.
Beneficiário final. Em pessoa jurídica, chegar à pessoa física que está por trás da empresa, tema que conversa com o background check empresarial.
Pessoa exposta politicamente. Identificar e aplicar diligência reforçada a quem ocupa ou ocupou cargo público relevante, além de familiares e colaboradores próximos.
Monitoramento contínuo. Acompanhar as operações e atualizar o cadastro ao longo da relação, não só no início.
Registro. Guardar cadastros, análises e decisões pelo prazo exigido, prontos para auditoria.
Comunicação. Reportar ao Coaf o que for suspeito, no prazo e com sigilo.
O texto sobre compliance em identificação digital mostra como auditores e reguladores olham para esses pilares quando o processo já está rodando.
O que acontece com quem descumpre
As consequências vão além das multas previstas na lei de lavagem de dinheiro. O regulador do setor pode abrir processo administrativo, aplicar penalidades próprias e, em casos graves, afastar administradores ou cassar a autorização de funcionamento.
Há também o custo que não aparece na norma. Uma instituição com KYC frágil vira porta de entrada para fraudes de identidade, como a abertura de contas com dados de terceiros que viram contas laranja para receber dinheiro de golpes. O prejuízo financeiro, o desgaste com clientes e a exposição pública costumam pesar tanto quanto a sanção.
Da norma ao processo: como cumprir sem travar o cliente
Todas as normas pedem, no fundo, a mesma coisa: saber com segurança quem é o cliente, provar como isso foi feito e agir quando algo não fecha. Cumprir essa exigência com processos manuais é caro, lento e difícil de auditar. A tecnologia resolve cada etapa.
A leitura automática de documentos extrai os dados do documento em segundos. A documentoscopia confere se ele é autêntico. A verificação biométrica confirma que a pessoa é a titular, comparando o rosto com bases de referência a partir do CPF. O bureau traz situação cadastral, vínculos e sinais de risco. E o KYC e KYB transforma esses achados em uma classificação de risco, com cinco níveis configuráveis e o registro de cada mudança de regra com data, descrição e responsável, exatamente o tipo de rastro que uma auditoria pede.
A confiança não nasce de uma tecnologia isolada. Ela nasce da integração entre camadas de verificação, combinadas conforme o risco de cada jornada. Na Plataforma de Segurança Digital da Valid, essa combinação é montada no orquestrador de produtos, totalmente no-code: a área de compliance define as trilhas simplificada, padrão e reforçada e ajusta a régua quando a norma muda, sem depender de uma nova rodada de desenvolvimento.
A regra muda por setor, a identidade continua sendo o ponto de partida
O mapa da regulação de KYC no Brasil é extenso, mas tem um centro claro: a obrigação de saber, com segurança e prova, quem é o cliente. A lei de lavagem de dinheiro define o dever, os reguladores detalham o caminho e o Coaf recebe o que foge do padrão. Quem domina esse mapa transforma uma exigência legal em vantagem: aprova o cliente legítimo mais rápido e barra o risco antes que ele vire problema.
A Valid é emissora dos principais documentos oficiais do Brasil e opera motores que somam mais de 3 bilhões de validações biométricas por ano. É essa experiência com a identidade dos brasileiros que sustenta a Plataforma de Segurança Digital da Valid. Se o KYC da sua operação precisa responder a um regulador sem perder o cliente no caminho, converse com o time da Valid e monte a verificação de acordo com as regras do seu setor.
