O que é verificação KYC? Processo e requisitos
O que é verificação KYC? Como funciona o processo, da checagem de identidade ao monitoramento contínuo, e o que exigem o FATF e o Sudeste Asiático.
A verificação Know Your Customer (KYC) é o conjunto de checagens que uma empresa regulada faz para confirmar que o cliente é quem diz ser e para entender o risco que ele representa. Consiste em coletar dados de identidade, verificá-los contra fontes confiáveis e independentes e mantê-los atualizados. As normas do Financial Action Task Force (FATF) definem a base, e cada país estabelece suas próprias regras detalhadas.
Este artigo descreve a obrigação da instituição, não como um cliente conclui o KYC em um aplicativo específico. Os exemplos se concentram em Filipinas, Malásia e Singapura; Indonésia, Vietnã e Tailândia aparecem nas tabelas. As regras são nacionais, e a abordagem de nenhum país deve ser lida como a norma regional.
O que significa KYC?
KYC é a sigla de Know Your Customer, “conheça seu cliente”. É a obrigação de identificar os clientes e entender o risco que eles representam, e faz parte de um arcabouço de prevenção à lavagem de dinheiro (AML). O termo do FATF para essas medidas é devida diligência do cliente (CDD). “Verificação KYC” costuma ser usado para a parte de identificação e verificação e, no uso corrente, para a checagem inteira; este artigo o usa para a checagem inteira.
As normas do FATF exigem identificar e verificar os clientes com documentos, dados ou informações de fontes confiáveis e independentes, e os países transformam isso em regras nacionais de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (AML/CFT). São essas regras nacionais, e não a norma do FATF em si, que vinculam uma instituição.
Os quatro elementos centrais do KYC (Recomendação 10 do FATF)
A Recomendação 10 do FATF estabelece quatro medidas de CDD:
- Identificar o cliente e verificar sua identidade com documentos, dados ou informações de fontes confiáveis e independentes.
- Identificar o beneficiário final, a pessoa natural que em última instância possui ou controla o cliente, e tomar medidas razoáveis para verificar a identidade dessa pessoa.
- Entender, e quando cabível obter informações sobre, a finalidade e a natureza pretendida do relacionamento comercial.
- Realizar monitoramento contínuo e o escrutínio das transações ao longo do relacionamento, incluindo a origem dos recursos quando necessário.
As normas do FATF exigem essas medidas na abertura de um relacionamento comercial, em certas transações ocasionais, quando há suspeita de lavagem de dinheiro ou financiamento do terrorismo e quando há dúvidas sobre os dados de identificação obtidos antes. Alguns guias descrevem o KYC como três componentes; a norma do FATF estabelece quatro medidas.
Como funciona o processo de verificação KYC
As etapas a seguir acompanham as quatro medidas do FATF e acrescentam a triagem, a avaliação de risco e a decisão. A ordem e o detalhamento variam conforme a instituição e o país.
- Coletar os dados de identidade. A instituição coleta os dados de identidade do cliente. Os itens que as regras nomeiam diferem de um país para outro, como mostra a tabela de dados mais abaixo.
- Verificar a identidade. Os dados são confrontados com documentos, dados ou informações confiáveis e independentes, presencialmente ou a distância. Em Singapura, por exemplo, a Monetary Authority of Singapore (MAS) trata o Myinfo como fonte confiável e independente, e nas Filipinas o Bangko Sentral ng Pilipinas (BSP) trata da mesma forma o Philippine Identification System (PhilSys). As normas do FATF exigem a verificação antes ou durante a abertura do relacionamento; os países podem permitir que ela seja concluída assim que for razoavelmente possível depois, quando os riscos são administrados de forma eficaz e é essencial não interromper a atividade normal.
- Identificar o beneficiário final. Quando cabível, a instituição identifica a pessoa natural por trás do cliente e toma medidas razoáveis para verificar a identidade dessa pessoa. As normas do FATF também tratam dos beneficiários finais de pessoas jurídicas (Recomendação 24).
- Entender a finalidade. A instituição estabelece por que o cliente quer o relacionamento e o que se pretende que ele seja. As regras da Malásia e da Indonésia nomeiam a finalidade entre as informações a obter.
- Fazer a triagem. A triagem de sanções e a de pessoas expostas politicamente (PEP) costumam fazer parte da CDD nas regras nacionais; as normas do FATF tratam das PEP na Recomendação 12.
- Avaliar o risco. A avaliação define a profundidade das checagens: devida diligência simplificada, padrão ou reforçada, tratada na próxima seção.
- Decidir. A instituição faz o onboarding, escala o caso ou recusa. Se a CDD não puder ser concluída, as normas do FATF dizem que a instituição não deve abrir a conta nem iniciar o relacionamento, ou deve encerrar um já existente, e deve considerar apresentar uma comunicação de operação suspeita (STR).
- Monitorar e atualizar. O monitoramento contínuo inclui o escrutínio das transações e manter os dados atualizados por meio de revisões, sobretudo para clientes de maior risco. As normas do FATF também exigem aplicar a CDD aos clientes já existentes conforme a materialidade e o risco.
KYC baseado em risco: devida diligência simplificada, padrão e reforçada
As normas do FATF exigem que a extensão da CDD siga uma abordagem baseada em risco, de modo que a profundidade das checagens varia com o risco do cliente. Os exemplos da nota interpretativa do FATF são orientação, não elementos obrigatórios.
| Nível | Quando se aplica | Medidas típicas (exemplos do FATF) | Exemplos nacionais |
|---|---|---|---|
| Simplificada | O risco é menor e foi analisado de forma adequada; não se aplica quando há suspeita ou um cenário específico de maior risco | Entre os exemplos: verificar a identidade depois de iniciado o relacionamento, atualizar os dados com menos frequência e reduzir o monitoramento | O documento de política do Bank Negara Malaysia (BNM) permite a CDD simplificada quando os riscos são avaliados como baixos, exceto quando há riscos maiores ou suspeita; a Regulation No. 8 of 2023 da Otoritas Jasa Keuangan (OJK) da Indonésia a permite após análise de risco adequada |
| Padrão | Nem os fatores de menor risco nem os de maior risco apontam para uma profundidade diferente | As quatro medidas de CDD descritas acima | O documento de política do BNM nomeia os dados a obter para a CDD padrão de pessoas naturais (ver a tabela de dados) |
| Reforçada | O risco é maior | Entre os exemplos: mais informações sobre o cliente e o relacionamento, informações sobre a origem dos recursos ou do patrimônio e sobre os motivos das transações, aprovação da alta administração, monitoramento reforçado e atualizações de dados mais frequentes | A OJK define a devida diligência reforçada (EDD) como uma CDD mais aprofundada para clientes de alto risco, inclusive PEP |
Os relacionamentos não presenciais aparecem nos exemplos do FATF como fator de risco potencialmente maior apenas quando não foram implementadas medidas adequadas de mitigação de risco. Portanto, o KYC a distância não é automaticamente de alto risco.
Quais documentos e dados são necessários para o KYC?
Os itens específicos vêm das regras nacionais e da avaliação de risco da instituição. A tabela mostra os dados nomeados para clientes pessoas naturais; as regras agrupam as informações de maneira diferente, então as listas não são equivalentes entre si. Por exemplo, a MAS Notice 626 trata da finalidade do relacionamento em um parágrafo separado, enquanto as listas da Malásia e da Indonésia a incluem, de modo que o número de itens não mostra quanto cada país pede. O conteúdo da regra da Tailândia não é descrito aqui.
| País (regra) | Informações que a regra lista para identificar clientes pessoas naturais |
|---|---|
| Singapura (MAS Notice 626, para bancos) | Nome completo, inclusive apelidos; número único de identificação; endereço residencial; data de nascimento; nacionalidade |
| Malásia (documento de política do BNM) | Nome completo; número da National Registration Identity Card (NRIC), do passaporte ou de outro documento oficial; endereço residencial e de correspondência; data de nascimento; nacionalidade; tipo de ocupação; empregador ou natureza do negócio; telefone de contato; finalidade da transação |
| Indonésia (OJK Regulation No. 8 of 2023) | Nome completo, inclusive apelido; número do documento de identidade; endereço; local e data de nascimento; nacionalidade; ocupação; endereço e telefone do local de trabalho; sexo; estado civil; nome de solteira da mãe; além do beneficiário final, da origem dos recursos, da renda ou do patrimônio líquido e da finalidade do relacionamento |
| Vietnã (lei AML) | Nome completo; data de nascimento; nacionalidade; ocupação ou cargo; telefone; número de identidade, de identidade do cidadão, de identificação pessoal ou de passaporte (para residentes estrangeiros, com a data e o local de emissão); residência |
| Filipinas (regras do BSP) | Nome e/ou o número PhilSys, entre as informações mínimas; aqui não é dada uma lista completa |
No caso de empresas, o processo abrange também os beneficiários finais; a verificação de empresas é o tema do Know Your Business (KYB).
Requisitos de KYC no Sudeste Asiático: panorama por país
A tabela nomeia o principal instrumento de cada país. Ela descreve quais regras existem, não o que cada uma exige.
| País | Regulador / unidade de inteligência financeira (quando nomeada aqui) | Regra principal (versão vigente) | Alcance e limites |
|---|---|---|---|
| Filipinas | Bangko Sentral ng Pilipinas (BSP); Anti-Money Laundering Council (AMLC), a unidade de inteligência financeira | a Anti-Money Laundering Act of 2001 (Republic Act No. 9160), com suas alterações, a mais recente a Republic Act No. 11521 (2021); as regras de devida diligência do cliente do BSP, alteradas pela Circular No. 1170 (2023) | As regras do BSP se aplicam às instituições supervisionadas pelo BSP; aqui não é dada uma lista completa de dados |
| Malásia | Bank Negara Malaysia (BNM) | o documento de política do BNM sobre prevenção à lavagem de dinheiro, combate ao financiamento do terrorismo e da proliferação, e sanções financeiras dirigidas para instituições financeiras (BNM/RH/PD 030-14), em vigor desde 6 de fevereiro de 2024 e que substitui a versão que entrou em vigor em 1º de janeiro de 2020 | Aplica-se às instituições financeiras dentro de seu alcance; os itens de dados são para clientes pessoas naturais sob CDD padrão |
| Singapura | MAS; Suspicious Transaction Reporting Office (STRO), a unidade de inteligência financeira | MAS Notice 626 para bancos (última revisão em 30 de junho de 2025), com avisos paralelos para outras instituições financeiras | A Notice 626 se aplica aos bancos; aqui não são descritos os números dos demais avisos |
| Indonésia | Otoritas Jasa Keuangan (OJK); PPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan), a unidade de inteligência financeira | OJK Regulation No. 8 of 2023, sobre prevenção à lavagem de dinheiro e combate ao financiamento do terrorismo e da proliferação no setor de serviços financeiros | Tradução não oficial do título para o inglês |
| Vietnã | State Bank of Vietnam (SBV) | Law on Anti-Money Laundering No. 14/2022/QH15, alterada com efeito a partir de 1º de dezembro de 2026 | Título em inglês não oficial; o conteúdo da alteração não foi revisado |
| Tailândia | Anti-Money Laundering Office (AMLO) | Anti-Money Laundering Act B.E. 2542 (1999), com suas alterações; Ministerial Regulation on Customer Due Diligence B.E. 2563 (2020) | Apenas os nomes dos instrumentos; aqui não são descritos seu conteúdo nem suas datas de entrada em vigor |
Verificado em 30 de outubro de 2026. As regras mudam, então confirme a versão vigente com cada regulador. As normas do FATF são citadas conforme alteradas em junho de 2026; os resultados da plenária do FATF de 26 a 30 de outubro de 2026 não haviam sido publicados quando esta página foi verificada. A lei vietnamita é descrita a partir de uma tradução para o inglês mantida por uma base de dados jurídica. Os títulos de Indonésia, Vietnã e Tailândia são versões não oficiais em inglês.
Filipinas. O PhilSys foi instituído pela Philippine Identification System Act (Republic Act No. 11055). As regras do BSP, alteradas pela Circular No. 1170 (2023), aceitam os registros PhilSys de uma pessoa como prova oficial e suficiente de identidade.
Malásia. O documento de política do BNM exige que as instituições verifiquem a identidade antes ou durante o relacionamento.
Singapura. A MAS Notice 626 exige que os bancos verifiquem a identidade com dados, documentos ou informações de fontes confiáveis e independentes.
Este artigo tem finalidade apenas informativa e não constitui aconselhamento jurídico ou regulatório.
KYC presencial e eKYC
O KYC eletrônico (eKYC) faz as mesmas checagens por canais on-line ou móveis, e o padrão de CDD não muda com o canal. Em Singapura, a MAS Notice 626 exige que a CDD não presencial dos bancos seja pelo menos tão robusta quanto a presencial. As checagens a distância costumam usar verificação de documentos, comparação biométrica e detecção de vivacidade, que o documento de política de e-KYC da Malásia lista entre as medidas que as instituições podem usar. O Guidance on Digital ID do FATF, de 2020, ajuda as entidades reguladas a decidir se uma identidade digital é adequada para a CDD.
Erros e riscos comuns no KYC
- Tratar o KYC como algo de uma vez só. As normas do FATF exigem manter atualizados os dados da CDD por meio de revisões, sobretudo para clientes de maior risco.
- Aplicar as mesmas checagens a todos os clientes. A abordagem baseada em risco exige medidas simplificadas quando o risco é menor e medidas reforçadas quando é maior.
- Deixar de lado os beneficiários finais. Identificar o beneficiário final é uma das quatro medidas do FATF, não um extra opcional.
- Tratar por padrão como de alto risco os clientes a distância, ou cortar grupos inteiros. O FATF declarou que suas normas não preveem o de-risking, ou seja, cortar classes inteiras de clientes, e sim exigem uma abordagem baseada em risco.
- Tratar uma identidade verificada como prova de uso legítimo. Em um caso que Singapura relatou ao FATF, 147 pessoas entregaram sua identidade digital nacional a organizações criminosas, que a usaram para abrir 276 contas em oito bancos a distância.
- Deixar de lado os ataques às checagens a distância. Em 2022, a European Union Agency for Cybersecurity (ENISA) identificou os ataques com fotografia, reprodução de vídeo, máscara 3D e deepfake como os principais ataques de apresentação facial contra a comprovação de identidade a distância, e observou que a injeção de vídeo, que contorna a câmera, não é um ataque de apresentação. A orientação da MAS observa que as solicitações pela internet podem trazer riscos maiores, inclusive a facilidade de apresentar várias solicitações fictícias.
A verificação KYC não é uma checagem única no cadastro. É devida diligência do cliente baseada em risco: as quatro medidas do FATF aplicadas na proporção do risco do cliente, mantidas atualizadas ao longo do relacionamento e moldadas pelas regras de cada país.
Os dados coletados e os instrumentos diferem de um país para outro, então o que vale em um mercado não pode ser presumido em outro. Equipes que avaliam como o software se encaixa nessas etapas podem ler mais sobre software de verificação KYC.
Várias das regras descritas aqui são recentes ou foram alteradas com efeito a partir de uma data posterior, então convém confirmar as versões vigentes com cada regulador antes de se apoiar nelas.
Perguntas frequentes
