KYC

Em resumo

KYC são as siglas de know your customer, conhecer seu cliente. É o conjunto de verificações que uma organização realiza para estabelecer quem é uma pessoa antes de vinculá-la, e para manter essa identidade digital atualizada enquanto durar a relação.

Não é um trâmite do cadastro. É uma obrigação contínua: a organização precisa saber quem é seu cliente no primeiro dia e continuar sabendo no ano seguinte.

A obrigação nasce da prevenção à lavagem de dinheiro, não do produto

O KYC não foi inventado por uma área de produto para reduzir fraude. Nasceu como requisito regulatório dos regimes de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, e a partir daí se espalhou.

Isso explica duas coisas que surpreendem quem vê isso pela primeira vez.

A primeira: o KYC exige conservar evidências, não apenas verificar. Um processo que verifica corretamente mas não deixa registro auditável de como verificou não cumpre.

A segunda: a obrigação alcança muito mais organizações do que os bancos. Em vários países da região o mesmo dever recai sobre cartórios, imobiliárias, casas de câmbio, plataformas de apostas e empresas que concedem crédito sem serem instituições financeiras.

O que um processo de KYC comprova

Por trás da sigla há verificações concretas, e cada uma responde a uma pergunta diferente.

• Identificação — coletar os dados da pessoa e o documento que diz comprová-los.
• Autenticidade do documento — que o documento apresentado seja genuíno e não uma alteração nem uma reprodução.
• Correspondência biométrica — que o rosto de quem se vincula seja o do documento.
• Presença — que haja uma pessoa real no momento da captura, e não uma fotografia, um vídeo ou um rosto gerado. É a verificação que foi acrescentada quando falsificar um rosto deixou de ser caro.
• Contraste contra listas — que a pessoa não conste em listas restritivas nem se qualifique como pessoa politicamente exposta.
• Perfilamento de risco — classificar o cliente para definir com que intensidade ele será monitorado depois.

As seis produzem evidência. Essa evidência é o entregável real do processo.

Onde se exige um KYC

A obrigação não é uniforme na região, e convém saber qual se aplica antes de desenhar o processo.

• [Colômbia](/regulacion/colombia) — o SARLAFT para as entidades supervisionadas pela Superintendencia Financiera, e o SAGRILAFT para o setor real.
• [México](/regulacion/mexico) — a lei antilavagem, que alcança as instituições financeiras e um amplo catálogo de atividades vulneráveis fora do sistema financeiro.
• [Brasil](/pt/regulacao/brasil) — os deveres de PLD/FT sobre as instituições reguladas.

Nos três casos o dever tem a mesma forma: identificar, conservar a evidência e mantê-la atualizada. O que muda é quem supervisiona, a partir de qual limiar e com quais prazos.

KYC, AML e KYB não são a mesma coisa

Os três termos aparecem juntos e nomeiam coisas diferentes.

• KYC — conhecer a pessoa que se vincula. Ocorre principalmente no cadastro e é atualizado depois.
• AML — o programa completo de prevenção à lavagem de dinheiro, do qual o KYC é uma parte. Inclui também o monitoramento de operações, o reporte à autoridade e a gestão do risco institucional.
• KYB — conhecer a empresa cliente, o que acrescenta a verificação de sua existência legal, de sua estrutura societária e de quem a controla em última instância.

O erro frequente é tratar o KYC como se fosse o programa inteiro. Verificar bem cada pessoa no cadastro não cobre o que acontece com suas operações seis meses depois.