KYC: o que é Know Your Customer e como funciona a verificação

KYC, sigla de Know Your Customer ("conheça o seu cliente"), é o conjunto de procedimentos que uma empresa usa para saber quem é o cliente, o que ele faz e qual risco ele representa antes e durante o relacionamento. Na prática, o que é KYC se resume a três perguntas: essa pessoa existe e é quem diz ser? A movimentação dela faz sentido? Algo mudou desde o cadastro? No Brasil, responder a essas perguntas é obrigação legal para bancos, fintechs, instituições de pagamento e outros setores sujeitos à Lei 9.613/1998, a lei de lavagem de dinheiro.

O que é KYC e de onde vem a sigla

A expressão vem das recomendações internacionais contra lavagem de dinheiro, coordenadas pelo GAFI (Grupo de Ação Financeira Internacional). A ideia é simples: quem movimenta dinheiro de terceiros precisa conhecer esses terceiros, para não servir de canal para recursos de crimes. Com o tempo, o KYC também virou a primeira barreira contra fraude, porque é nele que se descobre um documento falso ou uma conta aberta em nome de outra pessoa.

No vocabulário regulatório brasileiro, o KYC faz parte da PLD/FT, a prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Alguns termos aparecem o tempo todo:

KYC

Know Your Customer. Procedimentos para conhecer o cliente pessoa física.

KYB

Know Your Business. A mesma lógica aplicada a empresas, incluindo sócios, administradores e beneficiário final.

KYE / KYP

Know Your Employee e Know Your Partner. A Circular 3.978 também exige conhecer funcionários, parceiros e prestadores de serviços terceirizados.

Onboarding

O processo de cadastro e abertura de conta. No onboarding digital, tudo acontece pelo app ou pelo site.

PEP

Pessoa exposta politicamente: ocupantes de cargos e funções públicas relevantes, que exigem atenção reforçada.

Coaf

Conselho de Controle de Atividades Financeiras, a unidade de inteligência financeira que recebe as comunicações de operações suspeitas.

O que a lei exige: Lei 9.613/1998 e Circular 3.978/2020

A Lei 9.613/1998 lista no artigo 9º quem é obrigado: quem capta, aplica ou administra recursos de terceiros, opera câmbio ou valores mobiliários e uma série de outros setores, como administradoras de cartões, seguradoras, imobiliárias, comércio de joias e bens de luxo e prestadores de serviços de ativos virtuais. O artigo 10 manda essas pessoas identificar os clientes, manter o cadastro atualizado e guardar registros por no mínimo cinco anos. O artigo 11 manda comunicar ao Coaf, em 24 horas e sem avisar o cliente, as operações que possam indicar crime.

Para as instituições autorizadas a funcionar pelo Banco Central, a regra detalhada é a Circular 3.978, de 23 de janeiro de 2020. Ela segue em vigor, com alterações feitas pelas Resoluções BCB 119/2021, 282/2022, 344/2023 e, mais recentemente, 591/2026, publicada em 1º de outubro de 2026, que passou a exigir a comunicação ao Coaf de transferências de ativos virtuais para ou de carteiras autocustodiadas a partir do equivalente a US$ 10 mil. A tabela resume o que a Circular pede em cada etapa do KYC.

Um detalhe que muita gente desconhece: desde setembro de 2021, por mudança da Resolução BCB 119, o endereço deixou de ser item mínimo da identificação e passou para a qualificação. O cadastro mínimo é nome e CPF; o local de residência entra na etapa seguinte, junto com a renda.

Como funciona o KYC no onboarding digital

No cadastro feito pelo celular, o KYC precisa ser rápido para o cliente honesto e difícil para o fraudador. O desenho mais comum tem seis etapas.

1. Cadastro. O cliente informa nome, CPF, contato, endereço e renda. Validações simples, como o dígito verificador do CPF e a consulta a bases públicas e privadas, já barram parte das inconsistências.
2. Documento. Foto ou arquivo da CNH, RG ou Carteira de Identidade Nacional. O sistema identifica o tipo, extrai os dados, compara com o que foi digitado e procura sinais de edição.
3. Prova de vida e biometria. A selfie ou o vídeo confirmam que há uma pessoa real diante da câmera e que o rosto é o mesmo do documento. Os ataques com IA contra essa etapa estão explicados em deepfake e fraude de identidade.
4. Listas e bases. Consulta a PEP, a listas de sanções e ao BC Protege+, além de bases de fraude e de restrição.
5. Classificação de risco. Com tudo isso, o cliente entra numa categoria de risco, que define limites, produtos liberados e o nível de diligência daqui para frente.
6. Monitoramento. As operações passam a ser acompanhadas, e mudanças relevantes levam a uma nova rodada de verificação.

A profundidade de cada etapa deve acompanhar o risco. A própria Circular pede procedimentos compatíveis com o perfil do cliente e medidas reforçadas para as categorias de maior risco. Uma conta de pagamento com limite baixo não precisa do mesmo atrito que um pedido de crédito alto ou uma conta empresarial com grande volume.

KYB: verificação de empresas e beneficiário final

Quando o cliente é uma empresa, conferir o CNPJ não basta. Empresas de fachada e sócios-laranja são instrumentos clássicos de lavagem de dinheiro, e por isso o KYB tem regras próprias:

• Documentos da empresa: cartão CNPJ, contrato ou estatuto social e atos que mostrem quem pode representá-la.
• Administradores e representantes: recebem identificação, qualificação e classificação compatíveis com a função que exercem (art. 21).
• Beneficiário final: a instituição segue a cadeia de participações até chegar à pessoa natural que, de fato, é dona ou controla a empresa. O corte de participação é definido por risco e não pode passar de 25%, somando participações diretas e indiretas (art. 25).
• Quem manda de fato: também é beneficiário final o representante, inclusive procurador ou preposto, que exerça o comando de fato sobre as atividades da empresa (art. 24).

Companhias abertas, entidades sem fins lucrativos, cooperativas e alguns fundos de investimento ficam fora da regra do beneficiário final: nesses casos, a coleta abrange as pessoas naturais autorizadas a representá-los, os controladores, os administradores e os diretores. Para plataformas que credenciam lojistas, como subadquirentes e marketplaces, o KYB é a etapa que separa o vendedor real da empresa criada para receber dinheiro de golpe.

PEP, sanções e listas restritivas

Pessoas expostas politicamente

A Circular 3.978 lista no artigo 27 quem é PEP: detentores de mandatos eletivos federais, ministros, ocupantes de cargos de alto escalão no Executivo, membros de tribunais superiores, entre outros. Três regras costumam passar despercebidas:

• A condição de PEP vale por cinco anos depois que a pessoa deixa o cargo.
• A verificação inclui familiares (parentes até o segundo grau, cônjuge, companheiro e enteados) e estreitos colaboradores, como sócios em empresa com a PEP.
• Ser PEP não impede a abertura de conta. Exige atenção reforçada na qualificação e no monitoramento.

A Controladoria-Geral da União mantém um cadastro de PEP, acessado pelas instituições pelo Siscoaf. O próprio Coaf avisa que esse cadastro não cobre todas as situações e deve ser complementado por declaração do cliente e por outras bases.

Sanções do Conselho de Segurança da ONU

A Lei 13.810/2019 obriga as pessoas listadas no artigo 9º da Lei 9.613 a cumprir, sem demora e sem aviso prévio aos sancionados, as resoluções do Conselho de Segurança das Nações Unidas que determinam a indisponibilidade de ativos. Na prática, o KYC precisa cruzar clientes, sócios e beneficiários com essas listas no cadastro e sempre que elas forem atualizadas.

BC Protege+

Lançado em 1º de dezembro de 2025 com base na Resolução BCB 475/2025, o BC Protege+ permite que pessoas e empresas registrem, de graça, que não autorizam a abertura de contas em seu nome. Antes de abrir conta de depósito, poupança ou conta de pagamento pré-paga, ou de incluir alguém como titular ou representante, a instituição consulta o sistema. Se a proteção estiver ativa, a abertura não pode seguir. É uma camada nova contra contas abertas com dados roubados, os chamados golpes de "conta laranja".

KYC contínuo: o cadastro não termina na aprovação

O erro mais comum é tratar o KYC como uma porta: o cliente passa e nunca mais é olhado. A Circular 3.978 diz o contrário. A classificação de risco deve ser revista sempre que houver mudança no perfil do cliente ou na natureza da relação (art. 20), e as operações precisam ser monitoradas para identificar situações suspeitas (arts. 38 e 39).

Alguns gatilhos pedem uma nova verificação:

• Movimentação muito acima da renda ou do faturamento declarado.
• Troca de celular, de e-mail ou de senha seguida de transferências altas.
• Pedido de aumento de limite ou de um produto de risco maior, como crédito.
• Recebimento de muitos Pix de pessoas diferentes, repassados logo em seguida.
• Inclusão de novos sócios ou representantes na conta da empresa.

Quando uma operação é selecionada, a análise tem de terminar em até 45 dias e ficar registrada em dossiê. Se a decisão for comunicar, a comunicação ao Coaf sai até o dia útil seguinte. Repetir a prova de vida em momentos sensíveis, como recuperar o acesso à conta, ajuda a impedir que um golpista que roubou a senha assuma a identidade do cliente. Os golpes que costumam vir antes dessa etapa estão em golpes digitais e phishing.

KYC e LGPD: como tratar os dados do cliente

O KYC lida com dados pessoais o tempo todo, e a biometria é dado pessoal sensível pela LGPD. Isso não impede a verificação, mas define regras:

• Base legal. O tratamento pode se apoiar no cumprimento de obrigação legal ou regulatória (arts. 7º, II, e 11, II, "a") e, para biometria, na prevenção à fraude e à segurança do titular em processos de identificação e autenticação de cadastro (art. 11, II, "g"). Não depende de consentimento, mas exige transparência.
• Necessidade. Colete só o que o processo e o nível de risco exigem. Pedir dez documentos para uma conta simples aumenta o risco de vazamento sem ganho real.
• Guarda. A LGPD permite conservar dados para cumprir obrigação legal (art. 16, I). É o que sustenta os dez anos exigidos pela Circular 3.978. Passado o prazo, os dados devem ser eliminados.
• Segurança. Imagens de documentos e rostos são alvo valioso. Use criptografia, acesso restrito por função e registro de quem consultou cada cadastro.

O impacto de um vazamento de base de KYC é alto, porque documentos e selfies roubados alimentam novas fraudes de identidade. O tema é aprofundado em LGPD para empresas.

KYC com verificação de identidade automatizada

O TKI Verify cobre as etapas de documento e prova de vida do KYC e do KYB: prova de vida em vídeo com movimentos sorteados, leitura de documentos de pessoa física e jurídica, como CNH, RG, contrato social e cartão CNPJ, comparação facial e uma nota com recomendação para cada cadastro. A equipe acompanha tudo numa central e revisa os casos que pedem olhar humano, e a mesma prova de vida pode ser usada depois da abertura, em verificações como recuperar o acesso.

Perguntas frequentes

O que é KYC?

KYC, sigla de Know Your Customer (conheça o seu cliente), é o conjunto de procedimentos que uma empresa usa para identificar o cliente, entender a atividade e a capacidade financeira dele e classificar o risco que ele representa, principalmente de lavagem de dinheiro e fraude.

Qual a diferença entre KYC e KYB?

KYC trata de clientes pessoa física. KYB, Know Your Business, aplica a mesma lógica a empresas: confere CNPJ, contrato social, administradores e representantes e segue a cadeia societária até chegar às pessoas naturais que são os beneficiários finais.

KYC é obrigatório no Brasil?

Para as pessoas e empresas listadas no artigo 9º da Lei 9.613/1998, sim: elas precisam identificar clientes e manter cadastro atualizado. Instituições autorizadas pelo Banco Central seguem ainda a Circular 3.978/2020, que detalha identificação, qualificação, classificação de risco e monitoramento.

Por quanto tempo os dados de KYC precisam ser guardados?

A Lei 9.613/1998 fixa no mínimo cinco anos após o fim da relação. Para instituições autorizadas pelo Banco Central, a Circular 3.978/2020 exige dez anos, contados a partir do primeiro dia do ano seguinte ao término do relacionamento com o cliente.

O que é PEP no KYC?

PEP é a pessoa exposta politicamente, como detentores de mandatos eletivos e ocupantes de altos cargos públicos. A condição vale por cinco anos depois que a pessoa deixa o cargo e se estende a familiares e estreitos colaboradores, que recebem diligência reforçada.

O KYC precisa de consentimento pela LGPD?

Em regra, não. A LGPD permite tratar dados, inclusive biométricos, para cumprir obrigação legal ou regulatória e para prevenção à fraude em processos de identificação e autenticação de cadastro. A empresa continua obrigada a informar o titular, coletar só o necessário e proteger os dados.