Ao escrever sobre a lacuna entre KYC, KYB e monitoramento contínuo, parti de uma premissa comum em conteúdos de fornecedores: nos produtos de verificação de identidade, “monitoramento contínuo” significaria repetir periodicamente a triagem de sanções e pouco mais.
Isso não é verdade. As ferramentas de monitoramento contínuo de PLD podem abranger listas de sanções, listas de monitoramento, PEPs e mídia negativa, tanto para pessoas físicas quanto para pessoas jurídicas. Elas consultam milhares de fontes de notícias, com filtragem contextual e ciclos de atualização que variam de algumas horas a um mês, conforme a fonte de dados. É um produto sério, que faz um trabalho sério, e, de modo geral, o mesmo vale para seus principais concorrentes.
Portanto, a lacuna não está onde eu supunha. Está em um ponto mais interessante e, depois que você a percebe, não consegue mais ignorá-la.
A lacuna não está na cobertura. Está na pergunta.
O KYC pergunta se a pessoa é quem diz ser
Verificação de documentos, prova de vida, comparação biométrica, validação de endereço e triagem em listas de sanções e de PEPs no cadastro.
A tecnologia nessa área se tornou excelente. Um fluxo bem construído verifica uma pessoa em menos de um minuto, e a prova de vida moderna é boa o suficiente para que a maioria dos invasores tenha passado a explorar outras etapas do funil.
Ela responde a uma pergunta sobre identidade, e responde bem. O que ela não diz é o que essa pessoa faz ou em que se transforma. Isso não é uma crítica. É uma delimitação de escopo, e os fornecedores deixam isso claro.
KYB: um problema consideravelmente mais difícil
O KYB pergunta se uma empresa é real e quem de fato a possui e controla. A maioria dos textos explicativos passa por isso em um único parágrafo, sem dar ao assunto a atenção que merece.
A dificuldade é estrutural, no sentido literal. Uma pessoa tem uma identidade. Uma empresa tem uma estrutura, e estruturas são criadas por pessoas, às vezes por pessoas que prefeririam que essa estrutura não fosse compreensível.
Por isso, uma verificação de KYB adequada percorre várias camadas. A verificação da entidade em um registro empresarial. A identificação de diretores e administradores. E a identificação dos beneficiários finais, para determinar quais pessoas físicas estão de fato por trás da entidade, normalmente quem detém vinte e cinco por cento ou mais. Esse limite, porém, varia conforme a jurisdição e, para ser franco, é relativamente fácil de contornar para quem estiver suficientemente motivado. A FinCEN e as diretivas de prevenção à lavagem de dinheiro da EU adotam posições um pouco diferentes sobre onde fixar esse limite.
Depois vem a cadeia societária. A empresa A pertence à holding B, registrada em uma jurisdição cujo registro tem poucos dados. Essa holding pertence a duas entidades em um terceiro país, uma delas um trust. Em algum ponto no fim dessa cadeia há pessoas. Encontrá-las é o trabalho.
A qualidade dos registros varia enormemente, um aspecto que quase ninguém menciona. Algumas jurisdições publicam abertamente os dados de beneficiários finais. Outras publicam os dados de constituição e nada além disso. Outras publicam um nome, uma data e tratam o restante como sigilo comercial. A qualidade de um fornecedor de KYB depende dos registros aos quais ele tem acesso, e nenhum fornecedor consegue criar dados que um governo decidiu não coletar. A OpenCorporates é uma forma útil de observar como esse panorama de dados é desigual.
Tudo isso para dizer que KYB é difícil, que os bons fornecedores fazem esse trabalho bem e que ele vale mais do que a maioria dos compradores percebe.
Mas há um aspecto que considero o mais importante, e ainda não vi ninguém colocá-lo por escrito.
Uma verificação de KYB é uma foto de uma estrutura que foi especificamente concebida para mudar.
É para isso que servem as estruturas societárias. Empresas mudam de domicílio. Diretores são nomeados e renunciam. Ações são transferidas. Subsidiárias surgem em novas jurisdições. Nada disso é um comportamento suspeito. É a rotina das empresas, e acontece o tempo todo.
Isso faz com que uma verificação de KYB tenha uma validade muito mais curta do que uma verificação de KYC. A identidade de uma pessoa é razoavelmente estável. A estrutura de uma empresa não é, e quase ninguém trata essas duas realidades de forma diferente.
O que monitoramento contínuo realmente significa
Agora chegamos ao termo que causa a confusão. Quero ser cuidadoso aqui, porque errar seria injusto e prejudicaria o próprio argumento.
Quando um fornecedor de verificação de identidade diz “monitoramento contínuo”, ele está falando de monitoramento contínuo de PLD. E isso é um produto de verdade, não um recurso de marketing.
Veja o exemplo mais claro. Alguns tipos de software atualizam continuamente os perfis de solicitantes e entidades com base em mudanças em listas de sanções, listas de monitoramento e mídia negativa no mundo todo. A cobertura inclui pessoas jurídicas e pessoas físicas. Essas ferramentas consultam um número muito grande de fontes de notícias, classificam as ocorrências por tipo e usam um modelo de linguagem para ajudar os analistas na triagem.
Não é uma capacidade limitada. Qualquer empresa que responda pelos riscos de seus clientes deveria ter algo assim em operação.
Há dois detalhes operacionais que vale conhecer, e eles estão na documentação, não no material de marketing. Em geral, é um adicional, e não um recurso incluído por padrão. E normalmente ele começa a operar a partir da ativação. Assim, as entidades aprovadas antes da contratação precisam passar por uma nova triagem para entrar na base monitorada.
Nenhum desses pontos é uma armadilha. Mas ambos fazem muita diferença se você presumiu que o monitoramento estava incluído e era retroativo, como muitos compradores fazem.
Então, onde está a lacuna?
Foi a esta conclusão que cheguei depois de errar na primeira tentativa.
O monitoramento contínuo de PLD foi criado para responder a uma pergunta, e responde bem: este cliente representa um risco de crime financeiro?
Essa é exatamente a pergunta certa para um banco, um processador de pagamentos, uma exchange, uma instituição de crédito ou um operador de jogos de azar. Você tem clientes. Dinheiro passa por você em nome deles. Se um deles estiver lavando dinheiro, o problema regulatório é seu, e você precisa saber no momento em que o perfil de risco dele mudar.
Agora pense em um fundo.
Você não tem clientes. Tem empresas no portfólio. Transfere dinheiro para elas uma vez, mantém a participação por sete ou oito anos e não movimenta dinheiro em nome delas.
Sua pergunta não é se essa entidade representa um risco de crime financeiro para você. É se essa empresa mudou de alguma forma que afete sua participação.
E a maioria das respostas a essa pergunta simplesmente não corresponde a sinais de PLD.
Quatro situações que nunca geram uma ocorrência de PLD
Pense no que de fato dá errado em um portfólio e pergunte quais dessas situações gerariam um alerta em um sistema de monitoramento voltado a crimes financeiros.
Uma empresa do portfólio muda seu domicílio de Delaware para as Ilhas Virgens Britânicas e nomeia dois novos diretores. Isso é um evento de registro empresarial. Não é uma correspondência em lista de sanções. Não é uma ocorrência de PEP. A menos que um jornalista escreva sobre isso, também não é mídia negativa. Não gera nenhum sinal de PLD, porque não há nada de criminoso nisso. É simplesmente um fato sobre uma empresa da qual você possui uma parte, e ele pode ter alterado consideravelmente sua situação regulatória.
O principal acionista da exchange pela qual uma empresa do portfólio liquida operações é incluído em uma lista de sanções. Sua empresa agora está exposta. Mas a inclusão na lista de sanções recai sobre uma entidade que não é seu solicitante, seu cliente nem uma contraparte de qualquer transação sua. É uma exposição de segundo grau e fica fora do perímetro de um sistema construído em torno das suas relações diretas.
Onze canais falsos no Telegram começam a se passar pela central de suporte de uma empresa do portfólio e a tirar dinheiro dos usuários dela. Nada em um sistema de PLD alcança isso. Não existe uma lista de monitoramento de impostores. Não é um crime financeiro cometido pela empresa do seu portfólio. É um crime financeiro contra ela, e todo o modelo está voltado para o outro sentido.
Um fundador é citado pessoalmente em uma ação cível em uma jurisdição cujos documentos judiciais não constam de nenhuma base comercial. Isso pode acabar aparecendo como mídia negativa, se algum veículo publicar a história. Ou pode não aparecer.
Nenhuma dessas situações é uma falha dos produtos de PLD. Todas estão fora da pergunta que esses produtos foram criados para responder.
O modelo de solicitante e por que ele não funciona para fundos
Há um aspecto de arquitetura por trás disso que explica por que os fundos têm dificuldade para adaptar plataformas de identidade às suas necessidades, e vale deixá-lo claro.
Observe como esses sistemas são construídos. Existe um solicitante. Ele é verificado. É aprovado, rejeitado ou fica em análise. Solicitantes aprovados podem então ser monitorados. Há níveis de verificação, ferramentas de criação de fluxos de trabalho, botões de aprovação e status de rejeição.
É um funil. Foi concebido em torno do onboarding, porque é isso que os clientes desses produtos fazem o dia todo.
Um fundo não tem um funil. Tem trinta e oito empresas nas quais já possui participações e das quais não consegue simplesmente se desfazer. Ele não as aprovou: investiu nelas. E, se um sinal aparecer, a relação não será encerrada, porque a participação é ilíquida e será mantida por anos de qualquer forma.
É possível encaixar um portfólio em um sistema moldado para solicitantes, e há empresas que fazem isso. Mas você passa o tempo todo lutando contra o modelo, porque está usando um produto de onboarding para administrar uma participação.
Quatro perguntas, não três níveis
O equívoco mais comum é tratar essas abordagens como níveis crescentes de rigor. KYC seria o básico, KYB seria o aprofundado e monitoramento seria o nível avançado. Essa visão está errada, e é por isso que os compradores acabam confusos sobre o que contrataram.
Não são níveis. São perguntas diferentes, e contratar o nível “mais alto” não dá acesso aos demais.
| KYC | KYB | Monitoramento contínuo de PLD | Inteligência de risco de entidades | |
| A pergunta | Esta pessoa é real? | Esta empresa é real e quem a controla? | Este cliente passou a representar um risco de crime financeiro? | O que mudou nesta entidade? |
| O que observa | Uma pessoa física | Uma entidade e sua cadeia societária | Sanções, PEPs, listas de monitoramento, mídia negativa | Registros empresariais, administradores, contrapartes, canais nas redes sociais, mídia |
| Quando | No onboarding | No onboarding | Continuamente, a partir da ativação | Continuamente, enquanto você mantiver a participação |
| Feito para | Clientes | Clientes | Clientes | Entidades às quais você está exposto, mas com as quais não realiza transações |
Quem precisa de cada abordagem e em que combinação
Depois de separar as perguntas, a resposta fica bastante clara.
Se você faz onboarding de pessoas físicas em grande volume, como uma fintech voltada ao consumidor, uma exchange ou um marketplace, precisa de KYC. Contrate uma solução: ela funciona e entrará em operação mais rápido do que você imagina.
Se você faz onboarding de empresas, precisa de KYB bem feito, com cobertura efetiva de registros empresariais e identificação real dos beneficiários finais. É mais difícil do que parece e vale o investimento.
Se você responde pelo risco de crime financeiro dos seus clientes, precisa de monitoramento contínuo de PLD além das duas abordagens. Na maioria das jurisdições pertinentes, isso não é opcional: a Recomendação 10 do FATF prevê due diligence contínua nas relações comerciais, e não uma única verificação na entrada.
E, se sua exposição está em entidades nas quais você investiu, e não em clientes que passaram pelo seu onboarding, como em um fundo de venture capital, um fundo de cripto, um family office ou uma equipe de desenvolvimento corporativo que mantém participações minoritárias, as três primeiras abordagens cobrem o início da relação. Nenhuma cobre os sete anos seguintes.
Essa é a quarta pergunta. Ela exige um produto diferente, e a maioria das empresas não sabe que ele existe.
Perguntas frequentes
O KYC pergunta se uma pessoa é quem diz ser: verificação de documentos, prova de vida e verificações biométricas, validação de endereço e triagem em listas de sanções e de PEPs. O KYB pergunta se uma empresa é real e quem de fato a possui e controla. É um problema consideravelmente mais difícil, porque a propriedade se distribui em camadas por várias jurisdições e os registros não são consistentes entre si.
Uma pessoa tem uma identidade e um documento para comprová-la. Uma empresa tem registros em vários lugares, administradores que mudam e beneficiários finais que podem estar várias entidades acima na cadeia. Chegar às pessoas físicas por trás da estrutura é a maior parte do trabalho, justamente a parte que os textos superficiais deixam de fora.
É o termo que mais causa confusão, porque é usado para duas coisas diferentes. Uma é refazer a triagem de um cliente existente em listas, em intervalos programados. A outra é acompanhar mudanças no mundo real, como documentos apresentados a registros empresariais, processos judiciais, medidas de fiscalização e mídia negativa, que jamais constarão de uma lista.
Em tudo o que nunca gera uma ocorrência de PLD. Boa parte do que de fato dá errado em um portfólio, como uma mudança discreta de controle, a renúncia de um diretor, a abertura de um processo judicial ou a presença de uma empresa em registros de medidas de fiscalização, não gera um alerta em uma plataforma de triagem, porque essas plataformas foram criadas para comparar nomes com listas.
Porque essas plataformas são construídas em torno do modelo de solicitante: alguém chega, passa pela verificação, torna-se cliente, e o cadastro está concluído. A exposição de um fundo não funciona assim. A relação começa na transferência do investimento e dura anos, e ninguém faz uma nova solicitação.
Elas não são três níveis da mesma coisa, que é o equívoco mais comum. Respondem a perguntas diferentes: quem é esta pessoa, o que é esta empresa e quem a controla, e o que mudou desde a última análise. Há uma quarta pergunta por trás disso: ainda tomaríamos a mesma decisão hoje? Nenhum componente do conjunto padrão responde a ela.
Conclusão
Elas não formam uma escada. Esse é o equívoco que vale corrigir e a razão pela qual tantas empresas acreditam ter contratado algo que não contrataram.
O KYC verifica uma pessoa. O KYB verifica uma estrutura, faz isso bem e faz isso uma vez. O monitoramento contínuo de PLD acompanha seus clientes em busca de risco de crime financeiro, de forma abrangente e com dados de qualidade.
A pergunta sobre o que mudou em uma entidade à qual você está exposto — seus administradores, sua jurisdição, suas contrapartes, sua presença pública, sua estrutura societária — é uma quarta questão, inteiramente distinta. E a maioria dos fundos não tem nada em operação para respondê-la.
Escrevemos uma explicação detalhada de por que essa lacuna existe aqui e mapeamos todo o panorama de fornecedores aqui, caso você prefira entender onde cada solução se encaixa antes de decidir.
Se preferir ver na prática, a Beady AI monitora continuamente as entidades às quais você está exposto — empresas do portfólio, fundadores e contrapartes — em sanções, mídia negativa, registros empresariais e casos de falsificação de identidade, com cada sinal vinculado à sua fonte primária. Agende uma sessão e faremos a análise das suas participações reais. Leva cerca de vinte minutos, e em um minuto você já saberá se a quarta pergunta se aplica ao seu caso.
