Um cliente passa pelo KYC no onboarding. A identidade é confirmada, ele não consta em nenhuma lista de sanções, o cadastro não apresenta problemas e você abre a conta. Tudo está correto naquele momento.
Dezoito meses depois, esse mesmo cliente é incluído em uma lista de sanções. Ou se torna uma pessoa exposta politicamente. Ou é citado em uma investigação de fraude que ganha destaque na imprensa local. E ainda falta um ano para a próxima revisão de KYC prevista para ele. Durante todo esse intervalo, você atende um cliente que recusaria hoje, e nada no seu processo está preparado para avisar você.
Não se trata de um caso excepcional. É assim que o KYC periódico foi concebido para funcionar. Imagine um cliente que começa a movimentar dinheiro de forma suspeita no terceiro mês de um ciclo de revisão de doze meses. Em um modelo baseado no calendário, ninguém acompanha ativamente o que acontece entre as revisões. Por isso, o comportamento só é sinalizado no décimo segundo mês, e a comunicação de atividade suspeita que você acaba enviando se baseia em informações com nove meses de defasagem. Quando você toma uma providência, a oportunidade de evitar o dano já passou, e só resta documentá-lo.
O problema não é alguém ter deixado de executar o KYC corretamente; é que fazer o KYC uma única vez responde à pergunta errada. Ao verificar um cliente no onboarding, você descobre quem ele é no primeiro dia. O que você realmente precisa saber, a cada dia seguinte, é se ainda pode manter uma relação com ele com segurança. Isso representa uma mudança da verificação — um momento isolado — para a segurança contínua — uma condição mantida ao longo do tempo. É exatamente essa diferença que separa o mero cumprimento de uma formalidade da gestão efetiva de riscos. E, como veremos cada vez mais, também é o que distingue cumprir suas obrigações regulatórias de apenas aparentar cumpri-las.
O KYC verifica um momento, enquanto o risco continua mudando.
O processo de KYC no onboarding é, essencialmente, um retrato: registra quem é o cliente, de onde ele vem e se representa algum risco conhecido no dia da verificação. Esse retrato é necessário e, na maioria dos casos, obrigatório por lei. Mas uma exigência legal não é necessariamente suficiente, e é exatamente isso que acontece com o KYC: já no dia seguinte ao onboarding, o cumprimento da exigência e a adequação efetiva começam a se distanciar. O problema é que esse retrato começa a ficar desatualizado assim que é produzido, pois o cliente não permanece igual ao que era no momento da verificação.
Também desenvolvemos um argumento semelhante para empresas investidas e empresas do portfólio em Além do onboarding. Aqui, o foco são os seus clientes, mas a lógica é idêntica: uma due diligence feita uma única vez cobre apenas o passado, enquanto o risco existe no presente. O objetivo não é produzir um retrato melhor, mas uma visão atualizada em tempo real. A pergunta que o onboarding responde — quem é esta pessoa — é diferente daquela que mantém sua operação segura ao longo do tempo: ela ainda é quem você acreditava que fosse e continua sendo seguro atendê-la?
O que realmente muda depois do onboarding
Vale detalhar o que uma verificação pontual não consegue enxergar, porque é fácil concordar que “o risco muda” e, ao mesmo tempo, subestimar o que isso significa.
Um cliente pode se tornar uma pessoa exposta politicamente ao assumir um novo cargo. Pode ser incluído em uma lista de sanções diretamente ou por meio de uma das entidades que controla. Também pode passar a ser citado em mídia negativa, ser alvo de uma investigação, de uma acusação formal ou de uma alegação de fraude, situações que não existiam no onboarding original. Os beneficiários finais de um cliente pessoa jurídica podem mudar, de modo que as pessoas anteriormente aprovadas deixem de exercer o controle. A empresa pode migrar para atividades ou jurisdições de maior risco. Além disso, as transações podem começar a contar uma história diferente daquela apresentada no perfil de onboarding. Nenhuma dessas situações é visível para uma verificação feita uma única vez e depois arquivada, e qualquer uma delas pode transformar um cliente cuja aceitação era justificável em alguém que você recusaria agora. Um exemplo comum e problemático é o de um cliente inicialmente cadastrado como uma pessoa física comum que, mais tarde, assume um cargo público e se torna, de uma hora para outra, uma pessoa exposta politicamente, enquanto seu cadastro ainda reflete a conta de baixo risco aberta dois anos antes.
Um ponto cego, em câmera lenta
Observar a sequência dos danos causados por essa lacuna ajuda a entender o problema, porque a falha geralmente não parece grave no momento em que ocorre. Por exemplo, uma empresa de pagamentos aceita um cliente pessoa jurídica. Os diretores passam pelas verificações sem problemas, os beneficiários finais não apresentam pendências, não há correspondências em listas de sanções e a conta é classificada como de risco médio, com revisão a cada dois anos. Todas as etapas necessárias foram executadas corretamente.
No quarto mês, um dos beneficiários finais é incluído discretamente em uma lista de sanções, depois que seu país de origem passa a estar sujeito a um novo regime de sanções. Nenhuma etapa do processo da empresa acompanha essa mudança, e a conta continua operando normalmente. Os pagamentos continuam, alguns deles ligados à parte sancionada, como se descobre mais tarde. A empresa não está ignorando um alerta. Ela simplesmente nunca recebeu um, porque não acompanhava o cliente entre as revisões.
Dezoito meses depois, a revisão prevista acontece e as sanções finalmente são aplicadas. A essa altura, a empresa já processou dezesseis meses de transações que não tinha autorização para realizar, enfrenta um programa de remediação, precisa lidar com uma comunicação de atividade suspeita referente ao período passado e deve explicar ao regulador por que levou quase dois anos para identificar algo que já era conhecido poucos dias depois de ocorrer. Cada ação individual poderia ser defendida. O resultado foi uma falha grave, cuja única deficiência foi a ausência de alguém acompanhando o que acontecia nos intervalos. Essa supervisão contínua era justamente o aspecto que a empresa não havia previsto, pois o calendário de revisões a levou a acreditar que tal supervisão já estava sendo realizada.
A revisão periódica sempre foi uma solução de compromisso
Se o KYC feito uma única vez claramente não basta, a proteção usual é a revisão periódica: verificar novamente cada cliente a cada um a cinco anos, com maior frequência para os de maior risco. É melhor do que nada e, por muito tempo, foi a única opção viável, porque cada verificação era manual e não havia como verificar todos os clientes o tempo todo.
Mas o ponto cego faz parte da própria estrutura do modelo periódico. Entre as revisões, por definição, ninguém está acompanhando. Assim, uma mudança que ocorre no mês seguinte a uma revisão permanece sem ser detectada até a próxima, que pode acontecer anos depois. As próprias revisões estão entre as atividades de compliance que mais exigem trabalho manual e geram custos. Além disso, costumam chegar como uma onda de pedidos generalizados de reenvio de documentos, irritando justamente os clientes antigos e de baixo risco que você menos gostaria de incomodar. Um processo lento, caro, cheio de atritos e que ainda deixa longos períodos sem visibilidade não é algo que alguém conceberia do zero hoje. Ele também coloca as equipes de compliance na posição desconfortável de atestar, a cada revisão, a situação de um cliente que não examinaram de fato desde a revisão anterior.
Os reguladores já esperam mais do que o cumprimento de uma formalidade
Este é o ponto que resolve a questão. O monitoramento contínuo não é um recurso opcional adotado antecipadamente por empresas que se preparam para o futuro. Ele já é esperado. A recomendação 10 da FATF prevê due diligence contínua e a manutenção das informações de due diligence de clientes atualizadas, e não apenas uma verificação no onboarding. No Reino Unido, a disposição 28(11) das Money Laundering Regulations 2017 exige o monitoramento contínuo da relação comercial e a atualização dos registros de due diligence de clientes (CDD), e a FCA trata o monitoramento contínuo como uma obrigação própria e substantiva, separada do onboarding. Os reguladores dos Estados Unidos seguem a mesma linha: as regras de due diligence de clientes da FinCEN incluem um componente de monitoramento contínuo. E a futura Anti-Money Laundering Regulation da EU avança ainda mais, com uma estrutura harmonizada que, a partir de 2027, se apoia fortemente em perfis de risco de clientes atualizados continuamente, em vez de registros estáticos.
É importante esclarecer um ponto, já que muitos textos sobre o tema tratam a questão sem o devido cuidado. O termo “KYC perpétuo”, usado pelo setor para descrever novas triagens contínuas acionadas por eventos, não é, em si, exigido por nenhuma regulamentação. O que as normas estabelecem é a obrigação de manter a due diligence de clientes atualizada. O KYC contínuo ou perpétuo é apenas a forma pela qual as empresas cumprem essa obrigação na prática. Portanto, a verdadeira questão nunca foi monitorar ou não os clientes continuamente, mas qual método usar. Quando a pergunta é formulada assim, o KYC contínuo deixa de parecer uma melhoria para quem adota novidades primeiro e passa a ser uma interpretação direta das regras já em vigor.
Da verificação à segurança contínua: como funciona o KYC contínuo
O KYC contínuo substitui o calendário pelos eventos: em vez de verificar periodicamente se houve mudanças em todas as pessoas, você monitora apenas as mudanças relevantes e reavalia o cliente quando uma delas acontece.
Na prática, isso envolve várias medidas que funcionam em conjunto. Significa verificar continuamente seus clientes e as pessoas ligadas a eles em listas de sanções, listas de PEP, mídia negativa e listas de monitoramento, para detectar novas correspondências assim que surgirem. Envolve acompanhar mudanças nos beneficiários finais, para que você saiba quando as pessoas que exercem o controle mudarem. Significa aplicar um nível de análise proporcional ao risco: os clientes de baixo risco são verificados regularmente em segundo plano, enquanto qualquer mudança significativa envolvendo um cliente de alto risco é encaminhada imediatamente para análise superior. Além disso, cada decisão de aprovar um cliente, atualizar informações ou encaminhar um caso deve se apoiar em evidências vinculadas às fontes e passíveis de auditoria, prontas para a análise de um fiscal. Com isso, as classificações de risco dos clientes deixam de ser meras estimativas de um momento específico e passam a funcionar como um registro dinâmico.
É importante esclarecer o que “perpétuo” não significa, porque o termo pode criar uma imagem equivocada. Não significa executar todas as verificações em todos os clientes todos os dias, nem inundar sua equipe com alertas constantes. Significa que o sistema é acionado por eventos reais, e não pelo calendário. Quando isso é feito corretamente, o trabalho diminui, pois você deixa de gastar tempo revisando casos em que nada mudou. O calendário passa a funcionar como uma medida de apoio para os poucos clientes sem eventos relevantes, em vez de ser o principal método aplicado a todos.
Como definir um bom conjunto de gatilhos
O sucesso ou o fracasso do KYC contínuo depende inteiramente dos gatilhos, ou seja, dos eventos que levam o sistema a determinar que um cliente precisa de uma análise adicional. Quando os gatilhos são bem definidos, todo o sistema funciona de forma fluida em segundo plano. Quando são mal definidos, você deixa de detectar mudanças ou acaba sobrecarregado. Algumas categorias são especialmente importantes.
Os gatilhos de triagem são os mais evidentes: uma nova correspondência em listas de sanções ou de PEP, ou uma notícia recente de mídia negativa que cite o cliente ou alguém por trás dele. Os gatilhos de propriedade são acionados quando mudam os beneficiários finais ou os controladores de um cliente pessoa jurídica, porque as pessoas que você aprovou podem já não ser as responsáveis pelo controle. Os gatilhos comportamentais vêm da própria atividade do cliente: transações incompatíveis com o perfil informado no onboarding, uma mudança repentina de volume ou contrapartes que aparecem em locais inesperados. Os gatilhos geográficos e de situação identificam quando um cliente ou sua empresa passa a atuar em uma jurisdição ou setor de maior risco. Já os gatilhos de relacionamento são acionados por eventos estruturais: uma mudança de diretores, uma fusão ou um novo signatário autorizado.
O que importa é a ação acionada por cada gatilho. Nem todo evento precisa provocar uma revisão completa. Um sistema eficaz trata mudanças pequenas com uma atualização discreta em segundo plano, direciona mudanças substanciais para uma verificação específica e encaminha casos graves — como uma correspondência atual em uma lista de sanções — diretamente a um analista, com as evidências relevantes já anexadas. É importante adequar a resposta à gravidade, porque só assim o KYC contínuo evita se transformar em um fluxo constante de ruído. A resposta deve ser determinada pela gravidade do caso, e não apenas pelo fato de algo ter acontecido.
Não é só o titular da conta que muda
Tanto as revisões periódicas quanto as verificações pontuais costumam dar atenção insuficiente às pessoas ao redor do cliente. Uma conta empresarial não se resume à pessoa jurídica. Ela envolve os beneficiários finais por trás dela, os diretores, os signatários autorizados e, às vezes, uma rede de empresas ligadas entre si. Qualquer um deles pode passar a representar um risco depois do onboarding. Quando isso acontece, o risco chega à conta, independentemente de a própria entidade ter feito algo.
Quando um beneficiário final se torna uma pessoa exposta politicamente, o risco muda para cada empresa que ele controla. Se um diretor é citado em um caso de fraude, essa exposição chega à direção da empresa. Um signatário incluído discretamente durante o onboarding pode ter passado despercebido na triagem inicial. A segurança contínua precisa abranger essas pessoas, além do nome que consta na conta, porque é justamente entre elas que as mudanças costumam ocorrer — e são exatamente essas mudanças que uma revisão anual da entidade tem menos chance de identificar.
Os benefícios vão além do compliance
Seria fácil apresentar tudo isso como uma formalidade que precisa ser cumprida com mais frequência. Na prática, a mudança do KYC periódico para o contínuo costuma ser uma das raras iniciativas que melhoram várias coisas ao mesmo tempo.
Você identifica o risco em tempo real: se um cliente começa a estruturar suas operações no terceiro mês, ele é sinalizado naquele mesmo mês, em vez de ser avaliado apenas na revisão seguinte, e as comunicações de atividades suspeitas (SARs) que você envia se baseiam em informações atuais, em vez de registros desatualizados. Você deixa de submeter clientes satisfeitos ao processo generalizado de reenvio de documentos, o que traz uma melhoria real e perceptível à experiência e à retenção de clientes. O custo também diminui. Empresas que adotam um KYC contínuo acionado por eventos geralmente constatam que conseguem eliminar a maior parte da carga de trabalho das revisões periódicas. Isso acontece porque o trabalho manual deixa de se concentrar em períodos programados, nos quais as equipes precisam reexaminar milhares de clientes que não mudaram, e passa a se concentrar nas exceções que realmente exigem atenção. Uma abordagem que oferece mais segurança, menor custo e menos atrito ao mesmo tempo é algo que nunca havia sido oferecido no campo do compliance. Vale entender por quê, já que isso contraria a intuição: a economia vem de deixar de usar seu recurso mais caro — analistas qualificados — para confirmar que nada mudou entre os muitos clientes para os quais, de fato, nada mudou. A maioria dos líderes de compliance passou a carreira inteira ouvindo que mais segurança sempre implica custos maiores. Este é um dos raros casos em que isso não se confirma.
Isso não vai gerar alertas demais?
Essa é a primeira objeção que as pessoas apresentam, e ela é razoável. As equipes de compliance já estão sobrecarregadas, e “monitoramento contínuo” realmente soa como uma promessa de ruído constante. A objeção seria válida se o KYC contínuo significasse repetir constantemente todas as verificações para todos os clientes e encaminhar tudo para uma pessoa.
Não é isso que um bom KYC contínuo faz, e esse é o ponto central. Como ele é acionado por eventos, a maioria dos clientes não gera registros na maior parte dos dias, porque a maioria não apresenta mudanças. Graças à abordagem baseada em risco, as atualizações de rotina dos clientes de baixo risco são tratadas discretamente em segundo plano, enquanto apenas mudanças significativas recebem destaque. E, como identifica corretamente cada pessoa ou entidade, o sistema não sinaliza todo cliente que por acaso tenha o mesmo nome de alguém em uma lista. Por isso, o KYC contínuo geralmente gera menos itens para análise humana do que as revisões abrangentes de um modelo periódico, e os itens que ele destaca são reais.
O verdadeiro problema não é o volume de alertas. É ter um sistema mal construído que acaba gerando muitos falsos positivos. Isso representa uma falha real e deve ser evitado por meio da resolução de entidades, da classificação por faixas de risco e de decisões de aprovação vinculadas às fontes — um tema que merece ser tratado com cuidado. Mas esse é um argumento a favor de construir um sistema de KYC contínuo, não um motivo para manter um modelo periódico que impede você de enxergar o que acontece entre as revisões. Em termos simples, a preocupação com a quantidade de alertas é, na verdade, uma questão de qualidade da implementação expressa de outra forma.
Como fazer a transição
A mudança de um modelo periódico para um contínuo depende principalmente de algumas escolhas deliberadas.
- Defina os eventos que servirão de gatilho: mudanças que devem levar a uma reavaliação, como uma correspondência em listas de sanções ou de PEP, mídia negativa, uma alteração nos beneficiários finais ou uma mudança no comportamento das transações.
- Faça triagens contínuas nas fontes adequadas, em vez de verificar apenas no onboarding e nas datas previstas no calendário.
- Classifique os clientes por faixas de risco, para que a intensidade do monitoramento corresponda ao risco de cada um, em vez de tratar toda a carteira da mesma forma.
- Aprove automaticamente os casos de baixo risco sem mudanças e encaminhe para análise humana apenas os que apresentarem mudanças reais, para que sua equipe dedique tempo ao que importa.
- Garanta que os registros de cada reavaliação sejam mantidos com as informações das fontes relevantes, para que o programa possa ser auditado e todas as decisões possam ser explicadas.
- Garanta que seus procedimentos escritos reflitam a prática. Se sua política ainda descreve um calendário de revisões periódicas, mas você realiza monitoramento contínuo, então está documentando um processo diferente daquele que realmente executa.
Você não precisa reformular seu processo de onboarding. A verificação inicial continua cumprindo sua função. O procedimento de KYC contínuo é o que garante que essa verificação permaneça válida durante todo o relacionamento com o cliente. Enquanto a equipe de onboarding estabeleceu quem estava entrando, o KYC contínuo garante que você ainda aprovaria esse cliente hoje.
Como saber se está funcionando
Se você fizer a mudança, meça os resultados, porque a melhoria deve aparecer nos números, e não apenas na teoria. Vale acompanhar alguns indicadores.
O tempo para detectar uma mudança é o mais importante: em média, quanto tempo passa entre uma alteração na situação de um cliente e o momento em que sua empresa toma conhecimento dela. No modelo periódico, esse intervalo é medido em meses. A proposta do KYC contínuo é reduzi-lo a dias. Há também o acúmulo de revisões pendentes, que deve diminuir à medida que as revisões em massa programadas dão lugar a verificações acionadas por eventos. Outro indicador é a proporção de revisões periódicas que não encontraram mudanças: se esse número for alto, ele indica diretamente quanto esforço vinha sendo desperdiçado. Por fim, há o grau de atualização das suas comunicações de atividades suspeitas, que deve melhorar à medida que você detecta comportamentos quando eles ocorrem, em vez de esperar pela próxima revisão. Juntos, esses quatro indicadores mostram se você realmente passou de um calendário para um sistema.
Se os números não estão mudando, a mudança não aconteceu de fato, independentemente do que o painel do fornecedor indique.
Perguntas frequentes
Mantenha a verificação válida
Uma verificação de KYC sem problemas no onboarding significa que era seguro atender o cliente no primeiro dia; ela não informa nada sobre o dia 500. Em geral, as empresas que acabam enfrentando dificuldades não tinham problemas graves no onboarding: elas simplesmente pararam de monitorar, e o cliente mudou durante esse período. O objetivo da segurança contínua é fechar essa lacuna, e custa menos detectar uma mudança na primeira semana do que lidar com ela no segundo ano.
A Beady foi desenvolvida para oferecer essa camada. Ela monitora continuamente seus clientes e as pessoas ligadas a eles usando listas de sanções, designações de PEP, mídia negativa e informações jurídicas e regulatórias, garantindo que você tome conhecimento de qualquer mudança no risco do cliente assim que ela ocorrer, sem precisar esperar pela próxima revisão programada. Cada resultado pode ser rastreado até a fonte original, para que você possa verificá-lo e mostrar a um fiscal exatamente o que sabia e quando. O processo de onboarding informa quem é o cliente, enquanto a Beady continua informando quem ele se tornou.
Se você quiser ver como a segurança contínua se aplicaria à sua base atual de clientes, agende uma demo e faremos essa análise com você.
