KYC: o que é, o que a análise checa e quem é obrigado a fazer
KYC é checar quem é o cliente antes de fechar negócio. O que a análise verifica, quem é obrigado pelo COAF e como validar identidade à distância.
Introdução
KYC quer dizer Know Your Customer, conheça seu cliente: o conjunto de checagens que confirma quem é a pessoa ou a empresa antes de você fechar negócio com ela. No Brasil isso é obrigação legal para instituições reguladas e boa prática para qualquer um que assina contrato à distância.
Onboarding digital não acaba num formulário bonito. O que decide o valor dele é uma pergunta só: a pessoa do outro lado é mesmo quem diz ser, e você sabe disso antes de alguém assinar? Bancos, fintechs, contadores e corretoras têm essa obrigação por norma. O resto do mercado deveria fazer o mesmo por um motivo mais direto: cadastrar cliente à distância virou o ponto mais fácil para alguém se passar por outra pessoa.
Duas perguntas vivem se misturando. A assinatura eletrônica prova que o documento não mudou depois de assinado. Ela não diz nada sobre quem clicou. Você precisa das duas coisas, e cada uma é estabelecida por um mecanismo diferente.
Este guia mostra o que a verificação de identidade checa de fato, quem é obrigado por lei e como colocar a checagem dentro do próprio fluxo de assinatura em vez de deixá-la do lado. Se o que interessa é a outra metade do problema, conferir arquivos já assinados, veja nosso guia de verificação de documentos online.
A Chaindoc roda checagem de documento, prova de vida e triagem em listas no mesmo fluxo que coleta a assinatura, então identidade verificada e documento assinado ficam amarrados um ao outro. Veja a verificação KYC.
Por que o cadastro de cliente à distância dá errado
Fechar negócio com alguém que você nunca viu pessoalmente era exceção. Virou regra, e o ponto fraco foi junto. A fraude, aliás, raramente é sofisticada. Quase sempre é um RG ou CNH digitalizado que pertence a outra pessoa, encaminhado num e-mail que ninguém conferiu.
O documento parece legítimo porque é legítimo
O caso mais comum de fraude no cadastro é documento autêntico na mão errada. O RG é real, a foto é real, só quem enviou não é o titular. Olhar a digitalização não resolve. É exatamente para isso que existe a prova de vida, e é por isso que "pedimos cópia do documento" não conta como verificação.
Ninguém é dono da checagem
Em muita empresa a etapa de identidade mora na caixa de entrada de uma pessoa só. O comercial recebe o documento, alguém encaminha para o compliance, lá o arquivo é guardado, e o contrato sai por uma ferramenta completamente diferente. Quando o regulador pergunta dois anos depois qual documento estava no cadastro no momento da assinatura, a resposta leva uma semana. Às vezes não sai.
Vale enxergar assim: é tanto um problema de rastreabilidade quanto de fraude. Muita empresa verificou o cliente direito e simplesmente não consegue comprovar depois.
O que a análise KYC checa de verdade
"Verificar o cliente" soa como uma etapa única. Na prática são quatro checagens que respondem a perguntas diferentes, e dá para passar em umas e falhar em outras.
Autenticidade do documento
O sistema lê o documento e testa se ele é autêntico: itens de segurança, tipografia, o gabarito daquele modelo para aquele estado e ano de emissão, além do confronto do texto impresso com a zona de leitura mecânica e o chip. Gabarito que não bate é o que mais aparece aqui.
Prova de vida
Uma selfie curta ou um vídeo confirma que existe uma pessoa real presente agora e que o rosto dela bate com a foto do documento. É a checagem que corta o caso do documento emprestado, e é a que mais gente pula porque adiciona atrito ao cadastro.
Triagem em listas
Listas de sanções, pessoas expostas politicamente e mídia negativa. Para quem é obrigado, isso não é opcional, e precisa ser repetido em vez de rodar uma vez só no cadastro.
Amarrar o resultado à assinatura
O ponto esquecido. Se a verificação termina num sistema e a assinatura em outro, sobram dois registros sem vínculo comprovado. Amarre a identidade verificada ao hash do documento no instante da assinatura e você fica com uma cadeia de prova só, em vez de dois arquivos separados.
Sendo honesto: nenhuma checagem de identidade é garantia contra fraude. Modelos generativos já produzem imagens de documento em que a análise de pixel erra com frequência, e por isso o confronto com chip e zona de leitura mecânica pesa mais a cada ano do que a análise visual. Falamos disso em verificação de documentos com IA.
Quem é obrigado por lei a identificar o cliente
Parte do mercado verifica cliente por bom senso. Outra parte verifica porque o regulador multa quem não verifica. Para a segunda, a norma diz qual prova guardar e por quanto tempo.
Dois pontos costumam ser lidos errado. Primeiro, a obrigação nasce *antes* do início da relação, não na primeira transação, então o lugar certo da checagem é o contrato. Segundo, a verificação remota é admitida e hoje é o padrão do mercado, com biometria e prova de vida. "O cliente precisa vir até a agência" deixou de ser verdade faz tempo.
Quando o contrato também exige um nível específico de assinatura, checagem de identidade e nível de assinatura conversam entre si. O detalhe está no guia de assinatura eletrônica qualificada.
Por trás dessa obrigação está o regime de prevenção à lavagem de dinheiro inteiro, e os dois são confundidos com frequência: AML e KYC mostra o que cada um cobre.
Colocar a checagem dentro do fluxo de assinatura
A ordem das etapas decide quanto a prova vale lá na frente. Verificar primeiro, assinar depois, e manter as duas coisas ligadas.
Verificar antes de abrir o documento
O cliente recebe um link, faz a checagem do documento e a prova de vida, e só então chega ao contrato. Nada para assinar enquanto a identidade não fecha. Parece óbvio, mas o padrão costuma ser o contrário: manda o contrato, corre atrás do documento depois, torce.
Amarrar o resultado à assinatura
Na hora de assinar, resultado da checagem, carimbo de tempo e hash do documento são gravados juntos. Esse hash é uma impressão digital do conteúdo exato do arquivo. Mude um caractere e ele para de bater. Assim você mostra duas coisas: o documento não foi alterado, e quem assinou foi a pessoa verificada. A Chaindoc ancora esse registro em blockchain para o carimbo de tempo não depender do nosso próprio banco de dados, o que importa justamente quando a outra parte contesta.
Deixar a prova localizável
Prova que ninguém acha não é prova. Checagem, documento e trilha de auditoria ficam no mesmo lugar, com permissão por papel para que só quem precisa abra dados de identidade. Qualquer pessoa pode depois conferir um documento pronto de forma independente na verificação de assinatura.
Verifique o cliente e depois colete a assinatura
Checagem de documento, prova de vida e triagem no mesmo fluxo do contrato, com uma única trilha de auditoria.
O que você ganha verificando antes de assinar
Fazer a checagem direito muda três coisas, e só uma delas se chama conformidade.
A prova se sustenta
Um registro completo mostra qual identidade foi verificada, por qual método, e qual documento exato aquela pessoa assinou. Numa fiscalização isso é a diferença entre uma conversa curta e remontar o processo inteiro. Quem carrega isso é a trilha de auditoria.
As disputas encurtam
Não repúdio significa que quem assinou não consegue sustentar que nunca concordou. Com identidade verificada amarrada a um documento com hash, "não fui eu" deixa de ser argumento.
O cadastro fica mais rápido
Esse ponto costuma surpreender. Todo mundo assume que checagem de identidade atrasa, e no manual atrasa mesmo. Uma checagem automática resolve em menos de um minuto e elimina o vaivém de e-mail, que era onde os dias realmente sumiam.
Ressalva honesta: isso adiciona uma etapa para o cliente, e uma parte vai desistir exatamente ali. Num cadastro self-service de baixo valor, checagem completa com documento e vídeo pode custar mais em desistência do que economiza em fraude. A profundidade da checagem tem que acompanhar o risco.
Como incluir verificação de identidade no cadastro
Não é preciso trocar suas ferramentas para acrescentar isso. Três movimentos, nesta ordem.
1. Definir quem recebe qual nível de checagem
Nem todo cliente precisa da mesma profundidade. Escreva os níveis: uma renovação pequena resolve com e-mail e assinatura, um cliente corporativo novo com volume alto pede documento, prova de vida e triagem. Quem é obrigado tem pouca margem, a norma define o piso. O resto deveria escrever a regra do mesmo jeito, porque checagem inconstante vale menos do que checagem leve e regular.
2. Colocar a checagem antes da assinatura
Etapa de identidade e contrato pertencem ao mesmo fluxo, para o cliente percorrer um caminho e não dois. Erro clássico aqui: a empresa mantém o pedido antigo por e-mail "por garantia" e acaba com dois processos paralelos e dois arquivos. O caminho antigo precisa ser desligado de verdade.
3. Repetir a triagem com calendário
Situação em listas de sanções e de pessoa exposta politicamente muda. Quem estava limpo em março pode aparecer numa lista em outubro, e checagem feita uma vez é checagem vencida. Defina um intervalo e cumpra: trimestral para risco alto, anual para o restante.
O que revisar em cada ciclo:
- A triagem contra as listas atualizadas
- Quem no time consegue abrir dados de identidade, e se ainda precisa
- Documentos vencidos desde o cadastro
- Se a prova continua acessível em um clique
Boas práticas com dados de identidade
Alguns hábitos separam quem passa em fiscalização de quem sai procurando às pressas.
Coletar o mínimo
Dado de identidade é a categoria mais sensível que você vai guardar. A LGPD exige guardar só o necessário e só pelo prazo previsto. Acumular cópias de documento "por garantia" é o oposto de garantia.
Restringir acesso por papel
Comercial e suporte raramente precisam ver o documento de identidade de um cliente. Libere para os papéis de compliance e jurídico que realmente usam, revise a lista periodicamente e registre cada abertura.
Não aceitar foto de foto
Print de documento enviado no WhatsApp não é verificação, por mais nítido que esteja. Se o documento não passou por uma checagem que testou o papel e confirmou pessoa viva, continua sendo afirmação sem lastro.
Treinar quem faz o cadastro
Quem fala com cliente vai sofrer pressão para pular a etapa numa conta importante. Essas pessoas precisam saber que podem dizer não e para quem escalar. A maior parte das falhas de controle que vi não era técnica.
Identidade e integridade respondem perguntas diferentes. A verificação de identidade diz quem é a pessoa. O hash do documento diz que o arquivo não mudou desde a assinatura. Uma não substitui a outra, e uma prova sólida precisa das duas.
Conclusão
Onboarding digital deixou de ser formalidade de banco quando a relação com o cliente passou a nascer inteira à distância. Se você é obrigado por norma, ela diz o que coletar e por quanto tempo guardar. Se não é, o motivo é mais simples: você está prestes a fechar um compromisso vinculante com alguém que nunca viu.
Acerte a sequência e a maior parte da dificuldade some. Verificar a pessoa, deixar assinar, e guardar verificação e documento assinado amarrados. Uma checagem que mora num sistema diferente do da assinatura é justamente a que falha dois anos depois, quando a única pergunta que importa é qual identidade assinou qual arquivo.
Para ler depois
As obrigações acima estão na Lei 9.613/1998 e na Circular BCB 3.978/2020. Os níveis de assinatura vêm da Lei 14.063/2020.
Compare os planos na página de preços e veja mais guias no blog da Chaindoc.
Tags
Perguntas frequentes
Respostas principais sobre a Chaindoc e fluxos seguros de assinatura de documentos.
KYC é a sigla de Know Your Customer, conheça seu cliente. Na prática é o conjunto de checagens que confirma identidade, documento e situação da pessoa ou empresa antes de você aceitá-la como cliente. No Brasil o Banco Central e o COAF exigem isso de instituições reguladas, com base na Lei 9.613/1998. Quem não é regulado não tem a obrigação, mas assume o prejuízo sozinho quando o contrato acaba assinado por outra pessoa.
Onboarding digital é o cadastro de um cliente sem presença física: verificar a identidade dele, coletar os dados e assinar eletronicamente os contratos necessários. O núcleo é a identificação, que normalmente combina checagem do documento, prova de vida e triagem contra listas de sanções e de pessoas expostas politicamente.
Instituições financeiras e de pagamento, factoring, imobiliárias, joalherias, contadores e outros setores listados pela Lei 9.613/1998 e pela regulação do COAF. Instituições autorizadas pelo Banco Central seguem ainda a Circular BCB 3.978/2020. A obrigação começa antes do início da relação, não na primeira transação.
Pode, e hoje é o padrão. O que a norma cobra é que o procedimento teste o documento e confirme uma pessoa viva. Uma cópia de documento recebida por e-mail não cumpre isso.
A verificação de identidade é uma parte do KYC. O KYC é mais amplo: envolve conhecer a atividade do cliente, classificar o risco dele, fazer triagem em listas e monitorar a relação ao longo do tempo. Verificar identidade é onde o KYC começa, não onde termina.
Sozinha, não. A assinatura eletrônica simples prova que o documento não foi alterado depois de assinado e registra o ato da assinatura. Ela não estabelece por conta própria que o humano por trás do clique é o seu cliente. Por isso a checagem de identidade e o registro da assinatura precisam ficar amarrados, ou é preciso usar a assinatura qualificada, que já carrega identidade verificada pela ICP-Brasil.
No mínimo cinco anos a partir do encerramento da relação, conforme a Lei 9.613/1998. Alguns setores regulados exigem prazos maiores, vale checar a norma do seu segmento.
Evita que alguém use um documento autêntico que pertence a outra pessoa, que é a fraude mais comum no cadastro. Uma digitalização não diz quem enviou; um vídeo curto diz.
Mais guias sobre assinatura eletrônica e blockchain
Guias práticos sobre assinaturas eletrônicas, trilhas de auditoria em blockchain e gestão segura de documentos, escolhidos para aprofundar o que acabou de ler.
