AML e KYC: uma é uma checagem, a outra é um regime

Duas siglas, uma reunião, e ninguém concorda sobre qual é qual. O compliance diz que a empresa precisa de AML. O comercial diz que já faz KYC em todo cliente novo. Os dois acham que estão falando do mesmo trabalho.

Não estão. É nessa lacuna que a fiscalização dá errado.

A versão curta: KYC é algo que você faz em um cliente, no começo. AML é o arcabouço que manda você fazer isso, mais tudo o que continua devido depois. Uma é uma tarefa. O outro é um regime com essa tarefa dentro.

A distinção não é acadêmica. Empresas compram uma ferramenta de identificação, marcam o item como resolvido e descobrem numa fiscalização que a checagem de identidade era talvez um quinto do que deviam.

KYC vem de Know Your Customer, conheça seu cliente. AML vem de Anti-Money Laundering, o que no Brasil aparece como PLD/FT, prevenção à lavagem de dinheiro e ao financiamento do terrorismo.

AML é o mais amplo dos dois. É o conjunto de lei, supervisão e procedimento interno criado para manter dinheiro criminoso fora de negócios legítimos. KYC é uma obrigação dentro dele: estabelecer quem é o seu cliente antes de fazer negócio com ele.

Perguntar "precisamos de KYC ou de AML?" funciona mais ou menos como perguntar se você precisa da prova prática ou do Código de Trânsito. Você faz a prova porque a lei manda, e ter passado não te livra de nada mais na estrada.

Por que as palavras se embaralharam

A maior parte da confusão veio dos fornecedores, sendo honesto. Verificação de identidade é a parte do regime mais fácil de vender como software, então ganhou o marketing mais barulhento. Procure ferramenta de AML e você vai achar principalmente produtos de KYC com AML no título da página.

O resto embala mal. Monitoramento de transações, comunicação de operações suspeitas, avaliação interna de risco por escrito, treinamento, guarda de documentos: nada disso rende uma demonstração de quinze minutos.

O KYC responde a uma pergunta só: esta pessoa ou empresa é quem diz ser?

Na prática ele se divide em três checagens, e a maioria das empresas roda apenas a primeira.

Verificação documental. O RG, a CNH ou o cartão CNPJ são autênticos e estão válidos? Uma checagem que presta lê os elementos de segurança e a zona legível por máquina, em vez de olhar um scan.

Prova de vida. Existe uma pessoa real apresentando aquele documento agora, ou alguém está segurando uma foto dele? É a checagem que pega o padrão de fraude mais comum, em que um documento verdadeiro é usado pela pessoa errada.

Em terceiro vem a triagem, e a triagem de sanções é obrigação própria e sem limite.

O cliente aparece em listas de sanções, ou é pessoa exposta politicamente, cujo cadastro exige diligência reforçada?

Quem roda as três sabe no primeiro dia com quem está lidando, e é disso que trata por inteiro o nosso guia sobre o que é KYC. Esse é o escopo inteiro. Sobre o que esse cliente faz com você no sétimo mês, o KYC não diz nada, e é exatamente esse silêncio que o AML preenche.

Cinco obrigações ficam fora da checagem de identidade, e é em cada uma delas que as empresas ficam a descoberto.

1. 1
   Avaliação interna de risco por escrito. Você precisa documentar quais clientes, produtos, países e canais te expõem a risco de lavagem, e classificá-los. O fiscal pede esse documento primeiro, e um número surpreendente de obrigados não o tem.
2. 2
   Monitoramento contínuo. A relação é acompanhada, não apenas aberta. Um cliente que passou no KYC em janeiro e começa a movimentar valores atípicos em junho é um problema de AML, e nenhuma checagem de documento vai sinalizar isso.
3. 3
   Comunicação de operações suspeitas. Quando algo destoa, você comunica ao COAF, e não avisa o cliente que comunicou. Errar o prazo aqui não é multa administrativa na maioria das jurisdições, é matéria criminal.
4. 4
   Guarda de documentos, em geral cinco anos após o fim da relação. Comprovantes de identificação, a razão por trás de decisões de risco, os papéis de cada comunicação.
5. 5
   Alguém com nome e responsabilidade. Quase todo regime quer um responsável formal pelo programa, mais treinamento documentado da equipe.

Vale dizer com todas as letras: uma empresa pode ter KYC impecável e reprovar em fiscalização nos cinco pontos.

Os padrões são globais. A redação é local.

Todo regime desta lista descende da mesma fonte, o GAFI e suas 40 Recomendações, e é por isso que o formato das obrigações rima entre países mesmo quando os números dos artigos não rimam.

Deixou de ser assunto de banco faz tempo

Esta é a parte que pega escritórios profissionais. Bancos sabem disso há décadas. O artigo 9 da Lei 9.613 alcança também cartórios, contadores e auditores, corretores de imóveis, factoring, empresas de bens de luxo e prestadores de serviços a sociedades, entre outros.

Uma imobiliária de cinco pessoas é pessoa obrigada com as mesmas obrigações centrais de um banco, sem o departamento de compliance junto. É uma posição desconfortável, e é a razão pela qual a checagem de identidade precisa morar dentro do trabalho que já existe, e não ao lado dele.

Onde consultar, por jurisdição

• Brasil: Lei 9.613/1998, artigo 9 para pessoas obrigadas, artigo 10 para identificação e artigo 11 para comunicação, com o COAF recebendo os relatos
• União Europeia: as diretivas de lavagem são transpostas nacionalmente, então os deveres coincidem e os nomes das leis não
• Alemanha: Geldwäschegesetz, supervisão da BaFin, comunicações à FIU
• França: o regime LCB-FT no Code monétaire et financier, comunicações ao Tracfin
• Espanha: Ley 10/2010, comunicações ao Sepblac
• Estados Unidos: Bank Secrecy Act, supervisão do FinCEN

Existe um ponto em que identidade e regime param de ser assuntos separados, e é a assinatura.

Um contrato assinado é a prova de que a relação existe, e provar que o arquivo em si está intacto é outro exercício, o da verificação de documentos. Se você não consegue mostrar quem estava do outro lado quando ele foi assinado, a checagem que você rodou três semanas antes em outra ferramenta prova muito pouco. Os dois registros vivem separados, e juntá-los depois significa vasculhar caixa de entrada.

Esse é o erro prático, e ele é chato em vez de dramático. O comercial coletou um scan do documento por e-mail. O compliance aprovou numa planilha. O contrato saiu por uma ferramenta de assinatura que não viu nenhum dos dois. Três sistemas, três carimbos de tempo, nenhuma trilha única.

Rodar a checagem dentro do fluxo de assinatura fecha isso. Resultado da identificação, prova de vida, triagem e a própria assinatura terminam numa trilha de auditoria só, ancorada para que ninguém a corrija discretamente depois. Quando o fiscal perguntar como você sabia quem assinou, a resposta é um registro em vez de três.

Tratar as siglas como sinônimos. A empresa que diz "estamos em compliance de AML, fazemos KYC" em geral fez um quinto do trabalho e ainda não sabe.

Comprar ferramenta em vez de escrever procedimento. Software roda checagens. Ele não decide seu apetite a risco, e o fiscal vai pedir a avaliação escrita antes de perguntar qual fornecedor você usa.

Cadastrar uma vez e nunca mais olhar é o terceiro. Classificação de risco envelhece. Um cliente de baixo risco no cadastro pode mudar de sócio, de jurisdição ou de comportamento, e nada na checagem original vai te avisar.

Guardar a prova de identidade em lugar diferente do contrato. Dois registros que não se referenciam são difíceis de defender sob questionamento, mesmo quando cada um é impecável sozinho.

O KYC diz quem entrou pela porta. O AML é tudo o que você deve daquele momento até cinco anos depois que o cliente foi embora.

Acertar o vocabulário importa porque o orçamento segue o vocabulário. A empresa que acha que as duas palavras significam a mesma coisa compra verificação de identidade e considera o programa pronto, para depois descobrir em fiscalização que avaliação de risco, monitoramento e comunicação nunca foram tarefa de ninguém.

Comece pela avaliação interna de risco escrita, porque é o que o fiscal abre primeiro e é onde todas as outras decisões se apoiam. Depois garanta que a checagem de identidade e o contrato assinado terminem no mesmo lugar, porque é esse par que vão te pedir junto.