Beneficiário Final (UBO): Como Identificar Quem Realmente Controla uma Empresa

A lavagem de dinheiro custa ao Brasil cerca de R$ 200 bilhões por ano. Por trás de boa parte desse valor existe uma figura que os esquemas se esforçam para esconder: o beneficiário final — a pessoa física que realmente controla, lucra e decide, mas cujo nome não aparece em nenhum contrato social.

Beneficiário final (ou UBO, do inglês Ultimate Beneficial Owner) é a pessoa física que, em última instância, possui, controla ou se beneficia significativamente de uma entidade jurídica. Não importa quantas camadas societárias existam entre ela e a empresa na ponta. Não importa quantos países estejam no meio. O beneficiário final é sempre uma pessoa de carne e osso.

Desde 1º de janeiro de 2026, a IN RFB nº 2.290/2025 tornou a declaração obrigatória para um universo muito maior de empresas. E eliminou a saída fácil: não existe mais a opção de informar "inexistência de beneficiário final".

Eles escondem. A Receita agora exige que você encontre.

O que é beneficiário final (UBO) e por que você precisa identificar

O conceito vem das Recomendações 24 e 25 do GAFI/FATF — o organismo internacional que define os padrões globais de combate à lavagem de dinheiro e financiamento do terrorismo. A lógica é direta: crimes financeiros são cometidos por pessoas, não por CNPJs. Se você não sabe quem está por trás da estrutura societária, não sabe com quem está lidando.

Na definição da Receita Federal, beneficiário final é a pessoa natural que, em última instância, de forma direta ou indireta, possui, controla ou influencia significativamente uma entidade. Isso inclui três cenários:

• Propriedade: quem detém, direta ou indiretamente, participação societária relevante (o GAFI usa 25% como referência, mas a legislação brasileira vai além)
• Controle: quem exerce poder de decisão sobre a entidade, mesmo sem participação — via acordo de acionistas, procuração, relação familiar ou influência econômica
• Benefício: quem, na prática, recebe os ganhos financeiros da operação, mesmo que formalmente não conste em nenhum registro

A diferença entre sócio, controlador e beneficiário final é sutil, mas determinante. O sócio consta no contrato social. O controlador detém o poder de voto. O beneficiário final é quem realmente manda e lucra — e pode não ser nenhum dos dois. Um sócio oculto ou laranja pode figurar no QSA enquanto o verdadeiro dono opera nas sombras, três camadas acima na cadeia societária.

Por que identificar o beneficiário final é obrigatório

A obrigação vem de frentes diferentes, e todas apertaram ao mesmo tempo:

1. Regulatória: a IN RFB 2.290/2025 e as normas do BACEN exigem a identificação do UBO. Descumprir gera multa, suspensão de CNPJ e impedimento bancário.
2. Compliance: processos de KYC (Know Your Customer) e PLD/FT só estão completos quando o beneficiário final é identificado. Sem isso, o onboarding é uma formalidade vazia — e já vi empresas perderem contratos de R$ 2 milhões por não conseguirem comprovar que fizeram essa verificação.
3. Risco: fechar negócio com uma empresa cujo beneficiário final é desconhecido é assinar um cheque em branco. Pode ser um grupo econômico legítimo. Pode ser uma estrutura montada para lavar dinheiro.
4. Reputacional: mesmo que a lei não te pegue, a mídia pega. Basta um parceiro comercial aparecer em investigação para o seu nome ir junto na manchete.

O que muda com a IN RFB 2.290/2025 (novas regras 2026)

A Instrução Normativa RFB nº 2.290/2025, publicada em outubro de 2025, é a reforma mais agressiva das regras de beneficiário final que o Brasil já teve. A norma foi construída em consulta pública com contribuições do Banco Central, COAF, ANBIMA, B3 e escritórios de advocacia. Entrou em vigor em 1º de janeiro de 2026.

Principais mudanças

e-BEF como canal exclusivo. O formulário digital de beneficiários finais passa a ser o único meio de declaração, com envio eletrônico integrado ao cadastro do CNPJ.

Fim da "inexistência de beneficiário final." A norma anterior permitia que entidades informassem não possuir beneficiário final identificável. Essa opção foi eliminada. Agora, a prestação da informação é uma obrigação positiva — o sistema exige o preenchimento efetivo dos dados de pelo menos uma pessoa física.

Atualização anual obrigatória. Mesmo sem alterações societárias, a entidade deve confirmar ou atualizar os dados do beneficiário final a cada ano, até o último dia do ano-calendário.

Prazo de 30 dias para alterações. Qualquer mudança na estrutura de controle — entrada ou saída de sócios, alteração de participação, troca de administradores — exige atualização do e-BEF em até 30 dias.

Ampliação do escopo. Fundos de investimento, entidades sem fins lucrativos, sociedades simples e limitadas — segmentos que antes tinham obrigações reduzidas ou inexistentes — agora estão no radar.

Responsabilidade solidária dos administradores. Omissões que visem ocultar a real estrutura de controle geram responsabilidade solidária para os administradores da entidade. Não é mais só a empresa que responde — é a pessoa física que assinou.

Faseamento da entrada em vigor

A norma prevê duas ondas de implementação:

Quem está obrigado a declarar o beneficiário final

A lista se expandiu com a IN 2.290/2025. Agora, estão obrigadas:

• Entidades domiciliadas no exterior com atuação no Brasil (titulares de imóveis, veículos, contas bancárias, participações societárias ou aplicações financeiras)
• Sociedades empresárias limitadas com sócio pessoa jurídica no QSA
• Sociedades anônimas de capital fechado
• Fundos de investimento (novidade da IN 2.290/2025)
• Entidades sem fins lucrativos (novidade da IN 2.290/2025)
• Fundos de pensão domiciliados no Brasil ou no exterior
• Sociedades simples e limitadas com determinadas características societárias

Quem está dispensado

• Empresas do Simples Nacional com faturamento até R$ 4,8 milhões/ano
• Sociedades anônimas de capital aberto listadas em bolsa (já sujeitas às regras da CVM de divulgação de acionistas relevantes)
• Entidades integrantes da administração pública (direta e indireta)
• Organismos internacionais e representações diplomáticas

Como identificar o beneficiário final passo a passo

A obrigação legal é clara: identifique. Mas o "como" é onde a maioria trava. Quando o beneficiário final está a uma camada de distância — sócio direto de uma empresa — qualquer consulta ao QSA resolve. Quando está atrás de quatro holdings em três jurisdições diferentes, a coisa muda completamente. E, sendo honesto, nem sempre é possível chegar ao nome final. Algumas estruturas em jurisdições como Ilhas Virgens Britânicas simplesmente não têm disclosure pública. O que você pode fazer é documentar o esforço e mapear até onde os registros permitem.

Passo 1: Mapear a cadeia societária completa

Comece pelo QSA (Quadro de Sócios e Administradores) da Receita Federal. Identifique cada sócio. Se algum sócio for pessoa jurídica, repita o processo para essa empresa. E para as empresas acima dela. Continue até chegar em pessoas físicas.

Na prática, isso significa:

• Consultar o QSA de cada CNPJ na cadeia
• Verificar contratos sociais e alterações nas juntas comerciais
• Identificar acordos de acionistas que possam conferir controle a alguém que não é sócio formal
• Mapear procurações e poderes de gestão

Passo 2: Verificar controle efetivo (além da participação)

Participação societária é só uma dimensão. A IN 2.290/2025 exige identificar quem exerce controle efetivo — e isso pode não coincidir com quem tem mais cotas.

Sinais de controle efetivo sem participação formal:

• Poder de veto sobre decisões operacionais
• Direito de nomear ou destituir administradores
• Acordo de acionistas com cláusulas de controle
• Relação familiar com sócios formais (cônjuge, pais, filhos)
• Financiamento da operação sem registro societário

Passo 3: Cruzar com bases de dados complementares

O QSA sozinho conta metade da história. Para completar o quadro:

• Processos judiciais: revele litígios entre sócios, disputas de controle, execuções fiscais
• Registros imobiliários: identifique transferências patrimoniais que indiquem blindagem
• Listas de sanções e PEPs: verifique se o beneficiário final é uma pessoa politicamente exposta ou consta em listas restritivas
• Mídia e fontes abertas: notícias, investigações jornalísticas, publicações oficiais

Uma análise de vínculos bem-feita cruza todas essas fontes e revela conexões que consultas isoladas nunca mostrariam.

Passo 4: Documentar e classificar o risco

Cada beneficiário final identificado deve ser documentado com:

• Nome completo e CPF (ou documento equivalente para estrangeiros)
• Percentual de participação direta e indireta
• Forma de controle (propriedade, acordo, procuração, influência)
• Nível de risco (baixo, médio, alto) baseado em PEP status, jurisdição, histórico

Passo 5: Monitorar continuamente

Identificar o beneficiário final não é tarefa pontual. Estruturas societárias mudam. Sócios entram e saem. Holdings são criadas e dissolvidas. O monitoramento contínuo é o que separa compliance de fachada de compliance real.

Estruturas usadas para ocultar o beneficiário final

Se identificar o beneficiário final fosse sempre direto, não existiria regulamentação sobre o tema. Mas quem quer se esconder investe pesado nisso. As estruturas abaixo dificultam — e em alguns casos impossibilitam — o rastreamento pela via convencional.

Holdings em camadas (layering)

A estrutura mais comum: pessoa física controla Holding A, que controla Holding B, que controla Holding C, que detém a empresa operacional. Cada camada adiciona opacidade. Quando as holdings estão em jurisdições diferentes — uma no Panamá, outra em Delaware, outra nas Ilhas Virgens — o rastreamento manual se torna impraticável.

Os Panama Papers revelaram que o escritório Mossack Fonseca criou offshores para pelo menos 57 indivíduos ligados ao esquema da Petrobras. Mais de 100 offshores estavam conectadas a alvos da Operação Lava Jato. Todas existiam para uma coisa: esconder quem realmente controlava o dinheiro.

Sócios laranjas e testas de ferro

Pessoa sem capacidade econômica aparente figura como sócia de empresa de alto faturamento. Um padrão que a gente vê o tempo todo: renda declarada de R$ 2 mil e participação em empresa que fatura R$ 5 milhões/ano. O verdadeiro dono opera por trás, usando procurações, acordos verbais ou simples relação de confiança (e coerção). É o sócio oculto clássico — e continua sendo uma das estruturas mais usadas no Brasil.

Trusts e fundações no exterior

Em jurisdições como Liechtenstein, Ilhas Cayman e Jersey, trusts permitem separar a propriedade legal da propriedade econômica. O trustee (administrador legal) aparece nos registros. O settlor (quem constituiu) e o beneficiary (quem recebe os ganhos) podem permanecer completamente ocultos — a menos que a jurisdição exija disclosure.

Nominee shareholders e nominee directors

Serviço oferecido por escritórios em paraísos fiscais: uma pessoa ou empresa "de fachada" aparece como sócia ou diretora nos registros públicos, enquanto o verdadeiro proprietário opera sob acordo privado. A Mossack Fonseca operava exatamente esse modelo.

Estruturas circulares

Empresa A é sócia de Empresa B, que é sócia de Empresa C, que é sócia de Empresa A. Não tem "topo" da cadeia — e esse é o ponto. A circularidade é desenhada para confundir. Essa estrutura aparece recorrentemente em investigações de lavagem de dinheiro e fraudes empresariais no Brasil.

Ferramentas e tecnologia para identificação de UBO

Identificar beneficiário final manualmente funciona — até parar de funcionar. Um analista de compliance que precise avaliar 50 terceiros por mês não consegue rastrear cadeias societárias de 4 camadas para cada um deles consultando juntas comerciais uma a uma. A conta não fecha. E a pressão para responder rápido só aumenta: áreas de negócio não querem esperar 3 dias por uma análise de background antes de fechar contrato.

Consulta manual (Receita Federal + Juntas Comerciais)

Funciona para casos pontuais com estruturas simples (1-2 camadas, mesma jurisdição). O analista consulta o QSA na Receita, verifica o contrato social na Junta Comercial e identifica os sócios pessoa física.

Limite: acima de 10 entidades ou com qualquer camada internacional, o processo leva dias e perde conexões.

Bancos de dados comerciais

Plataformas como Bureau van Dijk (Orbis), Refinitiv e Dun & Bradstreet mantêm bancos de dados de estruturas societárias globais. Úteis para empresas grandes com presença internacional.

Limite: caros (uma licença do Orbis pode passar de US$ 30 mil/ano), focados em empresas formalizadas — não capturam estruturas informais ou manipuladas. Para a realidade brasileira de médio porte, o custo-benefício raramente justifica.

Plataformas com IA e grafos de conexões

A abordagem que mais mudou o jogo nos últimos anos combina inteligência artificial com visualização em grafos. O analista insere um CNPJ ou CPF e recebe a cadeia societária completa — da empresa operacional até o CPF do beneficiário final — com todas as ramificações, participações cruzadas e conexões indiretas.

O Sherlocker usa essa abordagem: IA que cruza dezenas de fontes públicas em segundos, gera o grafo interativo da estrutura societária e destaca automaticamente os nós que apresentam risco — PEPs, sancionados, vínculos com empresas em paraísos fiscais.

A diferença prática: o que um analista levaria 3 dias para mapear manualmente (e ainda assim perderia conexões), a plataforma entrega em minutos. Com a cadeia completa, documentada e auditável.

OSINT aplicado à identificação de UBO

Técnicas de OSINT (inteligência de fontes abertas) são o complemento que faz a diferença quando as fontes formais param de ajudar. Registros de offshores vazados (Panama Papers, Pandora Papers, Paradise Papers), registros de comércio de jurisdições com disclosure obrigatória (UK Companies House, por exemplo), mídia investigativa e até redes sociais podem revelar o beneficiário final que os registros formais escondem. Na prática, já vi casos em que o nome do UBO apareceu primeiro numa notícia de jornal local — não em nenhum banco de dados oficial.

Beneficiário final no contexto de KYC, AML e due diligence

Identificar o beneficiário final não existe no vácuo. Na prática, essa verificação é o eixo que conecta três processos — e quando falta, todos os três ficam incompletos.

KYC (Know Your Customer)

O KYC é incompleto sem a identificação do UBO. Verificar razão social, endereço e CNPJ da contraparte é o mínimo. Saber quem realmente está por trás — e se essa pessoa apresenta risco — é o que define se o relacionamento comercial deve ou não ser mantido.

A Circular BACEN 3.978/2020 exige que instituições financeiras identifiquem o beneficiário final de seus clientes. E não é sugestão — é condição para manter a licença.

AML (Anti-Money Laundering)

Lavagem de dinheiro depende de opacidade. Ponto. Quanto mais difícil identificar o beneficiário final, mais fácil mover dinheiro ilícito pela estrutura. A identificação do UBO é a primeira linha de defesa contra esquemas de layering — a etapa da lavagem onde o dinheiro passa por múltiplas entidades para se distanciar da origem criminosa. Se você quer entender como esses sinais de alerta aparecem na prática, vale a leitura complementar.

Em 2024, o COAF recebeu 7,5 milhões de comunicações de operações potencialmente suspeitas e produziu mais de 18 mil Relatórios de Inteligência Financeira. O Comitê de Inteligência Financeira e Recuperação de Ativos (CIFRA) analisou operações envolvendo mais de R$ 65 bilhões em valores suspeitos. Boa parte desses casos envolvia estruturas montadas para ocultar o beneficiário final.

Due diligence

Na due diligence pré-contratação, pré-aquisição ou pré-investimento, a identificação do UBO é o que separa análise séria de análise cosmética. Verificar certidões e balanços é o mínimo. Se você não sabe quem realmente controla a empresa-alvo, está tomando decisão no escuro — e a gestão de riscos de terceiros da sua empresa tem uma falha estrutural.

Casos emblemáticos da Operação Lava Jato ilustram: empresas com certidões impecáveis e balanços auditados eram, na prática, veículos controlados por operadores de propina. A cadeia societária — quando rastreada — revelava offshores em paraísos fiscais com beneficiários finais ligados a esquemas de corrupção.

PEP + UBO: risco potencializado

Quando o beneficiário final de uma empresa é uma pessoa politicamente exposta, o risco regulatório e reputacional se multiplica. A combinação exige:

• Due diligence reforçada (EDD — Enhanced Due Diligence)
• Monitoramento contínuo das transações
• Aprovação de nível hierárquico superior para manutenção do relacionamento
• Reporte imediato ao COAF em caso de operações atípicas

Penalidades: o que acontece se você não declarar

A IN RFB 2.290/2025 não trouxe só novas obrigações. Trouxe dentes. As penalidades para quem não declarar (ou declarar incorretamente) o beneficiário final são concretas, cumulativas e — diferente de muita regulamentação brasileira — estão sendo aplicadas.

Multa por atraso

R$ 1.500 por mês-calendário de atraso na indicação do beneficiário final via e-BEF. A multa é automática e cumulativa — cada mês sem declaração gera uma nova cobrança.

Multa por informações inexatas ou omissas

Além da multa por atraso, informações incorretas ou incompletas geram penalidade adicional, proporcional à gravidade da omissão.

Suspensão do CNPJ

A Receita Federal pode suspender a inscrição no CNPJ da entidade que não apresentar o e-BEF ou apresentá-lo com omissões. A suspensão é precedida de intimação com prazo de 30 dias para regularização.

Impedimento bancário

CNPJ suspenso significa impossibilidade de operar contas bancárias, realizar transações financeiras, emitir notas fiscais e participar de licitações. Na prática, a empresa para.

Responsabilidade solidária dos administradores

Essa é a mudança que mais assustou quem atua na área: administradores que omitirem informações com o objetivo de ocultar a real estrutura de controle respondem solidariamente. O CPF do administrador, seus bens pessoais — tudo entra na linha de fogo. Não é mais "problema da empresa". É problema de quem assinou.

Consequências indiretas

Além das penalidades formais, a não identificação do beneficiário final gera:

• Impossibilidade de fechar contratos com empresas que exigem compliance de terceiros
• Exclusão de cadeias de fornecimento de multinacionais com políticas de KYC/AML
• Risco reputacional em caso de investigação ou exposição pública
• Responsabilização em cadeia caso a entidade com UBO oculto esteja envolvida em ilícitos

Perguntas frequentes

O que é beneficiário final de uma empresa?

Beneficiário final é a pessoa física que, em última instância, possui, controla ou se beneficia significativamente de uma entidade jurídica. Mesmo que a empresa tenha sócios pessoa jurídica, o beneficiário final é sempre uma pessoa natural — a que está no topo da cadeia societária. O termo em inglês é UBO (Ultimate Beneficial Owner).

Qual a diferença entre sócio, controlador e beneficiário final?

O sócio consta formalmente no contrato social ou QSA. O controlador detém poder de decisão (geralmente via maioria de votos). O beneficiário final é quem efetivamente possui ou se beneficia da entidade — e pode não ser nenhum dos dois. Um sócio pode ser laranja; um controlador pode agir em nome de terceiro. O beneficiário final é a pessoa física real por trás da estrutura.

Como a tecnologia ajuda a identificar beneficiários finais ocultos?

Plataformas com inteligência artificial cruzam dezenas de fontes públicas simultaneamente — QSA da Receita Federal, juntas comerciais, tribunais, registros de offshores, listas de sanções — e geram grafos interativos da cadeia societária. Padrões que seriam invisíveis em consultas isoladas (sócios em comum, endereços compartilhados, estruturas circulares) ficam evidentes no grafo. O que levava dias de análise manual acontece em minutos.

A IN RFB 2.290/2025 se aplica a empresas brasileiras ou só estrangeiras?

Ambas. Historicamente, a obrigação de declarar beneficiário final era focada em entidades domiciliadas no exterior com atuação no Brasil. A IN 2.290/2025 expandiu o escopo para incluir sociedades empresárias limitadas com sócio PJ, sociedades anônimas de capital fechado, fundos de investimento e entidades sem fins lucrativos domiciliadas no Brasil.

O Simples Nacional precisa declarar beneficiário final?

Empresas enquadradas no Simples Nacional com faturamento até R$ 4,8 milhões/ano estão dispensadas da entrega do e-BEF. Porém, se a empresa sair do Simples ou ultrapassar o limite de faturamento, a obrigação passa a valer.

Identificar o beneficiário final deixou de ser diferencial de compliance sofisticado. É obrigação legal, com penalidades reais e prazos que já estão correndo. A pergunta não é se você precisa fazer — é se consegue fazer na escala e velocidade que o negócio exige sem comprometer a qualidade da análise.

O Sherlocker mapeia a cadeia societária completa em minutos — da holding offshore ao CPF do beneficiário final. Grafos interativos, cruzamento automático de fontes, alertas de PEP e sanções. Teste grátis por 5 dias e descubra quem realmente está por trás da estrutura. Eles escondem. Você encontra.