KYC e KYB Brasil: Guia de Verificação de Clientes e Parceiros [2026]

Em 2024, o Conselho de Controle de Atividades Financeiras (COAF) registrou um aumento de 766% nas comunicações de operações suspeitas em relação a 2015. Foram mais de 2,5 milhões de alertas no ano — e o número saltou para 3,1 milhões em 2025. Os dados revelam uma realidade incômoda: o Brasil se tornou terreno fértil para crimes financeiros, e muitas empresas ainda operam no escuro sobre quem são seus clientes e parceiros.

É aqui que entram o KYC (Know Your Customer) e o KYB (Know Your Business). Mais do que siglas de compliance, são processos fundamentais para qualquer empresa que queira evitar fraudes, sanções regulatórias e danos à reputação.

Neste guia, você vai entender o que são KYC e KYB, como funcionam na prática, quais são os requisitos legais no Brasil e como implementar uma verificação robusta de clientes e parceiros — incluindo a identificação de beneficiários finais e detecção de empresas de fachada.

O que é KYC (Know Your Customer)?

KYC, ou "Conheça Seu Cliente", é o conjunto de procedimentos que uma empresa utiliza para verificar a identidade de seus clientes antes e durante o relacionamento comercial. O conceito surgiu no setor financeiro como resposta às exigências de prevenção à lavagem de dinheiro (PLD), mas hoje se aplica a praticamente qualquer empresa que estabeleça relações comerciais de risco.

Os três pilares do KYC

O processo de KYC se estrutura em três componentes fundamentais:

1. Identificação do cliente (Customer Identification Program - CIP)

É o primeiro passo: coletar dados básicos que permitam identificar quem é a pessoa ou empresa. Para pessoas físicas, isso inclui nome completo, CPF, data de nascimento, endereço e documentos de identidade. Para pessoas jurídicas, entram CNPJ, razão social, endereço da sede e dados dos representantes legais.

2. Verificação de identidade (Customer Due Diligence - CDD)

Não basta coletar os dados — é preciso confirmar que são verdadeiros. Isso envolve validação de documentos, consulta a bases de dados oficiais, e cada vez mais, verificação biométrica e prova de vida. A profundidade da verificação depende do nível de risco: clientes de alto risco exigem Enhanced Due Diligence (EDD), com investigações mais aprofundadas.

3. Monitoramento contínuo

KYC não é um evento único. É um processo contínuo. Dados mudam, riscos evoluem, e clientes que pareciam seguros podem se tornar problemáticos. O monitoramento inclui acompanhamento de transações, atualização cadastral periódica e screening contra listas de sanções e pessoas politicamente expostas (PEPs).

Por que empresas precisam fazer KYC?

A resposta curta: porque a lei exige e porque protege o negócio.

A resposta longa envolve três dimensões:

Compliance regulatório. A Circular BCB 3.978/2020 estabelece obrigações claras de identificação e verificação de clientes para instituições financeiras. A Lei 9.613/1998 (Lei de Lavagem de Dinheiro) criminaliza operações que ocultem a origem de recursos ilícitos — e empresas que facilitam essas operações, mesmo sem intenção, podem ser responsabilizadas.

Proteção contra fraudes. Segundo a Serasa Experian, o Brasil registrou 10,8 milhões de tentativas de fraude até setembro de 2025 — uma a cada 2,2 segundos. Inconsistências cadastrais representaram 51,4% das detecções. Um processo de KYC robusto é a primeira barreira contra fraudadores.

Reputação e confiança. Empresas associadas a escândalos de lavagem de dinheiro ou fraudes sofrem danos reputacionais que podem ser fatais. Um KYC bem estruturado demonstra comprometimento com integridade e atrai parceiros e clientes que valorizam transparência.

O que é KYB (Know Your Business)?

Se o KYC verifica pessoas físicas, o KYB (Know Your Business) faz o mesmo com pessoas jurídicas. É o processo de verificação de empresas com as quais você pretende fazer negócios — sejam clientes, fornecedores, parceiros ou investidores.

O KYB é mais complexo que o KYC por uma razão simples: empresas têm estruturas societárias, e por trás de todo CNPJ existem pessoas físicas que tomam decisões e se beneficiam dos resultados. Identificar quem são essas pessoas — os chamados beneficiários finais — é o coração do KYB.

Diferença entre KYC e KYB

Aspecto	KYC	KYB
Foco	Pessoas físicas	Pessoas jurídicas
Dados básicos	CPF, RG, endereço pessoal	CNPJ, contrato social, endereço comercial
Complexidade	Moderada	Alta (estruturas societárias)
Ponto crítico	Identidade do indivíduo	Beneficiário final (UBO)
Risco principal	Fraude de identidade	Empresas de fachada, laranjas

Quando aplicar KYB?

O KYB é obrigatório sempre que sua empresa estabelecer relação comercial com outra pessoa jurídica que represente risco relevante:

• Onboarding de clientes PJ — especialmente em volumes altos ou contratos de longo prazo
• Homologação de fornecedores — para evitar terceirização de irregularidades
• Parcerias comerciais — joint ventures, consórcios, representações
• Operações de M&A — due diligence pré-aquisição
• Concessão de crédito — análise de risco de empresas tomadoras

Identificação de beneficiário final (UBO)

O Ultimate Beneficial Owner (UBO) — ou beneficiário final, em português — é a pessoa física que, em última instância, detém propriedade ou controle significativo sobre uma empresa. A Circular BCB 3.978/2020 define como beneficiário final a pessoa física que:

• Possui, direta ou indiretamente, mais de 25% do capital social; ou
• Exerce controle significativo sobre a empresa, mesmo sem participação societária

A identificação do UBO é um dos maiores desafios do KYB. Estruturas societárias complexas, holdings em cascata e empresas offshore são frequentemente usadas para ocultar os verdadeiros controladores. É aqui que ferramentas de investigação empresarial fazem diferença — permitindo mapear cadeias societárias e identificar conexões que documentos oficiais não revelam.

Marco Regulatório no Brasil

O compliance de KYC e KYB no Brasil está ancorado em um conjunto de leis e regulamentações que evoluíram significativamente nas últimas décadas. Entender esse marco é fundamental para implementar processos adequados.

Lei 9.613/1998 — O alicerce do sistema PLD

A Lei 9.613/1998 é o marco legal da prevenção à lavagem de dinheiro no Brasil. Ela estabelece:

• Criminalização da lavagem de dinheiro — ocultar ou dissimular a origem de recursos provenientes de crimes é crime autônomo
• Obrigações para setores regulados — bancos, corretoras, imobiliárias, joalherias e outros devem reportar operações suspeitas
• Criação do COAF — órgão responsável por receber e analisar comunicações de operações suspeitas

A Lei 12.683/2012 ampliou significativamente o alcance da lei original, incluindo mais setores obrigados e eliminando a lista taxativa de crimes antecedentes — qualquer infração penal que gere recursos pode configurar lavagem.

Circular BCB 3.978/2020 — O manual prático

Para instituições reguladas pelo Banco Central, a Circular BCB 3.978/2020 é o documento-chave. Ela detalha:

• Procedimentos de identificação — quais dados coletar de clientes PF e PJ
• Classificação de risco — critérios para avaliar o nível de risco de cada cliente
• Monitoramento contínuo — frequência e profundidade das revisões
• Identificação de beneficiário final — metodologia para mapear UBOs
• Tratamento de PEPs — procedimentos específicos para pessoas politicamente expostas

LGPD e seus impactos no KYC

A Lei Geral de Proteção de Dados (Lei 13.709/2018) criou uma tensão interessante: o KYC exige coleta massiva de dados pessoais, enquanto a LGPD limita essa coleta.

A boa notícia é que o KYC geralmente se enquadra em bases legais claras:

• Cumprimento de obrigação legal — para setores regulados, a coleta é obrigatória por lei
• Execução de contrato — dados necessários para estabelecer a relação comercial
• Legítimo interesse — prevenção a fraudes é interesse legítimo do controlador

O desafio está na minimização de dados — coletar apenas o necessário — e na retenção — manter dados apenas pelo tempo exigido em lei. A LGPD também reforça o direito dos titulares de saber quais dados são tratados e com que finalidade.

O papel do COAF

O Conselho de Controle de Atividades Financeiras é a unidade de inteligência financeira brasileira. Sua missão é:

• Receber comunicações de operações suspeitas (COS) e de operações em espécie (COE)
• Analisar as comunicações e produzir Relatórios de Inteligência Financeira (RIFs)
• Encaminhar RIFs para autoridades competentes (Polícia Federal, Ministério Público)

Em 2024, o COAF recebeu 7,5 milhões de comunicações de setores obrigados. Desse total, 2,5 milhões eram comunicações de operações suspeitas. Os dados mostram a escala do desafio — e a importância de processos de KYC que filtrem riscos antes que cheguem ao ponto de exigir comunicação ao regulador.

Quem Precisa Fazer KYC/KYB?

A resposta simples é: virtualmente toda empresa que se relaciona com clientes ou parceiros de negócios. Mas o nível de obrigação e a profundidade exigida variam conforme o setor e o tipo de operação.

Setores com obrigação regulatória expressa

Instituições financeiras e fintechs

Bancos, corretoras, distribuidoras de valores, instituições de pagamento e fintechs estão sob supervisão direta do Banco Central. A Circular 3.978/2020 estabelece obrigações detalhadas de KYC, incluindo:

• Identificação completa de clientes PF e PJ
• Classificação de risco em categorias (baixo, médio, alto)
• Monitoramento de transações e comunicação de operações suspeitas
• Identificação de beneficiários finais para clientes PJ

Empresas de criptoativos e meios de pagamento

A Resolução BCB 277/2022 estendeu as obrigações de PLD/FT para prestadoras de serviços de ativos virtuais. Exchanges de criptomoedas, custodiantes e outros players do setor devem implementar políticas de KYC equivalentes às de instituições financeiras tradicionais.

Mercado de capitais

Corretoras de valores, gestoras de fundos e outros participantes do mercado de capitais seguem as normas da CVM. A Resolução CVM 617 estabelece requisitos de controles internos e procedimentos de KYC.

Setores específicos

A Lei 9.613/1998 também obriga comunicações de setores como:

• Imobiliárias e incorporadoras
• Comércio de joias, pedras preciosas e metais
• Empresas de factoring
• Loterias e apostas
• Consultores em fusões e aquisições

Empresas não reguladas — a fronteira do bom senso

Mesmo empresas que não estão sob supervisão direta de reguladores têm interesse em implementar KYC e KYB. Os motivos:

Prevenção a fraudes. A Grant Thornton identificou que 63% das empresas brasileiras sofreram fraudes nos últimos 12 meses. Um processo de verificação de clientes e parceiros reduz essa exposição.

Due diligence de fornecedores. Contratar um fornecedor envolvido em irregularidades pode expor sua empresa a riscos trabalhistas, tributários e reputacionais. O KYB de fornecedores é cada vez mais uma exigência de mercado.

Compliance anticorrupção. A Lei Anticorrupção (12.846/2013) responsabiliza empresas por atos de corrupção praticados em seu interesse. Conhecer seus parceiros é a primeira linha de defesa.

Como Implementar KYC na Prática

Teoria é importante. Mas o que realmente muda resultados é a implementação. Veja como estruturar um processo de KYC eficiente para pessoas físicas e jurídicas.

Documentos necessários para pessoa física

O conjunto mínimo de documentos e dados para KYC de pessoa física inclui:

Dados cadastrais básicos:

• Nome completo
• CPF
• Data de nascimento
• Filiação
• Naturalidade e nacionalidade
• Endereço residencial completo

Documentos de identidade (ao menos um):

• RG ou CNH
• Passaporte
• Documento de identificação profissional (OAB, CRM, CREA)

Para perfis de maior risco, adicionar:

• Comprovante de endereço recente (até 90 dias)
• Comprovante de renda ou declaração de IR
• Selfie com documento (prova de vida)

Documentos necessários para pessoa jurídica

O KYC de pessoas jurídicas exige um conjunto mais amplo:

Dados da empresa:

• CNPJ e razão social
• Endereço da sede e filiais
• Data de constituição
• Objeto social / atividades (CNAEs)
• Capital social

Documentos societários:

• Contrato social ou estatuto consolidado
• Alterações contratuais relevantes
• Ata de eleição de administradores (para S.A.)
• Procurações vigentes

Dados dos representantes legais e sócios:

• Documentos pessoais (RG, CPF)
• Comprovante de endereço
• Verificação de poderes de representação

Onboarding digital: tecnologias e processos

A transformação digital revolucionou o KYC. O que antes exigia presença física e dias de análise agora pode ser feito em minutos, com tecnologias como:

OCR (Reconhecimento Óptico de Caracteres)

Extrai automaticamente dados de documentos fotografados ou escaneados. Reduz erros de digitação e acelera o cadastro.

Verificação biométrica facial

Compara a foto do documento com uma selfie do usuário. Algoritmos de IA detectam se é a mesma pessoa e identificam tentativas de fraude (fotos de fotos, deepfakes).

Prova de vida (liveness detection)

Garante que a pessoa está presente no momento da verificação. Pode exigir movimentos específicos (piscar, virar a cabeça) ou usar detecção passiva de sinais vitais.

Consultas a bases de dados

Validação em tempo real contra bases oficiais: Receita Federal (CPF/CNPJ), tribunais, listas de sanções, PEPs, mídias negativas.

O segredo está na orquestração: combinar múltiplas verificações em um fluxo fluido que não sacrifique a experiência do usuário nem a segurança do processo.

Como Implementar KYB na Prática

O KYB vai além do que aparece nos documentos societários. É um processo de investigação que busca entender quem realmente está por trás da empresa e quais riscos ela representa.

Verificação de CNPJ e situação cadastral

O primeiro passo é validar que a empresa existe e está regular:

• Consulta ao CNPJ na Receita Federal — situação cadastral, data de abertura, CNAEs
• Verificação de regularidade fiscal — certidões negativas de débitos federais, estaduais e municipais
• Consulta a juntas comerciais — registro e situação nos órgãos de registro

Empresas com situação cadastral irregular, datas de abertura muito recentes ou frequentes alterações cadastrais merecem atenção redobrada.

Análise do quadro societário

Quem são os sócios? Qual a participação de cada um? Há outras empresas no quadro societário?

A análise deve mapear:

• Composição societária atual — sócios PF e PJ, percentuais
• Histórico de alterações — mudanças recentes no quadro podem indicar reestruturação para ocultar beneficiários
• Sócios em comum com outras empresas — padrões de conexão entre empresas
• Estruturas de holding — empresas controladas por outras empresas exigem análise em cascata

Identificação de beneficiário final

Seguindo a Circular BCB 3.978/2020, o processo de identificação de UBO deve:

1. Mapear a cadeia societária até chegar às pessoas físicas
2. Identificar participações superiores a 25% — diretas ou indiretas
3. Verificar controle efetivo — mesmo sem participação majoritária, quem toma decisões?
4. Documentar a análise — manter evidência do processo e das conclusões

Quando a estrutura é opaca (offshores, trusts, fundações), o risco aumenta e medidas adicionais são necessárias.

Background check de sócios e administradores

Uma empresa é tão íntegra quanto as pessoas que a comandam. O background check deve verificar:

• Processos judiciais — cíveis, criminais, trabalhistas, falências
• Protestos e dívidas — negativações em bureaus de crédito
• Listas de sanções — OFAC, ONU, listas nacionais
• PEP (Pessoa Politicamente Exposta) — cargos públicos ou proximidade com poder
• Mídias adversas — notícias que indiquem envolvimento em escândalos

Plataformas de investigação empresarial como o Sherlocker automatizam essas verificações, cruzando dados de múltiplas fontes para identificar riscos que análises manuais deixariam passar.

Monitoramento Contínuo

O erro mais comum em compliance é tratar KYC e KYB como eventos únicos. Fez o onboarding, passou. Mas riscos não são estáticos.

Por que a verificação inicial não basta

• Dados mudam. Endereços, sócios, atividades econômicas — tudo pode mudar após o cadastro.
• Riscos evoluem. Um cliente que era baixo risco pode se envolver em situações que elevem seu perfil de risco.
• Listas são atualizadas. Sanções, PEPs e outras listas são dinâmicas. Quem não estava nelas ontem pode estar hoje.
• Comportamento transacional revela padrões. Volumes atípicos, origens incomuns de recursos, frequência anormal de operações — sinais que só aparecem ao longo do tempo.

Alertas de mudanças cadastrais e societárias

Um sistema de monitoramento eficiente deve detectar automaticamente:

• Alterações no quadro societário
• Mudanças de endereço ou CNAE
• Novos processos judiciais envolvendo a empresa ou seus sócios
• Negativações e protestos
• Inclusão em listas de sanções ou PEPs
• Menções em mídias relacionadas a riscos

Ferramentas de monitoramento contínuo enviam alertas quando algo muda, permitindo ação proativa em vez de descobertas tardias.

Screening de listas de sanções e PEP

O screening deve ser:

• Abrangente — listas nacionais (COAF, CGU) e internacionais (OFAC, ONU, UE)
• Atualizado — as listas mudam frequentemente; screening defasado é inútil
• Recorrente — não apenas no onboarding, mas periodicamente durante todo o relacionamento
• Documentado — manter registros das verificações e seus resultados

Detecção de transações suspeitas

Para empresas que processam transações, o monitoramento deve incluir:

• Regras de alerta — valores acima de limites, frequência atípica, origens de risco
• Análise de padrões — comportamento comparado ao perfil declarado do cliente
• Investigação de alertas — processo estruturado para analisar e decidir sobre cada alerta
• Comunicação ao COAF — quando os indícios justificarem

Riscos de Não Fazer KYC/KYB

Ignorar ou fazer mal-feito o processo de verificação de clientes e parceiros expõe a empresa a riscos concretos e potencialmente devastadores.

Multas e sanções administrativas

Os reguladores não brincam. O COAF, sozinho, já aplicou mais de R$ 219 milhões em multas históricas por descumprimento de obrigações de PLD/FT. Em 2023, foram R$ 38 milhões — recorde até então. O Banco Central tem aplicado multas milionárias a instituições financeiras por falhas em controles de lavagem.

As penalidades incluem:

• Multas que podem chegar a R$ 20 milhões por infração (ou o dobro do valor da operação)
• Advertências públicas
• Suspensão de atividades
• Cassação de autorização de funcionamento

Penalidades criminais

A Lei 9.613/1998 prevê pena de 3 a 10 anos de reclusão para lavagem de dinheiro. Administradores que negligenciam obrigações de compliance podem ser responsabilizados criminalmente por omissão ou até por participação nos crimes que deixaram passar.

Danos reputacionais

Talvez o risco mais subestimado. Uma empresa associada a escândalos de lavagem de dinheiro:

• Perde clientes que valorizam integridade
• Enfrenta dificuldades para atrair investidores
• Sofre restrições de acesso a linhas de crédito
• Tem dificuldade para firmar parcerias estratégicas

A reputação leva anos para construir e pode ser destruída em uma manchete.

Casos reais no Brasil

A história recente está repleta de exemplos:

• Fintechs usadas como "bancos paralelos" — investigações da Receita Federal identificaram instituições de pagamento que movimentaram mais de R$ 46 bilhões em operações de organizações criminosas entre 2020 e 2024.
• Empresas de fachada em fraudes corporativas — esquemas que usam CNPJs recém-abertos, sem histórico, para simular transações legítimas.
• Laranjas corporativos — pessoas físicas usadas como sócios de dezenas de empresas, sem conhecimento ou capacidade financeira para as operações declaradas.

Como o Sherlocker Ajuda no KYC/KYB

O compliance de KYC e KYB exige capacidade de investigação que vai além de consultas básicas a bancos de dados. É preciso cruzar informações, identificar conexões ocultas e detectar padrões que sistemas simples não percebem.

Investigação automatizada de empresas e sócios

O Sherlocker foi construído para investigação empresarial. A plataforma permite:

• Consulta instantânea de dados cadastrais, societários e processuais
• Mapeamento completo de cadeias societárias — identificando beneficiários finais mesmo em estruturas complexas
• Histórico de alterações cadastrais e societárias
• Verificação de representantes legais e procuradores

Cruzamento de dados para identificar riscos ocultos

O diferencial está no cruzamento. O Sherlocker conecta dados de múltiplas fontes para revelar:

• Sócios em comum entre empresas aparentemente desconectadas
• Endereços compartilhados que indicam operação conjunta
• Padrões de criação de empresas (mesmo cartório, mesmas datas, mesmos contadores)
• Conexões com empresas já investigadas ou sancionadas

Detecção de empresas de fachada e laranjas

Alguns sinais são difíceis de detectar manualmente:

• Capital social incompatível com o volume de operações
• Sócios com dezenas de participações societárias
• Endereços em coworkings ou endereços virtuais
• CNPJs abertos recentemente sem histórico operacional
• Quadro societário com pessoas sem capacidade financeira aparente

O Sherlocker aplica inteligência para identificar esses padrões e alertar sobre empresas que merecem investigação aprofundada.

Monitoramento contínuo com alertas

Além da verificação pontual, a plataforma oferece monitoramento contínuo:

• Alertas de alterações societárias
• Novos processos judiciais
• Mudanças de situação cadastral
• Inclusão em listas de risco

O resultado é um processo de KYB que não para no onboarding — acompanha o relacionamento ao longo do tempo.

Conclusão

KYC e KYB não são apenas exigências regulatórias. São ferramentas de proteção empresarial. Em um país onde 63% das empresas sofreram fraudes recentemente e as comunicações de operações suspeitas ao COAF cresceram 766% em nove anos, conhecer seus clientes e parceiros deixou de ser opcional.

A implementação eficaz envolve:

1. Processos estruturados — fluxos claros de coleta, verificação e aprovação
2. Tecnologia adequada — ferramentas que automatizem verificações e cruzem dados
3. Abordagem baseada em risco — profundidade proporcional ao nível de risco
4. Monitoramento contínuo — KYC e KYB não terminam no onboarding
5. Cultura de compliance — times conscientes da importância e treinados para executar

O custo de não fazer é alto demais. Multas milionárias, responsabilização criminal, destruição reputacional. O investimento em verificação adequada é, na verdade, economia.

Para empresas que buscam um parceiro de investigação empresarial capaz de ir além das consultas básicas — identificando beneficiários finais, detectando empresas de fachada e monitorando riscos continuamente — o Sherlocker oferece a tecnologia e a inteligência necessárias.

---

FAQ — Perguntas Frequentes sobre KYC e KYB

O que é KYC e KYB?

KYC (Know Your Customer) é o processo de verificação de identidade de clientes pessoa física. KYB (Know Your Business) é o equivalente para pessoas jurídicas, incluindo a identificação de beneficiários finais e análise do quadro societário.

Qual a diferença entre KYC e KYB?

KYC foca em pessoas físicas (CPF, documentos pessoais, biometria). KYB foca em empresas (CNPJ, contrato social, quadro societário, beneficiário final). O KYB é mais complexo por envolver estruturas societárias.

Quem precisa fazer KYC no Brasil?

Instituições financeiras, fintechs, empresas de criptoativos, corretoras de valores, imobiliárias, joalherias e outros setores listados na Lei 9.613/1998 têm obrigação legal. Demais empresas devem implementar por boas práticas de prevenção a fraudes.

O que é beneficiário final (UBO)?

É a pessoa física que, em última instância, detém propriedade ou controle sobre uma empresa. A Circular BCB 3.978/2020 define como participação superior a 25% ou controle efetivo.

Como a LGPD afeta o KYC?

O KYC geralmente se enquadra em bases legais da LGPD (obrigação legal, execução de contrato, legítimo interesse). O desafio é garantir minimização de dados e retenção adequada.

Quais são as penalidades por não fazer KYC/KYB?

Multas de até R$ 20 milhões por infração, advertências, suspensão de atividades e até cassação de autorização. Administradores podem responder criminalmente por omissão.

O que é PEP no contexto de KYC?

Pessoa Politicamente Exposta — indivíduos que ocupam ou ocuparam cargos públicos relevantes, ou são familiares/associados próximos deles. Exigem due diligence reforçada.

Com que frequência devo atualizar o KYC?

Depende do nível de risco. Clientes de alto risco devem ser revisados anualmente ou a cada mudança relevante. Clientes de baixo risco podem ter ciclos mais longos (2-3 anos), mas o monitoramento contínuo é sempre recomendado.