As fontes de consulta no KYC devem ajudar a confirmar quem é o cliente e quais informações sustentam sua avaliação de risco. A qualidade da diligência depende da origem, da atualidade e dos limites de cada dado. Validar uma informação exige identificar a fonte, conferir a correspondência com a pessoa analisada e registrar o que foi efetivamente confirmado.
Um relatório com muitos resultados pode parecer completo e ainda deixar perguntas essenciais sem resposta. A seleção das fontes deve partir da finalidade da consulta. Identificação, representação, controle societário e contexto de risco pedem verificações diferentes, com níveis de profundidade proporcionais à exposição.
Que pergunta cada fonte de KYC pode responder?
Organize as consultas por atributo. Qual fonte confirma a identificação? Qual sustenta a representação? Qual traz uma informação complementar que precisa de validação? Esse mapa reduz consultas redundantes e evita atribuir a uma base uma capacidade que ela não possui.
Diferencie dados declarados pelo cliente, documentos apresentados, registros oficiais e informações de agregadores. Cada origem pode ter utilidade e limites. Um agregador deve permitir compreender a procedência e a atualização dos dados relevantes, especialmente quando sua resposta influencia uma decisão.
- Identificação: nome ou razão social e identificadores pertinentes.
- Representação: vínculo e poderes de quem atua em nome da empresa.
- Estrutura: participantes e relações societárias relevantes ao risco.
- Contexto: atividade, localização e informações coerentes com a relação.
- Ocorrências: resultados que exigem confirmação de identidade e análise própria.
A organização das fontes aprofunda o processo de KYC e diligência com dados confiáveis. Ela não substitui a classificação de risco ou a decisão analítica; fornece uma base verificável para essas etapas e explicita as lacunas que permanecem.
Quais fontes oficiais consultar no KYC?
Escolha a fonte conforme a pergunta da diligência. O quadro reúne exemplos de consultas públicas que podem complementar o KYC; não é um pacote obrigatório nem uma relação exaustiva. Confirme a cobertura, a atualização e as condições de acesso antes de incorporar cada base ao procedimento.
| Fonte | O que verificar | Limite da consulta |
|---|---|---|
| CNPJ e QSA: Receita Federal / Redesim | Dados cadastrais, situação da pessoa jurídica e informações do quadro societário disponibilizadas pelo serviço. | Cadastro ativo não comprova integridade. O QSA, isoladamente, pode não revelar toda a cadeia de controle. |
| Cadastro de PEP: Portal da Transparência | Informações de pessoas expostas politicamente disponibilizadas na base, considerando o período e o escopo do arquivo. | Verifique a abrangência da base e confirme a identidade. Ser PEP não é indício automático de irregularidade. |
| CEIS: Portal da Transparência | Sanções administrativas registradas e seus detalhes, quando pertinentes à relação analisada. | CEIS não é uma lista de todas as pessoas envolvidas em crimes financeiros; avalie a sanção e seu alcance. |
| Lista consolidada do Conselho de Segurança da ONU | Indivíduos e entidades listados, identificadores e informações do regime de sanções correspondente. | Um nome semelhante não confirma correspondência. A lista não substitui outras verificações aplicáveis à instituição. |
Essas consultas não confirmam, sozinhas, identidade, capacidade financeira ou ausência de risco. Registre qual atributo foi verificado em cada uma. Se usar uma base intermediária, mantenha também a identificação da origem e da versão consultada, sem tratar a data de geração do relatório como data de atualização de todos os registros.
Como registrar uma consulta KYC de forma verificável
- Defina a pergunta e o identificador necessário antes de consultar.
- Registre fonte, data da consulta, período de referência e resultado técnico.
- Compare os atributos retornados com o cadastro e separe correspondência confirmada de dúvida.
- Descreva o que o resultado permite concluir e quais lacunas permanecem.
- Vincule a evidência à decisão, com responsável, acesso e retenção proporcionais à finalidade.
Por exemplo, se o CNPJ corresponde ao cadastro, mas a representação não foi demonstrada, registre a identificação como verificada e a representação como pendente. Não estenda uma conclusão válida sobre um atributo aos demais campos do KYC. O roteiro deve permitir que outra pessoa reconstrua essa distinção.
Como verificar origem, atualidade e abrangência
Antes de incorporar uma fonte ao processo, verifique quem produz o dado, como ele é atualizado e qual universo cobre. Data da consulta e data do registro são informações distintas. Uma busca realizada hoje pode retornar um conteúdo antigo, sem confirmação de que a situação continua igual.
Registre o identificador usado, o instante da consulta e o status da resposta. Resultado negativo, ausência de cadastro, erro técnico e indisponibilidade não significam a mesma coisa. O fluxo precisa impedir que uma falha de consulta seja interpretada como confirmação de ausência de risco.
Defina o procedimento quando a fonte mudar, encerrar um serviço ou alterar a estrutura dos campos. Uma integração que continua respondendo pode ter perdido parte da cobertura. Revisões periódicas do fornecedor de dados e testes com casos conhecidos ajudam a detectar esse problema.
Dados de CNPJ: o que confirmar e o que não concluir
O serviço oficial de consulta ao CNPJ, da Receita Federal permite verificar dados cadastrais e situação cadastral da pessoa jurídica. Use a resposta para os atributos que ela efetivamente apresenta. Situação ativa não equivale a aprovação de integridade, solvência ou adequação de toda a relação comercial.
Compare os dados relevantes com o contrato e com a identificação recebida. Diferenças entre nome comercial e razão social podem ser normais; divergências de identificador, pessoa contratada ou representação exigem esclarecimento. A decisão precisa mostrar como a diferença foi resolvida.
Para identificar beneficiário final, avalie a cadeia societária e os documentos necessários. Um quadro resumido de sócios não demonstra necessariamente toda a estrutura de controle. Registre limites de acesso e aprofundamentos pendentes, em vez de preencher lacunas com suposições.
Como tratar informações divergentes no KYC
Descreva a divergência no nível do campo: quais fontes apresentam qual informação, em que data e com que alcance. Essa comparação é mais útil que declarar genericamente que o cadastro está inconsistente. Verifique se as bases se referem à mesma pessoa e ao mesmo período.
Estabeleça uma hierarquia contextual de evidências, não uma regra cega de que qualquer documento mais recente é superior. Um registro de atualização parcial pode não confirmar o atributo em discussão. Quando necessário, solicite esclarecimento e valide em fonte adequada.
- Confirme identidade e identificadores antes de comparar os resultados.
- Confira a data e a finalidade de cada registro.
- Avalie se a divergência altera risco, representação ou condição da relação.
- Solicite evidência pertinente, evitando coleta indiscriminada.
- Registre conclusão, responsável, limitações e necessidade de revisão.
Uma divergência não resolvida deve seguir a política de pendências e exceções. A aprovação condicionada, quando admissível, exige decisão explícita e acompanhamento. Não apague o resultado conflitante apenas para que o cadastro fique visualmente uniforme.
Exemplo fictício: duas bases com endereços diferentes
Uma empresa fictícia apresenta um endereço operacional, enquanto um registro cadastral mostra sua sede. O analista primeiro confirma que ambos os resultados se referem ao mesmo CNPJ. Depois verifica a finalidade dos endereços e solicita um esclarecimento proporcional à relevância da informação.
A diferença pode refletir sede e unidade operacional, mudança ainda não refletida em uma fonte ou erro de cadastro. Cada hipótese exige evidência. O parecer registra quais endereços foram confirmados, para que uso e com quais limites, sem atribuir irregularidade apenas à divergência.
Se a localização influenciar o risco da relação ou uma exigência contratual, a pendência recebe tratamento específico. Se não alterar a decisão, a conclusão ainda deve explicar por que a informação foi considerada suficiente. Isso evita reabrir a mesma análise sem contexto em revisões futuras.
Como registrar evidências sem coletar dados em excesso
No dossiê de análise, vincule cada conclusão à consulta ou ao documento pertinente. Preserve o necessário para demonstrar o procedimento, com origem, data e responsável. Restrinja o acesso a quem precisa dos dados e defina a retenção segundo obrigações e finalidade.
A LGPD e o glossário da ANPD oferecem referências para finalidade, necessidade e qualidade dos dados. Informação publicamente acessível não significa uso irrestrito. A área responsável deve avaliar o fundamento jurídico e as salvaguardas do tratamento, inclusive para dados sensíveis.
Não inclua dados pessoais integrais em mensagens, planilhas compartilhadas amplamente ou exemplos de treinamento quando não forem necessários. A proteção da evidência integra a qualidade da diligência. Organize permissões e histórico de acesso conforme a criticidade das informações.
Quando a contraparte é um fornecedor, o mapa de fontes deve acompanhar o escopo do KYS e da due diligence de fornecedores. Criticidade do serviço, acesso a dados e estrutura da contratação ajudam a definir quais atributos precisam ser confirmados e com qual profundidade.
Referência regulatória e critérios de revisão
Os arts. 13 a 16 da Circular BCB nº 3.978 são referência de identificação e qualificação para instituições abrangidas. Verifique as regras do seu setor. O mapa de fontes deve ser revisado quando mudarem o risco, o cadastro, a cobertura de uma base ou o fluxo de contratação.
Perguntas frequentes
Qual é a melhor fonte de consulta para KYC?
Depende do atributo a confirmar. Identifique a pergunta da diligência e escolha uma fonte com origem, atualização e cobertura adequadas. Uma única base não comprova todas as informações necessárias.
Uma consulta sem resultado confirma ausência de risco?
Não. Distinga resultado negativo, falta de cobertura, erro técnico e indisponibilidade. Registre o status da consulta e trate limitações antes de concluir que a verificação foi suficiente.
Como resolver dados diferentes em duas fontes?
Confirme identidade, datas, abrangência e finalidade dos registros. Valide o atributo na fonte apropriada, solicite evidência pertinente quando necessário e documente o efeito da divergência na decisão.
Dados públicos podem ser usados sem restrições no KYC?
Não. O tratamento precisa considerar finalidade, necessidade, fundamento jurídico e salvaguardas. O acesso público não afasta as exigências da LGPD nem autoriza coletar informações sem utilidade para a diligência.