KYC não é mais suficiente: por que a due diligence precisa acompanhar o risco

Conhecer quem está do outro lado de uma operação sempre foi uma das bases de uma relação empresarial segura. O KYC (Know Your Customer) ajuda as empresas a identificar, qualificar e avaliar seus clientes, mas essa análise não precisa — e nem deve — terminar no momento do cadastro. Para entender os fundamentos desse processo, vale conferir o artigo KYC: saiba tudo sobre Know Your Customer.

A questão é que o risco associado a um cliente pode mudar ao longo do relacionamento. Estruturas societárias podem ser alteradas, novos beneficiários finais podem surgir, comportamentos podem mudar e informações relevantes podem aparecer depois que a análise inicial já foi concluída.

Essa mudança de perspectiva ganha força com a Instrução Normativa nº 1, de 16 de julho de 2026, do Conselho de Controle de Atividades Financeiras (COAF), que reforça a adoção de uma abordagem baseada em risco e estabelece medidas de diligência que podem ser aprofundadas conforme as características e os riscos identificados.

Na prática, isso representa uma evolução importante: não basta saber quem é o cliente; é preciso acompanhar o risco que envolve esse relacionamento. Em situações de maior exposição, a análise pode exigir informações adicionais, investigação mais aprofundada, identificação de beneficiários finais, monitoramento e registro das decisões tomadas.

É nesse ponto que a due diligence ganha uma dimensão diferente. Em vez de funcionar apenas como uma verificação documental, ela passa a acompanhar as mudanças que podem alterar o perfil de risco de uma pessoa ou empresa. A pergunta deixa de ser apenas “quem é o cliente?” e passa a incluir “o que mudou, quais sinais surgiram e o que precisamos fazer a partir disso?”

Essa transformação também aumenta a importância dos dados, do cruzamento de informações e do monitoramento contínuo. Quanto mais complexas forem as relações empresariais e maior for a quantidade de sinais envolvidos em uma análise, mais importante se torna conectar diferentes informações para identificar inconsistências, compreender contextos e direcionar o nível de diligência necessário.

Neste artigo, vamos entender por que KYC, CDD e EDD cumprem papéis diferentes, como o beneficiário final influencia a avaliação de risco e por que uma due diligence realmente orientada pelo risco precisa acompanhar o cliente ao longo de todo o relacionamento.

Guia rápido: aqui você vai encontrar

• Por que o KYC isoladamente não acompanha a evolução do risco ao longo do relacionamento
• As diferenças entre KYC, CDD e EDD e o papel de cada abordagem na análise de clientes
• Como a abordagem baseada em risco muda a forma de conduzir a due diligence
• Por que o beneficiário final é essencial para compreender estruturas e exposições de risco
• Como mudanças societárias e outros sinais podem exigir o aprofundamento da diligência
• Por que o monitoramento contínuo precisa complementar a análise cadastral
• Como o cruzamento de dados e a inteligência ajudam a identificar inconsistências e sinais de risco
• Como transformar a due diligence em um processo contínuo de prevenção e gestão de riscos
• Como a upLexis utiliza dados e inteligência para apoiar análises, validações e processos de due diligence
• FAQ sobre KYC, CDD, EDD, beneficiário final e due diligence baseada em risco
• Resumo geral com os principais aprendizados sobre a evolução do KYC e da due diligence

Por que o KYC isoladamente não acompanha a evolução do risco ao longo do relacionamento

O KYC é fundamental para que uma empresa conheça, identifique e avalie um cliente no início de uma relação. O problema surge quando essa análise é tratada como uma fotografia definitiva, como se as informações levantadas no onboarding fossem suficientes para representar o risco durante todo o relacionamento.

Na prática, o risco pode mudar depois que o cliente já foi cadastrado. Novas informações podem surgir, estruturas empresariais podem ser alteradas, relacionamentos podem aparecer e comportamentos podem deixar de ser compatíveis com o perfil inicialmente identificado. Por isso, uma análise baseada em risco precisa acompanhar essas mudanças e determinar quando uma situação exige uma investigação mais aprofundada.

A qualidade dos dados influencia o KYC e o monitoramento

A qualidade das informações utilizadas na análise é um dos pontos que determinam a capacidade de uma instituição compreender o risco associado a um cliente. Dados incompletos, inconsistentes ou desatualizados podem comprometer tanto a avaliação inicial quanto as análises realizadas posteriormente.

Isso aparece na pesquisa da EY com 51 instituições financeiras brasileiras: apenas 36% afirmaram ter aderido integralmente às boas práticas de supervisão do Banco Central. O levantamento também mostra que 36% das instituições identificam impacto da qualidade dos dados no KYC, enquanto 52% apontam impacto no monitoramento de transações.

Os números ajudam a mostrar que a qualidade dos dados não é uma preocupação restrita ao momento do cadastro. Ela acompanha diferentes etapas da relação com o cliente e pode afetar a capacidade de identificar mudanças relevantes em seu perfil.

O risco do cliente não fica congelado após o cadastro

O KYC permite estabelecer uma compreensão inicial sobre quem é o cliente e quais características podem representar maior ou menor exposição. Mas essa avaliação não necessariamente permanece válida indefinidamente.

Uma alteração societária, um novo beneficiário final, uma mudança relevante de comportamento ou o surgimento de informações que antes não estavam disponíveis podem modificar a percepção de risco. O que era considerado adequado no momento do onboarding pode exigir uma nova análise posteriormente.

É justamente essa dinâmica que diferencia uma abordagem baseada em risco de uma verificação puramente cadastral. Em vez de considerar o KYC como uma fotografia definitiva, a empresa precisa estar preparada para reconhecer novos sinais, reavaliar o contexto e aumentar o nível de diligência quando a situação exigir.

As diferenças entre KYC, CDD e EDD e o papel de cada abordagem na análise de clientes

Embora os termos KYC, CDD e EDD apareçam frequentemente juntos em programas de Compliance, eles não representam exatamente a mesma atividade. KYC está relacionado a conhecer e identificar o cliente; CDD amplia essa análise para compreender seu perfil e os riscos associados; EDD aprofunda a diligência quando existem fatores que justificam uma atenção maior.

Essa diferenciação ganha relevância à medida que as empresas lidam com volumes cada vez maiores de análises. Em pesquisa da LSEG Risk Intelligence com mais de 500 profissionais seniores de Risco e Compliance, 90% dos entrevistados afirmaram que o volume de solicitações de EDD aumentou nos últimos três anos. O dado mostra que a diligência reforçada deixou de ser uma situação excepcional para ocupar um espaço cada vez mais relevante nas operações de Compliance.

KYC, CDD e EDD cumprem funções diferentes

O KYC representa a base desse processo: identificar quem é o cliente, confirmar suas informações e reunir elementos necessários para compreender com quem a empresa está estabelecendo uma relação.

A CDD (Customer Due Diligence) amplia essa avaliação. Além da identificação, busca compreender o perfil do cliente, sua atividade, seus relacionamentos e os riscos associados à relação comercial. Já a EDD (Enhanced Due Diligence) entra em cena quando determinados fatores indicam que uma análise mais profunda é necessária.

Na prática, portanto, não se trata de escolher entre KYC, CDD ou EDD. Eles podem funcionar como diferentes níveis de profundidade dentro de uma abordagem orientada pelo risco.

Quanto maior o risco, maior precisa ser a profundidade da análise

A lógica da EDD é justamente evitar que todos os clientes sejam submetidos ao mesmo nível de investigação. Uma relação de menor risco pode exigir procedimentos proporcionais a essa exposição, enquanto situações mais complexas ou sensíveis podem demandar informações adicionais e verificações mais aprofundadas.

Essa necessidade parece estar crescendo. Além dos 90% que relataram aumento nas solicitações de EDD nos últimos três anos, 52% dos profissionais consultados pela LSEG apontaram o maior foco na identificação de beneficiários finais e estruturas corporativas complexas como uma tendência relevante para os próximos três anos****.

Isso reforça uma mudança importante na forma de pensar a diligência: não basta estabelecer procedimentos de identificação; é preciso definir quando aprofundar a análise e quais informações adicionais são necessárias para compreender o risco de cada relação.

Como a abordagem baseada em risco muda a forma de conduzir a due diligence

Uma abordagem baseada em risco parte de uma premissa simples: nem todo cliente, terceiro ou relacionamento apresenta o mesmo nível de exposição e, portanto, não deveria necessariamente passar pelo mesmo nível de diligência.

Isso significa que a empresa precisa estabelecer critérios capazes de diferenciar situações de menor e maior risco e, a partir deles, definir a profundidade da análise. Em vez de transformar a due diligence em um procedimento padronizado aplicado indistintamente, o objetivo é direcionar recursos e esforços para os casos que realmente demandam maior atenção.

Esse movimento também aparece na realidade das empresas brasileiras. 60% das empresas não realizam due diligence universal de terceiros, segundo a pesquisa da Be.Aliant e Protiviti Brasil. O dado ajuda a ilustrar uma mudança de lógica: a diligência pode ser estruturada de maneira proporcional ao perfil e à exposição de cada relação.

O risco define a profundidade da diligência

Na prática, uma abordagem baseada em risco significa estabelecer diferentes níveis de análise. Relações consideradas de menor exposição podem seguir procedimentos mais simples, enquanto clientes ou terceiros que apresentem fatores de risco relevantes podem demandar verificações adicionais, maior quantidade de informações e uma investigação mais aprofundada.

Essa diferenciação evita dois problemas. De um lado, reduz o desperdício de recursos com análises excessivamente complexas para situações de baixo risco. De outro, diminui a possibilidade de tratar uma relação de alta exposição da mesma maneira que uma relação considerada rotineira.

O ponto central é que a profundidade da due diligence precisa ser consequência da avaliação de risco, e não apenas de um procedimento fixo definido previamente.

A diligência precisa acompanhar mudanças relevantes

A abordagem baseada em risco também muda o que acontece depois da primeira análise. Se o perfil de um cliente ou terceiro se altera, o nível de diligência aplicado anteriormente pode deixar de ser suficiente.

Mudanças na estrutura societária, novos relacionamentos, alterações no comportamento ou o surgimento de informações negativas podem justificar uma nova avaliação. Nesse cenário, a due diligence deixa de ser uma atividade pontual e passa a fazer parte de um processo contínuo de gestão de risco.

O objetivo não é investigar mais por investigar, mas saber quando é necessário aprofundar a análise. É essa capacidade de ajustar a diligência conforme o risco que permite transformar o Compliance em um processo mais proporcional, direcionado e adaptável.

Por que o beneficiário final é essencial para compreender estruturas e exposições de risco

Identificar uma empresa não significa necessariamente identificar quem está por trás dela. Em estruturas societárias mais complexas, diferentes empresas, participações e relações de controle podem dificultar a compreensão de quem efetivamente exerce influência ou se beneficia de determinada organização.

Esse desafio é relevante para processos de due diligence porque o risco associado a uma relação não está necessariamente restrito à entidade que aparece formalmente no cadastro. Conhecer o beneficiário final permite ampliar essa visão e investigar as pessoas que efetivamente controlam, influenciam ou se beneficiam de uma estrutura.

A dimensão desse desafio aparece nos próprios dados brasileiros. Em 2023, apenas 35 mil empresas possuíam dados de beneficiários finais identificados pela Receita Federal, diante de um universo de aproximadamente 40 milhões de empresas. O contraste evidencia a dificuldade de obter uma visão completa sobre as pessoas que estão por trás das estruturas empresariais.

Estruturas societárias podem dificultar a identificação do risco

Uma empresa pode estar formalmente regular e, ainda assim, sua estrutura apresentar diferentes níveis de participação e controle. Quando essas relações não são analisadas de maneira adequada, informações importantes sobre quem exerce influência sobre a organização podem permanecer ocultas.

Por isso, a identificação do beneficiário final amplia o escopo da due diligence. A análise deixa de observar somente a empresa cadastrada e passa a considerar as relações societárias e as pessoas que efetivamente estão por trás daquela estrutura.

Essa visão é especialmente importante quando existem estruturas complexas, participações indiretas ou diferentes entidades relacionadas. Quanto mais difícil for compreender a cadeia de controle, maior tende a ser a necessidade de aprofundar a diligência.

Conhecer quem está por trás da empresa amplia a visão sobre o risco

O beneficiário final ajuda a conectar a estrutura formal de uma organização às pessoas que efetivamente exercem controle ou influência. Essa informação pode ser cruzada com outros elementos relevantes da due diligence, permitindo identificar relações, exposições e eventuais sinais que não apareceriam na análise cadastral da empresa isoladamente.

Isso significa que a identificação do beneficiário final não deve ser tratada apenas como uma exigência documental. Ela é uma peça importante para compreender o contexto de uma relação e avaliar se o risco atribuído à empresa corresponde, de fato, às pessoas que estão por trás dela.

Quando essa informação é integrada a dados societários, cadastrais e outras fontes relevantes, a análise ganha profundidade. A empresa passa a enxergar não apenas quem está formalmente registrado, mas também quem está efetivamente conectado àquela estrutura e pode influenciar o risco da relação.

Como mudanças societárias e outros sinais podem exigir o aprofundamento da diligência

Uma análise de due diligence não deveria considerar o risco como algo definido de uma vez por todas. Mudanças na estrutura societária, no comportamento ou nas relações de uma pessoa ou empresa podem alterar o contexto originalmente analisado e criar novos elementos que precisam ser investigados.

Esse desafio fica ainda mais evidente quando se observa a dificuldade de identificar sinais de risco na prática. Segundo estudo da Serasa Experian, mais de 2,6 milhões de indivíduos ou contas bancárias apresentavam indícios de atuação como potenciais perfis “laranja” em 2025, um crescimento de 62% em relação a 2023.

O dado mostra que determinados riscos podem se manifestar ou ganhar dimensão ao longo do tempo. Por isso, uma diligência baseada em risco precisa considerar não apenas as informações coletadas inicialmente, mas também novos sinais que possam mudar a avaliação sobre aquela relação.

Mudanças na estrutura podem alterar o perfil de risco

Uma alteração societária pode modificar significativamente a compreensão sobre uma empresa. A entrada ou saída de sócios, mudanças no controle, novas participações ou o surgimento de vínculos com outras organizações podem exigir que informações anteriormente analisadas sejam revisitadas.

O mesmo vale para mudanças que não são necessariamente societárias. Novos relacionamentos comerciais, alterações relevantes no comportamento financeiro ou o surgimento de informações negativas podem acrescentar elementos que não estavam presentes durante o onboarding.

Por isso, uma mudança relevante não deve ser tratada apenas como uma atualização cadastral. Dependendo de sua natureza e do contexto, ela pode ser um sinal para reavaliar o risco e determinar se a diligência realizada anteriormente continua adequada.

Sinais isolados podem ganhar significado quando analisados em conjunto

O desafio também está em interpretar corretamente os sinais encontrados. Um único dado pode não ser suficiente para justificar uma conclusão, mas diferentes informações, quando relacionadas, podem revelar um padrão que merece investigação.

O estudo da Serasa Experian reforça essa dificuldade: apenas 3,2% dos potenciais perfis “laranja” identificados no levantamento foram detectados pelas instituições. Isso evidencia que o desafio não está somente na existência dos dados, mas na capacidade de reconhecer sinais relevantes e transformá-los em informação para a tomada de decisão.

É por isso que o aprofundamento da diligência precisa ser acionado pelo contexto. Quando diferentes sinais começam a contar uma história diferente daquela identificada inicialmente, a empresa precisa ter mecanismos para perceber essa mudança, investigar suas causas e, se necessário, reclassificar o nível de risco da relação.

Por que o monitoramento contínuo precisa complementar a análise cadastral

A análise cadastral permite estabelecer uma visão inicial sobre o cliente, mas ela não mostra necessariamente tudo o que pode acontecer depois do início do relacionamento. Novas transações, mudanças de comportamento e acontecimentos posteriores podem produzir sinais que simplesmente não existiam no momento do onboarding.

Essa diferença ajuda a explicar por que o monitoramento contínuo precisa ocupar um espaço próprio dentro da gestão de riscos. Em vez de revisar informações apenas quando uma atualização cadastral é necessária, a empresa passa a acompanhar determinados eventos e comportamentos para identificar situações que possam exigir uma nova análise.

Essa prática já está presente em parte das organizações brasileiras. 50% das empresas utilizam monitoramento contínuo de determinados tipos de transação para apoiar os objetivos de Compliance anticorrupção, segundo a Pesquisa Global sobre Fraudes e Crimes Econômicos 2024 da PwC Brasil.

O cadastro representa um momento, o monitoramento acompanha o relacionamento

O cadastro concentra informações relevantes sobre o cliente em determinado momento. É a partir delas que a empresa consegue estabelecer sua identificação, compreender sua atividade e realizar uma avaliação inicial de risco.

O monitoramento tem outra função. Ele permite observar o que acontece depois que a relação já começou, identificando eventos que possam ser incompatíveis com o perfil anteriormente estabelecido.

Essa distinção é fundamental para uma due diligence baseada em risco. Se o risco pode mudar, a empresa precisa de mecanismos capazes de perceber essas mudanças sem depender exclusivamente de uma nova análise cadastral solicitada em intervalos predeterminados.

O monitoramento transforma novos sinais em gatilhos para análise

Monitorar continuamente não significa investigar cada movimentação da mesma maneira. O objetivo é identificar sinais relevantes que possam justificar uma nova avaliação ou o aprofundamento da diligência.

Uma alteração de comportamento, uma transação fora do padrão esperado ou o surgimento de uma informação relevante pode funcionar como um gatilho para que a empresa reavalie determinado relacionamento. Dessa forma, o monitoramento deixa de ser apenas uma atividade operacional e passa a alimentar o próprio processo de gestão de risco.

A lógica é complementar: o KYC estabelece uma referência inicial; o monitoramento verifica se a realidade continua compatível com essa referência. Quando deixa de existir essa coerência, a due diligence pode ser aprofundada de acordo com o novo contexto.

Como o cruzamento de dados e a inteligência ajudam a identificar inconsistências e sinais de risco

Quando a análise de risco depende de diferentes informações sobre uma pessoa ou empresa, consultar cada dado de forma isolada pode não ser suficiente. O valor está também na relação entre essas informações: uma alteração societária, um vínculo empresarial, um registro público ou uma mudança de comportamento podem adquirir outro significado quando analisados em conjunto.

Essa capacidade de conectar informações ganha importância à medida que o Compliance precisa lidar com situações mais complexas. Na 2ª Pesquisa Nacional sobre Necessidades e Tendências do Compliance, 68,8% dos profissionais de Compliance consideram a análise de dados e a tomada de decisões rápidas uma competência essencial. O resultado mostra que trabalhar com dados não é apenas uma questão operacional, mas uma competência cada vez mais relacionada à capacidade de identificar riscos e tomar decisões.

Diferentes fontes podem revelar relações que uma consulta isolada não mostra

Uma única fonte dificilmente consegue representar toda a realidade de uma pessoa ou empresa. Dados cadastrais podem mostrar informações básicas, enquanto registros societários, históricos, processos, listas restritivas e outras fontes podem acrescentar diferentes dimensões à análise.

O cruzamento permite justamente relacionar essas informações. Uma inconsistência que parece irrelevante quando observada isoladamente pode ganhar importância quando aparece associada a outros sinais.

Essa abordagem também ajuda a reduzir a dependência de uma única evidência. Em vez de perguntar apenas se determinado dado está correto, a análise passa a considerar se diferentes informações são compatíveis entre si e se formam uma narrativa coerente sobre aquela relação.

A inteligência transforma dados dispersos em contexto para decisão

Ter acesso a diferentes informações, por si só, não garante uma análise melhor. É necessário organizar, relacionar e contextualizar os dados para que eles possam contribuir efetivamente para uma decisão.

É nesse ponto que a inteligência de dados ganha importância. Ela permite transformar informações dispersas em sinais que podem ser interpretados dentro de um determinado contexto de risco, ajudando as equipes a decidir quando uma inconsistência merece atenção e quando uma situação exige aprofundamento da diligência.

Essa capacidade também contribui para direcionar recursos. Em vez de submeter todas as relações ao mesmo nível de investigação, a empresa pode utilizar os sinais identificados para priorizar situações que apresentam maior exposição e definir quais análises adicionais fazem sentido.

No fim, o objetivo do cruzamento de dados não é acumular informações, mas enxergar relações que dificilmente apareceriam quando cada informação é analisada separadamente.

Como transformar a due diligence em um processo contínuo de prevenção e gestão de riscos

Transformar a due diligence em um processo contínuo significa deixar de tratá-la como uma verificação pontual e incorporá-la à rotina de gestão de riscos da organização. Isso exige estabelecer critérios para identificar mudanças relevantes, acompanhar sinais ao longo do relacionamento e definir quando uma nova análise ou uma diligência mais aprofundada deve ser realizada.

Esse desafio ainda está presente nas organizações brasileiras. Apenas 55% das empresas afirmam ter eficiência no processo de background check e due diligence de terceiros, segundo a 6ª Pesquisa de Maturidade de Compliance no Brasil, da KPMG. Ao mesmo tempo, 76% dos participantes consideram a gestão de terceiros e contratos um dos principais riscos de Compliance.

Os números mostram que existe uma distância entre reconhecer a relevância da diligência e conseguir estruturá-la de maneira eficiente. Para reduzir essa distância, o processo precisa estar conectado ao monitoramento, à atualização de informações e à capacidade de resposta diante de novos sinais.

A due diligence precisa estar integrada à gestão de riscos

Uma due diligence contínua não significa repetir integralmente o processo de investigação em intervalos fixos. O objetivo é criar mecanismos capazes de identificar quando uma mudança justifica uma nova análise.

Isso pode envolver alterações societárias, novos vínculos, mudanças no comportamento, informações negativas ou outros acontecimentos capazes de modificar o perfil de risco. A partir desses sinais, a organização pode determinar se é necessário atualizar informações, realizar novas verificações ou elevar o nível de diligência.

Essa lógica torna o processo mais proporcional e evita que a empresa trate a avaliação de risco como algo encerrado depois do onboarding. A diligência passa a acompanhar o relacionamento e a responder às mudanças que realmente importam.

Monitoramento e reavaliação fecham o ciclo de prevenção

Para funcionar de forma contínua, a due diligence precisa estar conectada a um ciclo de identificação, monitoramento, reavaliação e decisão. O resultado de uma análise não representa necessariamente o ponto final, mas uma referência que pode ser revisada quando surgem novas informações.

Quando um sinal relevante é identificado, a organização precisa conseguir compreender seu contexto e decidir qual resposta é proporcional ao risco. Em alguns casos, isso pode significar apenas atualizar informações; em outros, pode exigir uma investigação mais aprofundada ou uma diligência reforçada.

Assim, a due diligence deixa de ser apenas uma etapa de Compliance e passa a funcionar como uma capacidade permanente de prevenção e gestão de riscos. O objetivo não é eliminar toda incerteza, mas garantir que a empresa consiga perceber quando o cenário mudou e ajustar sua resposta antes que um risco identificado se transforme em um problema maior.

Como a upLexis utiliza dados e inteligência para apoiar análises, validações e processos de due diligence

À medida que a due diligence deixa de ser uma atividade pontual e passa a exigir acompanhamento contínuo, a capacidade de acessar, organizar e relacionar informações em escala se torna parte importante do processo de análise.

Essa necessidade aparece também na dimensão das operações realizadas pelas empresas. A 1ª Pesquisa Nacional sobre Due Diligence, da Aliant, analisou mais de 300 mil relatórios de due diligence gerados ao longo de 2024. Um volume dessa magnitude evidencia o desafio operacional de transformar diferentes informações em análises consistentes e utilizáveis pelas equipes de Compliance.

Dados conectados ampliam a capacidade de análise

Uma due diligence pode envolver informações cadastrais, societárias, vínculos empresariais, registros públicos e diferentes indicadores capazes de contribuir para a avaliação de risco. Quando essas informações permanecem isoladas, parte do contexto pode se perder.

A integração e o cruzamento de dados permitem construir uma visão mais ampla sobre pessoas e empresas. Em vez de analisar cada informação separadamente, a empresa consegue relacionar diferentes sinais e identificar conexões que ajudam a direcionar a investigação.

Esse processo é especialmente relevante quando o volume de análises aumenta. Quanto maior a quantidade de pessoas, empresas e relacionamentos que precisam ser avaliados, mais difícil se torna depender exclusivamente de consultas manuais e fontes isoladas.

Tecnologia transforma escala em inteligência para o Compliance

Tecnologia, nesse contexto, não substitui a análise humana. Seu papel é dar escala, organização e velocidade ao trabalho de investigação, permitindo que as equipes encontrem informações relevantes e concentrem sua atenção na interpretação dos resultados e na tomada de decisão.

É nessa lógica que a upLexis se conecta à evolução da due diligence. A utilização de dados estruturados, cruzamento de informações e recursos de inteligência pode apoiar diferentes etapas da análise, desde a validação de informações até a identificação de vínculos e sinais que merecem investigação.

O objetivo não é simplesmente reunir mais dados, mas transformá-los em contexto para decisões de risco. Quando a informação certa chega no momento certo e pode ser relacionada a outros sinais, o Compliance ganha condições para aprofundar a diligência de maneira mais direcionada e consistente.
Clique no banner abaixo e solicite seu teste grátis! 👇

FAQ sobre KYC, CDD, EDD, beneficiário final e due diligence baseada em risco

KYC é suficiente para uma empresa conhecer seus clientes?

Não necessariamente. KYC é uma etapa fundamental, mas representa principalmente a identificação e qualificação do cliente e a construção de uma visão inicial sobre a relação. Como o risco pode mudar ao longo do tempo, outras práticas de diligência e monitoramento podem ser necessárias para acompanhar novas informações e sinais.

Uma abordagem baseada em risco considera que o nível de análise deve ser proporcional às características e à exposição identificadas em cada relação.

Qual é a diferença entre KYC, CDD e EDD?

KYC (Know Your Customer) está relacionado ao processo de conhecer, identificar e qualificar o cliente.

CDD (Customer Due Diligence) amplia essa análise para compreender o perfil do cliente, suas atividades, relações e riscos associados.

EDD (Enhanced Due Diligence) representa uma diligência reforçada, aplicada quando existem fatores que justificam uma investigação mais profunda, com informações e verificações adicionais.

Eles não precisam ser vistos como processos concorrentes, mas como diferentes níveis de profundidade dentro de uma abordagem de gestão de risco.

O que é due diligence baseada em risco?

É uma abordagem na qual a profundidade, a frequência e o tipo de diligência são definidos de acordo com o risco identificado.

Em vez de aplicar exatamente os mesmos procedimentos a todos os clientes ou terceiros, a organização estabelece critérios para diferenciar níveis de exposição e direcionar esforços para as situações que exigem maior atenção.

O que é o beneficiário final?

É a pessoa física que, direta ou indiretamente, possui, controla ou exerce influência significativa sobre uma entidade, conforme os critérios aplicáveis ao contexto regulatório.

Identificar o beneficiário final é importante porque a empresa formalmente registrada nem sempre revela, sozinha, quem está efetivamente por trás de uma estrutura.

Por que identificar o beneficiário final é importante na due diligence?

Porque a avaliação de risco pode mudar quando a análise deixa de considerar apenas a empresa e passa a alcançar as pessoas que efetivamente controlam ou influenciam sua estrutura.

A identificação do beneficiário final permite aprofundar a compreensão sobre relações societárias, vínculos e possíveis exposições que poderiam não aparecer em uma análise cadastral limitada à entidade.

O que pode fazer uma empresa reavaliar o risco de um cliente?

Diversos acontecimentos podem justificar uma reavaliação. Entre eles estão mudanças societárias, alteração de beneficiários finais, novos vínculos empresariais, mudanças relevantes de comportamento, informações negativas e outros sinais incompatíveis com o perfil anteriormente identificado.

O ponto central é que a reavaliação deve estar relacionada à capacidade de identificar mudanças relevantes e determinar quando elas exigem uma diligência adicional.

Qual é a diferença entre monitoramento contínuo e KYC?

O KYC estabelece uma visão inicial sobre o cliente. O monitoramento contínuo acompanha acontecimentos posteriores ao início do relacionamento para verificar se surgiram sinais capazes de alterar essa avaliação.

Por isso, eles são complementares: o KYC ajuda a estabelecer uma referência e o monitoramento verifica se a realidade continua compatível com essa referência.

O monitoramento contínuo significa analisar todas as operações da mesma maneira?

Não. Uma abordagem baseada em risco busca justamente direcionar o nível de atenção de acordo com a exposição identificada.

O monitoramento pode utilizar critérios, regras e sinais para identificar situações que merecem análise. A partir desses gatilhos, a empresa pode decidir se deve apenas atualizar informações ou realizar uma investigação mais aprofundada.

Como os dados ajudam na due diligence?

Os dados permitem ampliar a quantidade e a variedade de informações utilizadas na análise. Quando diferentes fontes são cruzadas, relações, inconsistências e sinais que não seriam evidentes em uma consulta isolada podem ganhar contexto.

Isso ajuda as equipes de Compliance a priorizar investigações, aprofundar análises quando necessário e tomar decisões com uma visão mais completa.

A tecnologia substitui o trabalho do profissional de Compliance?

Não. A tecnologia pode automatizar consultas, organizar informações, cruzar dados e identificar sinais, mas a interpretação do contexto e a decisão sobre como responder a determinado risco continuam sendo atividades que exigem julgamento profissional.

O principal ganho está em permitir que o profissional dedique menos tempo à coleta e organização manual de informações e mais tempo à análise e à tomada de decisão.

Com que frequência uma due diligence deve ser realizada?

Não existe necessariamente uma única frequência adequada para todas as relações. A periodicidade deve considerar o nível de risco e os eventos que possam alterar esse risco.

Além de revisões programadas, uma mudança relevante pode funcionar como gatilho para uma nova avaliação. Assim, o processo combina acompanhamento periódico com reavaliações provocadas por acontecimentos relevantes.

Por que uma due diligence contínua é importante para o Compliance?

Porque o risco não é necessariamente estático. Uma relação considerada adequada no momento do onboarding pode apresentar novas características meses ou anos depois.

A due diligence contínua permite que a organização acompanhe essas mudanças, identifique sinais relevantes e ajuste a profundidade da análise conforme necessário. Dessa forma, o Compliance deixa de olhar apenas para o histórico cadastral e passa a acompanhar a evolução do risco ao longo do relacionamento.

Resumo geral com os principais aprendizados sobre a evolução do KYC e da due diligence

O KYC continua sendo uma etapa essencial para conhecer e qualificar clientes, mas não deve ser tratado como uma fotografia definitiva do risco. Ao longo de um relacionamento, novas informações, mudanças societárias, alterações de comportamento e diferentes sinais podem modificar a avaliação inicialmente realizada.

Nesse contexto, KYC, CDD e EDD cumprem funções complementares. A diligência precisa ser proporcional ao nível de risco identificado, aumentando sua profundidade quando características da relação exigirem uma investigação mais detalhada.

O beneficiário final ocupa um papel central nessa análise porque permite ultrapassar a estrutura formal de uma empresa e compreender quem efetivamente está por trás dela. Da mesma forma, mudanças societárias e outros acontecimentos relevantes podem funcionar como gatilhos para uma nova avaliação.

Por isso, monitoramento contínuo e due diligence precisam caminhar juntos. O objetivo não é repetir indefinidamente o processo de cadastro, mas acompanhar o relacionamento e identificar quando o contexto mudou o suficiente para justificar uma nova análise.

Essa evolução depende cada vez mais da capacidade de cruzar dados, conectar diferentes fontes e transformar sinais dispersos em contexto para decisão. A tecnologia pode dar escala e velocidade a esse processo, mas a inteligência está em interpretar as informações e direcionar a resposta de acordo com o risco.

A principal mudança, portanto, é de perspectiva: Compliance não deve perguntar apenas quem é o cliente, mas também o que mudou, quais sinais surgiram e qual nível de diligência é necessário a partir disso. É essa capacidade de acompanhar a evolução do risco que transforma a due diligence de uma etapa pontual em uma ferramenta contínua de prevenção e gestão.