O KYC (Know Your Customer, “conheça seu cliente”) é o processo de confirmar quem é o cliente, avaliar o risco dele e manter o cadastro atualizado. A Serasa Experian contou 1.495.696 tentativas de fraude de identidade em cadastros no 1º trimestre de 2026, 36,6% a mais que um ano antes. O Banco Central do Brasil exige KYC das instituições financeiras.
O mesmo levantamento mostra que seis em cada dez tentativas ocorreram em bancos, emissores de cartão, meios de pagamento e empresas de crédito. A Serasa Experian estima que, se não fossem barradas, essas tentativas poderiam gerar até R$ 1,98 bilhão em prejuízo. É por isso que checar quem entra pela porta deixou de ser escolha e virou regra.
O que é KYC e para que serve?
KYC é a rotina que uma empresa faz para saber com quem está fazendo negócio antes de começar a relação. Ela serve a três objetivos: impedir que alguém abra conta ou contrate usando uma identidade falsa, cumprir a lei de combate à lavagem de dinheiro e dar ao time de risco uma base confiável para decidir quanto crédito, seguro ou serviço oferecer.
Na regra brasileira, o processo se divide em três tarefas:
- Identificar. Coletar nome, CPF, documento e os demais dados do cliente.
- Qualificar. Conferir se esses dados são verdadeiros e entender o perfil da pessoa, inclusive se ela é uma pessoa exposta politicamente (PEP).
- Classificar. Dar ao cliente um nível de risco, que define o quanto a empresa vai olhar para ele dali em diante.
Quando o cliente é uma empresa, o processo precisa chegar também à pessoa que de fato a controla, o beneficiário final. Esse caso tem nome próprio: KYB, de Know Your Business.
Quem precisa fazer KYC no Brasil?
A regra mais conhecida é a Circular 3.978/2020 do Banco Central, em vigor desde 1º de julho de 2020. Ela vale para as instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central, como bancos, financeiras e instituições de pagamento, e se apoia na Lei 9.613/1998, que trata dos crimes de lavagem de dinheiro.
Três pontos da norma merecem atenção:
- Reavaliação permanente. Os procedimentos devem ser revistos de acordo com a evolução da relação de negócio e do perfil de risco do cliente. KYC feito uma vez e esquecido não cumpre a regra.
- PEP faz parte da qualificação. A checagem vale para o cliente e também para representantes, familiares e pessoas próximas.
- Vale para quem trabalha com a empresa. A norma pede procedimentos para conhecer funcionários, parceiros e prestadores de serviços terceirizados.
Outros setores regulados, como o de seguros, têm regras próprias. Empresas que não são reguladas costumam adotar o KYC por conta própria, para proteger o caixa.
Como funciona o KYC, passo a passo?
O desenho muda de empresa para empresa, mas o caminho costuma ter cinco etapas:
- Coleta dos dados e do documento. O cliente informa seus dados e envia o documento, em geral por foto.
- Checagem do documento. A empresa confere se o documento é autêntico e se os dados existem e batem na fonte oficial.
- Prova de que a pessoa é a dona do documento. O cliente tira uma selfie, e o rosto é comparado com a foto do documento.
- Listas e alertas. A empresa consulta listas de PEP, listas de sanções e notícias negativas sobre o cliente.
- Classificação de risco. O cliente recebe um nível de risco, e a empresa decide: aprovar, pedir mais provas ou recusar.
As etapas de 1 a 3 formam a verificação de identidade. As etapas 4 e 5 transformam essa identidade confirmada em uma decisão de negócio.
Onde entra a biometria no KYC?
A biometria responde a uma pergunta que o documento sozinho não responde: quem está do outro lado da tela é mesmo o dono desse RG ou dessa CNH? O rosto da selfie é comparado com a foto do documento, e a prova de vida confirma que a captura veio de uma pessoa presente, e não de uma foto, de uma tela ou de um vídeo manipulado.
O uso do rosto exige cuidado legal. A LGPD classifica o dado biométrico como dado pessoal sensível. Ao mesmo tempo, a lei admite o tratamento desse dado, sem consentimento, para garantir a prevenção à fraude e a segurança do titular nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. Na prática, a empresa precisa explicar ao cliente para que usa o rosto e guardar só o necessário.
Há um segundo cuidado, de segurança. O Mapa da Fraude da Serasa Experian aponta o uso indevido de inteligência artificial e as identidades sintéticas entre as tendências que mais exigem atenção. Uma checagem de rosto sozinha deixou de bastar: ela precisa vir junto com a prova de vida e com atenção à origem da imagem.
Onde o KYC para?
O KYC é indispensável e, ainda assim, insuficiente. Ele responde bem a uma pergunta (esta pessoa existe e é quem diz ser?) e deixa três outras em aberto.
Identidade verdadeira não quer dizer intenção honesta
Quem pega crédito sem intenção de pagar usa o próprio CPF e o próprio rosto, e tende a passar no KYC. A identidade é verdadeira; o plano é que não é. Outros fraudadores vão no sentido contrário e montam identidades sintéticas, que misturam dados reais e falsos justamente para atravessar a checagem cadastral.
“A fraude está cada vez mais estruturada”, afirma Eric Dhaese, vice-presidente de Autenticação e Prevenção à Fraude da Serasa Experian. O texto sobre o comportamento silencioso dos fraudadores mostra por que um cadastro limpo e um score alto podem esconder o risco.
O KYC é uma foto, e o contrato é um filme
O cadastro mostra o cliente no dia em que ele chegou. Em um contrato de meses ou anos, o endereço muda, os hábitos mudam, a situação financeira muda. A norma do Banco Central pede reavaliação permanente justamente por isso, e o KYC contínuo existe para manter o cadastro vivo depois da assinatura.
Confirmar identidade não mede risco
Saber quem é o cliente é diferente de saber quanto ele custa. Duas pessoas igualmente verdadeiras podem ter riscos muito diferentes de calote, de sinistro ou de fraude. O texto sobre identidade e fraude como uma etapa só explica por que separar as duas perguntas gera atrito para o bom cliente e deixa uma brecha entre elas.
Onde a Zarv entra nessa jornada?
Na jornada da Zarv, o cadastro começa no Zarv SmartFlow, que verifica a identidade dentro do site ou do WhatsApp do cliente, em menos de três minutos e sem mandá-lo para outra página. Em seguida, o Zarv ID entrega o risco daquele cliente na hora da decisão, e o Zarv Signal sinaliza as mudanças de comportamento depois da assinatura. Para crédito e financeiras, o KYC deixa de ser uma foto do cadastro e passa a ser uma leitura que acompanha o contrato.
Perguntas frequentes
KYC e KYB são a mesma coisa?
Não. O KYC trata de pessoas físicas: confirma quem é o cliente e avalia o risco dele. O KYB trata de empresas: confirma que a empresa existe e opera de fato, quem são os sócios e administradores e quem é o beneficiário final, a pessoa que realmente controla o negócio. Os dois seguem a mesma lógica, com camadas extras para empresas.
O KYC é obrigatório só para bancos?
Não. A norma do Banco Central vale para as instituições que ela autoriza, como bancos, financeiras e instituições de pagamento, mas outros setores regulados têm regras próprias, e muitas empresas adotam o KYC por conta própria. Locadoras, plataformas digitais e lojas costumam usar a checagem para evitar contas falsas, calote e prejuízo com identidade roubada.
Com que frequência o KYC deve ser refeito?
Não existe um prazo único. A norma do Banco Central pede reavaliação permanente, de acordo com a evolução da relação e o perfil de risco do cliente. Na prática, clientes de risco mais alto são revistos com mais frequência, e uma mudança relevante, como troca de endereço ou movimentação fora do padrão, deve gerar nova checagem. É a ideia do KYC contínuo.
A biometria facial basta para fazer KYC?
Não. O rosto confirma que a pessoa da selfie parece a do documento, mas não prova que o documento é verdadeiro nem que a captura veio de uma pessoa viva. Por isso a biometria vem junto com a checagem do documento e a prova de vida. Mesmo assim, ela mostra quem é a pessoa, e não o risco de fazer negócio com ela.
O que levar desta leitura
O KYC é a porta de entrada da gestão de risco: obrigatório para quem é regulado, útil para quem não é e insuficiente quando fica sozinho. Ele confirma quem chegou, mas não acompanha o que acontece depois nem mede quanto cada cliente custa. Empresas que tratam o cadastro como o começo de uma leitura contínua, e não como uma tarefa concluída, perdem menos para identidades falsas e para clientes que mudam depois da assinatura.
Fontes: Serasa Experian, Mapa da Fraude, 1º trimestre de 2026 (2026); Banco Central do Brasil, Circular nº 3.978 (2020); Lei nº 9.613 (1998); Lei nº 13.709, LGPD (2018).