Adesão KYC nos bancos: o processo passo a passo (e onde falha)

O «conheça o seu cliente» (KYC, do inglês Know Your Customer) é a disciplina de determinar quem é um cliente — e se o banco deve fazer negócio com ele — antes de ser aberta uma conta. A adesão KYC é onde essa disciplina encontra a realidade: a sequência de recolha de dados, recolha de documentos, filtragem e análise que decorre entre «submeter o pedido» e «conta aberta».

A maioria dos bancos não falha a adesão KYC por falta de política. Falha na execução: dados recolhidos em papel e reintroduzidos, declarações arquivadas separadamente do pedido, pessoas ligadas à conta que nunca foram submetidas a filtragem e análises que ficam paradas porque ninguém consegue ver onde um pedido está à espera. Este artigo percorre o processo passo a passo, para particulares e entidades, e assinala onde falha.

O que é a adesão KYC?

A adesão KYC é a parte das obrigações KYC de um banco que se concentra no início da relação: identificar o cliente e as pessoas por detrás do cliente, recolher as provas, fazer as declarações exigidas, submeter a filtragem as partes envolvidas e registar uma decisão de análise — tudo antes de a conta ficar activa. É o momento de máxima alavancagem para a conformidade, porque tudo o que aqui é recolhido é estruturado, actual e fornecido voluntariamente por um requerente que quer a conta. Tudo o que aqui escapa tem de ser perseguido mais tarde, sob a pressão de uma remediação. (A monitorização contínua depois da abertura da conta é uma disciplina à parte — é o domínio do software de conformidade de prevenção do branqueamento de capitais e do financiamento do terrorismo (BC/FT).)

Passo 1 — Identificar o cliente

O que significa «o cliente» depende do tipo de conta, e um sistema KYC sério trata cada tipo de forma diferente desde a primeira pergunta:

• Um particular: nome legal, data de nascimento, nacionalidade, documento de identificação (bilhete de identidade ou passaporte), identificação fiscal, morada de residência e endereço postal, emprego e rendimentos, e familiar mais próximo. O percurso completo é tratado em a abertura de contas particulares, digitalizadaEN.
• Uma entidade: denominação registada, número de registo, número de identificação fiscal, data e país de constituição, tipo de empresa e sector de actividade, moradas e contactos — além da camada de governação: administradores, accionistas e os poderes conferidos pelo conselho de administração para abrir a conta. Trata-se do KYB — Know Your Business (conheça o seu cliente empresarial)EN, um superconjunto do KYC.
• Um grupo (uma chama ou um grupo de poupança): o próprio grupo, os seus estatutos ou o seu registo, os seus dirigentes eleitos e a sua lista completa de membros — todos os membros identificados.
• Requerentes de contas conjuntas: cada titular identificado por completo, como pessoa de pleno direito, e nunca como «o outro nome da conta».

A falha clássica neste passo: recolher bem os dados do requerente principal e mal os de todos os outros. O risco da conta reside normalmente nas pessoas à sua volta.

Passo 2 — Determinar quem mais tem de ser identificado

Em tudo o que não seja uma simples conta particular, a adesão KYC estende-se do requerente às pessoas ligadas à conta:

• Beneficiários efectivos — as pessoas singulares que, em última instância, detêm ou controlam o cliente, normalmente a partir de um limiar de 10%. Veja beneficiários efectivos (UBO) na abertura de contaEN.
• Signatários autorizados — as pessoas que irão movimentar a conta, cada uma com identificação e um espécime de assinatura ou fotografia.
• Membros e dirigentes do grupo — nas contas de grupo, a lista de membros é a população KYC.
• Co-titulares — cada um submetido a filtragem e identificado separadamente.

A prova de fogo de um processo de adesão é saber se deriva automaticamente esta população a partir dos dados do pedido — cada administrador, proprietário, membro, titular e signatário tornando-se um sujeito de filtragem — ou se depende de um responsável que se lembre de os acrescentar.

Passo 3 — Recolher as declarações na origem

Há duas declarações que pertencem ao próprio pedido, e não a um documento à parte:

• Estatuto de PPE — se alguma das partes é uma pessoa politicamente exposta (PPE), o que desencadeia um escrutínio reforçado. A forma como isto alimenta a filtragem é tratada em filtragem de PPE na abertura de contaEN.
• Estatuto fiscal — a classificação FATCA e, quando aplicável, as residências fiscais CRS e as pessoas que exercem o controlo. Veja FATCA e CRS para contas empresariaisEN.

Recolhidas como campos estruturados, estas declarações encaminham o pedido automaticamente — um «sim» na declaração PPE pode exigir uma aprovação adicional, um indício de ligação aos EUA pode exigir um formulário W na lista de verificação de documentos. Recolhidas em papel, são arquivadas e esquecidas.

Passo 4 — Recolher os documentos

Os requisitos documentais decorrem de tudo o que ficou dito: documentos de identificação para cada pessoa, certidões de registo e certificados fiscais para as entidades, deliberações dos conselhos de administração e das assembleias de grupo, comprovativo de morada quando exigido. Duas práticas separam os processos limpos dos caóticos: uma lista de verificação orientada pelos dados do pedido (três signatários significam três espaços para documentos de identificação — criados automaticamente) e o acompanhamento por pessoa, para que «documentos completos» seja um facto, e não uma impressão. Um exemplo prático para entidades encontra-se na lista de verificação dos documentos para abertura de contas empresariaisEN.

Passo 5 — Filtrar e analisar

Com a população identificada e as declarações feitas, a filtragem e a análise podem ser conduzidas até à cobertura: cada sujeito derivado verificado e validado, com o estado de cobertura visível — «9 de 11 sujeitos filtrados» permite agir; «filtragem feita» não. Um responsável pela conformidade trata a fila, regista os resultados e valida. O pedido segue depois para a verificação de documentos, a análise interna do banco (segmento, balcão, excepções, encaminhamentos) e a aprovação — cada etapa com o seu próprio responsável, a sua fila e o seu temporizador de SLAEN, e cada decisão acompanhada de uma fundamentação registada.

Onde falha a adesão KYC?

Cinco pontos de falha explicam a maior parte das dificuldades:

1. Reintrodução de dados. Os formulários em papel ou em PDF transcritos para os sistemas introduzem erros precisamente onde a exactidão mais importa — nomes, números de identificação, datas. Recolha digitalmente na origem, uma única vez.
2. Populações de filtragem parciais. A empresa é submetida a filtragem; o terceiro signatário não. Se os sujeitos forem derivados à mão, algum acabará por escapar. Os sistemas devem derivá-los a partir dos dados.
3. Declarações separadas do pedido. Um formulário PPE num arquivo não consegue encaminhar um pedido. As declarações estruturadas conseguem.
4. Filas invisíveis. Quando os pedidos esperam em caixas de correio, e não em filas por função com temporizadores, o tempo de processamento torna-se um mistério medido em reclamações.
5. Decisões impossíveis de reconstituir. Se um auditor perguntar «quem validou isto, e o que viu?», a resposta deve ser um registo, e não uma investigação. Isso exige um trilho de auditoria apenas de acréscimo (append-only), escrito à medida que o trabalho acontece — o tema de abertura de contas preparada para auditoriaEN.

Como é um processo que funciona

Um processo de adesão KYC funciona quando: o requerente fornece tudo uma única vez, num percurso guiado; o sistema deriva todas as pessoas que têm de ser identificadas e submetidas a filtragem; as declarações são dados estruturados que encaminham o pedido; os documentos são acompanhados por pessoa, de acordo com uma lista de verificação; cada etapa tem um responsável e um cronómetro; e todo o histórico fica registado sem que ninguém tenha de fazer nada a mais.

É essa a forma que o BAOS — o sistema de abertura de contas bancárias implementa para contas empresariais, particulares, de grupo e conjuntas: conformidade recolhida na origem, uma fila de filtragem derivada de cada pessoa envolvida e um fluxo de análise em seis etapas monitorizado por SLA, com um trilho de auditoria apenas de acréscimo. Para a questão mais ampla da escolha — o que procurar em qualquer sistema — comece pelo guia do software de abertura de contas bancárias, ou marque uma demonstração para ver um pedido com o KYC completo avançar da submissão até à criação da conta.

Perguntas frequentes

Quais são os passos da adesão KYC num banco?

Cinco: identificar o cliente; determinar quem mais tem de ser identificado — beneficiários efectivos, signatários autorizados, membros e dirigentes do grupo, co-titulares; recolher as declarações PPE e fiscais dentro do pedido; reunir os documentos de acordo com uma lista de verificação orientada pelos dados do pedido; e, por fim, filtrar cada sujeito derivado até à cobertura total e registar uma decisão de análise. Tudo isto acontece antes de a conta ficar activa.

Qual é o primeiro passo do processo KYC?

Identificar o cliente. Para um particular, isso significa nome legal, data de nascimento, nacionalidade, documento de identificação, identificação fiscal, morada de residência e endereço postal, emprego e rendimentos, e familiar mais próximo. Para uma entidade, significa a denominação e o número de registo, o número de identificação fiscal, os dados de constituição, o tipo de empresa e as moradas, além da camada de governação — administradores, accionistas e os poderes conferidos pelo conselho de administração para abrir a conta.

Quem tem de ser identificado além do requerente?

As pessoas singulares que, em última instância, detêm ou controlam o cliente, normalmente a partir de um limiar de 10%; os signatários autorizados que irão movimentar a conta; cada membro e dirigente de uma conta de grupo; e cada titular de uma conta conjunta. Um processo sólido deriva automaticamente essa população a partir dos dados do pedido, em vez de depender de um responsável que se lembre de os acrescentar.

Onde falha habitualmente a adesão KYC?

Em cinco pontos: a reintrodução de formulários em papel ou em PDF nos sistemas; a filtragem de apenas parte da população (a empresa, mas não o terceiro signatário); declarações mantidas em papel, onde não conseguem encaminhar o pedido; pedidos à espera em caixas de correio, e não em filas por função com temporizadores; e decisões que não podem ser reconstituídas porque nenhum trilho de auditoria apenas de acréscimo foi escrito à medida que o trabalho decorria.