KYC empresarial: o que é, como funciona e checklist prático

Um CNPJ ativo, faturamento declarado compatível e pressa para fechar o contrato. Três meses depois, o time de compliance encontra uma pessoa exposta politicamente duas camadas acima no quadro societário, dentro de uma holding que ninguém tinha aberto. O KYC empresarial existe para que essa descoberta aconteça antes da assinatura, com critério e trilha de auditoria, e não no meio de uma investigação.

Este guia reúne o que a CIAL Dun & Bradstreet observa nos processos de KYC ( Know Your Customer ou Conheça Seu Cliente) aplicados a pessoa jurídica no Brasil: definição, etapas, níveis de diligência, o que mudou com as novas regras de beneficiário final e um checklist para aplicar na sua operação.

O que é KYC empresarial

KYC empresarial é o conjunto de procedimentos que uma empresa adota para identificar, verificar e classificar o risco de outra empresa antes de iniciar uma relação comercial, e para manter essas informações atualizadas enquanto a relação durar. A sigla vem de Know Your Customer, traduzida no mercado brasileiro como Conheça Seu Cliente. Aplicado a pessoa jurídica, o processo alcança quadro societário, beneficiário final, presença em listas restritivas, exposição política e coerência entre a atividade declarada e a operação real.

No Brasil, a base legal está na Lei nº 9.613/1998, que define os setores obrigados e as obrigações de identificar clientes, manter registros e comunicar operações ao Coaf. Para as instituições autorizadas a funcionar pelo Banco Central, a norma operacional é a Circular BCB nº 3.978/2020, em vigor desde 1º de outubro de 2020, que organizou o tema em torno da abordagem baseada em risco: a instituição precisa definir categorias de risco que permitam controles reforçados nas situações de maior risco e controles simplificados nas de menor risco. Empresas fora do perímetro regulado não estão sujeitas a essas obrigações. Ainda assim, é dessa estrutura que sai o padrão de referência que o mercado usa.

Boa parte das empresas que faz KYC empresarial hoje não aparece na lista de setores obrigados. Faz porque o risco existe de qualquer forma: fraude na contratação, fornecedor que desaparece no meio do fornecimento, cliente que gera passivo reputacional, contraparte que trava um pagamento internacional.

Como funciona o processo de KYC empresarial, passo a passo

O processo tem seis etapas. As quatro primeiras acontecem antes da aprovação. Nas instituições reguladas pelo Banco Central isso é regra expressa: é vedado iniciar relação de negócios sem que a identificação e a qualificação do cliente estejam concluídas, admitido o início por até trinta dias apenas quando faltarem informações de qualificação. As duas últimas etapas definem se o KYC vai se manter válido ao longo do tempo.

1. Coleta e identificação cadastral. CNPJ, razão social, nome fantasia, data de abertura, capital social, CNAE principal e secundários, endereço, situação cadastral na Receita Federal e quadro de sócios e administradores. É a camada mais simples e a que mais gera retrabalho quando é preenchida por formulário enviado ao próprio cliente.
2. Verificação e validação em fontes independentes. Nas instituições reguladas pelo Banco Central, os procedimentos de identificação devem incluir a obtenção, a verificação e a validação da autenticidade das informações do cliente, inclusive, se necessário, mediante confrontação com bases de dados públicas e privadas. Fora do perímetro regulado, o princípio se sustenta pela razão prática: o dado que o cliente declara precisa ser confirmado em uma fonte que não seja o cliente.
3. Identificação do beneficiário final. É subir a cadeia de participação societária até a pessoa natural. Dois critérios convivem aqui, e confundi-los é o erro mais comum do processo.
   • Para fins cadastrais e fiscais, a Instrução Normativa RFB nº 2.119/2022 presume influência significativa quando a pessoa natural detém, direta ou indiretamente, mais de 25% do capital social ou dos direitos de voto, ou quando exerce preponderância nas deliberações sociais e tem poder de eleger a maioria dos administradores.
   • Nas instituições reguladas pelo Banco Central, a lógica é outra: cada instituição define um valor mínimo de referência de participação societária com base no risco, e esse valor não pode ser superior a 25%, considerada a participação direta e a indireta. Os 25% funcionam como teto, não como corte automático. Quanto maior o risco, menor deve ser o percentual.
   • A norma do Banco Central também considera beneficiário final o representante, o procurador ou o preposto que exerça o comando de fato sobre a pessoa jurídica, e prevê exceções à análise da cadeia societária, entre elas companhia aberta, entidade sem fins lucrativos, cooperativa e determinados fundos e investidores não residentes.
4. Triagem em listas e mídia adversa. Sanções internacionais, CEIS, CNEP, cadastro de empregadores por trabalho análogo ao escravo, condição de pessoa exposta politicamente, processos judiciais relevantes e cobertura negativa em mídia. Aqui o problema raramente é falta de resultado, e sim volume de falso positivo.
5. Classificação de risco. País, setor, canal de contratação, complexidade societária, exposição política, volume e forma de pagamento. A pontuação resultante define o nível de diligência aplicável e o prazo de reavaliação. Sem essa etapa, a empresa aplica o mesmo esforço a todos os casos e perde tempo onde não há risco.
6. Monitoramento contínuo e reavaliação. Mudança de sócio, entrada em lista restritiva, alteração de CNAE, baixa ou suspensão de CNPJ e deterioração financeira alteram o risco depois da aprovação. Para as instituições supervisionadas pelo Banco Central, o pacote inclui ainda a comunicação ao Coaf de operações de depósito, aporte ou saque em espécie de valor igual ou superior a R$ 50 mil, além das comunicações de operações suspeitas.

Uma referência de escala ajuda a dimensionar o sistema em que esse processo se encaixa. Segundo dados de gestão do próprio Coaf relativos a 2025, foram produzidos 20.548 relatórios de inteligência financeira no ano, média de 56 por dia e alta de 9,5% sobre os 18.762 de 2024. O relatório de inteligência financeira não é prova de ilícito: é o resultado da análise do Coaf a partir de comunicações dos setores obrigados e de pedidos de intercâmbio, encaminhado às autoridades competentes quando há indícios.

Níveis de due diligence: simplificada, padrão e ampliada

A abordagem baseada em risco existe justamente para calibrar esforço. Antes de detalhar os níveis, uma ressalva de vocabulário: os três nomes abaixo são a taxonomia consagrada na prática internacional e nas 40 Recomendações do GAFI, e são os termos que o mercado busca. A norma brasileira aplicável às instituições reguladas pelo Banco Central não usa esses nomes. Ela exige categorias de risco definidas na avaliação interna de risco, com controles reforçados para maior risco e simplificados para menor risco. O efeito prático é equivalente.

Diligência simplificada

• Quando se aplica: risco baixo comprovado e documentado.
• O que inclui: identificação cadastral, validação em fonte independente e triagem básica em listas.
• Exemplo em relação B2B: cliente pessoa jurídica de baixo ticket, setor de baixo risco, capital aberto e estrutura societária transparente.

Diligência padrão, ou CDD

• Quando se aplica: regra geral para a maioria das contrapartes.
• O que inclui: todas as seis etapas do processo, com identificação de beneficiário final e classificação de risco.
• Exemplo em relação B2B: novo distribuidor nacional com faturamento relevante e quadro societário de duas camadas.

Diligência ampliada, ou EDD

• Quando se aplica: risco alto, como pessoa exposta politicamente, estrutura opaca, jurisdição sensível, setor de risco elevado ou mídia adversa.
• O que inclui: aprovação em nível hierárquico superior, comprovação de origem de recursos e de patrimônio, verificação documental reforçada e monitoramento em prazo mais curto.
• Exemplo em relação B2B: fornecedor com sócio final em jurisdição de baixa transparência e histórico de sanção administrativa.

O Relatório de Avaliação Mútua do Brasil, publicado em dezembro de 2023 pelo GAFI em conjunto com o Gafilat, reconheceu avanços do sistema brasileiro desde a avaliação anterior, de 2010, e apontou desafios de efetividade que seguem orientando as normas dos reguladores setoriais.

Um erro frequente é tratar EDD como uma pilha maior de documentos. O que diferencia a diligência ampliada é entender a origem dos recursos e do patrimônio e registrar a decisão em instância superior. Na norma do Banco Central, a avaliação sobre iniciar ou manter relacionamento com cliente qualificado como pessoa exposta politicamente precisa ser feita por quem ocupa cargo de nível hierárquico superior ao do responsável pela autorização do relacionamento.

O que mudou no KYC empresarial em 2026: o beneficiário final entrou no CNPJ

Este é o ponto que mais muda a rotina de quem faz KYC no Brasil neste ano. A Instrução Normativa RFB nº 2.290/2025 alterou a IN RFB nº 2.119/2022 e criou o Formulário Digital de Beneficiários Finais, o e-BEF, com as informações integradas ao Cadastro Nacional da Pessoa Jurídica. A norma está em vigor desde 1º de janeiro de 2026.

Os prazos são dois. Trinta dias contados da inscrição no CNPJ, da alteração dos beneficiários finais ou da data em que a entidade dispensada passa à condição de obrigada. E atualização anual obrigatória até o último dia de cada ano-calendário, mesmo quando não houver mudança.

A obrigatoriedade não alcança todo mundo, e é aqui que a maioria das leituras erra. Estão dispensadas empresas públicas, sociedades de economia mista, sociedades anônimas abertas e suas controladas, microempreendedores individuais e sociedades unipessoais. Empresas do Simples Nacional e limitadas de outros regimes com faturamento até R$ 4,8 milhões, em geral, não precisarão prestar a informação. Para os demais grupos há faseamento: a partir de 1º de janeiro de 2027 entram as sociedades simples e limitadas com faturamento acima de R$ 78 milhões, as entidades estrangeiras que investem nos mercados financeiro e de capitais e as entidades sem fins lucrativos que recebem verbas públicas, exceto serviços sociais autônomos; a partir de 1º de janeiro de 2028, as sociedades simples e limitadas com faturamento acima de R$ 4,8 milhões, os fundos de investimento de previdência e fundos de pensão e as entidades de previdência e instituições similares. Limitadas que tenham sócio pessoa jurídica no quadro de sócios e administradores declaram desde 2026, independentemente do faturamento.

As sanções explicam por que isso interessa a quem avalia contrapartes. Quem não apresentar o e-BEF, ou apresentá-lo com omissão ou incorreção, fica sujeito à suspensão da inscrição no CNPJ e ao impedimento de realizar operações bancárias, precedidos de intimação de 30 dias. Há multa por atraso e responsabilização penal por falsidade ideológica em caso de informação falsa.

Duas consequências práticas para o seu processo de KYC empresarial:

• A camada de beneficiário final passa a ter contraparte documental. As entidades obrigadas agora produzem uma declaração estruturada e datada, com prazo e penalidade associados. Isso muda o que você pode pedir na diligência: em vez de reconstruir a árvore societária apenas a partir do quadro de sócios, é possível solicitar à contraparte a informação declarada e a documentação de suporte. Atenção a um ponto: o e-BEF não é base de consulta pública. Os dados são integrados ao CNPJ e espelhados nos sistemas da Receita Federal, para uso da própria administração tributária e compartilhamento com autoridades.
• A situação cadastral virou sinal de risco mais sensível. Uma contraparte com CNPJ suspenso e impedida de operar com bancos é risco operacional imediato, não apenas regulatório: sem CNPJ regular não há pagamento, nota nem contrato válido. A situação cadastral é visível na consulta pública ao CNPJ, ainda que o motivo específico da suspensão não seja.

Checklist de KYC empresarial para relações B2B

Use como base e ajuste conforme a sua matriz de risco.

Identificação

• CNPJ válido e situação cadastral ativa na Receita Federal
• Razão social, nome fantasia, data de abertura e capital social conferidos em fonte independente
• CNAE principal compatível com a atividade que a empresa diz exercer
• Endereço verificado, com atenção a coincidência de endereço entre múltiplas contrapartes
• Contato do responsável pela relação, com vínculo comprovado com a empresa

Estrutura e controle

• Quadro de sócios e administradores completo, incluindo sócio pessoa jurídica
• Cadeia societária aberta até a pessoa natural, com percentual de referência definido e justificado na sua política. Para instituições reguladas pelo Banco Central, esse percentual não pode ser superior a 25%
• Identificação de representantes, procuradores e prepostos com comando de fato sobre a pessoa jurídica
• Verificação de estruturas em jurisdições de baixa transparência
• Situação da obrigação de beneficiário final da contraparte e coerência com o que foi declarado a você
• Identificação de administradores com poderes relevantes

Risco e integridade

• Triagem em listas de sanções nacionais e internacionais
• Consulta ao CEIS e ao CNEP
• Consulta ao CEPIM quando a contraparte for entidade privada sem fins lucrativos
• Verificação de condição de pessoa exposta politicamente para sócios, beneficiários finais e administradores
• Busca de mídia adversa com critério documentado de relevância
• Verificação de processos judiciais e passivos com potencial de impacto na relação
• Avaliação de saúde financeira e capacidade de entrega ou de pagamento

Governança do processo

• Classificação de risco atribuída, com justificativa registrada
• Nível de diligência aplicado coerente com a classificação
• Alçada de aprovação definida, com aprovação em nível superior para casos de diligência ampliada
• Prazo de reavaliação definido por faixa de risco
• Monitoramento de eventos societários, cadastrais e de listas durante a relação
• Trilha de auditoria com data, fonte consultada, evidência e decisão
• Retenção das informações pelo prazo exigido pela norma aplicável ao seu setor. Nas instituições reguladas pelo Banco Central, o mínimo é de dez anos, contados do primeiro dia do ano seguinte ao término do relacionamento

Como sustentar o KYC empresarial com dados confiáveis

O gargalo raramente é o desenho do processo. É a base que alimenta cada etapa. Quando o cadastro vem por formulário, a árvore societária é montada à mão e a triagem em listas devolve centenas de homônimos, o time de compliance passa a maior parte do tempo tratando falso positivo em vez de analisar risco real.

É esse desenho que a plataforma Integrity One endereça: a solução da CIAL Dun & Bradstreet que consolida identificação cadastral, mapeamento de beneficiário final, triagem em listas restritivas e de pessoas expostas politicamente e monitoramento contínuo em uma visão única, com registro auditável de cada decisão. A camada de dados vem da base da Dun & Bradstreet, com mais de 600 milhões de empresas, o que permite acompanhar contraparte, matriz e coligadas dentro e fora do Brasil sob a mesma identidade.

Se o seu interesse é automatizar essas verificações dentro de fluxos de inteligência artificial, vale ler também como a Dun & Bradstreet e a Anthropic automatizam o onboarding empresarial.

Se o seu processo de KYC empresarial hoje depende de planilha e de consulta manual, o próximo passo é ver o Integrity One rodando com casos da sua própria carteira.

Perguntas frequentes

Qual a diferença entre KYC empresarial e due diligence de terceiros?

KYC empresarial é o processo de conhecer e classificar o risco de uma contraparte com quem sua empresa mantém relação comercial direta, com foco em identificação, beneficiário final, listas restritivas e monitoramento contínuo. Due diligence de terceiros é um termo mais amplo, que abrange qualquer parte relacionada, incluindo fornecedores, parceiros, distribuidores, intermediários e prestadores de serviço, e costuma avaliar também integridade, aspectos trabalhistas, socioambientais e capacidade operacional. Na prática, o KYC é um dos componentes da due diligence de terceiros, e as duas rotinas compartilham a mesma base de dados cadastrais e de listas.

Toda empresa precisa fazer KYC empresarial?

Nem toda empresa está legalmente obrigada, mas praticamente toda empresa tem motivo para fazer. A obrigação legal formal recai sobre os setores listados na Lei nº 9.613/1998 e sobre as entidades reguladas por Banco Central, CVM, Susep e outros supervisores, cada um com norma própria. Fora desse universo, o KYC empresarial é adotado por decisão de gestão de risco: evitar fraude na contratação, reduzir inadimplência, proteger a empresa de risco reputacional por associação e atender exigências de clientes ou financiadores que auditam a cadeia. Não é raro que clientes de grande porte, bancos e investidores exijam controles equivalentes por contrato, mesmo de empresas fora do perímetro regulado.

O que é EDD, ou due diligence ampliada?

EDD é a sigla de Enhanced Due Diligence, a diligência aplicada quando a contraparte apresenta risco alto. Vai além da verificação cadastral: exige compreensão da origem dos recursos e do patrimônio, verificação documental reforçada, aprovação da relação em nível hierárquico superior e reavaliação em prazo mais curto. Os gatilhos mais comuns são presença de pessoa exposta politicamente, estrutura societária opaca ou com veículos no exterior, jurisdição de baixa transparência, setor de risco elevado e mídia adversa relevante. A decisão e a evidência precisam ficar registradas, porque é exatamente esse ponto que um supervisor ou auditor examina primeiro.

Quais dados e documentos são exigidos no KYC de pessoa jurídica?

O núcleo é composto por CNPJ e situação cadastral, razão social, data de abertura, capital social, CNAE, endereço, quadro de sócios e administradores, contrato social ou estatuto com últimas alterações, identificação dos beneficiários finais e documentos de identificação dos representantes com poderes de assinatura. Em risco mais alto, entram comprovação de origem de recursos, demonstrações financeiras e certidões específicas. O que define a qualidade do KYC não é o volume de documentos coletados, e sim a validação de cada informação em fonte independente do próprio cliente.

Com que frequência o KYC empresarial deve ser atualizado?

A frequência acompanha o risco, e a norma brasileira aplicável às instituições reguladas pelo Banco Central não fixa um intervalo em meses: ela exige que a qualificação do cliente seja reavaliada de forma permanente, conforme a evolução da relação de negócio, e que a classificação de risco seja revista sempre que o perfil de risco ou a natureza da relação mudarem. Ciclos de seis a doze meses para risco alto são prática de mercado, não exigência normativa. Independentemente do ciclo adotado, há eventos que disparam reavaliação imediata: alteração de quadro societário ou de beneficiário final, mudança de CNAE, suspensão ou baixa de CNPJ, entrada em lista restritiva, cobertura negativa relevante e mudança material no padrão de operações.

Como identificar o beneficiário final de uma empresa no Brasil?

O caminho é abrir a cadeia de participação societária camada por camada, a partir do quadro de sócios e administradores, até chegar às pessoas naturais. Para fins cadastrais e fiscais, a Instrução Normativa RFB nº 2.119/2022 presume influência significativa quando a pessoa natural detém, direta ou indiretamente, mais de 25% do capital ou dos direitos de voto, ou quando exerce preponderância nas deliberações sociais e pode eleger a maioria dos administradores. Desde 1º de janeiro de 2026, a indicação é feita pelo Formulário Digital de Beneficiários Finais, o e-BEF, criado pela Instrução Normativa RFB nº 2.290/2025 e integrado ao CNPJ, com prazo de 30 dias após a inscrição ou a alteração, atualização anual e faseamento de obrigatoriedade até 2028. O e-BEF é uma obrigação da própria entidade perante a Receita Federal, e não uma base de consulta aberta a terceiros: na diligência de uma contraparte, o caminho continua sendo solicitar a informação e a documentação de suporte, além de verificar fontes independentes.

Estruturar KYC empresarial com planilha funciona até o primeiro fornecedor com sócio pessoa jurídica em quarta camada. Se você quer ver como fica o processo com identificação de beneficiário final, triagem em listas e monitoramento contínuo em uma única visão, agende uma demonstração da Integrity One com o time da CIAL.