O que é KYX: a análise de risco que unifica KYC, KYB, KYT e KYE

Em maio de 2026, o Comitê de Decisão de Processo Administrativo Sancionador do Banco Central multou o Banco Topázio em R$ 16,28 milhões e proibiu a instituição de operar câmbio para criptoativos no mercado de balcão por dois anos. O Copas apontou falhas em três frentes ao mesmo tempo: avaliação da capacidade financeira dos clientes, procedimentos cadastrais e gestão de risco de PLD/FT, somadas à ausência de comunicação de operações atípicas ao COAF. Três frentes, três times, quase certamente três sistemas. O conceito de KYX existe para resolver esse tipo de fratura.

O que é KYX

KYX é a abordagem de verificação e monitoramento contínuo de risco aplicada a todas as partes que se relacionam com uma empresa: clientes pessoa física, empresas contrapartes, transações, funcionários, parceiros de negócio e fornecedores. O “X” é a variável que substitui cada tipo de relação. O que caracteriza uma operação KYX é o compartilhamento da mesma base de dados, dos mesmos critérios de risco e do mesmo histórico de decisões entre todas essas verificações.

No mercado brasileiro, o KYX ganhou forma operacional pela CIAL Dun & Bradstreet. O conceito circula internacionalmente como abordagem, e a CIAL o consolidou como arquitetura de produto no Integrity One: seis módulos, uma base de dados, um motor de decisão, uma trilha de auditoria.

As siglas por trás do X

• KYC (Know Your Customer): verifica o cliente pessoa física. Quem é essa pessoa e o risco dela é compatível com o relacionamento?
• KYB (Know Your Business): verifica o cliente ou contraparte pessoa jurídica. Quem controla essa empresa e quem é o beneficiário final?
• KYT (Know Your Transaction): verifica o comportamento transacional. Essa movimentação é compatível com o perfil declarado?
• KYE (Know Your Employee): verifica funcionários. Há exposição política, vínculo societário ou histórico que gere risco interno?
• KYP (Know Your Partner): verifica parceiros de negócio. Esse parceiro tem controles de PLD/FT compatíveis com os nossos?
• KYS (Know Your Supplier): verifica fornecedores e prestadores terceirizados. Esse fornecedor expõe a empresa a sanções, litígios ou risco reputacional?

A lógica é a mesma nas seis linhas: identificar, qualificar, classificar por risco e monitorar ao longo do tempo. O que muda é o objeto.

A regulação brasileira já exige uma visão KYX

Esse ponto costuma passar batido, e é o mais importante do artigo. A Circular nº 3.978, de 23 de janeiro de 2020, do Banco Central, determina em seu art. 2º que a política de PLD/FT seja compatível com quatro perfis de risco: dos clientes, da própria instituição, das operações e transações, e dos funcionários, parceiros e prestadores de serviços terceirizados.

Os quatro perfis do art. 2º são, em outras palavras, a definição regulatória do KYX.

O Capítulo IX da mesma Circular vai além do princípio e cria obrigação específica. O art. 56 exige procedimentos destinados a conhecer funcionários, parceiros e prestadores de serviços terceirizados, incluindo identificação e qualificação. O art. 58 manda classificar as atividades dessas pessoas nas mesmas categorias de risco definidas na avaliação interna de risco usada para clientes. E o art. 67 determina guarda dessas informações por, no mínimo, dez anos após o encerramento da relação contratual.

No setor de seguros o desenho é equivalente. A Circular SUSEP nº 612, de 18 de agosto de 2020, em vigor desde março de 2021, traz no Capítulo XI, art. 38, a mesma exigência de conhecer funcionários, parceiros e prestadores terceirizados.

Ou seja: a empresa regulada que trata KYC como um projeto e KYE, KYP e KYS como formalidade documental está em desacordo com o texto da norma, não apenas com uma boa prática de mercado.

O que se perde quando cada K roda em uma ferramenta separada

Contexto cadastral não chega ao alerta transacional. Um alerta de KYT sem acesso ao faturamento declarado, ao CNAE, ao quadro societário e à classificação de risco do cliente vira ruído. É a raiz do volume de falsos positivos que consome o time de PLD.

O relógio da norma não para. A Circular 3.978 fixa prazo máximo de 45 dias para monitoramento e seleção de operações suspeitas, contados da ocorrência (art. 39), e outros 45 dias para a análise, contados da seleção (art. 43, § 1º). Decidido comunicar, o reporte ao COAF deve sair até o dia útil seguinte (art. 48, § 2º). Cada handoff entre ferramentas come dias desse orçamento.

A trilha de auditoria fica fragmentada. O art. 61 exige trilhas de auditoria e o art. 43, § 2º, exige dossiê formalizado de cada análise. Reconstituir um dossiê a partir de quatro sistemas, na frente do supervisor, é o cenário que ninguém quer.

A escala do problema é pública. Segundo o Relatório de Gestão Integrado 2025 do COAF, o órgão produziu 20.548 Relatórios de Inteligência Financeira no ano, média de 56 por dia, em um ano de volume recorde de comunicações enviadas pelos setores obrigados. O fluxo cresce; a estrutura de análise precisa crescer junto.

Como estruturar uma operação KYX em cinco passos

1. Unifique a taxonomia de risco. Antes da tecnologia, defina categorias de risco únicas que valham para cliente, fornecedor, parceiro e funcionário. A Circular 3.978 já pede isso no art. 58.
2. Centralize a base cadastral. Uma consulta de CNPJ, CPF, quadro societário e beneficiário final que sirva a todos os fluxos, com o mesmo critério de atualização.
3. Codifique a política em regras. Pesos, scores e limiares que produzam decisão automática de aprovação, reprovação ou escalonamento, com o critério registrado.
4. Ligue cadastro a comportamento. O alerta transacional só é útil quando lido contra o perfil declarado e a classificação de risco vigente.
5. Feche o ciclo na investigação. Gestão de casos, registro de evidências e histórico de decisões no mesmo ambiente onde o alerta nasceu, para que o dossiê exigido pela norma se monte sozinho.

Vale lembrar que o mesmo raciocínio se aplica fora do perímetro regulado. Quem já estruturou uma rotina de diligenciamento de processos e compras reconhece a lógica: qualificar antes de contratar e monitorar depois de contratado.

Como o KYX funciona no Integrity One

O Integrity One é a plataforma de compliance e PLD/FT da CIAL que aplica o KYX de ponta a ponta, do onboarding ao reporte ao COAF. Na prática, isso significa seis módulos operando sobre a mesma base e o mesmo motor de decisão:

• Onboarding e due diligence de PF e PJ, individual ou em lote, com classificação automática de risco
• Motor de decisão no-code, em que a área de compliance configura regras, pesos e scores sem depender de time técnico, e a saída é aprovar, reprovar ou escalar para análise manual
• Monitoramento contínuo por blocos de dados: cadastro, estrutura societária, PEP e ligações políticas, sanções nacionais e internacionais, mídia negativa, legal e fiscal
• Monitoramento transacional (KYT), com detecção de comportamento atípico, inconsistência com o perfil e estruturação de operações
• Investigação, com gestão de casos, registro de evidências e trilha de auditoria completa
• Report regulatório, com geração estruturada das comunicações de operações suspeitas

A base de dados que alimenta essas análises vem da Dun & Bradstreet e reúne informações comerciais de mais de 600 milhões de empresas no mundo. É o que permite que o mesmo dado sustente a decisão de onboarding, a homologação do fornecedor e a leitura do alerta transacional. É essa integração que sustenta o KYX como prática, e não como vocabulário.

Se você quer ver como esse desenho se traduz em processo, vale conhecer nossa abordagem de gestão de compliance e como ela se conecta ao risco na cadeia de fornecedores.

Perguntas frequentes

O que significa KYX?

KYX significa “Know Your X”, em que o X é uma variável que representa qualquer parte que se relaciona com a empresa. Reúne, sob uma mesma abordagem de verificação e monitoramento de risco, práticas como KYC (clientes), KYB (empresas), KYT (transações), KYE (funcionários), KYP (parceiros) e KYS (fornecedores).

Qual a diferença entre KYC e KYX?

KYC verifica a identidade, a qualificação e o risco do cliente. KYX aplica essa mesma lógica a todas as demais partes relacionadas, incluindo transações, funcionários, parceiros e fornecedores, usando a mesma base de dados e os mesmos critérios de risco. KYC é um componente do KYX.

KYX é obrigatório no Brasil?

A sigla não aparece na regulação, mas a exigência sim. A Circular nº 3.978/2020 do Banco Central determina, no art. 2º, que a política de PLD/FT seja compatível com os perfis de risco de clientes, da instituição, das operações e dos funcionários, parceiros e prestadores de serviços terceirizados. O Capítulo IX cria obrigação específica de conhecer esses terceiros. A Circular SUSEP nº 612/2020 traz exigência equivalente para o setor de seguros no Capítulo XI.

O que é KYT e como se diferencia do KYC?

KYT (Know Your Transaction) é o monitoramento do comportamento transacional para identificar movimentações incompatíveis com o perfil do cliente, estruturação de operações e padrões atípicos. O KYC olha para quem a contraparte é; o KYT olha para o que ela faz depois de aprovada. Sem o dado cadastral do KYC, o alerta de KYT perde o parâmetro de comparação.

Por que unificar KYC, KYT e due diligence de terceiros reduz falsos positivos?

Porque a maior parte do falso positivo nasce de alerta sem contexto. Quando a regra que avalia uma transação tem acesso ao faturamento declarado, ao CNAE, ao quadro societário e à classificação de risco vigente da contraparte, o alerta chega ao analista já qualificado. O ganho aparece no tempo de análise por caso, que é justamente o recurso limitado pelos prazos de 45 dias da Circular 3.978.

Quais dados são necessários para uma operação KYX?

No mínimo: dados cadastrais e situação de PF e PJ, quadro societário e beneficiário final, listas de sanções nacionais e internacionais, base de pessoas expostas politicamente, mídia negativa, informações judiciais e fiscais, e os dados transacionais do próprio cliente. O ponto crítico é que todos precisem conversar entre si dentro do mesmo modelo de risco.

Se a sua operação hoje trata cliente, fornecedor, parceiro e transação em ferramentas separadas, o primeiro passo não é comprar tecnologia. É mapear onde a informação se perde entre um “K” e o outro. Nossa equipe faz esse diagnóstico junto com times de compliance e PLD/FT. Fale com um especialista da CIAL.