AML/CTF Tranche 2 na Austrália: As Novas Exigências de Due Diligence do Cliente (PT-BR)

Em 1º de julho de 2026, a segunda fase das reformas AML/CTF da Austrália entrou em vigor. Aproximadamente 90.000 empresas que nunca haviam lidado com a lei de combate à lavagem de dinheiro acordaram como entidades reportadoras. Se você gerencia um escritório de advocacia, um escritório de despachantes, uma empresa de contabilidade, uma imobiliária, uma empresa de desenvolvimento imobiliário, um prestador de serviços fiduciários ou corporativos, ou lida com metais e pedras preciosas, as obrigações já são suas — a inscrição na AUSTRAC foi aberta em 31 de março de 2026, e você deve se inscrever em até 28 dias após o início da prestação de um serviço designado.

A maior parte da orientação escrita sobre isso explica a lei. Muito pouco explica o que você realmente precisa construir. Este post aborda a segunda parte.

Principais pontos

• As obrigações da Tranche 2 começaram em 1º de julho de 2026. A inscrição na AUSTRAC foi aberta em 31 de março de 2026, e você deve se inscrever em até 28 dias após a primeira prestação de um serviço designado.
• Os setores recém-incluídos são advogados, despachantes, contadores, agentes imobiliários e desenvolvedores de imóveis, prestadores de serviços fiduciários e corporativos, e negociantes de metais e pedras preciosas.
• A due diligence do cliente é o núcleo operacional: identificar o cliente, verificar essa identidade a partir de fontes confiáveis e independentes, identificar os beneficiários finais de uma empresa ou trust, e verificar todos contra listas de sanções e pessoas politicamente expostas.
• A verificação não é única. Você deve realizar uma due diligence contínua do cliente, o que significa reavaliar sua carteira existente conforme as listas mudam, não apenas no onboarding.
• Nada disso exige um departamento de conformidade. Uma verificação custa US$ 0,33 para o pacote de identidade mais US$ 0,20 para a triagem AML, e o monitoramento contínuo é de US$ 0,07 por cliente por ano.

O que significa "due diligence do cliente" na prática

A Lei AML/CTF exige que você saiba quatro coisas antes de fornecer um serviço designado. Escritas como requisitos de engenharia, em vez de legais, são:

1. Quem é essa pessoa. Colete o nome completo do cliente, data de nascimento e endereço residencial.

2. A pessoa é real e é quem ela diz ser. É aqui que uma verificação de documentos e uma verificação biométrica fazem o trabalho. Você lê o documento de identidade, confirma que é um documento genuíno, e não uma fotografia de tela ou uma cópia impressa, e confirma que a pessoa que o apresenta está fisicamente presente e é a pessoa na fotografia.

3. Se o cliente é uma empresa ou um trust, quem está por trás dela. A propriedade beneficiária é a parte que a maioria das novas entidades reportadoras subestima. Um despachante que atua para um comprador corporativo, ou um TCSP que incorpora uma estrutura, precisa dos diretores, dos acionistas e dos indivíduos que, em última instância, possuem ou controlam a entidade — e então precisa identificar esses indivíduos também.

4. Alguém nesse cenário está sancionado ou é politicamente exposto. Triagem contra listas de sanções, listas de pessoas politicamente expostas e mídia adversa, para o cliente e para cada beneficiário final.

Então você mantém registros e continua observando.

Por que o caso do prestador de serviços fiduciários e corporativos é o mais difícil

Uma única escritura de trust ou registro de empresa pode envolver quatro ou cinco pessoas físicas: os diretores, o administrador, o instituidor, os beneficiários finais. Sob a Tranche 2, cada um deles precisa ser identificado, e a própria entidade precisa ser verificada em relação ao registro.

Fazer isso por e-mail — enviando a cada diretor seu próprio link de verificação e cobrando-os — é o modo de falha que faz com que as empresas desistam e voltem a fotocopiar passaportes. A alternativa é executar a verificação da empresa e as verificações individuais como um fluxo único e vinculado, de modo que a verificação da entidade produza automaticamente a lista de pessoas que precisam ser verificadas, e cada uma dessas verificações esteja ligada ao mesmo arquivo de caso.

Detalhes técnicos

A metade de identidade de uma verificação da Tranche 2 é uma única sessão. Você a cria no servidor, envia o cliente para o URL retornado ou monta o SDK, e recebe a decisão em um webhook.

curl -X POST https://verification.didit.me/v3/session/ \
  -H "x-api-key: $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "workflow_id": "your-tranche-2-workflow",
    "vendor_data": "matter-2026-0417",
    "callback": "https://yourfirm.com.au/webhooks/didit"
  }'

O fluxo de trabalho por trás disso encadeia as verificações que você precisa, na ordem necessária:

Etapa	O que prova	Preço
Verificação de ID	O documento é genuíno e os dados são lidos corretamente	US$ 0,15
Liveness Passiva	Uma pessoa real está presente, não uma foto ou um deepfake	US$ 0,10
Face Match 1:1	A pessoa presente é a pessoa no documento	US$ 0,05
Análise de IP	Onde a sessão realmente se originou	US$ 0,03
Triagem AML	Sanções, PEP e mídia adversa em mais de 1.300 listas	US$ 0,20
Monitoramento AML Contínuo	Re-triagem contínua conforme as listas mudam	US$ 0,07 / cliente / ano
Verificação de Negócios (KYB)	Registro, diretores, beneficiários finais	A partir de US$ 2,00

Os quatro primeiros juntos são o pacote de identidade de US$ 0,33. As primeiras 500 verificações mensais são gratuitas, por recurso, o que para uma pequena prática frequentemente representa todo o volume mensal.

Para clientes australianos, a Didit lê os oito modelos de carteira de motorista estaduais e territoriais, o passaporte australiano, o cartão Medicare, o ImmiCard, certificados de cidadania, vistos e certidões de nascimento, casamento e mudança de nome.

A due diligence contínua é a parte que as pessoas esquecem

Verificar um cliente uma vez, no dia em que você o integra, não satisfaz ninguém. As listas de sanções mudam semanalmente. Um cliente que estava limpo em julho pode aparecer em uma lista em novembro, e a obrigação de notar é sua.

O Monitoramento AML Contínuo verifica novamente toda a sua carteira de clientes contra as mesmas mais de 1.300 listas e dispara um webhook quando o status de alguém muda. A US$ 0,07 por cliente por ano, uma prática com 2.000 clientes ativos paga US$ 140 anualmente para nunca mais ter que pensar nisso.

Casos de uso

Escritórios de advocacia e despachantes. Verificação no engajamento, vinculada ao número do processo através de vendor_data, para que o registro de conformidade e o arquivo do processo sejam o mesmo registro.

Contadores. Identidade mais AML na integração do cliente, com a verificação da empresa anexada quando o cliente é uma entidade, e não um indivíduo.

Imobiliárias e desenvolvedores de imóveis. Verificação do comprador antes do serviço designado, executada a partir de um link que o agente envia, com a marca da agência em vez de um terceiro.

Prestadores de serviços fiduciários e corporativos. Verificação de entidade que produz a lista de beneficiários finais, com uma verificação de identidade vinculada para cada pessoa nela.

Como integrar com a Didit

1. Crie uma conta gratuita e aproveite as 500 verificações gratuitas por mês.
2. Construa o fluxo de trabalho no construtor visual — arraste Verificação de ID, Liveness, Face Match e Triagem AML, depois adicione Verificação de Negócios se você atua para entidades.
3. Aponte-o para sua referência de caso ou cliente com vendor_data.
4. Assine o webhook session.status.updated e registre a decisão em seu sistema de gerenciamento de prática.
5. Ative o Monitoramento AML Contínuo para cada cliente verificado.

A integração geralmente leva uma única tarde. Não há compromisso mínimo, não há exigência de contrato anual, e os créditos não expiram.

Perguntas frequentes

Preciso me inscrever na AUSTRAC mesmo que ainda não tenha fornecido um serviço designado?

A inscrição foi aberta em 31 de março de 2026, e o pedido deve ser feito em até 28 dias após o início da prestação de um serviço designado. Se você já está prestando um, o prazo começou.

Um passaporte digitalizado é suficiente?

Não. O objetivo principal da reforma é a verificação a partir de fontes confiáveis e independentes. Uma fotografia de um documento não prova nada sobre se a pessoa que o envia é a pessoa nele. É para isso que servem as etapas de liveness e face match, e é por isso que custam US$ 0,15 combinadas, em vez de nada.

Posso verificar os beneficiários finais de uma empresa sem que cada um deles faça uma verificação de identidade completa?

Você pode verificá-los contra listas de sanções e PEP a partir dos dados que você já possui. Se isso é suficiente, depende da classificação de risco que você atribui sob seu programa AML/CTF — isso é um julgamento para seu oficial de conformidade, não para um fornecedor.

Quanto isso custa para uma pequena prática?

Abaixo de 500 verificações por mês, por recurso, nada. Acima disso, US$ 0,33 para o pacote de identidade mais US$ 0,20 para a triagem AML por cliente, e US$ 0,07 por cliente por ano para monitoramento contínuo.

A Didit é uma empresa australiana?

A Didit está sediada em São Francisco, com engenharia em Barcelona, e atende clientes em mais de 220 países. Os dados são processados na UE por padrão, e a retenção é configurável de um mês a ilimitada, com um endpoint de exclusão caso você precise não reter nada.

Pronto para começar?

Leia a documentação de Triagem AML para a superfície da API, veja o que a Didit cobre na Austrália, verifique os preços e, em seguida, comece gratuitamente com 500 verificações por mês.