Conformidade AML: KYC, CDD, Análise e Monitorização (PT-PT)

AML e KYC estão conectados, mas não são intermutáveis. KYC, ou Conheça o Seu Cliente, estabelece e mantém uma compreensão de quem é um cliente e o risco da relação. AML, ou combate ao branqueamento de capitais, é o quadro mais amplo para prevenir, detetar, investigar e reportar suspeitas de branqueamento de capitais e crimes financeiros relacionados.

O KYC fornece identidade, titularidade, propósito e contexto de risco inicial. Os controlos AML usam esse contexto para o rastreio de sanções e pessoas politicamente expostas, revisão contínua do cliente, monitorização de transações, investigação de alertas, relatórios, registos, formação e governação. Uma verificação de documentos pode apoiar o KYC, mas nem o KYC nem o AML estão completos quando o documento é aprovado.

Este guia é o companheiro de conformidade AML do guia mais amplo do ciclo de vida KYC. Não repete como executar a prova de identidade ou um programa KYC geral. Começa onde a identidade, a titularidade e o contexto do cliente se tornam entradas para o rastreio, monitorização, investigação, relatórios e governação.

Principais conclusões

• O KYC é um componente do AML. Identifica e avalia o cliente; o AML também governa a atividade contínua, investigações, relatórios e supervisão do programa.
• O CDD é baseado no risco e contínuo. A devida diligência do cliente abrange identidade, titularidade efetiva, propósito, risco e escrutínio contínuo — não apenas a abertura de conta.
• O rastreio e a monitorização de transações respondem a perguntas diferentes. O rastreio compara pessoas ou entidades com dados de risco externos; a monitorização de transações avalia o comportamento e a atividade.
• Uma potencial correspondência não é uma correspondência confirmada. Nomes colidem, fontes mudam e o contexto importa; a revisão e a resolução documentada fazem parte do controlo.
• A tecnologia não detém a responsabilidade. Os fornecedores podem recolher provas, pontuar correspondências e gerar alertas, enquanto a organização obrigada permanece responsável pela política, decisões, registos e relatórios regulamentares.

Qual é a diferença entre AML e KYC?

O KYC foca-se na relação com o cliente. Pergunta:

• Quem é o cliente?
• Quem possui ou controla um cliente empresarial?
• Por que razão a relação está a ser estabelecida?
• Que atividade é esperada?
• Que risco do cliente está presente?
• Quando o registo deve ser atualizado?

O AML abrange o sistema de controlo mais amplo. Faz essas perguntas KYC e também:

• O cliente ou parte relacionada está exposto a sanções, influência política ou outro risco relevante?
• A atividade real corresponde ao perfil do cliente?
• Quais os alertas que requerem investigação?
• Quando a atividade deve ser restringida ou reportada?
• Os registos, governação, formação e supervisão independente são adequados?

As Recomendações do GAFI, conforme alteradas em junho de 2026, são o padrão internacional. A Recomendação 10 estabelece a devida diligência do cliente, enquanto as recomendações relacionadas abordam a manutenção de registos, pessoas politicamente expostas, relações de correspondência, novas tecnologias e relatórios de transações suspeitas. As jurisdições implementam esses padrões de forma diferente, pelo que um quadro global ainda necessita de análise jurídica específica por país e setor.

KYC, CDD, EDD, rastreio e monitorização comparados

Controlo	Propósito	Gatilho típico	Principal resultado
KYC	Conhecer e avaliar o risco do cliente	Integração e alteração material	Identidade do cliente e registo de risco
CDD	Aplicar a devida diligência do cliente	Relação, transação qualificada, suspeita ou dúvida	Identidade, titular efetivo, propósito, risco, plano contínuo
EDD	Aplicar devida diligência aprofundada	Cliente, produto, geografia, titularidade ou comportamento de maior risco	Evidências adicionais, aprovações, análise de fonte, monitorização mais atenta
Rastreio de sanções	Identificar possível exposição a sanções financeiras direcionadas	Integração, pagamento, alteração de dados, atualização de lista	Candidato ou correspondência resolvida
Rastreio PEP	Identificar pessoas politicamente expostas e risco relacionado	Integração e novo rastreio	Relação PEP e medidas aprofundadas exigidas
Rastreio contínuo	Detetar alterações nos dados de risco externos do cliente	Atualização de fonte ou novo rastreio programado	Nova ou alterada correspondência candidata
Monitorização de transações	Identificar atividade inconsistente com o perfil ou tipologia	Transação ou comportamento agregado	Alerta com evidências e contexto de regra/modelo
Investigação e relatórios	Resolver alertas e cumprir deveres de relatório	Suspeita escalada	Decisão do caso, restrição, relatório ou justificação de encerramento

O CDD é a ponte. Cria o contexto do cliente que torna os sinais posteriores interpretáveis. Uma grande transferência pode ser esperada para um negócio e altamente incomum para outro. Sem propósito, titularidade, atividade esperada e risco, a monitorização torna-se uma coleção de limiares descontextualizados.

O ciclo de vida AML e KYC

1. Avaliar o risco empresarial e do produto

Antes de classificar clientes individuais, compreenda a exposição criada por produtos, canais de distribuição, geografias, tipos de clientes, características de transação e modelo operacional. A orientação do GAFI sobre a abordagem baseada no risco descreve a proporcionalidade como central: identificar e compreender o risco, depois aplicar medidas que o correspondam.

Esta avaliação deve influenciar a informação recolhida, o âmbito do rastreio, os ramos do fluxo de trabalho, a autoridade de aprovação, as regras de transação, a cadência de revisão e a intensidade da monitorização.

2. Identificar o cliente e o titular efetivo

Recolher a informação necessária para identificar uma pessoa singular ou entidade legal. Para um negócio, identificar as pessoas singulares que o possuem ou controlam, compreender a estrutura de titularidade e controlo, e verificar as pessoas relevantes de acordo com o requisito e risco aplicáveis.

O registo da entidade por si só não é suficiente. Uma empresa genuína pode ser controlada por uma pessoa oculta ou proibida, enquanto uma estrutura complexa pode ser legítima, mas exigir mais evidências para compreender.

3. Verificar a identidade usando evidências fiáveis

Validar documentos, dados, credenciais digitais, fontes autorizadas ou combinações permitidas. Ligar o requerente ou representante à identidade reivindicada. Manter a autenticidade da evidência, a ligação do titular e a elegibilidade do cliente como decisões distintas.

A orientação do GAFI sobre identidade digital pede às entidades reguladas que compreendam a garantia de um sistema de identidade digital e determinem se é suficientemente fiável e independente para o risco. Uma etiqueta tecnológica não transfere a responsabilidade.

4. Compreender o propósito e a atividade esperada

Registar por que razão o cliente quer o produto, como será usado, os padrões de transação esperados, o contexto de origem e destino, quando relevante, e a natureza do negócio. Recolher evidências proporcionais em vez de um questionário genérico cujas respostas nunca influenciam a política.

A atividade esperada deve tornar-se um contexto de monitorização utilizável. Se os dados de integração forem armazenados como texto livre que o sistema de monitorização não consegue aceder, o ciclo de vida está desconectado.

5. Rastrear pessoas e entidades relevantes

Rastrear o cliente, titulares efetivos, controladores, representantes e outras partes exigidas contra fontes relevantes. Dependendo da lei e da política, isso pode incluir sanções, pessoas politicamente expostas, parentes e associados próximos, meios de comunicação adversos ou outras listas.

Um motor de correspondência deve preservar a fonte, a entrada da lista, os campos de correspondência, a transliteração, os pseudónimos, a data, o limiar e a razão. Os revisores precisam de evidências suficientes para decidir se o cliente e o sujeito listado são os mesmos.

6. Atribuir risco ao cliente

Combinar cliente, produto, geografia, canal, titularidade, rastreio e outros fatores relevantes sob uma metodologia documentada. O resultado deve ser explicável: quais os fatores que importaram, que dados os apoiaram e que controlos se seguem.

Evitar usar nacionalidade ou geografia como substituto para uma análise completa. Os indicadores de risco podem justificar mais escrutínio sem provar irregularidades. As alterações do GAFI de fevereiro de 2025 aumentaram o foco na proporcionalidade e nas medidas simplificadas em situações de menor risco, em vez de exclusão indiscriminada.

7. Aplicar medidas aprofundadas ou simplificadas quando justificadas

Um risco mais elevado pode exigir mais evidências, trabalho de origem de fundos ou riqueza, aprovação sénior, monitorização mais atenta ou outras medidas aprofundadas. Um risco mais baixo pode permitir medidas simplificadas onde a lei e a política o permitam, mas não quando existe suspeita ou uma condição específica de maior risco.

A EDD não é “recolher todos os documentos possíveis”. Cada passo adicional deve responder a um risco identificado e ter uma regra de decisão.

8. Decidir e preservar o registo de auditoria

Aprovar, recusar, restringir ou encaminhar a relação com uma justificação registada. Preservar a política e a versão do modelo de risco, evidências, resultados do rastreio, ações do revisor, autoridade de aprovação, carimbos de data/hora e razões exigidas para auditoria e revisão posterior.

Se a organização não conseguir completar a devida diligência exigida, a resposta depende da lei aplicável e das circunstâncias. Pode ser necessário evitar ou terminar a relação e considerar reportar, evitando a divulgação indevida ao cliente.

9. Monitorizar a atividade e as alterações do cliente

A devida diligência contínua testa se as transações permanecem consistentes com o conhecimento da organização sobre o cliente, negócio, risco e atividade esperada. A orientação bancária do GAFI descreve a monitorização como escrutínio de transações e identificação de alterações ao perfil do cliente que podem exigir CDD nova ou adicional.

A monitorização pode ser em tempo real, periódica, acionada por eventos ou uma combinação. Relações de maior risco geralmente justificam maior profundidade ou frequência; relações de menor risco podem justificar controlos proporcionais.

10. Investigar, reportar e aprender

Um alerta é um pedido de análise, não uma conclusão. Os investigadores recolhem transações relacionadas, histórico do cliente, informações externas, alertas anteriores, contas ligadas e explicações. A organização documenta então por que razão o caso foi encerrado, escalado, restringido ou reportado.

As decisões de relatório pertencem à organização obrigada e às suas pessoas autorizadas. As etiquetas de alerta do fornecedor não devem automaticamente apresentar um relatório ou divulgar suspeitas ao cliente.

Rastreio AML explicado

Rastreio de sanções

Os controlos de sanções procuram possíveis correspondências com pessoas, entidades, embarcações ou outros sujeitos designados sob regimes aplicáveis. Listas, regras de titularidade e proibições diferem. Uma simples comparação exata de nomes não pode abordar pseudónimos, transliteração, datas, geografia, identificadores e titularidade ou controlo.

Rastreio PEP

Uma pessoa politicamente exposta não está necessariamente envolvida em crimes. A orientação do GAFI sobre PEPs descreve as medidas PEP como preventivas e baseadas no risco. Um resultado PEP deve acionar a avaliação e as medidas exigidas, não uma acusação automática ou recusa universal.

Meios de comunicação adversos e outras fontes

Informações adversas podem contribuir para uma avaliação de risco quando a fonte, relevância, ligação do sujeito, data, gravidade e fiabilidade são compreendidas. Os resultados de pesquisa e as alegações não são decisões judiciais. Os revisores precisam de proveniência e de uma forma documentada de ponderar evidências conflitantes.

Novo rastreio contínuo

Os dados do cliente e as fontes externas mudam. O novo rastreio pode ser acionado por atualizações de fontes, alterações do cliente, horários de revisão ou eventos. O sistema deve identificar o que mudou em vez de forçar os analistas a repetir todas as resoluções anteriores.

Monitorização de transações explicada

A monitorização de transações compara a atividade atual com regras, modelos, tipologias, contexto do cliente, comportamento de pares e padrões históricos. Famílias de sinais úteis podem incluir:

• padrões de valor, frequência, velocidade e estruturação;
• alterações da atividade esperada do cliente;
• contrapartes, corredores, ativos ou horários incomuns;
• movimento através de contas ou carteiras ligadas;
• movimento rápido de entrada e saída ou fluxos circulares;
• atividade após uma alteração de cliente, dispositivo, titularidade ou risco.

Nenhuma regra é suspeita em todos os contextos. Um limiar cria um alerta; a investigação determina se os factos apoiam uma preocupação. O design da monitorização deve indicar o cenário, as dependências de dados, a janela de tempo, o limiar, a segmentação, os falsos positivos esperados, o caminho de disposição e o proprietário.

O Regulamento AML da UE 2024/1624, que geralmente se aplica a partir de 10 de julho de 2027, exige monitorização contínua e uma intensidade baseada no risco. As suas regras ilustram por que razão a devida diligência do cliente, o contexto da transação, os registos e os relatórios pertencem a um único sistema, mesmo quando diferentes componentes executam cada tarefa.

Potencial correspondência, alerta, caso e relatório

Fase	Significado	O que deve acontecer a seguir
Potencial correspondência	Os dados assemelham-se a um sujeito de fonte externa	Comparar identificadores e contexto
Alerta	Uma condição de rastreio ou monitorização foi acionada	Triar evidências sob prioridade documentada
Caso	Evidências relacionadas são reunidas para investigação	Investigar, documentar, escalar ou fechar
Decisão de suspeita	Análise autorizada encontra ou rejeita preocupação razoável	Aplicar política e deveres legais
Relatório regulamentar	Informação exigida é submetida ao organismo competente	Proteger a confidencialidade e preservar os registos

O colapso destas fases cria duas falhas opostas: cada alerta torna-se uma acusação, ou os alertas são fechados sem evidências suficientes. Estados, funções e razões claras tornam a qualidade mensurável.

Como avaliar os controlos AML e KYC

Cobertura e proveniência da fonte

Perguntar quais os regimes de sanções, categorias PEP, dados de titularidade, informações adversas e campos de transação estão cobertos. Rever a autoridade da fonte, cadência de atualização, datas efetivas, tratamento de correções e reconstrução histórica. Uma contagem total de listas não mostra relevância para as suas obrigações.

Controlos de correspondência e limiar

Testar pseudónimos, transliteração, nomes reordenados, datas, identificadores, entidades, nomes comuns e campos em falta. Rever os resultados no limiar proposto, não apenas um título de precisão selecionado pelo fornecedor. Medir o volume de candidatos, resoluções verdadeiras, falsos positivos e casos conhecidos perdidos.

Metodologia de risco do cliente

Cada pontuação de risco deve mapear para evidências, ponderação de fatores, consequências políticas, anulações e revisão. Validar que o baixo risco realmente recebe medidas proporcionais e o risco mais elevado aciona controlos aprofundados limitados.

Design da monitorização

Inventariar cenários e modelos, suas entradas de dados, segmentação, limiares, proprietários, versões, validação, encaminhamento de alertas e critérios de desativação. Confirmar que os dados de integração e as alterações do cliente chegam à monitorização a tempo.

Operações de investigação

Inspecionar filas, prioridades, cronogramas de evidências, entidades relacionadas, notas, aprovações, segregação de funções, níveis de serviço e códigos de disposição. Os revisores devem ser capazes de explicar por que razão um caso foi aberto e fechado.

Governação e testes

Atribuir proprietários para política, dados, modelos, listas, investigações, relatórios, garantia de qualidade, formação, auditoria e controlo de alterações. Testar de ponta a ponta desde a criação do cliente até um alerta simulado, caso, decisão e exportação de registos.

Erros comuns de AML e KYC

Tratar o KYC como uma porta única

Identidade, titularidade, exposição a sanções e comportamento mudam. Conectar a atualização e o novo rastreio a eventos em vez de depender apenas de um calendário.

Recusar automaticamente cada correspondência de nome

Nomes comuns e dados incompletos produzem candidatos. Resolver a identidade com atributos disponíveis e encaminhar a incerteza de acordo com os requisitos legais e de risco.

Usar uma pontuação de risco sem razões

Um número opaco não pode mostrar quais as evidências em falta ou qual o controlo que deve seguir. Preservar a explicação do nível do fator e a versão da política.

Monitorizar sem contexto do cliente

Limiares de transação estáticos geram ruído quando a atividade esperada, o tipo de cliente, o produto e o histórico não estão disponíveis. Alimentar o registo KYC na monitorização.

Desrisco generalizado

Rejeitar categorias inteiras pode excluir clientes legítimos sem abordar o risco específico. Aplicar medidas proporcionais e documentar o risco real e a mitigação.

Deixar a tecnologia concluir

As ferramentas geram evidências, correspondências e alertas. Pessoas autorizadas e processos governados detêm a suspeita, o relatório, a restrição e as decisões do cliente.

Lista de verificação do modelo operacional

Antes do lançamento ou alteração material, confirmar que:

• os riscos empresariais, de produto, geográficos, de cliente e de canal estão documentados;
• as evidências do cliente e do titular efetivo são recolhidas e verificadas proporcionalmente;
• o propósito e a atividade esperada se tornam contexto de monitorização utilizável;
• as fontes de rastreio, limiares, pseudónimos e lógica de titularidade correspondem às obrigações;
• as potenciais correspondências, alertas, casos, decisões e relatórios permanecem estados distintos;
• as medidas aprofundadas e simplificadas têm gatilhos e limites definidos;
• os cenários de transação são versionados, validados e conectados ao risco do cliente;
• a atualização, o novo rastreio, a investigação e o relatório têm proprietários e níveis de serviço;
• as decisões, anulações, evidências e versões de políticas são auditáveis;
• a privacidade, o acesso, a retenção, a confidencialidade e a reparação estão integrados nas operações.

Usar o Didit em AML e KYC

O Didit permite que as equipas combinem Verificação de Identidade, Rastreio AML, Monitorização de Transações e controlos condicionais através do Orquestrador de Fluxo de Trabalho. As taxas publicadas incluem 0,20 $ por rastreio AML, 0,07 $ por utilizador por ano para monitorização AML contínua e 0,02 $ por transação para a Monitorização de Transações.

Os preços atuais dos módulos estão listados na página de preços. Estas verificações e alertas apoiam um programa baseado no risco; a organização permanece responsável pelas suas políticas, resolução de correspondências, investigações, decisões regulamentares e registos.

Perguntas frequentes

O que significam AML e KYC?

AML significa combate ao branqueamento de capitais. KYC significa Conheça o Seu Cliente. O KYC estabelece a identidade do cliente e o contexto de risco usado pelo quadro de controlo AML mais amplo.

O KYC faz parte do AML?

Sim. O KYC e a devida diligência do cliente são controlos AML fundamentais, enquanto o AML também inclui rastreio, monitorização de transações, investigações, relatórios, governação, formação e supervisão independente.

Qual é a diferença entre CDD e KYC?

KYC é o termo comum focado no cliente. CDD é o processo estruturado de devida diligência de identificação e verificação do cliente e do titular efetivo, compreensão da relação, avaliação de risco e realização de escrutínio contínuo.

O rastreio de sanções é o mesmo que AML?

Não. O rastreio de sanções é um controlo dentro de um quadro de conformidade mais amplo. O AML também abrange a devida diligência do cliente, outros rastreios de risco, monitorização de transações, investigações, relatórios, registos e governação.

O que é a devida diligência aprofundada?

EDD significa medidas adicionais, responsivas ao risco para situações de maior risco. Pode incluir mais evidências, trabalho de origem de fundos ou riqueza, aprovação sénior ou monitorização mais atenta, dependendo dos requisitos aplicáveis.

Uma correspondência PEP significa que o cliente é um criminoso?

Não. O estatuto PEP é um fator de risco que exige medidas preventivas sob as regras aplicáveis. Não é uma constatação de conduta criminosa e não deve automaticamente tornar-se uma recusa universal.

Com que frequência os clientes devem ser rastreados novamente?

Não há uma frequência universal. Use os requisitos aplicáveis e uma abordagem de risco documentada, com novo rastreio acionado por eventos quando as listas, titularidade, dados de identidade, risco do cliente ou outros factos materiais mudam.

Referências primárias

• Recomendações do GAFI, conforme alteradas em junho de 2026
• Orientação do GAFI sobre Identidade Digital
• Orientação do GAFI sobre Abordagem Baseada no Risco para o Setor Bancário
• Orientação do GAFI sobre Pessoas Politicamente Expostas
• Regulamento (UE) 2024/1624

O AML e o KYC funcionam quando a identidade, o risco, o comportamento e a investigação permanecem conectados ao longo do tempo. Estabeleça o cliente com evidências fiáveis, aplique controlos proporcionais, monitorize o que muda, investigue alertas com contexto e preserve o porquê de cada decisão material ter sido tomada.