AML/CTF, Segunda Fase na Austrália: A Devida Diligência do Cliente que Agora Deves (PT-PT)

A 1 de julho de 2026, a segunda fase das reformas AML/CTF da Austrália entrou em vigor. Cerca de 90.000 empresas que nunca tinham lidado com a lei anti-branqueamento de capitais acordaram como entidades reportantes. Se geres um escritório de advogados, uma prática de solicitadoria, uma empresa de contabilidade, uma agência imobiliária, um negócio de desenvolvimento imobiliário, um prestador de serviços fiduciários ou empresariais, ou lidas com metais e pedras preciosas, as obrigações já são tuas — a inscrição na AUSTRAC abriu a 31 de março de 2026, e deves candidatar-te à inscrição o mais tardar 28 dias após o dia em que começares a prestar um serviço designado.

A maior parte da orientação escrita sobre isto explica a lei. Muito pouco explica o que realmente tens de construir. Esta publicação aborda a segunda parte.

Principais conclusões

• As obrigações da Fase 2 começaram a 1 de julho de 2026. A inscrição na AUSTRAC abriu a 31 de março de 2026, e deves candidatar-te no prazo de 28 dias após a primeira prestação de um serviço designado.
• Os setores recentemente abrangidos são advogados, solicitadores, contabilistas, agentes imobiliários e promotores imobiliários, prestadores de serviços fiduciários e empresariais, e comerciantes de metais e pedras preciosas.
• A devida diligência do cliente é o núcleo operacional: identificar o cliente, verificar essa identidade a partir de fontes fiáveis e independentes, identificar os beneficiários efetivos de uma empresa ou fundo, e rastrear todos contra sanções e listas de pessoas politicamente expostas.
• A verificação não é um evento único. Deves uma devida diligência contínua do cliente, o que significa re-rastrear o teu portfólio existente à medida que as listas mudam, não apenas no onboarding.
• Nada disto exige um departamento de conformidade. Uma verificação custa 0,33 $ para o pacote de identidade mais 0,20 $ para a triagem AML, e a monitorização contínua é de 0,07 $ por cliente por ano.

O que significa “devida diligência do cliente” na prática

A Lei AML/CTF pede-te para saberes quatro coisas antes de prestares um serviço designado. Escritas como requisitos de engenharia, em vez de legais, são:

1. Quem é esta pessoa. Recolhe o nome completo do cliente, data de nascimento e morada residencial.

2. A pessoa é real e é quem afirma ser. É aqui que uma verificação de documentos e uma verificação biométrica fazem o trabalho. Lês o documento de identidade, confirmas que é um documento genuíno e não uma fotografia de um ecrã ou uma cópia impressa, e confirmas que a pessoa que o apresenta está fisicamente presente e é a pessoa na fotografia.

3. Se o cliente é uma empresa ou um fundo, quem está por trás dela. A titularidade beneficiária é a parte que a maioria das novas entidades reportantes subestima. Um solicitador que atua para um comprador de empresa, ou um TCSP que incorpora uma estrutura, precisa dos diretores, dos acionistas e dos indivíduos que, em última instância, possuem ou controlam a entidade — e depois precisa de identificar esses indivíduos também.

4. Alguém nessa imagem está sancionado ou é politicamente exposto. Triagem contra listas de sanções, listas de pessoas politicamente expostas e meios de comunicação adversos, para o cliente e para cada beneficiário efetivo.

Depois, manténs registos e continuas a observar.

Porque é que o caso do prestador de serviços fiduciários e empresariais é o mais difícil

Uma única escritura de confiança ou registo de empresa pode envolver quatro ou cinco pessoas singulares: os diretores, o administrador, o instituidor, os beneficiários efetivos. Ao abrigo da Fase 2, cada um deles precisa de ser identificado, e a própria entidade precisa de ser verificada contra o registo.

Fazer isto por e-mail — enviar a cada diretor o seu próprio link de verificação e persegui-los — é o modo de falha que faz com que as empresas desistam e voltem a fotocopiar passaportes. A alternativa é executar a verificação da empresa e as verificações individuais como um fluxo ligado, para que a verificação da entidade produza automaticamente a lista de pessoas que precisam de ser verificadas, e cada uma dessas verificações dependa do mesmo processo.

Detalhes técnicos

A metade de identidade de uma verificação da Fase 2 é uma única sessão. Tu crias no lado do servidor, envias o cliente para o URL retornado ou montas o SDK, e recebes a decisão num webhook.

curl -X POST https://verification.didit.me/v3/session/ \
  -H "x-api-key: $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "workflow_id": "your-tranche-2-workflow",
    "vendor_data": "matter-2026-0417",
    "callback": "https://yourfirm.com.au/webhooks/didit"
  }'

O fluxo de trabalho por trás encadeia as verificações de que precisas, na ordem em que precisas delas:

Passo	O que prova	Preço
Verificação de ID	O documento é genuíno e os dados são lidos corretamente	0,15 $
Liveness Passiva	Uma pessoa real está presente, não uma foto ou um deepfake	0,10 $
Face Match 1:1	A pessoa presente é a pessoa no documento	0,05 $
Análise de IP	Onde a sessão realmente se originou	0,03 $
Triagem AML	Sanções, PEP e meios de comunicação adversos em mais de 1.300 listas	0,20 $
Monitorização AML Contínua	Re-triagem contínua à medida que as listas mudam	0,07 $ / cliente / ano
Verificação de Negócio (KYB)	Registo, diretores, beneficiários efetivos	A partir de 2,00 $

Os primeiros quatro juntos são o pacote de identidade de 0,33 $. As primeiras 500 verificações de cada mês são gratuitas, por funcionalidade, o que para uma pequena prática é frequentemente o volume mensal total.

Para clientes australianos, a Didit lê os oito modelos de carta de condução estaduais e territoriais, o passaporte australiano, o cartão Medicare, o ImmiCard, certificados de cidadania, vistos e certidões de nascimento, casamento e mudança de nome.

A devida diligência contínua é a parte que as pessoas esquecem

Triar um cliente uma vez, no dia em que o integras, não satisfaz ninguém. As listas de sanções mudam semanalmente. Um cliente que estava limpo em julho pode aparecer numa lista em novembro, e a obrigação de notar é tua.

A Monitorização AML Contínua re-triagem todo o teu portfólio de clientes contra as mesmas mais de 1.300 listas e dispara um webhook quando o estado de alguém muda. A 0,07 $ por cliente por ano, uma prática com 2.000 clientes ativos paga 140 $ anualmente para nunca mais ter de pensar nisso.

Casos de uso

Escritórios de advogados e solicitadores. Verificação no momento do contrato, ligada ao número do processo através de vendor_data, para que o registo de conformidade e o processo sejam o mesmo registo.

Contabilistas. Identidade mais AML no onboarding do cliente, com a verificação da empresa anexada quando o cliente é uma entidade e não um indivíduo.

Agências imobiliárias e promotores imobiliários. Verificação do comprador antes do serviço designado, executada a partir de um link enviado pelo agente, com a marca da agência e não de um terceiro.

Prestadores de serviços fiduciários e empresariais. Verificação da entidade que produz a lista de beneficiários efetivos, com uma verificação de identidade ligada para cada pessoa na lista.

Como integrar com a Didit

1. Cria uma conta gratuita e aproveita as 500 verificações gratuitas por mês.
2. Constrói o fluxo de trabalho no construtor visual — arrasta a Verificação de ID, Liveness, Face Match e Triagem AML, depois adiciona a Verificação de Negócio se atuares para entidades.
3. Aponta para a tua referência de processo ou cliente com vendor_data.
4. Subscreve o webhook session.status.updated e escreve a decisão no teu sistema de gestão de prática.
5. Ativa a Monitorização AML Contínua para cada cliente verificado.

A integração é tipicamente uma única tarde. Não há compromisso mínimo, não há requisito de contrato anual, e os créditos não expiram.

Perguntas frequentes

Tenho de me inscrever na AUSTRAC mesmo que ainda não tenha prestado um serviço designado?

A inscrição abriu a 31 de março de 2026, e a candidatura deve ser feita o mais tardar 28 dias após o dia em que começares a prestar um serviço designado. Se já estás a prestar um, o relógio começou a contar.

Um passaporte digitalizado é suficiente?

Não. O objetivo de toda a reforma é a verificação a partir de fontes fiáveis e independentes. Uma fotografia de um documento não prova nada sobre se a pessoa que o envia é a pessoa nele. É para isso que servem os passos de liveness e face match, e é por isso que custam 0,15 $ combinados em vez de nada.

Posso verificar os beneficiários efetivos de uma empresa sem que cada um deles faça uma verificação de identidade completa?

Podes triá-los contra listas de sanções e PEP a partir dos dados que já tens. Se isso é suficiente depende da classificação de risco que atribuis ao teu programa AML/CTF — isso é um julgamento para o teu responsável de conformidade, não para um fornecedor.

Quanto custa isto para uma pequena prática?

Abaixo de 500 verificações por mês, por funcionalidade, nada. Acima disso, 0,33 $ para o pacote de identidade mais 0,20 $ para a triagem AML por cliente, e 0,07 $ por cliente por ano para monitorização contínua.

A Didit é uma empresa australiana?

A Didit tem sede em São Francisco com engenharia em Barcelona e serve clientes em mais de 220 países. Os dados são processados na UE por padrão, e a retenção é configurável de um mês a ilimitado, com um endpoint de exclusão se precisares de não reter nada.

Pronto para começar?

Lê a documentação de Triagem AML para a superfície da API, vê o que a Didit cobre na Austrália, verifica os preços, e depois começa gratuitamente com 500 verificações por mês.