O que é Customer Due Diligence (CDD)? KYC explicado

Customer Due Diligence (CDD) é o processo de identificar e verificar a identidade do cliente, entender a natureza do seu negócio e obter as informações sobre seus beneficiários finais. A CDD é uma exigência fundamental para todas as instituições financeiras, incluindo plataformas de stablecoins e empresas de pagamento que atuam como Money Service Businesses (MSBs).

A CDD Rule

A Financial Crimes Enforcement Network (FinCEN) publicou a CDD Rule formal em 2016. Ela entrou em vigor em 11 de maio de 2018, sob o 31 CFR 1010.230. A regra exige que as instituições financeiras desenvolvam e implementem políticas e procedimentos de CDD.

A exigência tem aplicação ampla. Qualquer entidade que lide com transações financeiras e seja regulada como MSB deve cumpri-la. Isso inclui plataformas de criptomoedas, operadoras de stablecoins, processadoras de pagamento e transmissoras de dinheiro (money transmitters).

Os quatro componentes da CDD

Uma CDD eficaz tem quatro partes distintas:

1. Identificação do cliente

Você deve obter informações de identificação de cada cliente. No mínimo, isso significa coletar nome, data de nascimento, endereço e número de documento de identidade emitido pelo governo. Para pessoas dos EUA, normalmente é o Social Security Number ou o ITIN. Para pessoas de fora dos EUA, pode ser o número do passaporte ou da identidade nacional.

O processo de identificação deve ocorrer antes de a conta ser aberta ou ativada. Você não pode deixar para coletar essas informações depois. Se um cliente se recusar a fornecê-las, você não pode atendê-lo.

2. Verificação do cliente

Só a identificação não basta. Você deve verificar se as informações são precisas. Isso significa conferir o documento com fontes oficiais. Pode envolver:

• Cruzamento com bases de dados nacionais de identidade
• Verificação de documentos com fornecedores terceirizados
• Verificação multifator para clientes de maior risco

A verificação deve ser concluída em um prazo razoável após a abertura da conta. Razoável costuma ser interpretado como até 30 dias.

3. Identificação do beneficiário final

Para clientes que não são pessoas físicas (empresas, sociedades, trusts etc.), você deve identificar os beneficiários finais. Beneficiário final é qualquer pessoa física que detenha, direta ou indiretamente, 25% ou mais do capital da entidade cliente, ou qualquer pessoa física que exerça controle significativo sobre a gestão ou as operações do cliente, independentemente do percentual de participação.

O limite de 25% é objetivo. Se alguém detém 25% ou mais, deve ser identificado. Se alguém tem controle executivo exclusivo (CEO, único sócio de uma LLC unipessoal), deve ser identificado mesmo que sua participação seja menor.

4. Monitoramento contínuo

A CDD não termina na abertura da conta. Você deve monitorar as contas e a atividade dos clientes de forma contínua. Isso significa:

• Acompanhar padrões de atividade suspeita
• Comparar a atividade com os perfis conhecidos dos clientes
• Reverificar as informações periodicamente se as circunstâncias mudarem
• Atualizar os registros de beneficiários finais quando a estrutura societária mudar

O monitoramento contínuo é permanente. Não é uma tarefa anual pontual. Se algo parecer estranho, você investiga.

CDD vs. EDD vs. SDD

A CDD é a base. Dois conceitos relacionados a ajustam de acordo com o risco:

A Enhanced Due Diligence (EDD), ou due diligence reforçada, se aplica a clientes de maior risco. Eles podem incluir pessoas de jurisdições com controles de AML fracos, clientes de setores de alto risco ou entidades com estruturas societárias complexas. A EDD exige etapas adicionais de verificação e uma investigação mais profunda do que a base da CDD.

A Simplified Due Diligence (SDD), ou due diligence simplificada, se aplica a clientes de menor risco, como instituições financeiras consolidadas ou entidades governamentais. A SDD agiliza o processo, reduzindo o esforço tanto da empresa quanto do cliente, mantendo a verificação de identidade básica.

A relação com o Corporate Transparency Act

Em 2023, o Corporate Transparency Act (CTA) criou uma nova exigência. Todos os beneficiários finais de pessoas jurídicas devem ser informados à FinCEN no Beneficial Ownership Information (BOI) Register. Isso entrou em vigor em 1º de janeiro de 2024.

O CTA é separado da CDD Rule, mas os dois se sobrepõem na operação. Quando você faz a CDD e identifica beneficiários finais para fins de compliance, também está reunindo os dados necessários para o reporte de BOI, caso seu cliente seja uma pessoa jurídica.

Como a CDD se aplica a empresas de stablecoins

Plataformas de stablecoins classificadas como MSBs devem implementar a CDD completa. Veja como isso funciona na prática:

Quando alguém cria uma conta para comprar ou manter stablecoins, você coleta nome, endereço, data de nascimento e documento de identidade. Você verifica as informações em bases de dados. Se o titular da conta for uma empresa, você identifica os beneficiários finais.

Você monitora a conta. Se um cliente passa de repente de US$ 1.000 em volume mensal para US$ 10 milhões em transferências, você analisa a atividade. Se parecer suspeita, você registra um Suspicious Activity Report (SAR) junto à FinCEN.

Você mantém os registros por pelo menos cinco anos. Se reguladores ou autoridades policiais solicitarem informações de clientes, você as apresenta.

Desafios de implementação

A CDD parece simples, mas a execução é complexa. A verificação exige integração com provedores de dados terceirizados. Esses serviços têm taxas de erro. Você pode rejeitar um cliente legítimo porque o documento dele não foi verificado, ou aceitar um cliente fraudulento porque a checagem de um fornecedor falhou.

A identificação de beneficiários finais é ainda mais difícil em estruturas complexas, como trusts, holdings ou entidades em jurisdições com leis de sigilo. Algumas estruturas são intencionalmente opacas, o que torna difícil identificar o verdadeiro beneficiário final.

Para uma plataforma de stablecoins, uma boa CDD exige investimento em tecnologia, relacionamento com fornecedores e equipe de compliance. É um centro de custo, mas também uma proteção contra responsabilização. Se for mal feita, expõe a empresa a ações regulatórias e penalidades financeiras.

A realidade do compliance

A CDD é obrigatória. Os reguladores a inspecionam regularmente. Eles verificam se as empresas de fato têm políticas implementadas, se essas políticas são seguidas e se os registros são precisos e acessíveis.

Para empresas de stablecoins e de pagamentos, um programa de CDD maduro significa menos atrito regulatório. Significa também conhecer seus clientes, o que ajuda a identificar fraudes e atividades ilícitas antes que virem um problema.

Fazer a CDD certa desde o início é muito mais barato do que corrigir lacunas de compliance depois. É um trabalho de base, mas que protege tanto seus clientes quanto sua empresa.