KYC Remediation: guia completo para atualizar registos de clientes

A KYC remediation é o processo sistemático de revisão, atualização e re-verificação dos registos de clientes já integrados, para garantir a sua conformidade com os requisitos regulatórios vigentes. Em Portugal, esta obrigação resulta do artigo 30.º da Lei n.º 83/2017, de 18 de agosto, que estabelece que as entidades obrigadas devem manter, ao longo de toda a relação de negócio, um conhecimento atualizado dos seus clientes.

O Banco de Portugal e a CMVM têm intensificado as ações de supervisão no domínio do branqueamento de capitais e financiamento do terrorismo (BCFT), com particular atenção à atualização dos processos de diligência devida em carteiras históricas. As deficiências na KYC remediation figuram entre as fundamentações mais frequentes de processos contraordenacionais.

Este artigo é fornecido a título meramente informativo e não constitui aconselhamento jurídico, financeiro ou regulatório.

Para uma visão geral do quadro KYC, consulte o nosso guia completo de KYC para empresas.

O que é a KYC remediation?

A KYC remediation — também designada «KYC refresh» ou «atualização de processos de cliente» — consiste na revisão retroativa dos registos de clientes já incorporados, cujos documentos ou perfis de risco deixaram de satisfazer as exigências regulatórias atuais.

Distingue-se do KYC inicial — a diligência devida aplicada no momento da integração de um novo cliente — pelo seu caráter retrospetivo: a entidade obrigada deve contactar clientes existentes para obter documentos atualizados, reavaliar o seu perfil de risco e corrigir as lacunas identificadas nos processos históricos.

A Diretiva (UE) 2024/1640 (AMLD6), cuja transposição deve ser concluída até julho de 2027, reforça as obrigações de acompanhamento contínuo e impõe ciclos de revisão documentados com base no nível de risco de cada cliente. As entidades que não tenham iniciado processos sistemáticos de remediation antes dessa data ficarão expostas a lacunas de conformidade nas próximas inspeções do Banco de Portugal.

Nos fóruns profissionais de compliance, coloca-se frequentemente a questão: a KYC remediation é uma obrigação legal ou apenas uma boa prática? A resposta é inequívoca: é uma obrigação legal. O artigo 30.º da Lei n.º 83/2017 determina que as entidades obrigadas devem adotar procedimentos de controlo contínuo da relação de negócio, incluindo a revisão periódica dos documentos, dados e informações recolhidos na fase de integração.

Por que é obrigatória a KYC remediation?

O fundamento legal da KYC remediation em Portugal assenta em três instrumentos principais:

1. Lei n.º 83/2017, artigo 30.º — controlo contínuo da relação de negócio e atualização periódica da diligência devida
2. Aviso do Banco de Portugal n.º 2/2018 — orientações sobre os procedimentos internos de prevenção do branqueamento de capitais e financiamento do terrorismo
3. Diretiva (UE) 2015/849 (4AMLD) e alterações — quadro europeu de prevenção do branqueamento que obriga à revisão periódica conforme o nível de risco

Segundo dados do Banco de Portugal — Relatório Anual de Supervisão BCFT 2023, as deficiências nos procedimentos de atualização de clientes foram identificadas em 38% das entidades supervisionadas no âmbito de inspeções in loco, tornando a KYC remediation a área de maior risco contraordenacional no setor financeiro português.

Os principais desencadeadores de uma campanha de KYC remediation incluem:

• Alteração regulatória: transposição de nova diretiva AML, atualização de avisos do Banco de Portugal ou de circulares da CMVM
• Revisão periódica do risco: expiração do ciclo de revisão (1 ano para clientes de risco elevado, 3 anos para risco médio, 5 anos para risco baixo)
• Correspondência em listas de sanções ou PEPs: deteção de um cliente nas listas da UE, ONU ou OFAC
• Transação atípica: operação inconsistente com o perfil económico declarado pelo cliente
• Fusão ou aquisição: incorporação de uma carteira de clientes com processos de diligência devida constituídos sob padrões diferentes
• Caducidade documental: Cartão de Cidadão, passaporte ou comprovativo de morada expirados

A análise interna da CheckFile sobre mais de 840.000 processos KYC bancários processados na plataforma revela que 23% dos registos com mais de três anos contêm pelo menos um documento expirado, e 9% apresentam discrepâncias entre a morada declarada e o comprovativo mais recente.

O processo de KYC remediation em 6 etapas

Um processo de remediation estruturado segue seis etapas sequenciais. A omissão da análise de lacunas inicial — reportada como o erro mais frequente nos fóruns de compliance — resulta em priorização inconsistente e lacunas na trilha de auditoria.

Etapa 1: Análise de lacunas (gap analysis)

Revisão exaustiva da carteira de clientes para identificar processos com documentação em falta, expirada ou não conforme com os padrões atuais. O resultado é uma lista priorizada de processos a remediar, ordenada por urgência e nível de risco.

Etapa 2: Estratificação por nível de risco

Reclassificação de cada cliente com base na metodologia de avaliação de risco atualizada: risco baixo, médio ou elevado. Fatores de risco incluem a jurisdição (países terceiros de risco elevado na lista do GAFI), setor de atividade, volume de transações e exposição a PEPs ou sanções. Os clientes de maior risco são sempre tratados em primeiro lugar.

Etapa 3: Priorização e planeamento

Conversão da lista estratificada num plano de remediação com prazos definidos por segmento de clientela. Os recursos — analistas KYC, gestores de relações ou plataformas automatizadas de verificação documental — são afetados em função do volume e da complexidade dos processos.

Etapa 4: Contacto com o cliente e recolha de documentação

Contacto com os clientes para solicitar a documentação atualizada. Uma comunicação clara sobre a base legal do pedido e as consequências da não resposta melhora significativamente a taxa de colaboração. As plataformas de recolha digital reduzem o tempo de processamento em mais de 80% em comparação com os métodos manuais, segundo dados internos da CheckFile.

Etapa 5: Re-verificação e validação

Verificação da autenticidade, coerência e validade dos documentos recebidos. Cruzamento dos dados de identidade com fontes oficiais (Conservatória do Registo Comercial, Portal das Finanças, Registo Central do Beneficiário Efetivo). As anomalias são escaladas para o responsável de compliance (CMLBC — Compliance Officer BCFT).

Etapa 6: Atualização do registo e trilha de auditoria

O processo do cliente é atualizado no sistema de gestão. Cada ação é registada com data, operador e resultado da verificação. Esta trilha de auditoria é o elemento probatório fundamental durante uma inspeção do Banco de Portugal ou da CMVM.

Documentação necessária por tipo de cliente

Para as pessoas coletivas, a identificação dos beneficiários efetivos assenta no Registo Central do Beneficiário Efetivo (RCBE), criado pelo Decreto-Lei n.º 89/2017, de 28 de julho. Qualquer divergência entre os dados declarados pelo cliente e o RCBE deve ser tratada e documentada pela equipa de compliance.

Consulte a nossa checklist de diligência devida do cliente por setor para uma lista documental detalhada adaptada ao seu setor de atividade.

Desafios operacionais e automatização

As equipas de compliance identificam quatro desafios principais nas campanhas de KYC remediation:

Falta de resposta do cliente — os clientes existentes não compreendem por que razão lhes é solicitada novamente documentação que já forneceram. Um aviso explicativo com referência expressa à Lei n.º 83/2017, seguido de lembretes automáticos ao 7.º e 14.º dia, melhora significativamente a taxa de resposta.

Qualidade dos dados históricos — os processos constituídos sob normas anteriores frequentemente contêm campos incompletos, duplicações ou formatos não normalizados. Uma fase de saneamento de dados prévia à remediation reduz as exceções no processamento.

Volume e recursos — uma entidade de média dimensão pode ter dezenas de milhares de clientes a remediar em simultâneo. Sem automatização, o custo unitário por processo é inviável.

Protocolo para clientes não respondentes — a entidade deve estabelecer um procedimento claro: após quantas tentativas de contacto documenta a restrição ou cessação da relação de negócio? Esta decisão deve ser documentada e aprovada pelo responsável de compliance.

A plataforma CheckFile automatiza a verificação de documentos de identidade, a consulta ao RCBE, a validação de comprovativos de morada e a análise de extratos bancários, reduzindo o custo por processo em 67% e o tempo de processamento em 83%, segundo dados internos da plataforma. Cada verificação gera uma trilha de auditoria compatível com os requisitos de supervisão do Banco de Portugal.

Saiba mais sobre a nossa política de segurança e os nossos preços para avaliar o ROI da automatização da sua campanha de remediation.

Para aprofundar a sua estratégia de conformidade documental, consulte o nosso guia de conformidade documental.

Perguntas frequentes

Qual é a diferença entre KYC e KYC remediation?

O KYC inicial aplica-se no momento de integração de um novo cliente e consiste na verificação da sua identidade e na avaliação do seu perfil de risco. A KYC remediation é o processo retroativo aplicado a clientes já integrados cujos registos ficaram desatualizados, incompletos ou não conformes com a regulamentação vigente. A obrigação de manter o KYC atualizado ao longo de toda a relação de negócio está consagrada no artigo 30.º da Lei n.º 83/2017.

Com que frequência devem ser atualizados os registos KYC?

No mínimo, anualmente para clientes de risco elevado (incluindo PEPs e clientes de jurisdições de risco elevado), trienalmente para clientes de risco médio e quinquenalmente para clientes de risco baixo. Estes ciclos devem estar formalizados na política BCFT da entidade. Qualquer evento desencadeador obriga a uma revisão imediata, independentemente do ciclo regular.

O que acontece se um cliente não responde ao pedido de atualização documental?

Após um número documentado de tentativas de contacto sem resposta, a entidade deve ponderar a restrição de operações ou a cessação da relação de negócio, nos termos do artigo 46.º da Lei n.º 83/2017. Esta decisão deve ser documentada e registada no processo. Se a falta de resposta gerar suspeitas fundadas de branqueamento, poderá ser necessária a comunicação de uma operação suspeita à Unidade de Informação Financeira (UIF).

A KYC remediation é obrigatória para todas as entidades obrigadas?

Sim, para todas as entidades referidas no artigo 2.º da Lei n.º 83/2017: instituições de crédito, empresas de seguros, sociedades gestoras de fundos, notários, advogados (em determinadas operações), revisores oficiais de contas, consultores fiscais, agentes imobiliários e prestadores de serviços de ativos virtuais.

Quais são as sanções aplicáveis em caso de incumprimento da KYC remediation?

As infrações graves em matéria de diligência devida podem ser sancionadas com coimas de até 5 milhões de euros ou 10% do volume de negócios anual total, conforme o artigo 165.º da Lei n.º 83/2017. As infrações muito graves podem determinar a inibição do exercício de funções dos membros dos órgãos de administração e a publicação da decisão condenatória.