KYB Corporativo: Como Validar um Novo Cliente Pessoa Juridica em 2026

Aceitar um novo cliente pessoa juridica sem KYB e como abrir uma conta bancaria sem pedir documento. Funciona, ate o dia em que para de funcionar — e a conta vira investigacao do COAF, processo trabalhista pelo contratado que era "laranja", ou inadimplencia milionaria de uma empresa que ja estava com situacao cadastral suspensa quando o contrato foi assinado. O KYB (Know Your Business) e o processo estruturado de compliance que valida a legitimidade de uma empresa cliente e mitiga risco de fraude, lavagem de dinheiro, sancoes e calote. Neste guia voce vai entender exatamente como executar o processo — coleta cadastral, estrutura societaria, listas de risco, scoring, documentos e monitoramento — nos mesmos moldes que a Otimiza.pro aplica no onboarding de mais de 1.000 empresas no ecossistema.

Este artigo cobre o KYB do ponto de vista pratico de quem opera B2B: o que coletar, onde consultar, como pontuar risco, quando aprovar automaticamente e quando escalar para analise manual. Tambem mostra como substituir o processo manual (que tipicamente leva de 2 a 6 semanas e custa horas de juridico interno) por uma esteira automatizada que aprova clientes baixo risco em minutos.

1. KYB vs KYC: a diferenca que voce precisa ter clara

Os dois processos sao primos, mas nao sao a mesma coisa. Confunde-los e a primeira fonte de problema de compliance em empresas B2B.

• KYC (Know Your Customer): identificacao e validacao de pessoa fisica. CPF, RG, endereco, biometria, PEP check, sancoes individuais.
• KYB (Know Your Business): identificacao e validacao de pessoa juridica. Inclui tudo do KYC aplicado aos socios e beneficiarios finais mais validacao da empresa em si (CNPJ, CNAE, capital social, estrutura societaria, listas de impedidos PJ).

Na pratica, todo KYB contem um ou mais KYCs aninhados: um para cada socio pessoa fisica identificado na cascata societaria. Se o quadro societario tem outra PJ, voce abre essa PJ ate chegar nas pessoas fisicas que controlam — e ai aplica KYC em cada uma.

2. Etapa 1 — Coleta e verificacao de dados cadastrais

O ponto de partida e o CNPJ. Mas o CNPJ sozinho nao basta: voce precisa cruzar os dados que ele puxa com a finalidade declarada da relacao comercial e com listas publicas. Os pontos obrigatorios:

2.1 Identificacao basica

• CNPJ validado por digito verificador (algoritmo CNPJ — rejeite logo CNPJ matematicamente invalido)
• Razao Social + Nome Fantasia (devem bater com o que o cliente declarou)
• Endereco da sede — CEP validado, idealmente comprovante < 90 dias para Tier 2+
• Telefone e e-mail corporativo (descartar e-mails pessoais @gmail/@hotmail em contas comerciais)
• Inscricao Estadual e Municipal (quando aplicavel ao CNAE)

2.2 Situacao cadastral na Receita Federal

Consulta automatica via BrasilAPI, ReceitaWS, MinhaReceita ou Serpro Datavalid. O dado critico e situacao_cadastral. Aceite apenas ATIVA. Reprovacao imediata para qualquer outro estado:

• SUSPENSA — algum impedimento ativo
• INAPTA — obrigacao acessoria pendente
• BAIXADA — empresa encerrada
• NULA — CNPJ anulado

2.3 CNAE e cross-check com setor sensivel

O CNAE principal define a atividade economica. Sua politica de KYB precisa ter tres listas claras:

1. CNAEs proibidos: jogo ilegal, operadoras .bet sem licenca SPA/MF, pornografia, qualquer atividade que dispare hit em CEIS/CNEP/OFAC para o setor — reprovar automaticamente.
2. CNAEs sensiveis: bingo/jogo regulamentado, cripto, armas, joalheria, factoring, fomento mercantil, casa de cambio, ONG sem CNES, politica eleitoral — obrigam Tier 3 (analise enhanced + comite).
3. CNAEs neutros: todo o resto — segue o fluxo normal de tiering.

2.4 Data de abertura e capital social

Dois sinais quantitativos importantes que entram no risk scoring:

• Idade da empresa: empresas com menos de 6 meses tem peso de risco maior; menos de 24 meses pesam menos mas ainda sinalizam exposicao em Tier 3. Empresa criada "ontem" para fechar contrato grande amanha e classico padrao de fraude.
• Capital social: incompativel com o porte declarado e sinal forte de "empresa de fachada". Politicas tipicas: Tier 2 exige capital social minimo R$ 10k; Tier 3 exige R$ 100k.

3. Etapa 2 — Estrutura societaria e Beneficiario Final (UBO)

E aqui que a maior parte das fraudes e detectada — ou ignorada, dependendo da qualidade do seu processo. O UBO (Ultimate Beneficial Owner) e a pessoa fisica que, no final da cascata societaria, controla ou se beneficia da empresa cliente. A Receita Federal e o COAF exigem que voce mapeie toda PF com participacao ≥ 25% direta ou indireta ou que exerca controle efetivo.

3.1 Como abrir a cascata

O QSA (Quadro de Socios e Administradores) da Receita Federal lista os socios diretos. Mas socios podem ser outras PJs — e e ai que o processo manual se perde. A regra e: recursar ate chegar em pessoa fisica.

Empresa Cliente (X)
 |- Socio A (PF, 30%)             ----> KYC em A
 |- Socio B (PJ, 70%)
      |- Socio B1 (PF, 60% de B)  ----> KYC em B1 (controle indireto = 70% x 60% = 42%)
      |- Socio B2 (PJ, 40% de B)
           |- Socio B2.1 (PF, 100%) --> KYC em B2.1 (controle indireto = 70% x 40% x 100% = 28%)

No exemplo acima, mesmo B2.1 estando "tres niveis abaixo", ele tem 28% de controle indireto na empresa cliente — acima do limiar de 25%, portanto e UBO e precisa passar por KYC completo.

3.2 KYC dos socios (KYCs aninhados)

Para cada pessoa fisica identificada na cascata (socio direto ou UBO), execute:

• Validacao CPF na Receita (nome + data nascimento batendo)
• PEP check — Pessoa Politicamente Exposta. Cruzar com listas do Portal da Transparencia, Senado, Camara dos Deputados, TSE e bases proprietarias (IDwall, Caf, BigDataCorp, ComplyAdvantage). PEP nao reprova automatico, mas sobe o tier obrigatoriamente.
• Sancoes internacionais: OFAC (Tesouro dos EUA), Conselho de Seguranca da ONU, Uniao Europeia, BCB. Hit positivo = bloqueio automatico (Tier 4).
• Listas restritivas brasileiras:
  • CEIS (Cadastro de Empresas Inidoneas e Suspensas)
  • CNEP (Cadastro Nacional de Empresas Punidas)
  • CGU-PJ (sancoes da Controladoria-Geral da Uniao)
  • TST/CONDETRA — Lista Suja do Trabalho Escravo (MTE)
• Processos criminais relevantes — consulta a DataJud CNJ (oficial, gratuito, lento) ou APIs pagas (Jusbrasil, Escavador, JuRecursos) para processos por crimes financeiros, fraude, lavagem.

3.3 Declaracao formal de UBO

Para Tier 2 e Tier 3, exija que o cliente assine uma Declaracao de Beneficiario Final — documento formal em que o representante legal lista quem sao os UBOs e atesta veracidade. Ela tem duplo papel: organiza informacao que voce ja deveria ter, e responsabiliza o cliente caso oculte deliberadamente um beneficiario sancionado.

4. Etapa 3 — Checagem de historico e listas de risco

Alem das listas aplicadas aos socios, a propria empresa cliente precisa ser cruzada com bases publicas e privadas:

Para midia negativa, fontes recomendadas em portugues: OpenSanctions (gratuito e excelente para sancoes internacionais), Portal da Transparencia, sites de imprensa especializada em compliance (Migalhas, ConJur, Valor Economico) via search programatica, e APIs pagas como ComplyAdvantage ou Refinitiv para alertas proativos.

5. Etapa 4 — Risk scoring e tiering

Validar todos os dados acima e necessario mas insuficiente. Voce ainda precisa decidir: aprovar, escalar para analise, ou bloquear. E ai entram risk score e tier.

5.1 Formula de scoring (modelo de referencia)

Score de 0 a 100, calculado no submit e recalculado a cada evento de monitoramento (mudanca societaria, vencimento de certidao, novo hit em lista). Quanto maior, maior o risco.

score =
  + setor_sensivel(CNAE)             [0, 30]
  + sancao_hit_socio                 [0, 50]    // hit = block automatico
  + pep_hit_socio                    [0, 20]
  + idade_empresa_meses < 24         [0, 15]
  + capital_social_baixo             [0, 10]
  + endereco_caixa_postal            [0, 10]
  + uf_alto_risco                    [0,  5]
  + cnae_vs_volume_declarado         [0, 15]    // inconsistencia
  + processos_criminais_socios       [0, 25]

5.2 Faixas de decisao

• 0-20: Aprovacao automatica (Tier 1/Tier 2 com automacao)
• 21-45: Analise manual de compliance (Tier 2/Tier 3)
• 46-70: Analise + comite de compliance (Tier 3)
• 71+: Reprovacao automatica (Tier 4)

5.3 Tiers de cliente

O tier define profundidade da diligencia e quem aprova. Volume anual estimado e o eixo principal (R$ que o cliente vai movimentar/gastar/intermediar com voce em 12 meses), combinado com setor:

Definir tier antes de iniciar a coleta evita gastar 10 dias analisando um cliente que ia movimentar R$ 50k/ano e poderia ter sido aprovado em 5 minutos. Subdimensionar o tier de um cliente Enhanced gera o problema oposto: cliente entra, aparece em fiscalizacao, e voce nao tem o dossie para se defender.

6. Etapa 5 — Documentos exigidos por tier

Storage seguro: os documentos precisam ser armazenados com cifracao at-rest, acesso por URL pre-assinada com expiracao, e retencao de 10 anos apos encerramento do contrato (exigencia da Lei 9.613/98 PLD/FT). Bucket privado, log de acesso, sem URL publica.

7. Etapa 6 — Monitoramento continuo

KYB nao termina na aprovacao. O cliente que entrou limpo pode ser sancionado amanha; o socio que estava "limpo" hoje pode aparecer numa investigacao da PF semana que vem. O monitoramento continuo e o que separa compliance real de teatro de compliance.

8. Red flags operacionais — treinar o time

Mesmo com KYB aprovado e monitoramento rodando, certos comportamentos durante a operacao devem escalar para compliance. Treine atendimento e financeiro para reconhecer:

• Solicitacao de pagamento para terceiros sem relacao com a folha
• Volume muito acima do declarado no KYB (acima de 3× a media mensal)
• Mudanca subita de QSA pouco antes de operacao grande
• Endereco de correspondencia diferente do cadastrado em mais de uma operacao
• Recusa em fornecer dado simples ja exigido no contrato
• Cliente acelera contratacao tentando pular etapas de documentacao
• Operacao em UF/cidade sem CNAE compativel com o negocio
• Padrao "Smurfing" — varias operacoes pequenas em sequencia, abaixo de limiares de reporte

9. Por que automatizar — e o que muda quando voce automatiza

Tudo o que descrevemos acima pode ser feito manualmente. Tambem pode-se fazer contabilidade no caderno, e recrutamento por classificado de jornal. O ponto e: o KYB manual custa mais do que parece e e a primeira causa de fila de onboarding em B2B.

Comparativo: manual vs automatizado

Stack tipica para automatizar (combinacao gratuita + paga, escolha conforme volume):

• Receita / QSA / CNAE: BrasilAPI, ReceitaWS, MinhaReceita (gratuitos); Serpro Datavalid, BigDataCorp, IDwall (pagos)
• Sancoes internacionais: OpenSanctions (gratuito), ComplyAdvantage, Refinitiv
• PEP + CEIS + CNEP: Portal da Transparencia (gratuito); IDwall, Caf, Serasa
• Trabalho escravo: Lista Suja MTE (gratuita)
• Processos: DataJud CNJ (gratuito, lento); Jusbrasil, Escavador, JuRecursos (pagos)
• OCR + face match (Tier 3): IDwall, Unico, Caf

MVP recomendado para volume baixo: BrasilAPI + OpenSanctions + Portal da Transparencia, com armazenamento de documentos em bucket privado (ex. Cloudflare R2) cifrado. Escalar para IDwall/Caf quando passar de 50 empresas/mes ou ao receber o primeiro Tier 3.

10. Perguntas frequentes sobre KYB

Qual a diferenca entre KYC e KYB?

KYC valida pessoa fisica (CPF, biometria, PEP). KYB valida pessoa juridica (CNPJ, CNAE, capital social, sancoes) e aplica KYC a cada socio e beneficiario final identificado na cascata societaria. Todo KYB tem um ou mais KYCs aninhados.

KYB e obrigatorio no Brasil?

Para instituicoes financeiras, fintechs, meios de pagamento, factoring, casa de cambio, administradoras de cartao/beneficio — sim, exigido pela Lei 9.613/98, Circular BCB 3.978/20 e Resolucao COAF 36/2021. Para empresas em geral, nao e obrigatorio por lei, mas e altamente recomendado em qualquer relacao B2B com risco de credito, intermediacao de valores ou exposicao reputacional.

Quem e o Beneficiario Final (UBO)?

E a pessoa fisica que, ao final da cascata societaria, controla ou se beneficia da empresa cliente. A regra geral exige mapear toda PF com participacao direta ou indireta igual ou superior a 25%, ou que exerca controle efetivo sobre decisoes (mesmo com participacao menor).

Posso aceitar um cliente com hit em alguma lista de sancao?

Nao. Hit em OFAC, ONU, UE, BCB, CEIS, CNEP ou Lista Suja do Trabalho Escravo sao bloqueios automaticos. O risco regulatorio e reputacional supera qualquer ganho comercial — e, em alguns casos, o BCB ou COAF precisa ser comunicado.

Quanto tempo dura um processo KYB completo?

Tier 1 automatizado: menos de 5 minutos. Tier 2 (com upload de documentos): 4-24 horas. Tier 3 (com analise de comite): 3-10 dias uteis. No processo totalmente manual, sem automacao, costuma levar de 2 a 6 semanas — e e por isso que onboarding B2B vira gargalo comercial.

O que e um Tier de risco KYB?

Classificacao do cliente por volume e setor que define profundidade da diligencia: T1 Light (< R$ 100k/ano, automatico), T2 Standard (R$ 100k-2M, automatico + documentos), T3 Enhanced (> R$ 2M ou setor sensivel, comite obrigatorio), T4 Bloqueado (setor proibido). Definir tier antes de iniciar a coleta evita gastar dias em casos que podiam ser aprovados em minutos.