KYB Corporativo: Como Validar um Novo Cliente Pessoa Jurídica em 2026

Aceitar um novo cliente pessoa jurídica sem KYB e como abrir uma conta bancária sem pedir documento. Funciona, até o dia em que para de funcionar — e a conta vira investigação do COAF, processo trabalhista pelo contratado que era "laranja", ou inadimplência milionaria de uma empresa que já estava com situação cadastral suspensa quando o contrato foi assinado. O KYB (Know Your Business) e o processo estruturado de compliance que valida a legitimidade de uma empresa cliente e mitiga risco de fraude, lavagem de dinheiro, sanções e calote. Neste guia você vai entender exatamente como executar o processo — coleta cadastral, estrutura societaria, listas de risco, scoring, documentos e monitoramento — nos mesmos moldes que a Otimiza.pro aplica no onboarding de mais de 1.000 empresas no ecossistema.

Este artigo cobre o KYB do ponto de vista prático de quem opera B2B: o que coletar, onde consultar, como pontuar risco, quando aprovar automaticamente e quando escalar para análise manual. Também mostra como substituir o processo manual (que tipicamente leva de 2 a 6 semanas e custa horas de jurídico interno) por uma esteira automatizada que aprova clientes baixo risco em minutos.

1. KYB vs KYC: a diferença que você precisa ter clara

Os dois processos são primos, mas não são a mesma coisa. Confunde-los e a primeira fonte de problema de compliance em empresas B2B.

• KYC (Know Your Customer): identificação e validação de pessoa física. CPF, RG, endereço, biometria, PEP check, sanções individuais.
• KYB (Know Your Business): identificação e validação de pessoa jurídica. Inclui tudo do KYC aplicado aos socios e beneficiários finais mais validação da empresa em si (CNPJ, CNAE, capital social, estrutura societaria, listas de impedidos PJ).

Na prática, todo KYB contem um ou mais KYCs aninhados: um para cada sócio pessoa física identificado na cascata societaria. Se o quadro societario tem outra PJ, você abre essa PJ até chegar nas pessoas físicas que controlam — e ai aplica KYC em cada uma.

2. Etapa 1 — Coleta e verificação de dados cadastrais

O ponto de partida e o CNPJ. Mas o CNPJ sozinho não basta: você precisa cruzar os dados que ele puxa com a finalidade declarada da relação comercial e com listas públicas. Os pontos obrigatórios:

2.1 Identificação básica

• CNPJ validado por dígito verificador (algoritmo CNPJ — rejeite logo CNPJ matematicamente inválido)
• Razão Social + Nome Fantasia (devem bater com o que o cliente declarou)
• Endereço da sede — CEP validado, idealmente comprovante < 90 dias para Tier 2+
• Telefone e e-mail corporativo (descartar e-mails pessoais @gmail/@hotmail em contas comerciais)
• Inscrição Estadual e Municipal (quando aplicável ao CNAE)

2.2 Situação cadastral na Receita Federal

Consulta automática via BrasilAPI, ReceitaWS, MinhaReceita ou Serpro Datavalid. O dado crítico e situação_cadastral. Aceite apenas ATIVA. Reprovacao imediata para qualquer outro estado:

• SUSPENSA — algum impedimento ativo
• INAPTA — obrigação acessoria pendente
• BAIXADA — empresa encerrada
• NULA — CNPJ anulado

2.3 CNAE e cross-check com setor sensível

O CNAE principal define a atividade econômica. Sua política de KYB precisa ter três listas claras:

1. CNAEs proibidos: jogo ilegal, operadoras .bet sem licença SPA/MF, pornografia, qualquer atividade que dispare hit em CEIS/CNEP/OFAC para o setor — reprovar automaticamente.
2. CNAEs sensíveis: bingo/jogo regulamentado, cripto, armas, joalheria, factoring, fomento mercantil, casa de cambio, ONG sem CNES, política eleitoral — obrigam Tier 3 (análise enhanced + comitê).
3. CNAEs neutros: todo o resto — segue o fluxo normal de tiering.

2.4 Data de abertura e capital social

Dois sinais quantitativos importantes que entram no risk scoring:

• Idade da empresa: empresas com menos de 6 meses tem peso de risco maior; menos de 24 meses pesam menos mas ainda sinalizam exposição em Tier 3. Empresa criada "ontem" para fechar contrato grande amanhã e clássico padrão de fraude.
• Capital social: incompatível com o porte declarado e sinal forte de "empresa de fachada". Políticas típicas: Tier 2 exige capital social mínimo R$ 10k; Tier 3 exige R$ 100k.

3. Etapa 2 — Estrutura societaria e Beneficiário Final (UBO)

E aqui que a maior parte das fraudes e detectada — ou ignorada, dependendo da qualidade do seu processo. O UBO (Ultimate Beneficial Owner) e a pessoa física que, no final da cascata societaria, controla ou se beneficia da empresa cliente. A Receita Federal e o COAF exigem que você mapeie toda PF com participação ≥ 25% direta ou indireta ou que exerca controle efetivo.

3.1 Como abrir a cascata

O QSA (Quadro de Socios e Administradores) da Receita Federal lista os socios diretos. Mas socios podem ser outras PJs — e e ai que o processo manual se perde. A regra e: recursar até chegar em pessoa física.

Empresa Cliente (X)
 |- Sócio A (PF, 30%)             ----> KYC em A
 |- Sócio B (PJ, 70%)
      |- Sócio B1 (PF, 60% de B)  ----> KYC em B1 (controle indireto = 70% x 60% = 42%)
      |- Sócio B2 (PJ, 40% de B)
           |- Sócio B2.1 (PF, 100%) --> KYC em B2.1 (controle indireto = 70% x 40% x 100% = 28%)

No exemplo acima, mesmo B2.1 estando "três níveis abaixo", ele tem 28% de controle indireto na empresa cliente — acima do limiar de 25%, portanto e UBO e precisa passar por KYC completo.

3.2 KYC dos socios (KYCs aninhados)

Para cada pessoa física identificada na cascata (sócio direto ou UBO), execute:

• Validação CPF na Receita (nome + data nascimento batendo)
• PEP check — Pessoa Politicamente Exposta. Cruzar com listas do Portal da Transparência, Senado, Câmara dos Deputados, TSE e bases proprietarias (IDwall, Caf, BigDataCorp, ComplyAdvantage). PEP não reprova automático, mas sobe o tier obrigatoriamente.
• Sanções internacionais: OFAC (Tesouro dos EUA), Conselho de Segurança da ONU, União Europeia, BCB. Hit positivo = bloqueio automático (Tier 4).
• Listas restritivas brasileiras:
  • CEIS (Cadastro de Empresas Inidoneas e Suspensas)
  • CNEP (Cadastro Nacional de Empresas Punidas)
  • CGU-PJ (sanções da Controladoria-Geral da União)
  • TST/CONDETRA — Lista Suja do Trabalho Escravo (MTE)
• Processos criminais relevantes — consulta a DataJud CNJ (oficial, gratuito, lento) ou APIs pagas (Jusbrasil, Escavador, JuRecursos) para processos por crimes financeiros, fraude, lavagem.

3.3 Declaração formal de UBO

Para Tier 2 e Tier 3, exija que o cliente assine uma Declaração de Beneficiário Final — documento formal em que o representante legal lista quem são os UBOs e atesta veracidade. Ela tem duplo papel: organiza informação que você já deveria ter, e responsabiliza o cliente caso oculte deliberadamente um beneficiário sancionado.

4. Etapa 3 — Checagem de histórico e listas de risco

Além das listas aplicadas aos socios, a própria empresa cliente precisa ser cruzada com bases públicas e privadas:

Para mídia negativa, fontes recomendadas em portugues: OpenSanctions (gratuito e excelente para sanções internacionais), Portal da Transparência, sites de imprensa especializada em compliance (Migalhas, ConJur, Valor Econômico) via search programatica, e APIs pagas como ComplyAdvantage ou Refinitiv para alertas proativos.

5. Etapa 4 — Risk scoring e tiering

Validar todos os dados acima e necessário mas insuficiente. Você ainda precisa decidir: aprovar, escalar para análise, ou bloquear. E ai entram risk score e tier.

5.1 Fórmula de scoring (modelo de referência)

Score de 0 a 100, calculado no submit e recalculado a cada evento de monitoramento (mudança societaria, vencimento de certidão, novo hit em lista). Quanto maior, maior o risco.

score =
  + setor_sensível(CNAE)             [0, 30]
  + sancao_hit_sócio                 [0, 50]    // hit = block automático
  + pep_hit_sócio                    [0, 20]
  + idade_empresa_meses < 24         [0, 15]
  + capital_social_baixo             [0, 10]
  + endereço_caixa_postal            [0, 10]
  + uf_alto_risco                    [0,  5]
  + cnae_vs_volume_declarado         [0, 15]    // inconsistência
  + processos_criminais_socios       [0, 25]

5.2 Faixas de decisão

• 0-20: Aprovação automática (Tier 1/Tier 2 com automação)
• 21-45: Análise manual de compliance (Tier 2/Tier 3)
• 46-70: Análise + comitê de compliance (Tier 3)
• 71+: Reprovacao automática (Tier 4)

5.3 Tiers de cliente

O tier define profundidade da diligência e quem aprova. Volume anual estimado e o eixo principal (R$ que o cliente vai movimentar/gastar/intermediar com você em 12 meses), combinado com setor:

Definir tier antes de iniciar a coleta evita gastar 10 dias analisando um cliente que ia movimentar R$ 50k/ano e poderia ter sido aprovado em 5 minutos. Subdimensionar o tier de um cliente Enhanced gera o problema oposto: cliente entra, aparece em fiscalização, e você não tem o dossie para se defender.

6. Etapa 5 — Documentos exigidos por tier

Storage seguro: os documentos precisam ser armazenados com cifracao at-rest, acesso por URL pré-assinada com expiracao, e retenção de 10 anos após encerramento do contrato (exigência da Lei 9.613/98 PLD/FT). Bucket privado, log de acesso, sem URL pública.

7. Etapa 6 — Monitoramento continuo

KYB não termina na aprovação. O cliente que entrou limpo pode ser sancionado amanhã; o sócio que estava "limpo" hoje pode aparecer numa investigação da PF semana que vem. O monitoramento continuo e o que separa compliance real de teatro de compliance.

8. Red flags operacionais — treinar o time

Mesmo com KYB aprovado e monitoramento rodando, certos comportamentos durante a operação devem escalar para compliance. Treine atendimento e financeiro para reconhecer:

• Solicitação de pagamento para terceiros sem relação com a folha
• Volume muito acima do declarado no KYB (acima de 3× a media mensal)
• Mudança subita de QSA pouco antes de operação grande
• Endereço de correspondência diferente do cadastrado em mais de uma operação
• Recusa em fornecer dado simples já exigido no contrato
• Cliente acelera contratação tentando pular etapas de documentação
• Operação em UF/cidade sem CNAE compatível com o negócio
• Padrão "Smurfing" — várias operações pequenas em sequência, abaixo de limiares de reporte

9. Por que automatizar — e o que muda quando você automatiza

Tudo o que descrevemos acima pode ser feito manualmente. Também pode-se fazer contabilidade no caderno, e recrutamento por classificado de jornal. O ponto e: o KYB manual custa mais do que parece e e a primeira causa de fila de onboarding em B2B.

Comparativo: manual vs automatizado

Stack típica para automatizar (combinação gratuita + paga, escolha conforme volume):

• Receita / QSA / CNAE: BrasilAPI, ReceitaWS, MinhaReceita (gratuitos); Serpro Datavalid, BigDataCorp, IDwall (pagos)
• Sanções internacionais: OpenSanctions (gratuito), ComplyAdvantage, Refinitiv
• PEP + CEIS + CNEP: Portal da Transparência (gratuito); IDwall, Caf, Serasa
• Trabalho escravo: Lista Suja MTE (gratuita)
• Processos: DataJud CNJ (gratuito, lento); Jusbrasil, Escavador, JuRecursos (pagos)
• OCR + face match (Tier 3): IDwall, Único, Caf

MVP recomendado para volume baixo: BrasilAPI + OpenSanctions + Portal da Transparência, com armazenamento de documentos em bucket privado (ex. Cloudflare R2) cifrado. Escalar para IDwall/Caf quando passar de 50 empresas/mês ou ao receber o primeiro Tier 3.

10. Perguntas frequentes sobre KYB

Qual a diferença entre KYC e KYB?

KYC valida pessoa física (CPF, biometria, PEP). KYB valida pessoa jurídica (CNPJ, CNAE, capital social, sanções) e aplica KYC a cada sócio e beneficiário final identificado na cascata societaria. Todo KYB tem um ou mais KYCs aninhados.

KYB e obrigatório no Brasil?

Para instituições financeiras, fintechs, meios de pagamento, factoring, casa de cambio, administradoras de cartão/benefício — sim, exigido pela Lei 9.613/98, Circular BCB 3.978/20 e Resolução COAF 36/2021. Para empresas em geral, não é obrigatório por lei, mas e altamente recomendado em qualquer relação B2B com risco de crédito, intermediação de valores ou exposição reputacional.

Quem e o Beneficiário Final (UBO)?

E a pessoa física que, ao final da cascata societaria, controla ou se beneficia da empresa cliente. A regra geral exige mapear toda PF com participação direta ou indireta igual ou superior a 25%, ou que exerca controle efetivo sobre decisões (mesmo com participação menor).

Posso aceitar um cliente com hit em alguma lista de sancao?

Não. Hit em OFAC, ONU, UE, BCB, CEIS, CNEP ou Lista Suja do Trabalho Escravo são bloqueios automáticos. O risco regulatório e reputacional supera qualquer ganho comercial — e, em alguns casos, o BCB ou COAF precisa ser comunicado.

Quanto tempo dura um processo KYB completo?

Tier 1 automatizado: menos de 5 minutos. Tier 2 (com upload de documentos): 4-24 horas. Tier 3 (com análise de comitê): 3-10 dias úteis. No processo totalmente manual, sem automação, costuma levar de 2 a 6 semanas — e e por isso que onboarding B2B vira gargalo comercial.

O que é um Tier de risco KYB?

Classificação do cliente por volume e setor que define profundidade da diligência: T1 Light (< R$ 100k/ano, automático), T2 Standard (R$ 100k-2M, automático + documentos), T3 Enhanced (> R$ 2M ou setor sensível, comitê obrigatório), T4 Bloqueado (setor proibido). Definir tier antes de iniciar a coleta evita gastar dias em casos que podiam ser aprovados em minutos.