KYC Perpétuo: Por Que o Regulamento Antilavagem da UE de 2027 Torna a Revisão Periódica um Risco Arquitetural

Um cliente classificado como baixo risco em janeiro pode se tornar alto risco em março e permanecer marcado como baixo risco até a próxima revisão programada, às vezes anos depois. Isso não é uma falha de detecção. É o comportamento previsto de um ciclo de revisão que verifica o risco do cliente pelo calendário, não pelo evento.

O Regulamento (UE) 2024/1624, o Regulamento Antilavagem (AMLR), passa a se aplicar diretamente em todos os Estados-membros da UE a partir de 10 de julho de 2027. Diferente das diretivas que substitui, ele não exige transposição nacional; o texto é lei em todas as jurisdições simultaneamente. O AMLR coexiste com a nova Autoridade Antilavagem (AMLA, Regulamento (UE) 2024/1620), operacional desde 1º de julho de 2025, que supervisiona diretamente as entidades obrigadas de alto risco. Os dois instrumentos compartilham uma premissa que arquiteturas de revisão periódica não satisfazem: o risco do cliente é contínuo, e o sistema de controle precisa observá-lo continuamente.

O Que o Modelo Baseado em Calendário Realmente Faz

Um modelo de revisão periódica de KYC atribui a cada cliente um intervalo de revisão, normalmente de um a cinco anos dependendo do nível de risco, e reverifica o perfil do cliente quando esse intervalo expira. Entre as revisões, o sistema não observa. Não é que o sistema falhe em detectar uma nova exposição a sanções, uma mudança de propriedade ou cobertura midiática adversa; ele simplesmente não foi projetado para procurar por isso antes que a data programada chegue.

Isso produz uma falha específica: uma entidade sancionada, uma pessoa politicamente exposta promovida a um cargo, ou uma mudança de beneficiário final pode permanecer dentro da base de clientes de uma instituição financeira, sem ser detectada pelos próprios controles da instituição, durante todo o tempo restante do intervalo de revisão. Uma faixa de revisão de cinco anos em um cliente que se tornou relevante seis meses após a entrada deixa quatro anos e meio de exposição sem monitoramento. A pesquisa da Capgemini sobre compliance de crimes financeiros de 2026 coloca isso de forma direta: early adopters do monitoramento orientado a eventos relatam a eliminação de 70 a 90 por cento da carga de trabalho manual de revisão periódica que essa lacuna antes exigia, justamente porque a maior parte dessa carga era revisar clientes cujo risco não havia mudado em nada.

A ineficiência opera nas duas direções. Um modelo baseado em calendário gasta esforço de investigação em clientes cujo perfil de risco é estável e não mudou, porque a data de revisão chegou independentemente de algo ter acontecido. Não gasta esforço algum em clientes cujo risco mudou no dia seguinte à última revisão, porque nada aciona uma verificação até a próxima data chegar. O custo é alto e a cobertura está incorreta ao mesmo tempo.

A Base Global: FATF, Wolfsberg e a Prática de Supervisão

A expectativa de que o monitoramento de risco do cliente deve ser contínuo não é nova com o AMLR. A Recomendação 10 do GAFI exige, desde muito antes do AMLR existir, "diligência contínua em relação ao relacionamento comercial e escrutínio das transações". A recomendação não especifica um intervalo de revisão. Ela especifica um padrão: a atividade transacional precisa permanecer consistente com o que a instituição sabe sobre o cliente, de forma contínua, não no próximo ponto de controle programado.

O Grupo Wolfsberg, cujas diretrizes de diligência para correspondent banking moldam a prática dos maiores bancos do mundo, trata a revisão orientada a eventos como a expectativa mínima para relacionamentos de maior risco, não como um aprimoramento sobreposto à revisão periódica. Um pico transacional, um acerto de sanções, uma nova divulgação de beneficiário final ou um alerta de mídia adversa é o gatilho; o calendário não é. Sob essa lógica, um modelo baseado apenas em calendário não atende ao mínimo exigido para segmentos complexos ou de risco elevado, independentemente de quão curto o intervalo seja definido.

A prática de supervisão do Reino Unido mostra como essa lacuna aparece sob exame regulatório. A Revisão Temática de Crimes Financeiros de 2022 da FCA sobre bancos de varejo constatou que diversas instituições não haviam atualizado os perfis de risco de seus clientes em anos, apesar de operar cronogramas de revisão periódica formalmente conformes. A lacuna de controle não foi uma revisão perdida. Foi o próprio cronograma de revisão: um perfil de risco pode estar tecnicamente em dia sob um ciclo de cinco anos e, ao mesmo tempo, estar desatualizado há anos em relação à atividade real do cliente.

O Mecanismo: Reavaliação de Risco Orientada a Eventos

Uma arquitetura de compliance orientada a eventos substitui o gatilho de calendário por um conjunto de eventos externos e internos que reavaliam o risco do cliente no momento em que ocorrem, em vez de esperar uma data programada.

Ingestão de eventos. O sistema se inscreve em fluxos de eventos relevantes para o risco: publicações de listas de sanções (OFAC, UE, ONU, listas consolidadas do Reino Unido), atualizações de bases de PEP, feeds de mídia adversa, mudanças em registros corporativos que afetam o beneficiário final, e sinais comportamentais internos provenientes do monitoramento de transações. Cada evento chega como um registro normalizado: identificador da entidade, tipo de evento, fonte, timestamp e um payload descrevendo o que mudou.

Reavaliação de política, não reentrada. Um novo acerto de sanções em um cliente não exige reexecutar o fluxo completo de onboarding. Exige reavaliar as dimensões específicas da política de CDD afetadas por esse tipo de evento em relação ao perfil de risco atual do cliente. Se o modelo de política de CDD é versionado por jurisdição, nível de risco e tipo de verificação, um evento de sanções aciona apenas a dimensão de triagem de sanções da política, não a reverificação de documentos nem a reconfirmação de endereço. Essa é a diferença estrutural entre KYC perpétuo e "revisões periódicas mais rápidas": o primeiro reverifica o que mudou, o segundo reverifica tudo, só que em um ciclo mais curto.

Roteamento por materialidade. Nem todo evento exige uma decisão humana. Uma correspondência de nome contra uma watchlist que se resolve como pessoa diferente por meio de descarte automatizado pode ser encerrada sem escalonamento. Um acerto de sanções confirmado, uma mudança material de propriedade ou uma movimentação de score de risco acima de um limite definido é roteado para um revisor humano junto com o evento desencadeante, a avaliação de risco anterior e a diferença entre ambas já montada. A função do sistema é reduzir a tarefa do analista de "investigar esse cliente do zero" para "confirmar ou anular essa diferença de risco específica".

Trilha de auditoria contínua. Cada evento, cada avaliação de política e cada decisão de roteamento é registrada com o ID do evento desencadeante, a versão de política aplicada e o resultado. Sob o AMLR, a instituição precisa conseguir demonstrar não apenas que um cliente foi eventualmente revisado, mas que o sistema de controle reagiu a eventos específicos relevantes para o risco dentro de uma janela de tempo defensável. Um registro que diz "revisado em janeiro de 2027, próxima revisão em janeiro de 2030" não responde a essa pergunta. Um registro que diz "atualização de sanções recebida às 14:32:07, política v.12 aplicada, sem mudança material, encerrado automaticamente" responde.

Por Que "Revisões Periódicas Mais Rápidas" Não São a Mesma Coisa

Um atalho comum é encurtar o intervalo de revisão (anual em vez de trienal, trimestral em vez de anual) e chamar isso de modernização. Isso não muda a arquitetura subjacente; apenas aumenta seu custo operacional. O sistema continua verificando por relógio, continua reinvestigando clientes cujo risco não mudou, e continua perdendo a lacuna entre o evento e a próxima data programada, só que uma lacuna menor. A definição da Moody's para o pKYC descreve a mesma distinção: a mudança vai de uma avaliação periódica atualizada com mais frequência para um modelo sempre ativo, em que o gatilho é o próprio evento, não o calendário.

Examinadores regulatórios testam essa distinção diretamente, cada vez com mais frequência. O mandato de supervisão direta da AMLA sobre entidades de alto risco significa que o exame vai investigar se um evento sinalizado (uma designação de sanções, um relatório de mídia adversa) produziu uma resposta institucional documentada e com timestamp, não se o cliente coincidentemente venceu para revisão na mesma época. Um intervalo encurtado que, por coincidência, captura um evento dentro de sua janela não é evidência de um controle funcionando. É evidência de sorte.

Uma Classificação Equivocada Comum: o Monitoramento AML Não É Automaticamente "IA de Alto Risco"

Materiais de fornecedores nesse espaço frequentemente afirmam que sistemas de monitoramento AML e KYC são classificados como IA de alto risco sob o Artigo 6 e o Anexo III do AI Act da UE. As diretrizes preliminares da Comissão Europeia sobre a classificação do Anexo III, publicadas em 19 de maio de 2026 e abertas para consulta até 23 de junho de 2026, leem o texto de forma diferente. O Anexo III, ponto 5(b), cobre sistemas de IA que avaliam a capacidade de crédito ou estabelecem um score de crédito. O monitoramento AML/CFT é regido por legislação antilavagem própria da UE, e a leitura preliminar da Comissão posiciona esse monitoramento fora do ponto 5(b), a menos que o uso pretendido do sistema também envolva uma decisão de capacidade de crédito ou de score.

A distinção carrega peso arquitetural, não apenas uma diferença de rotulagem. Uma instituição que compartilha infraestrutura de modelos entre o monitoramento AML e a decisão de crédito, em vez de manter as duas funções estruturalmente separadas, pode levar sua capacidade AML ao escopo de alto risco do AI Act apenas por essa infraestrutura compartilhada. A separação limpa entre a função de crime financeiro e a função de capacidade de crédito é o caminho prático para evitar uma classificação não pretendida, não uma nota de rodapé de compliance.

Isso não relaxa as obrigações do AMLR, da Recomendação 10 do GAFI ou da Wolfsberg descritas acima. O monitoramento AML orientado a eventos ainda precisa funcionar, ainda precisa ser auditável e ainda precisa reagir a eventos em vez de calendários. O que muda é a base legal alegada: o AMLR, a AMLA e a Recomendação 10 do GAFI impulsionam a exigência. O regime de alto risco do AI Act, em sua redação atual, em geral não impulsiona.

Trade-offs

O monitoramento orientado a eventos não é gratuito, e os custos são estruturais, não incidentais.

Volume de alertas. Assinar mais fontes de eventos aumenta o número bruto de sinais que o sistema precisa triar. O monitoramento de transações baseado em regras já opera no limite superior desse problema: uma análise setorial citada pela PwC, referenciada de forma consistente desde 2018, coloca as taxas de falso positivo do screening tradicional baseado em regras entre 90 e 95 por cento dos alertas gerados. Um KYC orientado a eventos que adiciona fontes sem uma camada de materialidade reproduz essa mesma proporção em outro controle. A camada de materialidade não é opcional; sem ela, o monitoramento orientado a eventos troca uma forma de ineficiência por outra.

Dependência de fontes de dados. A cobertura do sistema é limitada pelas fontes de eventos às quais ele está inscrito. Um provedor de lista de sanções com atraso de publicação de quatro horas, ou um feed de mídia adversa que não cobre um idioma regional relevante, cria um ponto cego que parece, de dentro, idêntico a um controle em funcionamento. A arquitetura orientada a eventos desloca o risco de "nós não olhamos" para "nós olhamos, mas nossa fonte não nos avisou", o que é uma conversa de auditoria diferente, ainda que não necessariamente menor.

Custo de migração a partir de um modelo de dados fiat-only. Instituições cujos registros de CDD são estruturados em torno de uma única data de revisão por cliente, em vez de um estado de risco continuamente atualizado com histórico de eventos, não conseguem acoplar monitoramento orientado a eventos ao esquema existente. O próprio registro do cliente precisa se tornar uma entidade com uma linha do tempo de risco, não uma linha com uma coluna de próxima data de revisão. Essa é uma mudança de modelo de dados, não uma feature flag.

Contexto Fernel

O motor de compliance da Fernel trata o screening AML como um processo contínuo, não como uma verificação pontual: os resultados de screening ficam sujeitos a um novo screening automático conforme as fontes de sanções, PEP e mídia adversa são atualizadas, sem que uma data de revisão programada determine o gatilho. As políticas de CDD são registros versionados ao longo de jurisdição, nível de risco e tipo de verificação, de modo que um evento relevante para o risco se resolve na dimensão de política específica que afeta, em vez de acionar uma reverificação completa. Os níveis de risco (baixo, médio, alto, proibido) escalam automaticamente quando um indicador cruza um limite definido, e cada resultado de screening, cada avaliação de política e cada escalonamento é registrado na mesma trilha de auditoria encadeada por hash que cobre o restante do fluxo de compliance. A arquitetura não elimina a necessidade de um revisor humano em mudanças materiais; ela elimina a lacuna entre o momento em que uma mudança ocorre e o momento em que o sistema a percebe.

---

Leia mais: Infraestrutura de Compliance | Automatizando a Diligência do Cliente | Fraude de Identidade Sintética e a Pilha de Onboarding

---

Fontes:

• Regulamento (UE) 2024/1624 (AMLR), aplicável a partir de 10 de julho de 2027 em todos os Estados-membros da UE sem transposição nacional
• Regulamento (UE) 2024/1620, que estabelece a Autoridade Antilavagem e Combate ao Financiamento do Terrorismo (AMLA), aplicável a partir de 1º de julho de 2025
• Capgemini, "Reimagining KYC: From legacy friction to the pKYC triad" (2026): redução de 70 a 90% na carga de revisão periódica entre early adopters de pKYC, redução de até 40% em falsos positivos, onboarding 40 a 60% mais rápido, backlogs de casos 70% menores
• Moody's, visão geral do framework "Perpetual KYC": distinção entre atualização baseada em calendário e monitoramento de risco sempre ativo, orientado a eventos
• Recomendação 10 do GAFI (Diligência do Cliente), International Standards on Combating Money Laundering and the Financing of Terrorism and Proliferation, última atualização em 2026
• Grupo Wolfsberg, diretrizes de diligência para correspondent banking: revisão orientada a eventos como expectativa mínima para relacionamentos de maior risco
• FCA, Revisão Temática de Crimes Financeiros de 2022 sobre bancos de varejo (Reino Unido)
• Comissão Europeia, diretrizes preliminares sobre a classificação de sistemas de IA de alto risco sob o Artigo 6 e o Anexo III do AI Act da UE, publicadas em 19 de maio de 2026 (consulta aberta até 23 de junho de 2026); escopo do ponto 5(b) e o teste de vinculação com capacidade de crédito/score
• Análise citada pela PwC sobre taxas de falso positivo no monitoramento de transações baseado em regras (faixa de 90-95%), referenciada de forma consistente na pesquisa setorial desde 2018