Se um fornecedor de KYC identifica seus clientes ou verifica os documentos deles, a responsabilidade continua sendo sua. A partir de 10 de julho de 2027, o art. 18 do Regulamento (UE) 2024/1624 (AMLR) exige contrato escrito, controles periódicos e aviso prévio ao supervisor. Nós redigimos ou revisamos esse contrato.
Seu contrato de KYC resiste ao AMLR? Revisão gratuita
Conte-nos o que o seu fornecedor de KYC faz e nós diremos o que falta no contrato.
Terceirizar o KYC é legal, mas o AMLR define o que você pode delegar, o que não pode e o que o contrato deve dizer. Deixamos tudo amarrado antes que o SEPBLAC ou o seu supervisor o revisem.
Separamos o que é terceirização (outsourcing: o fornecedor executa por você tarefas de diligência devida) do que não é (usar o software, as bases de dados ou os serviços de triagem dele), porque as regras mudam.
Verificamos que o fornecedor não decide por você o perfil de risco do cliente, a aceitação da relação de negócios nem a comunicação de operações suspeitas.
Redigimos ou revisamos o acordo escrito: tarefas, aplicação das suas políticas, subterceirização, acesso à informação, auditoria, conservação de dados e rescisão.
Documentamos que o fornecedor é suficientemente qualificado, onde está estabelecido e como protege os dados, antes que ele comece a trabalhar.
Preparamos a notificação prévia ao supervisor e o plano de controles periódicos, com uma frequência proporcional à importância da tarefa.
Adaptamos seus contratos atuais, assinados sob a Lei 10/2010 e o RD 304/2014, para que cheguem a 10 de julho de 2027 sem que você precise renegociá-los às pressas.
O contrato com o fornecedor é a primeira coisa que o supervisor pede quando o onboarding de clientes não é feito pela sua equipe.
Videoidentificação, leitura de documentos ou biometria feitas por um terceiro: se ele executa a tarefa por você, atua como parte da sua entidade e quem responde é você.
O art. 18 do AMLR será diretamente aplicável: contrato escrito, controles periódicos e aviso prévio ao supervisor antes de terceirizar.
Se ele estiver estabelecido em um país terceiro identificado nos termos do AMLR (de alto risco, com deficiências de cumprimento ou que representa uma ameaça específica e grave), você só poderá terceirizar dentro do seu grupo e com controles de grupo.
Você deve conseguir demonstrar que entende a lógica do que o fornecedor faz e que isso mitiga seus riscos concretos.
Dados do Regulamento (UE) 2024/1624 (AMLR), da Lei 10/2010 e do Real Decreto 304/2014.
Data de aplicação geral do Regulamento (UE) 2024/1624.
Nunca são terceirizadas: avaliação de riscos, políticas, perfil de risco, aceitação do cliente, comunicação à UIF e critérios de detecção.
A entidade notifica a terceirização ao supervisor antes que o fornecedor comece a executar as tarefas.
Prazo máximo para que a entidade obrigada à qual você recorre lhe entregue as informações de diligência devida.
Hoje, o recurso a terceiros exige um acordo escrito prévio e exclui o monitoramento contínuo da relação.
A Autoridade Europeia de Combate à Lavagem de Dinheiro (AMLA) deve publicar diretrizes sobre terceirização até 10-07-2027.
Revisamos o contrato e o processo real, e dizemos o que mudar antes que cheguem o AMLR ou uma inspeção.
Prefere que nós façamos isso? Nossa equipe pode cuidar do KYC dos seus clientes: terceirização do KYC, com o dossiê pronto em 24 horas úteis.
Sim. O art. 18 do AMLR permite terceirizar para prestadores de serviços tarefas decorrentes do Regulamento, e hoje a Lei 10/2010 admite o recurso a terceiros e as relações de terceirização ou agência. Em todos os casos, a entidade obrigada continua sendo plenamente responsável pelo que o fornecedor fizer ou deixar de fazer.
Segundo o art. 18.3 do AMLR: a proposta e a aprovação da avaliação de riscos de toda a entidade; a aprovação das políticas, procedimentos e controles internos; a decisão sobre o perfil de risco do cliente; a decisão de estabelecer a relação de negócios ou de realizar a operação ocasional; a comunicação à UIF de operações suspeitas ou das declarações baseadas em limites (exceto a outra entidade obrigada do mesmo grupo e Estado-membro); e a aprovação dos critérios para detectar operações suspeitas.
Não necessariamente. O considerando 47 do AMLR esclarece que não é considerado terceirização o uso ou a compra de programas de computador de terceiros nem o acesso a bases de dados ou a serviços de triagem (screening), quando quem cumpre o requisito continua sendo a entidade. É terceirização quando o fornecedor executa por você a tarefa de diligência devida.
No mínimo, o que o art. 18.4 do AMLR exige: um acordo escrito com as condições das tarefas, a obrigação do fornecedor e de qualquer subcontratado de aplicar suas políticas e procedimentos, e seus controles periódicos; e, pelo art. 18.5, nada que impeça a supervisão. Se você é uma instituição de crédito, de pagamento ou de moeda eletrônica, convém alinhá-lo também com as diretrizes da EBA (Autoridade Bancária Europeia) sobre terceirização.
Com o AMLR, sim: a entidade notifica a terceirização ao supervisor antes que o fornecedor comece (art. 18.1). A notificação não significa que o supervisor aceite o acordo, mas ele pode usá-la para avaliar seus controles ou preparar inspeções.
Na terceirização, o fornecedor atua como parte da sua entidade e aplica suas políticas. No recurso a terceiros (arts. 48 a 50 do AMLR), você se apoia na diligência devida que outra entidade obrigada supervisionada já realizou, a qual deve lhe entregar as informações em no máximo cinco dias úteis. Nos dois casos, a responsabilidade final continua sendo sua.
Sim, a menos que ele esteja estabelecido em um país terceiro identificado nos termos da seção 2 do capítulo III do AMLR: de alto risco, com deficiências de cumprimento ou que representa uma ameaça específica e grave. Nesse caso, você só pode terceirizar para um fornecedor do seu próprio grupo, que aplique políticas de grupo conformes ao Regulamento e seja supervisionado em nível de grupo (art. 18.6).
A Lei 10/2010 e o Real Decreto 304/2014. O art. 8 da lei permite recorrer a terceiros sujeitos às normas de prevenção à lavagem de dinheiro com um acordo escrito prévio, exceto para o monitoramento contínuo, e não se aplica às relações de terceirização ou agência em que o fornecedor é considerado parte do sujeito obrigado. Além disso, desde 28 de outubro de 2026, o art. 21 do RD 304/2014 exige que os “outros procedimentos seguros” de identificação não presencial cumpram os requisitos mínimos das autorizações gerais publicadas pelo SEPBLAC.
O supervisor não vai perguntar se o fornecedor é bom, e sim se você entende e controla o que ele faz.
Software e bases de dados não são terceirização; executar a diligência devida por você, sim.
O perfil de risco, a aceitação do cliente e a comunicação à UIF nunca saem da entidade.
Contrato, avaliação prévia, controles periódicos e aviso ao supervisor demonstram que o modelo funciona.
Fonte: Regulamento (UE) 2024/1624 (arts. 18, 48 a 50 e 90; considerandos 47 a 50), Lei 10/2010 (art. 8) e Real Decreto 304/2014 (arts. 13 e 21).
Estes termos aparecem no Regulamento (UE) 2024/1624, na Lei 10/2010 e em qualquer revisão do seu processo de onboarding de clientes.
Identificar e verificar o cliente e o beneficiário final, conhecer o propósito da relação e fazer seu monitoramento.
Atribuição a um prestador de serviços de tarefas decorrentes do Regulamento; o prestador é considerado parte da entidade.
Apoiar-se na diligência devida que outra entidade obrigada supervisionada já realizou.
Empresa que executa tarefas de compliance por conta da entidade obrigada, ainda que não seja sujeito obrigado.
Atribuição de tarefas pelo fornecedor a outro fornecedor, que também deve aplicar as políticas da entidade.
Tarefa cuja importância determina a frequência dos controles que a entidade deve realizar.
Autoridade europeia que deve emitir diretrizes sobre terceirização e recurso a terceiros.
País de alto risco, com deficiências de cumprimento ou que representa uma ameaça grave, identificado nos termos do AMLR: não se terceiriza para lá, exceto dentro do grupo.
Com a Lei 10/2010, não pode ser atribuído a terceiros no recurso a terceiros, exceto em grupos.
Terceirização: um fornecedor que atua como parte da sua entidade.
Recurso a outra entidade obrigada: outra entidade obrigada que já fez sua própria diligência devida.
Terceirização: as suas, também na subterceirização.
Recurso a outra entidade obrigada: as da outra entidade, que deve cumprir o AMLR ou normas equivalentes.
Terceirização: acordo escrito e aviso prévio ao supervisor.
Recurso a outra entidade obrigada: acordo escrito sobre a transmissão das informações.
Terceirização: acesso conforme o contrato e controles periódicos.
Recurso a outra entidade obrigada: entrega sem demora e em no máximo cinco dias úteis.
Terceirização: plena, da entidade obrigada.
Recurso a outra entidade obrigada: final, da entidade que recorre.
São os pontos que mais falham quando se revisa um onboarding de clientes terceirizado.
Conte-nos qual fornecedor de KYC você usa, quais tarefas atribui a ele e qual contrato assinou, e nós diremos o que mudar.
Atualizado em 15 de outubro de 2026
O Regulamento (UE) 2024/1624 (AMLR), aplicável a partir de 10 de julho de 2027, regula em uma norma europeia diretamente aplicável a terceirização das tarefas de prevenção à lavagem de dinheiro. Seu art. 18 permite atribuir tarefas a prestadores de serviços, mas fixa limites, exige um acordo escrito e mantém toda a responsabilidade na entidade obrigada.
As entidades obrigadas podem terceirizar para prestadores de serviços tarefas decorrentes do Regulamento e devem notificar o supervisor antes que o prestador comece. O prestador é considerado parte da entidade, que continua plenamente responsável por qualquer ação ou omissão e deve poder explicar ao supervisor a lógica do que o prestador faz e como isso mitiga seus riscos.
O art. 18.3 exclui a avaliação de riscos de toda a entidade, a aprovação de políticas e controles, a decisão sobre o perfil de risco do cliente, a decisão de estabelecer a relação de negócios, a comunicação à UIF de operações suspeitas ou de declarações baseadas em limites (exceto dentro do grupo e do mesmo Estado-membro) e a aprovação dos critérios de detecção. Há uma exceção limitada para organismos de investimento coletivo sem personalidade jurídica, com aprovação do supervisor.
Antes de terceirizar, a entidade deve se assegurar de que o prestador é suficientemente qualificado. As condições são fixadas em um acordo escrito, o prestador e seus subcontratados aplicam as políticas da entidade, e esta realiza controles periódicos cuja frequência depende da importância da tarefa. Para instituições de crédito, de pagamento e de moeda eletrônica, as diretrizes da EBA sobre terceirização (EBA/GL/2019/02) acrescentam um conteúdo mínimo para os contratos de funções essenciais; em setembro de 2026, a EBA publicou diretrizes sobre gestão do risco de terceiros que vão substituí-las.
Enquanto isso, vigora o art. 8 da Lei 10/2010: é possível recorrer a terceiros sujeitos às normas de prevenção à lavagem de dinheiro para aplicar a diligência devida, exceto o monitoramento contínuo, com um acordo escrito prévio e mantendo a plena responsabilidade. Esse artigo não se aplica às relações de terceirização ou agência em que o fornecedor é considerado parte do sujeito obrigado. O RD 304/2014 detalha o acordo (art. 13) e, desde 28 de outubro de 2026, remete os “outros procedimentos seguros” de identificação não presencial às autorizações gerais do SEPBLAC (art. 21).
Se você precisa do contexto básico, comece por o que é o KYC (em espanhol). O contrato com o fornecedor faz parte do seu manual de prevenção e dos seus controles internos. Se o que você quer é delegar a um escritório a gestão do seu compliance, consulte a terceirização de PLD/FT; para o novo marco europeu como um todo, veja nossa página sobre o AMLR.