Como funcionam os sistemas AML e KYC

1) Para quê AML e KYC

KYC (Know Your Customer) confirma que o cliente é uma pessoa real com uma identidade valiosa e um endereço.

A AML (Anti-Money Laundering) impede a lavagem de dinheiro, o financiamento do terrorismo e a contornação de sanções.

Em iGaming, é uma condição para licenças, bancos parceiros e provedores de pagamento; não cumprimento = multas, revogação de licença e bloqueio de pagamentos.

2) Processo KYC: desde o acesso à caixa

Passos KYC

1. Coleta de dados: FIO, data de nascimento, cidadania, endereço, documento (passaporte/ID), selfie/vídeo-liveness.

2. Verificação de documento: MRZ/chip, anti-tamper, validade, comparação com selfies.

3. Confirmação de endereço (PoA): conta de serviço/extrato do banco ≤ 3-6 m.

4. Sanções e PEP: screening contra listas de sanções, indivíduos politicamente significativos e adverse media.

5. Solução: pass/fail/solicitação de dados adicionais; gravar a razão e as versões das políticas.

Mini-exemplo de pedido de verificação

json
POST /compliance/kyc/verify
{
"customerId": "c_1029",  "doc": {"type":"passport","country":"DE","number":"X1234567","expiry":"2030-04-01"},  "identity": {"firstName":"Alex","lastName":"K. ","dob":"1993-02-11"},  "address": {"line1":"Musterstr. 5","city":"Berlin","zip":"10115","country":"DE"},  "liveness": {"provider":"onfido","sessionId":"sess_9a7f"},  "consent": true
}

3) Sanções, PEP e adverse media

Sanções: coincidência direta, correspondências de alíquotas, correspondências secundárias (beneficiários).

PEP: cargos atuais e antigos + membros da família/próximos.

Adverse Media - referências negativas à fraude, corrupção, violência.

Solução: true/falsa/needs review, priorizada por tipo de coincidência e frescura da fonte.

4) KYT para criptomonedas (Know Your Transation)

Screening de endereços/transações: mixers, clusters darknet, bolhas de sanções/bolsa.

Rastreamento da fonte de fundos: caminho das moedas até a bolsa com KYC.

Regras: unidade de clusters de alto risco; exigência de endereço limpo; O pedido SoF/SoW sobre a cripta.

Exemplo de resultado KYT

json
{
"address": "0x9a7f...2b1c",  "riskScore": 83,  "flags": ["mixer_proximity","sanctions_cluster_2hops"],  "recommendation": "deny_and_request_clean_address"
}

5) Mapeamento e níveis de verificação (risk-based approach)

Inicial Risk Score (IRS) em internet: país, forma de pagamento, idade, RR/sanções, dispositivo.

Ongoing Risk Score (ORS) em dinâmica: volume de depósitos/conclusões, frequência, pattern anormal.

Níveis:

Low - KYC básico, limites padrão.
Medium é um SoF/PoA extra, limites estreitos.
High/EDD - pacote avançado de documentos, visão manual, limites reduzidos/pausa.

6) SoF/SoW e affordability (como parte do AML)

SoF (fonte de fundos): salário, negócio, poupança, venda de ativos, presente/herança, cripta (com caminho limpo).

SoW (fonte de bem-estar): contexto de renda mais geral.

Afordability: Adequação da intensidade do jogo aos rendimentos; em caso de inadequação - limites/interrupção.

7) Monitoramento de transações (TM) e regras comportamentais

Os cenários típicos que o motor TM capta:

Depósitos frequentes e conclusões instantâneas (pass-through).
Fragmentação de quantias em torno de liminares (estruturing).
Crescimento acentuado do tique médio; sessões noturnas com grandes voltas.
O portador de um meio de pagamento e de uma conta não correspondem.
Cripta dos clusters «sujos»; muitos novos endereços sem histórico.

Evento para TM

json
{
"event":"payment. deposit",  "ts":"2025-10-17T12:10:20Z",  "customerId":"c_1029",  "amount":"1000. 00",  "currency":"EUR",  "method":"card",  "country":"DE",  "device":"ios_app",  "traceId":"tr_55f",  "kvc":{"name_on_card_match":true}
}

8) Gestão e investigação em dinheiro

Alert → Case → Decision: alert é combinado em uma mala; adicionam-se extratos/docas-pragas; as ações e versões de políticas ('policyVer') são registradas.

Soluções: approve/limit/request info/suspend/offboard.

Escalação: para oficial/advogado complicado; o registro de ação é inválido (WORM).

SAR/TR: Relatório suspeito ao regulador de acordo com a lei local.

9) Armazenamento de dados, privacidade, segurança

Isolamento PII: armazenamento e chaves de acesso individuais, minimizando campos.

Retenção: armazenamento N anos (jurisdição), depois remoção segura.

Acesso: RBAC/ABAC, registro de acesso, criptografia (KMS/HSM).

Direitos do sujeito de dados: acesso/correção/restrição de processamento, exceto a reticência obrigatória da AML.

10) Métricas e SLO AML/KYC

KYC pass-rate / time-to-verify (p50/p95).

Alert precisão/recall (qualidade das regras TM).

Hora de fechamento da mala (MTTC), proporção de malas com EDD.

SAR/STAR rate e a proporção de incidentes confirmados.

KYT coverage (que% das criptodepositas passou pelo screening).

Afordability interventions (quantos limites/aranha).

11) Pattern arquitetônicos de complaens

A camada de complacência é um módulo separado com uma API e armazenamento próprios.

Eventos: 'kyc. started/passed/failed`, `aml. alert/opened/closed`, `payment. deposit/withdrawal`, `kyd. address_screened`.

Idempotidade: todos os webhooks e soluções são com 'decisionId', e a repetição de processamento não muda o resultado.

Versionagem de políticas: cada cálculo armazena «policyVer», «dataVer», «modelVer» (se houver ML).

12) Exemplos de decisão (políticas → ações)

json
{
"decisionId":"dec_7f3",  "customerId":"c_1029",  "policy":"aml_v3. 6",  "riskScore":72,  "action":"limit_and_request_sof",  "limits":{"deposit_daily":"200. 00","withdrawal_daily":"0. 00"},  "explanation":["rapid_deposits","new_wallet","country_risk_medium"],  "ttl_days":30
}

13) Papel ML/AI e restrições

Use-cases: priorização de alertas, anomalia comportamental, classificação de malas.

Guardrails: Explicabilidade, falta de discriminação, homem-no-circuito; as regras têm prioridade sobre os modelos de sanção/PEP/EDD.

14) Anti-pattern (que quebra a complacência)

O mesmo conjunto de verificações para todos os países/métodos (sem a abordagem risk-based).

Mistura de dinheiro OLTP e logs de complacência em um BD.

A falta de idempotidade nos webhooks são soluções duplas.

Caixa preta ML sem explicação ou auditoria.

Não há registros de versões de políticas nem base de decisões.

O arquivo WORM e o controle de acesso aos documentos estão ausentes.

Ignorar KYT para a cripta e não corresponder ao nome do pagador.

15) Folha de cheque de início/auditoria AML&KYC

Processos

As políticas KYC/AML/EDD/Affordability com 'policyVer' e EOL são descritas.
Regulamentos SAR/TR, escalação e interação com o regulador/banco.

Tecnologia

Plug-in personalizado: API, vitrines, arquivo WORM.
Eventos e webhooks idimpotentes; «traceId» de passagem.

KYC/KYT

Os provedores KYC (liveness, doc-scan) estão integrados; O fluxo está claro.
KYT está ligado para todas as criptooperações; folhas e endereços limpos.

Monitoramento

Regras TM e sinais ML; dashboard SLO/qualidade de alertas.
Mala QA: reavaliação seletiva, treinamento de equipe.

Privacidade

Isolamento PII, criptografia, acesso por papéis, retenção, GDPR/normas locais.

16) Aviso ao jogador (como passar KYC/AML mais rápido)

Prepare fotos nítidas de documentos e um Proof of Address recente.

Use seus próprios cartões/carteiras; O nome deve ser o mesmo.

Com grandes quantias - mantenha os extratos e SoF com antecedência.

Para a cripta - transfira do endereço limpo, guarde o Tx-hash e o relatório rampa/bolsa.

O sistema AML/KYC não é uma formalidade, mas sim um circuito de trabalho para proteger o operador e os jogadores. É baseado em verificação de identidade e endereço, screenings de sanção/RER, monitoramento de transações risk-based, KYT para cripta, gerenciamento de malas e relatórios documentados. Tecnicamente, é um módulo separado, com eventos, soluções idimpotentes, arquivos WORM e privacidade rigorosa. Esta abordagem reduz os riscos regulatórios e de pagamento, agiliza os pagamentos legais e apoia o jogo responsável.