O KYC deixou a era do compliance. Bem-vindo à era do desempenho

Nossa indústria nasceu com o objetivo de cumprir as regulamentações. Essa história de origem ainda molda como a maioria das equipes mede a verificação de identidade: taxas de aprovação, resultados de auditoria e a possibilidade de multas.

Acho que agora estamos em uma era diferente – a era do desempenho. E, na verdade, ela sempre esteve aqui. O regulador tinha um problema muito específico em mente. Acontece que a exigência de compliance mascarou o desempenho real que esperávamos por trás dela.

Esse desempenho sempre foi a mesma coisa: o mínimo de atrito possível para a pessoa honesta e o máximo de atrito possível para o fraudador. Todo o resto é detalhe de implementação.

Discuti isso recentemente em um painel da Payments On Air com Chris Ampofo, CIO da Uphold. O que se segue é o que eu acho que essa mudança significa na prática e o que eu gostaria de saber se estivesse escolhendo um parceiro de identidade hoje.

O onboarding não é o ponto. O relacionamento é

Muitas empresas ainda veem o KYC como um requisito de onboarding. Um portão que você atravessa uma vez.

A melhor maneira de ver isso é que você está iniciando um relacionamento e construindo uma plataforma onde a confiança pode reinar. Essa nova perspectiva tem duas consequências.

Primeiro, uma vez que você cria um ambiente seguro, existem barreiras que podem ser removidas; custos que você pode cortar muito mais adiante, porque você já sabe com quem está lidando.

Segundo, você precisa pensar em todo o ciclo de vida do cliente. O onboarding inicia o relacionamento, mas haverá momentos-chave em que você desejará reconstruir a confiança: uma transação de alto risco onde você precisa ter certeza de que tem a pessoa certa por trás da conta, um novo dispositivo, um novo método de pagamento. A confiança não é estabelecida uma vez. Ela é mantida.

Quando a confiança se torna uma estratégia e uma alavanca de crescimento, em vez de apenas uma tarefa a ser cumprida, toda a conversa muda. Acho isso genuinamente empolgante e estou vendo acontecer em muitas indústrias.

Veja como a Uphold verifica os clientes durante toda a vida útil da conta.

A equipe da Uphold conversou com a PYMNTS para discutir como é a verificação contínua do ciclo de vida na prática — e por que as verificações de onboarding únicas não são mais suficientes. Leia a entrevista 

A lacuna mais cara no funil

A lacuna entre a criação da conta e a primeira transação com fundos é onde as plataformas perdem os clientes que mais pagaram para adquirir.

Chris descreveu a mecânica disso melhor do que eu poderia: um cliente passando por múltiplas camadas de verificações de vários provedores, cada um pedindo algo a mais. “Eles podem se afastar da tela para pegar um passaporte, pegar uma carteira de motorista. Quando voltam, a tela expirou, o processo expirou e, nesse ponto, você os perdeu. Eles vão para um lugar onde é muito mais fácil e rápido.”

Em um mercado volátil, a janela é ainda mais estreita. Quando um mercado em alta traz uma onda de novos usuários, uma verificação que leva dias significa que o momento passou e eles foram para outro lugar.

Modular o atrito é a essência do trabalho

A maneira como modelamos isso na Veriff tem dois fatores.

De um lado, o nível de risco que a empresa enfrenta naquele fluxo ou caso de uso específico. Do outro, a motivação da pessoa que está sendo verificada.

Se você está solicitando um empréstimo, sua motivação para concluir o processo é alta. Você pode tolerar mais atrito nesse caso e usá-lo para obter um alto nível de garantias. Mas se a verificação está no seu principal canal de aquisição e você gastou um dinheiro precioso para levar as pessoas a esse funil, então um atrito indevido destrói ativamente a aquisição pela qual você acabou de pagar. Nesse caso, você precisa ter baixo atrito e um processo suave para todo o tráfego.

Chris explicou bem o lado do usuário: os consumidores não se importam com o atrito, desde que seja aplicado no lugar certo. Ninguém se opõe a uma pausa ao vincular uma nova conta bancária. Essa pausa dá a uma pessoa honesta um momento para pensar – e dá a alguém cuja conta foi invadida a chance de impedi-lo.

O ajuste fino entre esses dois fatores é a alquimia. Leve na porta de entrada, mais pesado nos momentos que o justificam.

Rejeitar um bom cliente é um problema de negócio, não um problema de UX

Os falsos positivos não recebem a mesma atenção que as perdas por fraude. Deveriam.

Quando você vem de uma mentalidade de compliance, está abordando a preocupação do regulador, e essa preocupação é a fraude. Portanto, a maior parte da avaliação de verificação de identidade gira em torno da taxa de falsa aprovação. Mas a taxa de falsa rejeição é um grande problema, e eu ouço isso cada vez mais nas chamadas dos clientes. Um cliente me disse recentemente: “É 10 vezes mais preocupante para o negócio rejeitar uma pessoa boa do que deixar um fraudador passar.”

Considere uma grande plataforma de transporte por aplicativo com dezenas ou centenas de milhares de motoristas. Uma taxa de falsa rejeição que parece um erro de arredondamento coloca milhares de pessoas no telefone com sua central de atendimento. Parece um atrito com o qual se pode viver — mas esse atrito quase sempre cria mais atrito para o próprio negócio, e pode se agravar.

Portanto, o verdadeiro desempenho de um provedor de identidade é a taxa de falsa aprovação combinada com a taxa de conversão que ele pode garantir. Dois lados do mesmo número. Teste ambos.

Quatro perguntas que eu faria a um provedor de identidade

1. Como é a sua arquitetura?

Acreditamos que a confiança está na arquitetura. Alguns provedores agregam: eles não constroem a tecnologia, mas integram e escolhem a dedo de terceiros, dependendo da geografia e do caso de uso. Outros são mais integrados verticalmente e possuem mais do stack.

Mesmo um provedor verticalmente integrado precisa se conectar a terceiros: carteiras e esquemas de identidade digital, por exemplo, não são coisas que você mesmo constrói. Na Veriff , nós nos integramos a eles. Mas há uma mentalidade muito diferente entre trazer pontos de dados para seu plano de verificação e se tornar mais inteligente com isso, e enviar a face biométrica do seu cliente para um terceiro sobre o qual você tem algum controle, mas não muito.

Pergunte quanto controle seu provedor tem sobre o fluxo completo e para onde seus dados vão em cada etapa.

2. Como vocês aprendem e a partir de quais dados?

A qualidade da detecção depende da rapidez com que você aprende, e isso depende dos dados. Qualidade em primeiro lugar e quantidade, como sempre com o machine learning moderno – mas o que você realmente quer é cobertura. Uma ampla distribuição.

Os fraudadores não são apenas inovadores, eles são extremamente colaborativos. Existem plataformas de Fraud-as-a-Service onde você pode criar uma conta e aprender a burlar as verificações em plataformas específicas. Quando você usa uma plataforma de verificação compartilhada, começa a jogar o mesmo jogo: quanto mais setores na mesma plataforma, mais rápido aprendemos e mais rápido esses aprendizados se propagam entre setores e clientes.

3. Vocês oferecem suporte à expansão global ou apenas operam globalmente?

Essa é uma diferença crucial. Provedores locais podem oferecer maior precisão em seu próprio mercado. Mas unir muitos deles deixa você com duas opções ruins: simplificar tudo a uma abstração para que você possa comparar o desempenho de forma justa, ou obter o máximo de cada player local e viver em um inferno de integração e fornecedores.

Pior, isso torna seu próprio desempenho desconhecido. A coisa mais difícil neste negócio, e as pessoas nem sempre percebem, é conhecer seu próprio desempenho. Com dois provedores em duas geografias, você nunca pode compará-los, então nunca pode dizer qual deles está te decepcionando.

E a cobertura global não é opcional, mesmo para empresas de um único mercado. Você pode operar apenas nos EUA, mas as pessoas que fazem o onboarding possuem documentos de todos os lugares.

3. Como vocês lidarão com documentos enquanto todo o resto se fragmenta?

Há uma fragmentação dos meios de identificação em andamento: ID digital, registros biométricos e documentos, todos coexistindo. A fraude sempre segue o caminho de menor resistência, e os documentos continuam sendo o espaço onde a maior criatividade é aplicada para adulteração e fabricação.

Continuaremos verificando documentos por um bom tempo, até que o mundo se decida por um conjunto de identidades digitais que funcione para todos. Isso significa que a fraude continuará se concentrando nesse vetor, e significa que a visão computacional e a detecção de deepfake no próprio documento ainda carregam grande parte do trabalho.

O modelo “verificar uma vez, operar em todos os lugares” será universal algum dia?

Honestamente? Este é o santo graal, e não sei se isso pode ser alcançado. Deixe-me analisar as três rotas óbvias, uma por uma.

Padrões interoperáveis. A Europa está trabalhando no eIDAS 2, o que sugere que a primeira versão não atendeu totalmente aos requisitos, e não seria loucura imaginar um eIDAS 3. Nos EUA, onde se esperaria interoperabilidade dentro de um único país, a explosão de padrões em nível estadual é notável. Então, eu não apostaria na interoperabilidade.

Uma carteira universal. Nem todos nós usamos o mesmo telefone. Nem todos nós usaremos a mesma carteira.

Identidades reutilizáveis geradas por empresas que já verificam em escala. Tecnicamente plausível. O obstáculo é que, mesmo dentro de uma indústria, as empresas têm requisitos de confiança muito diferentes — e a verificação de identidade é apenas uma fatia de uma avaliação de confiança muito maior que inclui triagem de PPE e sanções, mídia adversa e verificações de PLD. O que uma empresa considera uma verificação reutilizável, outra não considerará.

Se eu for honesto, quanto mais esquemas de identidade digital são operados no mundo, mais fragmentação vemos no momento.

Eu acho que um meio-termo está chegando: o eIDAS pode nos dar o suficiente para trabalhar na Europa, e alguns esquemas baseados em token podem carregar uma definição de confiança suficiente para que as empresas se alinhem. Mas está longe de ser claro como vamos resolver isso. O que significa que a medida prática hoje é construir o registro de identidade unificado dentro do seu próprio sistema e rede de parceiros, em vez de esperar que a indústria convirja.

A stack de compliance, em um só lugar

Nada disso remove as obrigações. Apenas muda a forma como você as cumpre.

• Os programas de identificação de clientes dão a uma empresa uma crença razoável de que sabe quem é seu cliente. Nos EUA, eles derivam da Seção 326 do USA PATRIOT Act, implementados através das regulamentações da Lei de Sigilo Bancário: um programa escrito, quatro pontos de dados de identificação para cada cliente individual (nome, data de nascimento, endereço, número de identificação), procedimentos de verificação baseados em risco, manutenção de registros, procedimentos para comparar clientes com qualquer lista governamental designada e avisos ao cliente.
• A devida diligência do cliente avalia o risco do relacionamento usando o cliente, listas de sanções e fontes de dados públicas e privadas — em nível simplificado, padrão ou aprimorado. Corresponder esse nível ao cliente é a versão de compliance da modulação de atrito.
• O monitoramento contínuo mantém contas, transações e perfis de risco sob revisão em tempo real. É isso que permite manter a porta de entrada leve, porque a análise pode ser aplicada mais tarde e com precisão.
• O KYB aplica a mesma disciplina a contas corporativas: dados vitais da empresa, estrutura de propriedade, beneficiários finais e, em seguida, verificações de PLD/pt-br/kyc sobre esses proprietários.
• O eKYC e o KYC móvel são como tudo o que foi mencionado acima é entregue agora; digitalmente, no fluxo, com sinais móveis adicionando uma camada de autenticação em vez de uma camada de atrito.

Duas coisas para se lembrar

Tenha clareza sobre o nível de risco que você está enfrentando e certifique-se de que o nível de atrito corresponda à situação. Tudo se resume à modulação do atrito.

E se o objetivo é a confiança como uma alavanca de crescimento, entenda o que sustenta essa confiança; especificamente a arquitetura e o fluxo de dados que permitem que você tome uma decisão confiante. Essa é a parte que é fácil de pular e cara de errar.

Na Veriff, esse é o princípio sobre o qual construímos: tecnologia desenvolvida e de propriedade interna, da biometria ao OCR, o que elimina a necessidade de caixas-pretas de terceiros em seu fluxo de verificação. Mais de 12.500 espécimes de documentos em mais de 230 países e territórios, uma decisão média em 6 segundos e um parceiro responsável por toda a stack.

Se você quiser ver como isso funciona em seu funil, agende uma demonstração.