Última atualização: outubro de 2026

A verificação de documentos e a verificação de base de dados respondem a duas perguntas diferentes sobre um candidato. A verificação de documentos confirma se um documento de identidade parece autêntico e pertence à pessoa que o apresenta. Já a verificação de base de dados confirma se o nome, a data de nascimento, o endereço e o número de identificação inseridos pelo candidato existem e coincidem com registos fiáveis. Nenhum dos métodos substitui o outro, por isso, um banco, instituição de crédito ou fintech precisa de decidir quando basta um ou quando são necessários ambos.

Este guia explica como funciona cada método, o que cada um comprova ou não, onde podem falhar, o que a regra do Programa de Identificação de Clientes (CIP) bancário diz sobre eles e como escolher entre ambos.

Resumo rápido

• A verificação de documentos comprova que uma identificação parece autêntica e corresponde ao seu titular. No entanto, não prova que a identidade associada a essa identificação tenha qualquer histórico.

• A verificação de base de dados comprova que os dados de uma identidade existem e coincidem com registos, como os ficheiros de uma agência de crédito. No entanto, não prova que o candidato seja a pessoa descrita nesses registos.

• As verificações de documentos falham perante falsificações bem feitas e documentos ou selfies gerados por IA. As verificações de base de dados falham com registos desatualizados e identidades sintéticas criadas especificamente para coincidir com os dados.

• A regra CIP, 31 CFR 1020.220, permite que um banco verifique a identidade através de documentos, métodos não documentais ou ambos, de acordo com os procedimentos baseados no risco que tiver definido.

• A maioria dos programas utiliza a correspondência de dados para candidatos de menor risco, solicita um documento quando os dados não são conclusivos ou quando o risco é mais elevado, e combina ambos com sinais comportamentais e do dispositivo nos casos em que o risco é máximo.

• Nenhum dos métodos determina a intenção. Uma identidade verificada pode, ainda assim, pertencer a um burlão.

A resposta curta

A verificação de documentos comprova que um documento de identidade é autêntico e pertence à pessoa que o apresenta. A verificação de base de dados comprova que os dados de identidade fornecidos por um candidato existem e coincidem com registos fiáveis. O primeiro método valida o documento e o seu titular; o segundo valida os dados.

Nenhum dos métodos comprova as duas coisas ao mesmo tempo, nem comprova a intenção. Uma verificação de identidade apenas confirma que a identidade declarada existe e coincide com os seus documentos num determinado momento. Não garante as boas intenções do candidato, nem garante que a identidade não tenha sido montada especificamente para passar na verificação.

A regra CIP bancária trata os dois métodos de verificação como processos distintos. Segundo a norma 31 CFR 1020.220(a)(2)(ii), os procedimentos de um banco devem descrever quando serão utilizados documentos, métodos não documentais ou uma combinação de ambos. É por isso que os programas de identidade são baseados no risco: um método para determinados candidatos, outro método para outros e ambos para os casos de maior risco.

Como funciona a verificação de documentos

A verificação de documentos, por vezes chamada verificação de documento de identificação, é o processo de verificação de um documento de identidade emitido pelo governo, confirmando que a pessoa que o apresenta é o seu legítimo titular. A maioria dos softwares de verificação remota de documentos executa quatro etapas consecutivas.

1. Captura. O candidato fotografa ou digitaliza a frente e o verso de uma carta de condução, passaporte ou cartão de cidadão. O software verifica primeiro a qualidade da imagem, pois reflexos, focar incorretamente ou margens cortadas tornam qualquer verificação posterior pouco fiável.

2. Verificações de autenticidade. O software compara o documento com o esquema conhecido para aquele tipo de documento e analisa os seus elementos de segurança, tais como tipos de letra, hologramas, microimpressão e a disposição de cada campo, procurando sinais de adulteração ou de um modelo que não coincida.

3. Extração e consistência de dados. O reconhecimento ótico de caracteres lê os campos impressos e, caso o documento possua uma zona de leitura ótica ou código de barras, o software também os lê. As duas leituras devem coincidir entre si, com as próprias regras do documento (por exemplo, uma data de validade futura) e com o que o candidato digitou.

4. Correspondência do titular. O candidato tira uma selfie em tempo real e uma validação facial compara-a com a fotografia do documento. Uma verificação de vivacidade avalia se a selfie veio de uma pessoa real em frente à câmara, e não de uma fotografia, de um ecrã ou de uma transmissão de vídeo injetada.

O Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) descreve a comprovação de identidade em etapas semelhantes no documento NIST SP 800-63A-4, publicado na versão final em julho de 2025. Nesse enquadramento, a verificação de documentos abrange duas delas: a validação da prova (se o documento é autêntico, exato e atual) e a verificação do candidato (se esta pessoa é aquela que a prova descreve). As diretrizes do NIST são escritas para agências federais; servem como uma referência amplamente utilizada, não como uma regra obrigatória para os bancos.

Como funciona a verificação de base de dados

A verificação de base de dados é o processo de correspondência dos dados de identidade inseridos por um candidato com registos independentes. Também é designada por verificação baseada em dados ou não documental e, quando é executada através de uma API na abertura de conta, é frequentemente chamada verificação eletrónica de identidade.

O candidato insere o nome, data de nascimento, endereço e um número de identificação (geralmente o Número de Segurança Social nos Estados Unidos). O serviço de verificação compara esses dados com fontes como ficheiros de agências de crédito, registos públicos e outros dados comerciais, devolvendo se cada elemento coincide, coincide parcialmente ou não coincide. Não é necessário fotografar nada e o candidato não precisa de ter um documento em mãos.

Um diretor de conformidade de um banco descreveu o padrão habitual: verificar primeiro o candidato numa agência de crédito, exigir que o nome, a data de nascimento e o endereço inseridos coincidam com o ficheiro da agência e, caso não coincidam, direcionar o candidato para outro método, que costuma ser a apresentação de um documento.

As fontes governamentais também fazem parte deste cenário. O serviço de Verificação eletrónica de SSN com base em consentimento (eCBSV) da Segurança Social americana permite que as instituições financeiras autorizadas e os seus prestadores de serviços verifiquem, com o consentimento por escrito do titular, se o número de Segurança Social, o nome e a data de nascimento coincidem com os registos da Segurança Social. O serviço devolve um sim ou não, identifica qual o elemento que não coincide e sinaliza se existir um registo de óbito.

Tal como qualquer verificação de base de dados, o eCBSV confirma que os elementos coincidem. No entanto, não confirma se o candidato é de facto o titular desses dados.

Nos termos do NIST SP 800-63A-4, a verificação de base de dados é uma validação de atributos: confirmar se os atributos essenciais que uma pessoa declara são validados por fontes fidedignas ou credíveis.

O que cada método comprova e o que não comprova

A verificação de base de dados comprova que os dados de uma identidade existem e coincidem entre si em registos de confiança. Não prova que a pessoa que os está a digitar seja a pessoa descrita. Qualquer pessoa que tenha o nome, a data de nascimento, o endereço e o número de Segurança Social de uma pessoa real pode passar numa correspondência de base de dados dessa identidade.

A verificação de documentos comprova que uma identificação parece autêntica e, com a validação facial, que a pessoa que a apresenta se assemelha à fotografia. Não prova que a identidade no documento tenha um historial de crédito, um registo de morada ou qualquer existência fora do documento. Uma falsificação bem feita de uma pessoa fictícia pode passar nas verificações de documentos sem ter correspondência em lado nenhum.

Os dois métodos complementam-se porque cada um cobre o ponto cego do outro. Uma correspondência de base de dados sem um documento deixa em aberto a questão de quem está a fazer o pedido. Um documento sem uma correspondência de base de dados deixa em aberto se a identidade é real.

Nenhum dos métodos determina a intenção. Um candidato que passa em ambas as verificações demonstrou apenas que uma identidade com aspeto real e um documento com aspeto real coincidem. O candidato não demonstrou que pretende utilizar a conta de forma honesta, razão pela qual as decisões de abertura de conta também se baseiam em sinais do dispositivo, de comportamento e do próprio preenchimento da proposta.

Onde falha a verificação de documentos

A verificação de documentos falha quando uma falsificação é suficientemente boa para passar nas verificações. As validações de autenticidade baseadas em modelos comparam um documento com a estrutura conhecida para o seu tipo, e uma falsificação bem concebida com a estrutura correta pode superá-las. O responsável pela estratégia de fraude de consumo numa empresa de telecomunicações explicou da seguinte forma: "A nossa solução atual de verificação de identidade vai ficar obsoleta porque se baseia em modelos, e estamos a ver cada vez mais casos em que os agentes maliciosos conseguem criar identificações falsas que passam nestas verificações baseadas em modelos." O mesmo responsável referiu ver a mesma face em várias identificações diferentes, um padrão que nenhuma verificação de documento isolada consegue detetar, porque cada documento é aprovado individualmente.

A IA generativa tornou as falsificações realistas muito baratas. O diretor executivo de uma instituição de crédito descreveu um caso recente: "Outra situação que surgiu esta manhã foi uma carta de condução gerada por IA que nos foi enviada como comprovativo, e os nossos olhos humanos detetaram-na, mas a nossa tecnologia precisa de conseguir apanhar isto por si própria." Um gestor de políticas de risco numa instituição financeira digital foi ainda mais direto, descrevendo uma IA capaz de imitar documentos com tanta precisão que um revisor humano não consegue distinguir o falso do original.

A etapa da selfie também é alvo de ataques. Um líder da equipa de KYC numa empresa de software de gestão imobiliária afirmou: "Também já tivemos pessoas a enviar-nos uma selfie a segurar o documento de identidade em que toda a imagem era completamente falsa, gerada por IA." As verificações de vivacidade, os ataques de injeção e as deepfakes são um tema à parte; o nosso guia sobre as melhores ferramentas de deteção de deepfakes explica como funcionam estas validações e como avaliá-las.

Os documentos solicitados como verificação adicional (step-up) também são um alvo. Um gestor de análise e estratégia de fraude num banco digital descreveu candidatos que, quando lhes é pedida uma carta de condução ou um extrato de conta, falsificam o documento e enviam-no de volta. O alerta da FinCEN de novembro de 2024 sobre meios digitais falsos por deepfakes, FIN-2024-Alert004, aponta como sinais de alerta os documentos de identidade que não são consistentes entre si ou uma fotografia que não coincide com as restantes informações de identificação do candidato.

Onde falha a verificação de base de dados

A verificação de base de dados falha com candidatos legítimos quando os registos estão desatualizados. Os ficheiros das agências de crédito contêm a última morada que a pessoa forneceu a uma instituição financeira, que não é necessariamente a morada onde reside atualmente. O diretor de conformidade mencionado anteriormente resumiu o problema: "Não conheço ninguém que ligue para a agência de crédito para dizer 'atualizem as minhas informações'." Pessoas que se mudaram recentemente ou que têm pouco historial de crédito falham a correspondência por motivos que nada têm a ver com fraude, e cada falha encaminha um candidato legítimo para um processo mais lento.

A verificação de base de dados também aprova identidades que foram criadas propositadamente para passar no teste. A Reserva Federal define a fraude de identidade sintética da seguinte forma: "A fraude de identidade sintética (SIF) consiste na utilização de uma combinação de informações de identificação pessoal (PII) para fabricar uma pessoa ou entidade, com o objetivo de cometer um ato desonesto para obter ganhos pessoais ou financeiros." O Federal Reserve Bank de Boston descreveu como estas identidades são montadas a partir de fragmentos de informações de diferentes pessoas reais, tais como o número de conta de uma pessoa, o número da carta de condução de outra e o número de Segurança Social de uma criança. Como cada fragmento é real, a consulta individual pode retornar como confirmada. O nosso guia sobre deteção de identidades sintéticas aborda os sinais para as identificar.

Uma pesquisa baseada num único identificador também pode deixar passar uma duplicada aproximada. Um VP de risco e conformidade numa cooperativa de crédito descreveu dois registos com o mesmo nome e data de nascimento, mas com números de Segurança Social diferentes, tendo um deles sido apresentado com um documento de identificação falso muito semelhante ao real. O documento parecia correto e uma pesquisa pelo número de Segurança Social não teria ligado os dois registos. A equipa só detetou a situação porque um colaborador decidiu pesquisar pelo nome exato.

O que diz a regra CIP sobre verificação de documentos e de dados

A regra do Programa de Identificação de Clientes (CIP) bancário, 31 CFR 1020.220, exige que um banco obtenha, no mínimo e antes de abrir uma conta, o nome do cliente, a data de nascimento (para pessoas singulares), o endereço e um número de identificação. Nos termos da norma 1020.220(a)(2), o programa deve incluir "procedimentos baseados no risco para verificar a identidade de cada cliente" que sejam suficientes para permitir ao banco "formar uma convicção razoável de que conhece a verdadeira identidade" do cliente.

A regra menciona ambos os métodos. A secção 1020.220(a)(2)(ii) exige que os procedimentos descrevam quando o banco utilizará documentos, métodos não documentais ou uma combinação de ambos.

• Métodos documentais, 1020.220(a)(2)(ii)(A). Para uma pessoa singular, a alínea (A)(1) indica como exemplos uma identificação válida emitida pelo governo que comprove a nacionalidade ou residência e contenha uma fotografia ou proteção semelhante, como uma carta de condução ou passaporte.

• Métodos não documentais, 1020.220(a)(2)(ii)(B). A alínea (B)(1) indica como exemplos contactar o cliente; verificar de forma independente a identidade comparando as informações com uma agência de informação de crédito, base de dados pública ou outra fonte; confirmar referências com outras instituições financeiras; e obter uma demonstração financeira.

A regra não diz que os métodos não documentais devem ser utilizados para todos os clientes. Segundo a norma 1020.220(a)(2)(ii)(B)(2), os procedimentos não documentais "devem abordar" cinco situações: uma pessoa singular que não possa apresentar um documento de identificação válido com fotografia emitido pelo governo; documentos com os quais o banco não esteja familiarizado; uma conta aberta sem a obtenção de documentos; um cliente que abra a conta sem comparecer pessoalmente; e outras circunstâncias que aumentem o risco de o banco não conseguir verificar a identidade através de documentos. A abertura remota de contas enquadra-se perfeitamente nesta lista.

Os supervisores interpretam a regra da mesma forma. A secção do Programa de Identificação de Clientes do Manual de Exame FFIEC BSA/AML descreve a verificação através de documentos e a verificação através de métodos não documentais, estipulando que um banco que utilize métodos não documentais deve ter procedimentos definidos para os mesmos.

Quando usar qual, e quando usar ambos

O método adequado depende do risco do candidato e do resultado da primeira verificação. A regra CIP deixa a escolha ao critério dos procedimentos baseados no risco do próprio banco, e a maioria dos programas adota três níveis.

• Apenas correspondência de dados para candidatos de menor risco, cujos dados coincidem de forma clara com os registos de confiança. Este é o passo mais simples para um candidato legítimo e aquele por onde a maioria das aberturas de conta remotas começa.

• Um documento quando os dados não coincidem ou o risco é maior. Uma correspondência parcial, um historial de dados escasso, uma morada que não coincide ou um produto de maior risco exigem provas que a base de dados não consegue fornecer. Trata-se do padrão "primeiro a agência de crédito, o documento como recurso secundário" descrito pelo diretor de conformidade.

• Ambos, acrescidos de outros sinais, onde o risco é máximo. Para contas de elevado valor ou de alto risco, a utilização conjunta de um documento e de uma correspondência de base de dados, combinada com inteligência do dispositivo, sinais de comportamento e validações em outras aplicações, fecha mais lacunas do que qualquer um dos métodos isoladamente. As verificações cruzadas entre aplicações são as que detetam a mesma face em várias identificações ou os mesmos dados associados a vários candidatos.

O canal de atendimento também altera a abordagem padrão. Numa agência física, os colaboradores podem analisar o documento pessoalmente. Um VP de risco e conformidade numa cooperativa de crédito explicou que a equipa de atendimento analisa o documento esperando que pareça correto e, em seguida, extrai um relatório de verificação da base de dados. A abertura remota elimina a inspeção presencial, o que é uma das situações que os procedimentos não documentais da regra devem contemplar.

A ordem de execução das verificações e o momento de transição de um nível para o seguinte constituem, por si só, uma decisão de planeamento do processo. O nosso guia sobre como construir um programa de conformidade KYC aborda o programa CIP de forma global e como estruturar a sequência das verificações, e o nosso guia sobre deteção de fraudes no KYC aborda os sinais de fraude associados. A escolha de um fornecedor de verificação de identidade para executar as verificações de documentos e dados é uma avaliação independente, com os seus próprios critérios.

Verificação de documentos vs. verificação de base de dados num relance

A tabela resume a compensação: cada método comprova o que o outro não consegue e cada um falha onde o outro é forte.

Onde a Oscilar se enquadra

A Oscilar comercializa uma plataforma de integração e risco, atuando como a camada de decisão e articulação em torno das verificações de documentos e bases de dados, e não como fornecedora de um dos métodos. A Oscilar não realiza verificação de documentos, testes de vivacidade ou verificações de números de Segurança Social por si própria. Ela faz a ligação com os fornecedores externos de dados e de verificação de identidade que o banco ou fintech escolher, e decide o que fazer com os resultados.

A página de integração de clientes da Oscilar descreve este papel nas suas próprias palavras: "Articule verificações KYC e verificações de identidade avançadas para uma verdadeira visão de 360° de cada candidato." Os processos de integração adaptam-se ao perfil de risco de cada candidato e disponibilizam "Verificações Adicionais: Ative uma diligência devida avançada e etapas de verificação extra quando necessário." É assim que os níveis descritos acima funcionam na prática: primeiro uma correspondência de dados, depois um pedido de documento quando os dados não são conclusivos ou o risco aumenta, combinando os resultados com outros sinais antes de tomar uma decisão.

Estes outros sinais são importantes porque nenhum dos métodos de verificação determina a intenção. A mesma página descreve como as equipas conseguem "Aproveitar sinais avançados, tais como inteligência do dispositivo, biometria comportamental e enriquecimento de dados" juntamente com os resultados da verificação. A Oscilar disponibiliza um registo completo de auditoria por decisão com fundamentação armazenada e intervenção humana integrada no processo. A Oscilar possui monitorização automática de modelos que abrange desvios de dados, desvios de variáveis e desvios de conceito, além de indicadores de desempenho (KPIs) de resultados medidos por segmento, estando a plataforma especificada para decisões em menos de 100ms.

Perguntas frequentes

O que é a verificação de documentos?

A verificação de documentos é o processo de confirmar se um documento de identidade emitido pelo governo, como uma carta de condução ou passaporte, é autêntico e pertence à pessoa que o apresenta. O software de verificação de documentos capta uma imagem do documento, analisa os seus elementos de segurança e estrutura, extrai e cruza os dados e, habitualmente, compara a fotografia do documento com uma selfie tirada no momento.

O que é a verificação de base de dados?

A verificação de base de dados é o processo de fazer coincidir os dados de identidade fornecidos por um candidato — tipicamente nome, data de nascimento, endereço e um número de identificação — com registos independentes, tais como ficheiros de agências de crédito e registos públicos. A verificação de base de dados confirma que os dados existem e são consistentes entre si. No entanto, não confirma se o candidato é de facto o titular desses dados.

A regra CIP exige a apresentação de um documento?

Não. A regra CIP bancária, 31 CFR 1020.220(a)(2)(ii), permite que um banco verifique a identidade através de documentos, de métodos não documentais ou de uma combinação de ambos, conforme descrito nos seus procedimentos baseados no risco. Os procedimentos não documentais do banco devem prever situações como as de clientes que não conseguem apresentar um documento de identificação válido com fotografia emitido pelo governo ou que abrem uma conta sem estarem presentes pessoalmente.

Uma identidade sintética consegue passar na verificação de base de dados?

Sim. Uma identidade sintética combina fragmentos de informações pessoais, muitas vezes incluindo dados reais, para fabricar uma pessoa fictícia, pelo que uma consulta de base de dados sobre esses fragmentos pode retornar uma correspondência positiva. Detetar identidades sintéticas exige sinais que vão além da simples correspondência, tais como a forma como os registos da identidade foram criados e se os seus dados aparecem noutras candidaturas.

A verificação eletrónica de identidade é o mesmo que a verificação de base de dados?

Na sua maioria, sim. A verificação eletrónica de identidade costuma referir-se à validação dos dados de um candidato através de uma consulta online em bases de dados, o que constitui uma verificação de base de dados. Alguns fornecedores também utilizam o termo para verificações remotas de documentos e selfies, por isso convém confirmar quais as verificações que um determinado serviço de verificação eletrónica realiza.

A verificação de documentos e a verificação de base de dados funcionam melhor em conjunto. A verificação de base de dados demonstra que os dados de uma identidade são reais e consistentes; a verificação de documentos demonstra que a identificação é autêntica e está nas mãos certas. Um processo baseado no risco utiliza a correspondência de dados sempre que esta for suficiente, solicita um documento quando não for e decide com base em ambos e em sinais que nenhuma verificação isolada consegue detetar. Para ver estas verificações a funcionar num único fluxo de integração, saiba como a Oscilar articula as verificações de identidade na integração de clientes.