KYC: Un Anàlisi Complet del Procés, Requisits i APIs (CA)

KYC, o Know Your Customer (Coneix al teu Client), és el procés que una organització utilitza per establir qui és un client, avaluar el risc de la relació i mantenir aquesta comprensió actualitzada. En sectors regulats, el KYC operacionalitza la diligència deguda del client: connecta proves d'identitat, verificació, avaluació de riscos, cribratge, decisions, registres i revisió contínua.

El KYC no és sinònim d'un escaneig de documents. Una verificació de documents pot validar una prova, mentre que un programa KYC complet decideix quines proves són suficients, com es gestionen els casos de major risc, quan s'ha de revisar un client de nou i com es pot explicar cada decisió posteriorment.

Aspectes clau

• El KYC és un cicle de vida, no una única verificació. Comença abans o durant l'onboarding i continua quan canvien les dades d'identitat, l'exposició a sancions, la propietat o el comportament.
• eKYC és l'entrega digital del KYC. Pot utilitzar documents, bases de dades autoritzades, dades biomètriques, NFC i altres proves remotes, però no elimina l'obligació de compliment subjacent.
• KYC i AML estan relacionats, però són diferents. El KYC identifica i avalua el client; l'AML és el marc de control més ampli que també pot incloure la monitorització de transaccions, investigacions, informes i governança.
• El risc determina la profunditat. Els sol·licitants de menor risc poden seguir un camí més senzill, mentre que les relacions de major risc poden requerir una diligència deguda millorada i una revisió humana.
• Una API de KYC és només una part del model operatiu. Els equips també necessiten política, orquestració, gestió d'excepcions, registres d'auditoria, controls de privadesa i monitorització.

Què significa KYC?

KYC significa saber prou sobre un client per prendre i mantenir una decisió defensable sobre la relació. Les obligacions legals exactes varien segons la jurisdicció, el sector, el producte, el tipus de client i el nivell de risc. El patró operatiu comú és identificar el client, verificar proves fiables, comprendre el propòsit i la naturalesa esperada de la relació, avaluar el risc i monitoritzar els canvis materials.

La guia del Grup d'Acció Financera Internacional (GAFI) sobre identitat digital tracta els sistemes d'identitat digital com una manera de donar suport a la identificació i verificació del client. No converteix un resultat tecnològic en compliment automàtic: l'organització regulada segueix sent responsable de jutjar si el sistema, el nivell de garantia i els controls són adequats per al risc.

Sovint s'utilitza el KYC de manera informal com a abreviatura de verificació d'identitat. Aquesta abreviatura és útil en converses de producte, però incompleta en un programa de compliment. La verificació d'identitat respon si la persona que presenta proves està vinculada a la identitat declarada. El KYC també pregunta si la relació s'entén, si el risc és acceptable i si el perfil del client es manté actualitzat.

Comparació entre KYC, eKYC, CDD, AML, CIP i KYB

Terme	Significat pràctic	Abast típic	Error comú
KYC	Conèixer i avaluar un client individual	Identitat, risc, cribratge, decisions, registres, revisió	Tractar-lo com una càrrega de document única
eKYC	KYC completat a través de canals digitals	Captura de proves remota, validació, biometria, verificacions de bases de dades	Assumir que "electrònic" significa menor garantia
CDD	Diligència deguda del client	Identitat, beneficiari final si és rellevant, propòsit, risc, monitorització	Reduir la CDD al cribratge de sancions
EDD	Diligència deguda millorada per a casos de major risc	Més proves, verificacions de fons o riquesa, aprovacions, monitorització més estreta	Aplicar el mateix flux de treball a cada nivell de risc
AML	Marc de control contra el blanqueig de capitals	KYC, cribratge, monitorització de transaccions, investigacions, informes	Utilitzar KYC i AML com a termes intercanviables
CIP	Requisits d'identificació del client, especialment en l'ús als EUA	Recollida i verificació d'informació d'identificació	Assumir que les regles CIP d'un país són universals
KYB	Know Your Business (Coneix la teva Empresa)	Estat de l'entitat, propietat, controladors, activitat comercial, persones vinculades	Verificar l'empresa però no els seus beneficiaris finals

Aquests termes se superposen perquè descriuen diferents capes del mateix problema operatiu. El KYC se centra en el client. La CDD és el procés legal i operatiu basat en el risc. L'AML és el marc més ampli de lluita contra el crim financer. L'eKYC descriu el canal. El KYB aplica un raonament similar a una entitat legal i la seva propietat.

Com funciona el procés KYC?

Els fluxos de KYC més robustos separen la política de les proves. La política defineix què s'ha de demostrar i què passa a cada nivell de risc. Les proves i les verificacions tècniques donen suport a aquesta política.

1. Establir la política i el disparador

Comenceu amb el motiu de la verificació. L'obertura d'un compte, una transacció regulada, un pagament, la recuperació d'un compte, un augment de límit o un canvi material de perfil poden requerir diferents garanties. Definiu les jurisdiccions, els tipus de clients, les proves acceptades, les relacions prohibides, les regles d'escalada, els períodes de retenció i els propietaris abans de triar els camps de l'API.

2. Recollir informació d'identificació

Recolliu només els atributs necessaris per al propòsit i l'obligació aplicable. Els camps comuns inclouen el nom legal, la data de naixement, l'adreça de residència, la nacionalitat i un identificador governamental. Els clients empresarials requereixen dades de l'entitat i informació de propietat en el seu lloc.

La minimització de dades és important aquí. Recollir més dades no crea automàticament més garantia; pot crear riscos de privadesa, seguretat i operatius si la informació no té un ús definit.

3. Resoldre la identitat declarada

La resolució d'identitat determina si els atributs subministrats apunten a una persona real i diferent en la població rellevant. Les proves poden ser un document emès pel govern, una credencial digital, un registre de base de dades autoritzada o una combinació permesa.

El model de prova d'identitat actual del NIST separa la resolució, la validació i la verificació. Aquesta distinció és útil fora de l'ús governamental dels EUA perquè evita que els equips col·lapsin tres preguntes diferents en una sola puntuació.

4. Validar proves i atributs

La validació pregunta si les proves són autèntiques, precises i acceptables segons la política. Un flux de documents pot inspeccionar el format, la caducitat, els camps impresos i llegibles per màquina, les característiques de seguretat, la manipulació i les dades de l'emissor. Un flux de base de dades pot comparar els atributs enviats amb fonts autoritzades o creïbles.

La validació ha de retornar proves, advertències i codis de raó, no només "aprovat" o "suspès". Una zona llegible per màquina no coincident, un document caducat i un document no compatible són condicions operatives diferents i poden requerir accions diferents.

5. Verificar que el sol·licitant és el titular legítim

La verificació vincula la persona en el flux amb la identitat validada. En un flux de documents remot, això pot implicar la captura en viu, la detecció de vivacitat i una comparació facial un a un entre el sol·licitant i el retrat de les proves.

Aquestes verificacions responen a preguntes diferents:

• Validació de documents: són les proves genuïnes i acceptables?
• Coincidència facial: correspon la cara presentada al retrat de referència?
• Vivacitat: hi ha una persona viva present en la captura en lloc d'un artefacte de presentació?
• Integritat de la captura: els mitjans van arribar a través del sensor i el canal esperats en lloc de ser injectats?

Cap resposta única substitueix les altres.

6. Cribratge i avaluació del risc del client

L'avaluació de riscos combina els resultats d'identitat amb el propòsit de la relació, la geografia, l'exposició al producte, el tipus de client i altres factors de política. Quan es requereix, el cribratge pot incloure sancions, persones políticament exposades, mitjans adversos i altres fonts rellevants.

Una coincidència potencial no és necessàriament una coincidència confirmada. Els noms poden coincidir, les llistes poden ser incompletes i el context és important. Els bons fluxos de treball preserven els camps coincidents i les dades d'origen, apliquen llindars i encaminen els casos ambigus o de major risc a revisors formats.

7. Decidir, registrar i preservar proves

El resultat ha de correspondre a un estat explícit com ara aprovat, rebutjat, reintentar o revisió manual. Emmagatzemeu la versió de la política, les referències de les proves, les respostes del proveïdor, els codis de raó, les marques de temps, les accions del revisor i la justificació final necessària per a l'auditoria i l'apel·lació.

No deixeu que el navegador decideixi si es concedeix l'accés. El backend hauria de consumir un webhook signat o recuperar el resultat final de l'API, verificar l'autenticitat i la idempotència, i després actualitzar l'estat del client.

8. Monitoritzar i actualitzar

El KYC continua després de l'onboarding. L'actualització pot ser periòdica o basada en esdeveniments quan caduca un document, canvia la propietat, canvien les dades de sancions, el comportament divergeix del perfil esperat o es produeix una acció de major risc. La monitorització de transaccions i el cribratge AML continu són controls relacionats, però cap dels dos hauria de reescriure silenciosament el registre d'identitat original.

Què és eKYC?

eKYC és el KYC realitzat a través de canals electrònics. Substitueix o complementa la recollida presencial amb la captura de proves remota, credencials digitals, consultes a bases de dades autoritzades, verificació biomètrica, lectures de xips NFC o una combinació.

La pregunta d'avaluació no és "digital o manual?" És si les proves, el mètode de captura, els controls de frau i el procés d'excepció assoleixen la garantia requerida per al cas d'ús. Un flux remot ben dissenyat pot recollir proves sòlides i crear una traça d'auditoria detallada. Un flux mal dissenyat pot automatitzar verificacions febles a gran velocitat.

L'eKYC també canvia els modes de fallada. Els equips han de tenir en compte els mitjans manipulats, les càmeres virtuals, els emuladors de dispositius, les necessitats d'accessibilitat, la qualitat de la càmera, la pèrdua de xarxa, els intents repetits i els usuaris que no poden presentar les proves per defecte. La gestió d'excepcions forma part del control, no una reflexió posterior.

Com s'ajusten KYC i AML?

El KYC és un component dels controls AML. Crea la identitat del client i la imatge de risc inicial en què es basen els controls posteriors. L'AML també pot incloure el cribratge de sancions i PEP, el cribratge continu, la monitorització de transaccions, la investigació d'alertes, la notificació d'activitats sospitoses, el manteniment de registres, la formació, la governança i les proves independents.

La relació és més fàcil de veure com una línia de temps:

1. Abans de la relació: identificar, verificar, cribrar i classificar el risc del client.
2. Durant la relació: monitoritzar l'activitat i els canvis respecte al perfil esperat.
3. Quan el risc canvia: actualitzar les proves, aplicar una diligència deguda millorada, restringir l'activitat, investigar o informar segons calgui.
4. Al tancament: conservar els registres requerits i aplicar qualsevol restricció continuada.

Per això, una cerca de aml kyc no hauria de conduir a una pàgina que només discuteix la captura de documents. La decisió d'identitat proporciona context; els controls continus comproven si la realitat continua coincidint amb ella.

Què ha de proporcionar una API de KYC?

Una API de KYC hauria d'exposar un contracte estable per crear verificacions, rebre resultats i gestionar excepcions. La forma exacta del punt final importa menys que les garanties operatives al seu voltant.

Capacitats bàsiques de l'API

• Una referència de client o proveïdor que mapeja la verificació al vostre propi registre.
• Idempotència per a operacions de creació i reintent.
• Versionat explícit del flux de treball o de la política.
• Opcions de captura allotjades i incrustades quan sigui rellevant.
• Webhooks signats i reintentables amb estats d'esdeveniments documentats.
• Un punt final de recuperació perquè els consumidors puguin conciliar els esdeveniments perduts.
• Codis de raó estructurats, advertències i resultats a nivell de prova.
• Estats separats per a fallada tècnica, reintent de l'usuari, revisió, aprovació i rebuig.
• Dades de prova i escenaris de sandbox tant per a rutes d'èxit com de fallada.
• Documentació de retenció, supressió, residència i control d'accés.

Un patró d'integració mínim

El vostre backend
  -> crea una sessió de verificació amb una referència interna del client
  -> envia l'usuari al flux de captura aprovat
  -> rep un esdeveniment signat
  -> recupera la decisió final de l'API del proveïdor
  -> aplica la vostra pròpia política i transició d'estat del client
  -> registra les proves, la raó i la versió de la política

El resultat del proveïdor és una entrada a la vostra decisió. Mantenir el límit de la política al vostre backend permet canviar llindars, proveïdors o fluxos de treball sense perdre el control de l'estat del client.

Com han d'avaluar els equips un servei de KYC?

Adequació regulatòria i de garantia

Pregunteu quin model de prova d'identitat admet el servei, quines fortaleses de proves estan disponibles, quines jurisdiccions i tipus de clients estan coberts i quines proves independents s'apliquen a cada component. Una certificació per a un mecanisme biomètric no certifica el viatge complet d'onboarding.

Resistència al frau

Reviseu la cobertura d'atacs de documents, la detecció d'atacs de presentació, les defenses d'injecció, l'avaluació de la coincidència facial, els controls de dispositius o identitats repetides i les eines de revisió manual. Pregunteu pels protocols de prova, les classes d'atac, els resultats de falsa acceptació i fals rebuig, i com canvia el rendiment sota compressió, poca il·luminació, dispositius antics i atacs no vistos.

Qualitat de la cobertura

"Global" no és un pla de prova. Construïu una matriu dels països, tipus de documents, scripts, fonts de dades i poblacions de clients que realment ateneu. Executeu mostres similars a la producció i feu un seguiment de les taxes de finalització, rebuig, revisió i proves no compatibles per segment.

Qualitat de la decisió i operacions

Inspeccioneu els codis de raó, les vistes de proves, els permisos del revisor, els registres d'auditoria, les cues de casos, els controls de reintent i les apel·lacions. Una alta taxa d'automatització no és útil si els analistes no poden entendre les excepcions.

Fiabilitat del desenvolupador

Proveu la idempotència, l'entrega de webhooks, la verificació de signatures, l'ordenació, els reintents, els temps d'espera, el versionat de l'API, els límits de tarifa, la conciliació d'estats i la fidelitat del sandbox. Definiu què passa quan un usuari completa el flux però l'esdeveniment es retarda.

Privadesa i seguretat

Mapeu cada atribut recollit i artefacte biomètric a un propòsit, regla de retenció, política d'accés, regió i ruta de supressió. Reviseu els subprocessadors, el xifratge, la resposta a incidents, els registres d'accés i la capacitat de separar entorns i aplicacions.

Experiència de l'usuari i inclusió

Mesureu la finalització i el fals rebuig per document, dispositiu, sistema operatiu, xarxa, idioma i grup demogràfic rellevant. Proporcioneu instruccions de recuperació clares i un camí alternatiu per als usuaris que no poden completar el mètode per defecte.

Errors comuns en la implementació de KYC

Tractar el KYC com una porta única

Un resultat d'onboarding net pot caducar. Els documents caduquen, les llistes de vigilància canvien, els comptes són assumits i el comportament canvia. Definiu els disparadors d'actualització quan es redacta la política original.

Confondre la verificació amb l'acceptació de riscos

Una persona pot ser identificada correctament i, tot i així, presentar un risc inacceptable o elevat. Mantingueu la identitat, el cribratge, el risc del client i l'elegibilitat comercial com a decisions separades.

Rebutjar automàticament cada possible coincidència de cribratge

Els noms no són identificadors únics. Preserveu el context de la coincidència i reviseu els resultats ambigus en lloc de convertir cada coincidència candidata en una identitat confirmada.

Utilitzar un únic flux de treball per a cada client

Els fluxos uniformes poden sobrecarregar els usuaris de baix risc mentre subverifiquen els casos de major risc. Utilitzeu un enfocament basat en el risc documentat amb branques delimitades i criteris d'escalada clars.

Confiar en la redirecció del costat del client

Una pàgina d'èxit no és una decisió de confiança. Confirmeu el resultat des del servidor, autentiqueu els esdeveniments, recupereu el registre canònic i preneu la decisió d'accés al vostre propi sistema.

Mesurar només la taxa d'aprovació

Feu un seguiment dels resultats de seguretat i d'usuari junts: falses acceptacions, falsos rebutjos, reintents, abandonament, taxa de revisió manual, temps de resolució, proves no compatibles i frau posterior. Una taxa d'aprovació més alta pot ser una advertència si els controls es van debilitar.

Ignorar el camí d'excepció

Els usuaris reals tenen documents danyats, noms no coincidents, dispositius limitats, discapacitats i poca connectivitat. Definiu els reintents, les proves alternatives, la revisió manual, les apel·lacions i la titularitat del suport abans del llançament.

On encaixa Didit

Didit proporciona verificacions d'identitat i frau componibles que es poden acoblar en un flux de treball. El paquet KYC publicat és de 0,33 $ per a verificació d'identitat, vivacitat passiva, coincidència facial i anàlisi d'IP; el nivell gratuït publicat és de 500 verificacions gratuïtes al mes.

Per a la part d'identitat, consulteu la Verificació d'identitat. Per a les comprovacions de presència, consulteu la Detecció de vivacitat. Per al cribratge de riscos del client, consulteu el Cribratge AML. Els equips poden connectar les verificacions mitjançant l'Orquestrador de fluxos de treball i revisar les tarifes a nivell de mòdul a la pàgina de preus.

Aquests resultats del producte encara han d'estar dins de la pròpia política, anàlisi legal, procés de revisió i programa de monitorització de l'organització.

Preguntes freqüents

Què significa KYC?

KYC significa Know Your Customer (Coneix el teu client). És el procés d'identificar un client, verificar proves adequades, avaluar el risc de la relació i mantenir el perfil del client actualitzat.

L'eKYC és diferent del KYC?

eKYC és l'entrega electrònica del KYC mitjançant mètodes remots o digitals. L'objectiu segueix sent el mateix; les proves, el mètode de captura, les amenaces de frau i els camins de recuperació de l'usuari difereixen.

Quina diferència hi ha entre KYC i la verificació d'identitat?

La verificació d'identitat estableix un vincle entre una identitat declarada i el sol·licitant. El KYC utilitza aquest resultat juntament amb l'avaluació de riscos, el cribratge, la política, els registres i la revisió contínua.

Quina diferència hi ha entre KYC i AML?

El KYC és una part de l'AML centrada en el client. L'AML és més ampli i pot incloure la monitorització de transaccions, investigacions, informes d'activitats sospitoses, governança i controls continuats.

El KYC sempre requereix un document d'identitat?

No universalment. Les proves acceptades depenen de la llei, la política, la garantia, la jurisdicció i el risc. Alguns fluxos permesos poden utilitzar bases de dades autoritzades, credencials digitals o proves combinades. Els equips han de confirmar el requisit aplicable en lloc d'assumir que un mètode s'adapta a tots els casos.

Amb quina freqüència s'ha d'actualitzar el KYC?

No hi ha un interval universal. L'actualització hauria de seguir els requisits aplicables i un model de risc documentat, amb revisions basades en esdeveniments quan canvien senyals materials d'identitat, propietat, sancions, documents o comportament.

Pot una API de KYC fer que una empresa compleixi la normativa?

Cap API crea el compliment per si mateixa. Pot recollir proves i retornar resultats estructurats, mentre que l'organització segueix sent responsable de la política, les decisions de risc, les excepcions, la governança, els registres i la monitorització.

Referències principals

• Guia del GAFI sobre identitat digital
• Guia del GAFI sobre diligència deguda del client
• NIST SP 800-63A-4: Prova i registre d'identitat
• Explicació de la diligència deguda del client de HMRC

El KYC funciona quan les proves d'identitat, la política de riscos, els controls tècnics, el judici humà i la monitorització contínua estan d'acord. Construïu primer el cicle de vida; després trieu les verificacions i el contracte d'API que el puguin suportar.