Kepatuhan AML: KYC, CDD, Penyaringan, dan Pemantauan (ID)

AML dan KYC terhubung tetapi tidak dapat dipertukarkan. KYC, atau Kenali Pelanggan Anda, membangun dan mempertahankan pemahaman tentang siapa pelanggan dan risiko hubungan tersebut. AML, atau anti-pencucian uang, adalah kerangka kerja yang lebih luas untuk mencegah, mendeteksi, menyelidiki, dan melaporkan dugaan pencucian uang dan kejahatan keuangan terkait.

KYC menyediakan identitas, kepemilikan, tujuan, dan konteks risiko awal. Kontrol AML menggunakan konteks tersebut untuk sanksi dan penyaringan orang yang terpapar politik, tinjauan pelanggan berkelanjutan, pemantauan transaksi, investigasi peringatan, pelaporan, pencatatan, pelatihan, dan tata kelola. Pemeriksaan dokumen dapat mendukung KYC, tetapi baik KYC maupun AML tidak lengkap ketika dokumen tersebut disetujui.

Panduan ini adalah pendamping kepatuhan AML untuk panduan siklus hidup KYC yang lebih luas. Ini tidak mengulang cara menjalankan pembuktian identitas atau program KYC umum. Ini dimulai ketika identitas, kepemilikan, dan konteks pelanggan menjadi masukan untuk penyaringan, pemantauan, investigasi, pelaporan, dan tata kelola.

Poin-poin penting

• KYC adalah komponen AML. Ini mengidentifikasi dan menilai pelanggan; AML juga mengatur aktivitas berkelanjutan, investigasi, pelaporan, dan pengawasan program.
• CDD berbasis risiko dan berkelanjutan. Uji tuntas pelanggan mencakup identitas, kepemilikan bermanfaat, tujuan, risiko, dan pengawasan berkelanjutan—tidak hanya pembukaan akun.
• Penyaringan dan pemantauan transaksi menjawab pertanyaan yang berbeda. Penyaringan membandingkan orang atau entitas dengan data risiko eksternal; pemantauan transaksi mengevaluasi perilaku dan aktivitas.
• Potensi kecocokan bukanlah kecocokan yang dikonfirmasi. Nama dapat bertabrakan, sumber berubah, dan konteks penting; peninjauan dan resolusi yang didokumentasikan adalah bagian dari kontrol.
• Teknologi tidak memiliki akuntabilitas. Penyedia dapat mengumpulkan bukti, menilai kecocokan, dan menghasilkan peringatan, sementara organisasi yang diwajibkan tetap bertanggung jawab atas kebijakan, keputusan, catatan, dan pelaporan peraturan.

Apa perbedaan antara AML dan KYC?

KYC berfokus pada hubungan pelanggan. Ini bertanya:

• Siapa pelanggan itu?
• Siapa yang memiliki atau mengendalikan pelanggan bisnis?
• Mengapa hubungan ini dibangun?
• Aktivitas apa yang diharapkan?
• Risiko pelanggan apa yang ada?
• Kapan catatan harus diperbarui?

AML mencakup sistem kontrol yang lebih luas. Ini mengajukan pertanyaan KYC tersebut dan juga:

• Apakah pelanggan atau pihak terkait terpapar sanksi, pengaruh politik, atau risiko relevan lainnya?
• Apakah aktivitas aktual sesuai dengan profil pelanggan?
• Peringatan mana yang memerlukan investigasi?
• Kapan aktivitas harus dibatasi atau dilaporkan?
• Apakah catatan, tata kelola, pelatihan, dan pengawasan independen memadai?

Rekomendasi FATF, sebagaimana diamandemen Juni 2026, adalah standar internasional. Rekomendasi 10 menetapkan uji tuntas pelanggan, sementara rekomendasi terkait membahas pencatatan, orang yang terpapar politik, hubungan koresponden, teknologi baru, dan pelaporan transaksi yang mencurigakan. Yurisdiksi menerapkan standar ini secara berbeda, sehingga kerangka kerja global masih memerlukan analisis hukum khusus negara dan sektor.

Perbandingan KYC, CDD, EDD, penyaringan, dan pemantauan

Kontrol	Tujuan	Pemicu umum	Output utama
KYC	Mengenal dan menilai risiko pelanggan	Onboarding dan perubahan material	Identitas pelanggan dan catatan risiko
CDD	Menerapkan uji tuntas pelanggan	Hubungan, transaksi yang memenuhi syarat, kecurigaan, atau keraguan	Identitas, pemilik manfaat, tujuan, risiko, rencana berkelanjutan
EDD	Menerapkan uji tuntas yang ditingkatkan	Pelanggan, produk, geografi, kepemilikan, atau perilaku berisiko lebih tinggi	Bukti tambahan, persetujuan, analisis sumber, pemantauan lebih dekat
Penyaringan sanksi	Mengidentifikasi kemungkinan paparan sanksi keuangan yang ditargetkan	Onboarding, pembayaran, perubahan data, pembaruan daftar	Kandidat atau kecocokan yang diselesaikan
Penyaringan PEP	Mengidentifikasi orang yang terpapar politik dan risiko terkait	Onboarding dan penyaringan ulang	Hubungan PEP dan langkah-langkah peningkatan yang diperlukan
Penyaringan berkelanjutan	Mendeteksi perubahan dalam data risiko eksternal pelanggan	Pembaruan sumber atau penyaringan ulang terjadwal	Kecocokan kandidat baru atau berubah
Pemantauan transaksi	Mengidentifikasi aktivitas yang tidak konsisten dengan profil atau tipologi	Transaksi atau perilaku agregat	Peringatan dengan bukti dan konteks aturan/model
Investigasi dan pelaporan	Menyelesaikan peringatan dan memenuhi kewajiban pelaporan	Kecurigaan yang ditingkatkan	Keputusan kasus, pembatasan, laporan, atau alasan penutupan

CDD adalah jembatan. Ini menciptakan konteks pelanggan yang membuat sinyal selanjutnya dapat diinterpretasikan. Transfer besar dapat diharapkan untuk satu bisnis dan sangat tidak biasa untuk yang lain. Tanpa tujuan, kepemilikan, aktivitas yang diharapkan, dan risiko, pemantauan menjadi kumpulan ambang batas yang tidak terkontekstualisasi.

Siklus hidup AML dan KYC

1. Menilai risiko perusahaan dan produk

Sebelum menilai pelanggan individu, pahami paparan yang diciptakan oleh produk, saluran pengiriman, geografi, jenis pelanggan, fitur transaksi, dan model operasi. Panduan pendekatan berbasis risiko FATF menggambarkan proporsionalitas sebagai inti: identifikasi dan pahami risiko, lalu terapkan tindakan yang sesuai.

Penilaian ini harus memengaruhi informasi yang dikumpulkan, cakupan penyaringan, cabang alur kerja, otoritas persetujuan, aturan transaksi, frekuensi peninjauan, dan intensitas pemantauan.

2. Mengidentifikasi pelanggan dan pemilik manfaat

Kumpulkan informasi yang diperlukan untuk mengidentifikasi orang alami atau badan hukum. Untuk bisnis, identifikasi orang alami yang pada akhirnya memiliki atau mengendalikannya, pahami struktur kepemilikan dan kontrol, dan verifikasi orang yang relevan sesuai dengan persyaratan dan risiko yang berlaku.

Pendaftaran entitas saja tidak cukup. Perusahaan yang sah dapat dikendalikan oleh orang yang tersembunyi atau dilarang, sementara struktur yang kompleks mungkin sah tetapi memerlukan lebih banyak bukti untuk dipahami.

3. Memverifikasi identitas menggunakan bukti yang dapat diandalkan

Validasi dokumen, data, kredensial digital, sumber otoritatif, atau kombinasi yang diizinkan. Hubungkan pelamar atau perwakilan dengan identitas yang diklaim. Jaga keaslian bukti, keterkaitan pemegang, dan kelayakan pelanggan sebagai keputusan yang berbeda.

Panduan identitas digital FATF meminta entitas yang diatur untuk memahami jaminan sistem identitas digital dan menentukan apakah itu cukup dapat diandalkan dan independen untuk risiko tersebut. Label teknologi tidak mengalihkan tanggung jawab.

4. Memahami tujuan dan aktivitas yang diharapkan

Catat mengapa pelanggan menginginkan produk, bagaimana produk akan digunakan, pola transaksi yang diharapkan, konteks sumber dan tujuan yang relevan, dan sifat bisnis. Kumpulkan bukti yang proporsional daripada kuesioner generik yang jawabannya tidak pernah memengaruhi kebijakan.

Aktivitas yang diharapkan harus menjadi konteks pemantauan yang dapat digunakan. Jika data onboarding disimpan sebagai teks bebas yang tidak dapat diakses oleh sistem pemantauan, siklus hidupnya terputus.

5. Menyaring orang dan entitas yang relevan

Saring pelanggan, pemilik manfaat, pengontrol, perwakilan, dan pihak lain yang diperlukan terhadap sumber yang relevan. Tergantung pada hukum dan kebijakan, ini dapat mencakup sanksi, orang yang terpapar politik, kerabat dan rekan dekat, media yang merugikan, atau daftar lainnya.

Mesin pencocokan harus mempertahankan sumber, entri daftar, bidang pencocokan, transliterasi, alias, tanggal, ambang batas, dan alasan. Peninjau memerlukan bukti yang cukup untuk memutuskan apakah pelanggan dan subjek yang terdaftar adalah sama.

6. Menetapkan risiko pelanggan

Gabungkan pelanggan, produk, geografi, saluran, kepemilikan, penyaringan, dan faktor relevan lainnya di bawah metodologi yang didokumentasikan. Hasilnya harus dapat dijelaskan: faktor mana yang penting, data apa yang mendukungnya, dan kontrol mana yang mengikuti.

Hindari penggunaan kebangsaan atau geografi sebagai pengganti analisis lengkap. Indikator risiko dapat membenarkan pengawasan lebih lanjut tanpa membuktikan kesalahan. Amandemen FATF Februari 2025 meningkatkan fokus pada proporsionalitas dan tindakan yang disederhanakan dalam situasi berisiko rendah daripada pengecualian tanpa pandang bulu.

7. Menerapkan tindakan yang ditingkatkan atau disederhanakan jika dibenarkan

Risiko yang lebih tinggi mungkin memerlukan lebih banyak bukti, pekerjaan sumber dana atau sumber kekayaan, persetujuan senior, pemantauan lebih dekat, atau tindakan yang ditingkatkan lainnya. Risiko yang lebih rendah dapat memungkinkan tindakan yang disederhanakan di mana hukum dan kebijakan mengizinkan, tetapi tidak ketika ada kecurigaan atau kondisi berisiko tinggi tertentu.

EDD bukanlah “mengumpulkan setiap dokumen yang mungkin.” Setiap langkah tambahan harus menanggapi risiko yang teridentifikasi dan memiliki aturan keputusan.

8. Memutuskan dan menyimpan catatan audit

Menyetujui, menolak, membatasi, atau merutekan hubungan dengan alasan yang tercatat. Simpan versi kebijakan dan model risiko, bukti, hasil penyaringan, tindakan peninjau, otoritas persetujuan, stempel waktu, dan alasan yang diperlukan untuk audit dan peninjauan selanjutnya.

Jika organisasi tidak dapat menyelesaikan uji tuntas yang diperlukan, responsnya tergantung pada hukum dan keadaan yang berlaku. Mungkin perlu untuk menghindari atau mengakhiri hubungan dan mempertimbangkan pelaporan, sambil menghindari pengungkapan yang tidak pantas kepada pelanggan.

9. Memantau aktivitas dan perubahan pelanggan

Uji tuntas berkelanjutan menguji apakah transaksi tetap konsisten dengan pengetahuan organisasi tentang pelanggan, bisnis, risiko, dan aktivitas yang diharapkan. Panduan perbankan FATF menggambarkan pemantauan sebagai pengawasan transaksi dan mengidentifikasi perubahan pada profil pelanggan yang mungkin memerlukan CDD baru atau tambahan.

Pemantauan dapat dilakukan secara real-time, periodik, berdasarkan peristiwa, atau kombinasi. Hubungan berisiko tinggi umumnya membenarkan kedalaman atau frekuensi yang lebih besar; hubungan berisiko rendah mungkin membenarkan kontrol yang proporsional.

10. Menginvestigasi, melaporkan, dan belajar

Peringatan adalah dorongan untuk analisis, bukan kesimpulan. Penyelidik mengumpulkan transaksi terkait, riwayat pelanggan, informasi eksternal, peringatan sebelumnya, akun terkait, dan penjelasan. Organisasi kemudian mendokumentasikan mengapa kasus ditutup, ditingkatkan, dibatasi, atau dilaporkan.

Keputusan pelaporan menjadi milik organisasi yang diwajibkan dan orang yang berwenang. Label peringatan penyedia tidak boleh secara otomatis mengajukan laporan atau mengungkapkan kecurigaan kepada pelanggan.

Penjelasan penyaringan AML

Penyaringan sanksi

Kontrol sanksi mencari kemungkinan kecocokan dengan orang, entitas, kapal, atau subjek lain yang ditunjuk di bawah rezim yang berlaku. Daftar, aturan kepemilikan, dan larangan berbeda. Perbandingan nama yang persis sederhana tidak dapat menangani alias, transliterasi, tanggal, geografi, pengidentifikasi, dan kepemilikan atau kontrol.

Penyaringan PEP

Orang yang terpapar politik tidak selalu terlibat dalam kejahatan. Panduan PEP FATF menjelaskan langkah-langkah PEP sebagai tindakan pencegahan dan berbasis risiko. Hasil PEP harus memicu penilaian dan tindakan yang diperlukan, bukan tuduhan otomatis atau penolakan universal.

Media yang merugikan dan sumber lainnya

Informasi yang merugikan dapat berkontribusi pada penilaian risiko ketika sumber, relevansi, keterkaitan subjek, tanggal, keparahan, dan keandalan dipahami. Hasil pencarian dan tuduhan bukanlah temuan pengadilan. Peninjau memerlukan asal-usul dan cara yang didokumentasikan untuk menimbang bukti yang bertentangan.

Penyaringan ulang berkelanjutan

Data pelanggan dan sumber eksternal berubah. Penyaringan ulang dapat dipicu oleh pembaruan sumber, perubahan pelanggan, jadwal peninjauan, atau peristiwa. Sistem harus mengidentifikasi apa yang berubah alih-alih memaksa analis untuk mengulang setiap resolusi sebelumnya.

Penjelasan pemantauan transaksi

Pemantauan transaksi membandingkan aktivitas saat ini dengan aturan, model, tipologi, konteks pelanggan, perilaku rekan, dan pola historis. Keluarga sinyal yang berguna dapat mencakup:

• nilai, frekuensi, kecepatan, dan pola struktur;
• perubahan dari aktivitas pelanggan yang diharapkan;
• pihak lawan, koridor, aset, atau waktu yang tidak biasa;
• pergerakan melalui akun atau dompet yang terhubung;
• pergerakan masuk-keluar yang cepat atau aliran melingkar;
• aktivitas setelah perubahan pelanggan, perangkat, kepemilikan, atau risiko.

Tidak ada aturan yang mencurigakan dalam setiap konteks. Ambang batas menciptakan peringatan; investigasi menentukan apakah fakta mendukung kekhawatiran. Desain pemantauan harus menyatakan skenario, dependensi data, jendela waktu, ambang batas, segmentasi, positif palsu yang diharapkan, jalur disposisi, dan pemilik.

Peraturan AML UE 2024/1624, yang umumnya berlaku mulai 10 Juli 2027, mensyaratkan pemantauan berkelanjutan dan intensitas berbasis risiko. Aturannya menggambarkan mengapa uji tuntas pelanggan, konteks transaksi, catatan, dan pelaporan termasuk dalam satu sistem bahkan ketika komponen yang berbeda melakukan setiap tugas.

Potensi kecocokan, peringatan, kasus, dan laporan

Tahap	Arti	Apa yang harus terjadi selanjutnya
Potensi kecocokan	Data menyerupai subjek sumber eksternal	Bandingkan pengidentifikasi dan konteks
Peringatan	Kondisi penyaringan atau pemantauan terpicu	Pilah bukti di bawah prioritas yang didokumentasikan
Kasus	Bukti terkait dikumpulkan untuk investigasi	Investigasi, dokumentasikan, eskalasi, atau tutup
Keputusan kecurigaan	Analisis yang berwenang menemukan atau menolak kekhawatiran yang wajar	Terapkan kebijakan dan kewajiban hukum
Laporan peraturan	Informasi yang diperlukan dikirimkan ke badan yang berwenang	Lindungi kerahasiaan dan simpan catatan

Menggabungkan tahapan ini menciptakan dua kegagalan yang berlawanan: setiap peringatan menjadi tuduhan, atau peringatan ditutup tanpa bukti yang cukup. Status, peran, dan alasan yang jelas membuat kualitas dapat diukur.

Cara mengevaluasi kontrol AML dan KYC

Cakupan dan asal sumber

Tanyakan rezim sanksi mana, kategori PEP, data kepemilikan, informasi yang merugikan, dan bidang transaksi yang tercakup. Tinjau otoritas sumber, frekuensi pembaruan, tanggal efektif, penanganan koreksi, dan rekonstruksi historis. Jumlah daftar total tidak menunjukkan relevansi dengan kewajiban Anda.

Kontrol pencocokan dan ambang batas

Uji alias, transliterasi, nama yang diurutkan ulang, tanggal, pengidentifikasi, entitas, nama umum, dan bidang yang hilang. Tinjau hasil pada ambang batas yang diusulkan, tidak hanya judul akurasi yang dipilih vendor. Ukur volume kandidat, resolusi yang benar, positif palsu, dan kasus yang diketahui yang terlewatkan.

Metodologi risiko pelanggan

Setiap skor risiko harus dipetakan ke bukti, pembobotan faktor, konsekuensi kebijakan, penggantian, dan peninjauan. Validasi bahwa risiko rendah benar-benar menerima tindakan yang proporsional dan risiko yang lebih tinggi memicu kontrol yang ditingkatkan yang terbatas.

Desain pemantauan

Inventaris skenario dan model, masukan data, segmentasi, ambang batas, pemilik, versi, validasi, perutean peringatan, dan kriteria penghentian. Konfirmasikan bahwa data onboarding dan perubahan pelanggan mencapai pemantauan tepat waktu.

Operasi investigasi

Periksa antrean, prioritas, garis waktu bukti, entitas terkait, catatan, persetujuan, pemisahan tugas, tingkat layanan, dan kode disposisi. Peninjau harus dapat menjelaskan mengapa suatu kasus dibuka dan ditutup.

Tata kelola dan pengujian

Tetapkan pemilik untuk kebijakan, data, model, daftar, investigasi, pelaporan, jaminan kualitas, pelatihan, audit, dan kontrol perubahan. Uji end-to-end mulai dari pembuatan pelanggan melalui peringatan simulasi, kasus, keputusan, dan ekspor catatan.

Kesalahan umum AML dan KYC

Memperlakukan KYC sebagai gerbang satu kali

Identitas, kepemilikan, paparan sanksi, dan perubahan perilaku. Hubungkan penyegaran dan penyaringan ulang ke peristiwa alih-alih hanya mengandalkan kalender.

Menolak setiap kecocokan nama secara otomatis

Nama umum dan data yang tidak lengkap menghasilkan kandidat. Selesaikan identitas dengan atribut yang tersedia dan rutekan ketidakpastian sesuai dengan persyaratan hukum dan risiko.

Menggunakan satu skor risiko tanpa alasan

Angka yang tidak jelas tidak dapat menunjukkan bukti apa yang hilang atau kontrol mana yang harus diikuti. Pertahankan penjelasan tingkat faktor dan versi kebijakan.

Memantau tanpa konteks pelanggan

Ambang batas transaksi statis menghasilkan kebisingan ketika aktivitas yang diharapkan, jenis pelanggan, produk, dan riwayat tidak tersedia. Masukkan catatan KYC ke dalam pemantauan.

De-risking secara menyeluruh

Menolak seluruh kategori dapat mengecualikan pelanggan yang sah tanpa mengatasi risiko tertentu. Terapkan tindakan yang proporsional dan dokumentasikan risiko dan mitigasi yang sebenarnya.

Membiarkan teknologi mengajukan kesimpulan

Alat menghasilkan bukti, kecocokan, dan peringatan. Orang yang berwenang dan proses yang diatur memiliki kecurigaan, pelaporan, pembatasan, dan keputusan pelanggan.

Daftar periksa model operasi

Sebelum peluncuran atau perubahan material, konfirmasikan bahwa:

• risiko perusahaan, produk, geografi, pelanggan, dan saluran didokumentasikan;
• bukti pelanggan dan pemilik manfaat dikumpulkan dan diverifikasi secara proporsional;
• tujuan dan aktivitas yang diharapkan menjadi konteks pemantauan yang dapat digunakan;
• sumber penyaringan, ambang batas, alias, dan logika kepemilikan sesuai dengan kewajiban;
• potensi kecocokan, peringatan, kasus, keputusan, dan laporan tetap merupakan status yang berbeda;
• tindakan yang ditingkatkan dan disederhanakan memiliki pemicu dan batasan yang ditentukan;
• skenario transaksi diurutkan, divalidasi, dan dihubungkan dengan risiko pelanggan;
• penyegaran, penyaringan ulang, investigasi, dan pelaporan memiliki pemilik dan tingkat layanan;
• keputusan, penggantian, bukti, dan versi kebijakan dapat diaudit;
• privasi, akses, retensi, kerahasiaan, dan pemulihan dibangun ke dalam operasi.

Menggunakan Didit di seluruh AML dan KYC

Didit memungkinkan tim untuk menggabungkan Verifikasi ID, Penyaringan AML, Pemantauan Transaksi, dan kontrol kondisional melalui Orkestrator Alur Kerja. Tarif yang dipublikasikan termasuk $0,20 per penyaringan AML, $0,07 per pengguna per tahun untuk pemantauan AML berkelanjutan, dan $0,02 per transaksi untuk Pemantauan Transaksi.

Harga modul saat ini tercantum di halaman harga. Pemeriksaan dan peringatan ini mendukung program berbasis risiko; organisasi tetap bertanggung jawab atas kebijakan, resolusi kecocokan, investigasi, keputusan peraturan, dan catatannya.

Pertanyaan yang sering diajukan

Apa kepanjangan AML dan KYC?

AML berarti anti-pencucian uang. KYC berarti Kenali Pelanggan Anda. KYC menetapkan identitas pelanggan dan konteks risiko yang digunakan oleh kerangka kontrol AML yang lebih luas.

Apakah KYC bagian dari AML?

Ya. KYC dan uji tuntas pelanggan adalah kontrol AML yang mendasar, sementara AML juga mencakup penyaringan, pemantauan transaksi, investigasi, pelaporan, tata kelola, pelatihan, dan pengawasan independen.

Apa perbedaan antara CDD dan KYC?

KYC adalah istilah umum yang berfokus pada pelanggan. CDD adalah proses uji tuntas terstruktur untuk mengidentifikasi dan memverifikasi pelanggan dan pemilik manfaat, memahami hubungan, menilai risiko, dan melakukan pengawasan berkelanjutan.

Apakah penyaringan sanksi sama dengan AML?

Tidak. Penyaringan sanksi adalah salah satu kontrol dalam kerangka kepatuhan yang lebih luas. AML juga mencakup uji tuntas pelanggan, penyaringan risiko lainnya, pemantauan transaksi, investigasi, pelaporan, pencatatan, dan tata kelola.

Apa itu uji tuntas yang ditingkatkan?

EDD berarti tindakan tambahan yang responsif terhadap risiko untuk situasi berisiko tinggi. Ini dapat mencakup lebih banyak bukti, pekerjaan sumber dana atau kekayaan, persetujuan senior, atau pemantauan yang lebih dekat, tergantung pada persyaratan yang berlaku.

Apakah kecocokan PEP berarti pelanggan adalah seorang kriminal?

Tidak. Status PEP adalah faktor risiko yang memerlukan tindakan pencegahan di bawah aturan yang berlaku. Ini bukan temuan perilaku kriminal dan tidak boleh secara otomatis menjadi penolakan universal.

Seberapa sering pelanggan harus disaring ulang?

Tidak ada frekuensi universal. Gunakan persyaratan yang berlaku dan pendekatan risiko yang didokumentasikan, dengan penyaringan ulang berdasarkan peristiwa ketika daftar, kepemilikan, data identitas, risiko pelanggan, atau fakta material lainnya berubah.

Referensi utama

• Rekomendasi FATF, sebagaimana diamandemen Juni 2026
• Panduan FATF tentang Identitas Digital
• Panduan Pendekatan Berbasis Risiko FATF untuk Sektor Perbankan
• Panduan FATF tentang Orang yang Terpapar Politik
• Peraturan (UE) 2024/1624

AML dan KYC berfungsi ketika identitas, risiko, perilaku, dan investigasi tetap terhubung seiring waktu. Tetapkan pelanggan dengan bukti yang dapat diandalkan, terapkan kontrol yang proporsional, pantau apa yang berubah, selidiki peringatan dengan konteks, dan simpan alasan mengapa setiap keputusan material dibuat.