Blog · 3 Oktober 2026

AMLR Pasal 18: yang boleh dan tidak boleh dialihdayakan ke penyedia KYC

Pasal 18 AMLR mengizinkan alih daya tugas KYC, bukan keputusan atau tanggung jawab. Kondisi, enam tugas yang tidak boleh dialihdayakan, area abu-abu resital 47, daftar periksa penyedia, dan register alih daya.

Oleh Didit3 Oktober 2026Diperbarui 3 Okt 2026

Singkatnya

Alih daya AMLR diatur oleh Pasal 18 Peraturan Anti Pencucian Uang UE (AMLR), yang berlaku mulai 10 Juli 2027.^[1] Anda dapat menyerahkan tugas kepada penyedia layanan berdasarkan perjanjian tertulis, setelah memberi tahu pengawas Anda dan dengan kontrol rutin, dan Anda "tetap bertanggung jawab penuh" atas hasilnya.^[1]

Enam tugas tidak boleh dialihdayakan, di antaranya keputusan onboarding.^[1]
Membeli perangkat lunak atau akses basis data bukanlah alih daya, sesuai dengan resital 47.^[1]
Status layanan verifikasi otomatis tidak disebutkan dalam teks utama mana pun pada 2 Oktober 2026.

Terakhir ditinjau: 2 Oktober 2026 · Bukan nasihat hukum

Sebagian besar perusahaan yang melakukan uji tuntas pelanggan (CDD) di bawah AMLR akan membeli sebagian darinya dari penyedia mengenal pelanggan Anda (KYC). Peraturan (EU) 2024/1624 mengizinkan hal itu, dan menarik tiga garis yang cenderung dikaburkan oleh halaman penjualan: siapa yang tetap bertanggung jawab, keputusan mana yang tidak pernah meninggalkan perusahaan, dan kapan pembelian dihitung sebagai alih daya sama sekali. Panduan ini netral vendor hingga bagian terakhir.

Pengandalan, alih daya, dan alat: tiga pengaturan, tiga set aturan

AMLR memiliki dua mekanisme untuk melibatkan orang lain dalam uji tuntas, dan resital 47 menjelaskan situasi ketiga yang bukan keduanya.^[1]

Mengandalkan

Bergantung pada entitas wajib lainnya

Hanya entitas wajib lainnya
Identitas, kepemilikan manfaat, dan tujuan saja
Perjanjian tertulis; salinan dalam 5 hari kerja
"Tanggung jawab utama" tetap pada Anda

Pasal 48 dan 49 AMLR

Alih daya

Penyedia melakukan tugas tersebut

Penyedia layanan
Tugas apa pun kecuali enam yang dicadangkan
Perjanjian tertulis, pemberitahuan kepada pengawas, kontrol
Anda "tetap bertanggung jawab penuh"

Pasal 18 AMLR

Penggunaan alat

Anda melakukan tugas dengan alat

Perangkat lunak, basis data, layanan penyaringan
Staf Anda melakukan persyaratan tersebut
"Tidak dianggap sebagai alih daya"
Persyaratan tetap milik Anda

Resital 47 AMLR

Pengandalan (Pasal 48 dan 49) terbatas. Pasal 48(1) memungkinkan Anda bergantung pada "entitas wajib lainnya" untuk identitas, kepemilikan manfaat, dan tujuan, bukan untuk pemeriksaan sanksi, penentuan individu yang terpapar politik (PEP), atau pemantauan berkelanjutan.^[1] Vendor yang bukan entitas wajib tidak dapat diandalkan.^[1] Oleh karena itu, penyedia KYC sesuai dengan Pasal 18, atau berada di luar kedua mekanisme tersebut sebagai pemasok alat. Untuk regulasi yang lebih luas, mulailah dengan penjelasan AMLR.

Alih daya AMLR berdasarkan Pasal 18, langkah demi langkah

Pasal 18(1)Peraturan (EU) 2024/1624

"Entitas wajib dapat mengalihdayakan tugas-tugas yang timbul dari Peraturan ini kepada penyedia layanan. Entitas wajib harus memberitahukan kepada pengawas tentang pengalihdayaan tersebut sebelum penyedia layanan mulai melaksanakan tugas yang dialihdayakan."

Sumber: EUR-Lex, Peraturan (EU) 2024/1624^[1]

Pemberitahuan tersebut bukan merupakan persetujuan. Resital 49 menyatakan bahwa hal itu "tidak menyiratkan penerimaan pengaturan alih daya".^[1]

1Klasifikasikan pengaturan

Penyedia melakukan persyaratan itu sendiri

Periksa penyedia

Harus memenuhi syarat yang cukup.

Tanda tangani perjanjian tertulis

Hal itu mengikat penyedia dan sub-alih daya mana pun pada kebijakan Anda.

Beritahukan kepada pengawas

Sebelum penyedia memulai.

Kontrol secara teratur

Lebih sering untuk tugas-tugas kritis.

Tidak

Bukan alih daya

Resital 47: perangkat lunak, basis data, atau layanan penyaringan yang Anda gunakan sendiri.

2Pertahankan keputusan

Pada kedua jalur, enam tugas yang dicadangkan tetap menjadi tanggung jawab perusahaan.

Pasal 18 sebagai urutan.^[1]

Sebelum melakukan alih daya, perusahaan "harus memastikan bahwa penyedia layanan memiliki kualifikasi yang memadai", dan harus memastikan bahwa penyedia dan setiap penyedia sub-alih daya menerapkan kebijakan dan prosedur perusahaan sendiri.^[1]

Pasal 18(4)Peraturan (EU) 2024/1624

"Ketentuan untuk pelaksanaan tugas-tugas tersebut harus ditetapkan dalam perjanjian tertulis antara entitas wajib dan penyedia layanan. Entitas wajib harus melakukan kontrol rutin untuk memastikan implementasi efektif dari kebijakan dan prosedur tersebut oleh penyedia layanan."

Sumber: EUR-Lex, Peraturan (EU) 2024/1624^[1]

Frekuensi kontrol tersebut tergantung pada "sifat kritis dari tugas yang dialihdayakan".^[1] Pasal 9 menambahkan bahwa kebijakan internal Anda harus mencakup alih daya dan dikomunikasikan kepada penyedia layanan yang terlibat.^[1]

Pasal 18(2)Peraturan (EU) 2024/1624

"Entitas wajib tetap bertanggung jawab penuh atas setiap tindakan, baik perbuatan aktif maupun kelalaian, yang terkait dengan tugas yang dialihdayakan yang dilakukan oleh penyedia layanan."

Sumber: EUR-Lex, Peraturan (EU) 2024/1624^[1]

Resital 47 menjelaskan alasannya: penyedia yang bukan merupakan entitas yang wajib memiliki tugas yang "hanya timbul dari kontrak antara para pihak dan bukan dari Peraturan ini".^[1] Sebuah kontrak tidak mengubah siapa yang bertanggung jawab kepada pengawas.

Dua tugas lagi menyusul. Untuk setiap tugas yang dialihdayakan, perusahaan harus menunjukkan bahwa mereka "memahami alasan di balik kegiatan yang dilakukan oleh penyedia layanan" dan bahwa kegiatan tersebut mengurangi risiko spesifiknya.^[1] Dan alih daya tidak boleh secara material merusak kemampuan pengawas "untuk memantau dan melacak kepatuhan entitas yang wajib".^[1]

Enam tugas yang tidak boleh Anda alihdayakan

Pasal 18(3) mencantumkan tugas-tugas yang "tidak boleh dialihdayakan dalam keadaan apa pun".^[1] Kolom kanan adalah interpretasi kami tentang apa yang masih dapat disumbangkan oleh penyedia.

Poin	Tugas yang dicadangkan, Pasal 18(3)^[1]	Penyedia masih dapat menyediakan
(a)	"usulan dan persetujuan penilaian risiko seluruh bisnis entitas wajib [...]"	Data portofolio sebagai masukan
(b)	"persetujuan kebijakan internal, prosedur, dan kontrol entitas wajib [...]"	Pemeriksaan yang menerapkan kebijakan Anda
(c)	"keputusan mengenai profil risiko yang akan diatribusikan kepada pelanggan"	Peringkat yang diusulkan dan alasannya
(d)	"keputusan untuk menjalin hubungan bisnis atau melakukan transaksi sesekali dengan klien"	Hasil pemeriksaan dan antrean peninjauan
(e)	"pelaporan kepada FIU mengenai aktivitas mencurigakan [...] atau laporan berbasis ambang batas [...]"	Draf laporan yang Anda ajukan
(f)	"persetujuan kriteria untuk deteksi transaksi dan aktivitas mencurigakan atau tidak biasa"	Pemantauan berdasarkan kriteria yang Anda setujui

FIU adalah unit intelijen keuangan. Poin (e) memiliki satu pengecualian, untuk entitas wajib dari grup yang sama di Negara Anggota yang sama.^[1] Pasal 76(5) memberikan kunci kedua pada poin (d): keputusan otomatis untuk menerima atau menolak pelanggan memerlukan "intervensi manusia yang berarti".^[1] Usaha investasi kolektif tanpa badan hukum dapat mengalihdayakan poin (c), (d), dan (e) setelah persetujuan pengawas.^[1]

Segala sesuatu yang lain dapat dialihdayakan, selama tidak "secara material merusak kualitas" kebijakan, prosedur, dan kontrol perusahaan.^[1] Peraturan tersebut tidak memberikan daftar positif. Dengan eliminasi, dan ini adalah kesimpulan kami, itu termasuk pengumpulan data identitas, pemeriksaan dokumen atau identifikasi elektronik (eID), pencarian catatan, penyaringan PEP dan sanksi, pemantauan terhadap kriteria yang Anda setujui, dan penyimpanan catatan.

Pembatasan negara ketiga pada penyedia

Pasal 18(6) menyatakan entitas wajib "tidak boleh mengalihdayakan tugas-tugas yang berasal dari persyaratan berdasarkan Peraturan ini kepada penyedia layanan yang berdomisili atau bertempat kedudukan di negara ketiga yang diidentifikasi sesuai dengan Bagian 2 Bab III".^[1] Itu adalah negara-negara yang tercantum dalam Pasal 29 hingga 31. Satu-satunya pengecualian adalah penyedia dalam grup yang sama, di mana grup tersebut menerapkan kebijakan tingkat AMLR dan pengawas asal mengawasi mereka di tingkat grup.^[1]

Hati-hati

Ini bukan larangan umum terhadap penyedia non-UE, dan bukan aturan lokasi data.^[1] Apakah hal itu mencapai subkontraktor atau lokasi pemrosesan di negara yang terdaftar, ketika penyedia kontrak berada di UE, tidak ditetapkan dalam teks.

Resital 47: ketika alat KYC bukanlah alih daya

Bagi siapa pun yang membeli perangkat lunak verifikasi, ini adalah bagian yang paling tidak terselesaikan dari aturan alih daya AMLR.

Resital 47Peraturan (EU) 2024/1624

"Proses atau pengaturan yang berkontribusi pada pelaksanaan persyaratan berdasarkan Peraturan ini, tetapi di mana pelaksanaan persyaratan itu sendiri tidak dilakukan oleh penyedia layanan, seperti penggunaan atau akuisisi perangkat lunak pihak ketiga atau akses ke basis data atau layanan penyaringan oleh entitas wajib, tidak dianggap sebagai alihdaya."

Sumber: EUR-Lex, Regulation (EU) 2024/1624^[1]

Uji coba adalah siapa yang melakukan persyaratan. Berikut ini adalah interpretasi, yang akan dikonfirmasi dengan nasihat hukum.

Penggunaan alat. Anda melisensikan perangkat lunak atau mengakses layanan penyaringan, dan staf Anda sendiri melakukan persyaratan tersebut. Aturan pemberitahuan dan kontrak Pasal 18 tidak berlaku untuk hal tersebut.
Alih daya. Penyedia melakukan persyaratan itu sendiri, misalnya sistem atau peninjauannya memutuskan bahwa dokumen itu asli dan orangnya sesuai. Resital yang sama secara eksplisit menyebutkan penyedia yang “terlibat untuk tujuan identifikasi pelanggan jarak jauh”.^[1]
Zona abu-abu. Layanan verifikasi otomatis yang diakses melalui API, dengan atau tanpa peninjauan oleh staf penyedia. Tidak ada teks primer yang menyatakan di sisi mana hal itu berada.

Belum diketahui

AMLA, Otoritas Anti Pencucian Uang Uni Eropa, harus mengeluarkan pedoman alih daya paling lambat 10 Juli 2027.^[1] Pada 2 Oktober 2026, tidak ada konsultasi tentang hal tersebut yang muncul dalam daftar AMLA.^[2] Sampai pedoman tersebut ada, klasifikasi adalah penilaian yang dibuat dan didokumentasikan oleh perusahaan.

9 Juli 2024BerlakuPasal 18 dan resital 47 adalah teks final.
2 Oktober 2026Tidak ada drafTidak ada konsultasi alih daya dalam daftar AMLA.
10 Juli 2027BerlakuPasal 18 mengikat. Pedoman alih daya akan jatuh tempo.

Panduan tersebut mungkin akan tiba pada hari yang sama dengan kewajibannya.^[1][2]

Ketika pedoman tersebut datang, entitas wajib “harus melakukan segala upaya untuk mematuhinya”.^[3] Tolok ukur terdekat saat ini adalah pedoman Otoritas Perbankan Eropa tentang orientasi pelanggan jarak jauh (EBA/GL/2022/15), yang ditulis berdasarkan arahan saat ini.^[4] Pelacak AMLA mencantumkannya di antara pedoman EBA yang berlaku hingga instrumen AMLA sendiri tentang subjek tersebut mulai berlaku.^[5] Statusnya setelah 10 Juli 2027 belum dikonfirmasi.

Satu hal yang pasti: AMLR tidak menciptakan lisensi, sertifikasi, atau persetujuan untuk vendor KYC.^[1] Identifikasi jarak jauh itu sendiri tercakup dalam verifikasi identitas AMLR dan standar CDD final AMLA.

Uji tuntas pada penyedia: daftar periksa yang dapat Anda dokumentasikan

Pasal 18(4) tidak menyatakan cara memeriksa penyedia. Daftar ini menggabungkan tugas Pasal 18 dengan tolok ukur EBA; dua baris adalah saran kami.

Konfirmasikan penyedia tidak didirikan di negara yang tercantum dalam Pasal 29 hingga 31.^[1]
Tanyakan di mana data disimpan dan diproses, sehingga supervisor dapat menelusuri kepatuhan Anda.^[1]
Daftar setiap subkontraktor dan ikat masing-masing ke kebijakan Anda.^[1]
Amankan hak audit: pelaporan reguler, kunjungan di tempat, atau pengujian sampel.^[4]
Nilai pelatihan staf, kesesuaian teknologi, dan tata kelola data.^[4]
Wajibkan pemberitahuan setiap perubahan pada proses atau solusi.^[4]
Wajibkan pemberitahuan insiden yang memengaruhi data pelanggan Anda (saran kami).
Amankan akses ke bukti yang tidak disunting untuk setiap kasus.^[1]
Setujui periode retensi yang ditentukan, dengan akses terbatas dan tercatat.^[4]
Rencanakan pengakhiran: ekspor semua bukti saat kontrak berakhir (saran kami).

Batas waktu penyimpanan lebih penting dari yang terlihat. Catatan disimpan selama 5 tahun sejak berakhirnya hubungan, transaksi sesekali, atau penolakan, dan kewajiban tersebut adalah tanggung jawab perusahaan.^[1] Jika kontrak berakhir pada tahun kedua, Anda masih memerlukan bukti pada tahun keenam. Lihat juga Perangkat lunak AMLR: apa yang harus dibuat, apa yang harus dibeli, dan berapa biayanya.

Apa yang harus dimasukkan dalam daftar alih daya AMLR Anda

AMLR tidak menggunakan kata "daftar alih daya". Ini mensyaratkan hal-hal yang mudah dibuktikan oleh daftar: pemberitahuan, perjanjian tertulis, kontrol, dan pemahaman Anda tentang setiap tugas.^[1]

Bidang	Apa yang harus dicatat	Dasar^[1]
Tugas	Apa yang dilakukan penyedia dan apa yang tetap dikerjakan secara internal	Art. 18(3)
Klasifikasi	Alih daya, ketergantungan pada pihak lain, atau penggunaan alat, dengan alasan Anda	Pasal 18, resital 47
Penyedia	Badan hukum, negara pendirian, sub-alih daya	Art. 18(4), (6)
Perjanjian	Tanggal, versi, klausul yang mengikat penyedia pada kebijakan Anda	Art. 18(4)
Pemberitahuan	Tanggal pengiriman ke pengawas; tanggal mulai penyedia	Art. 18(1)
Kontrol	Frekuensi dan alasannya, hasil terakhir, temuan yang belum diselesaikan	Art. 18(4)
Dasar pemikiran	Cara penyedia bekerja dan risiko yang dimitigasi	Art. 18(2)
Catatan	Di mana bukti berada, cara Anda mengambilnya, kapan dihapus	Arts. 18(5), 77

Kolom-kolom tersebut adalah proposal kami, bukan templat hukum. Daftar periksa AMLR berdasarkan jenis entitas wajib berisi sisanya.

Bagaimana Didit membantu: pemeriksaan dan bukti, dengan keputusan diserahkan kepada Anda

Didit menyediakan pemeriksaan dan bukti dari setiap pemeriksaan. Menggunakannya tidak mengalihkan tanggung jawab Anda dan tidak ada enam tugas yang dicadangkan. Halaman solusi AMLR memetakan setiap persyaratan ke pemeriksaan.

Itu mencakup verifikasi identitas, penyaringan AML terhadap 1.300+ sanksi, PEP dan daftar pantauan, verifikasi bisnis dan pemantauan transaksi, yang dibangun dalam satu alur di pembuat alur kerja dengan tinjauan manual dan persetujuan empat mata.

Data disimpan di UE secara default, dengan pemrosesan di dalam negeri pelanggan pada Enterprise. Retensi dapat dikonfigurasi dari 1 bulan hingga 10 tahun, dengan penghapusan sesuai permintaan. Didit memegang SOC 2 Tipe 1 dan Tipe 2 serta ISO/IEC 27001:2022 (lihat keamanan dan kepatuhan).

Apakah pengaturan Didit Anda merupakan alih daya atau penggunaan alat bergantung pada cara Anda mengonfigurasinya dan pada panduan yang belum ada, jadi ajukan pertanyaan itu kepada nasihat hukum. Harga bersifat publik: pemeriksaan KYC penuh adalah $0,33, dan sisanya ada di halaman harga. Langkah-langkah integrasi ada di panduan AMLR di dokumen.

Didit menyediakan

Pemeriksaan identitas berdasarkan dokumen, dompet ID digital, atau pencarian non-dokumen
Penyaringan sanksi, PEP, dan daftar pantauan, disaring ulang setiap hari
Data registri perusahaan dan pemeriksaan terkait pada pemilik
Aturan pemantauan, peringatan, dan persiapan laporan FIU
Bukti setiap pemeriksaan, dengan retensi yang Anda konfigurasikan

Tetap bersama Anda

Penilaian risiko dan kebijakan
Profil risiko pelanggan dan keputusan orientasi
Persetujuan kriteria deteksi
Mengajukan laporan ke FIU
Pemberitahuan pengawas, kontrol, dan tanggung jawab penuh

Beli pemeriksaan, simpan keputusannya

Siapkan verifikasi identitas, penyaringan, dan pemantauan dalam satu alur kerja, dengan bukti setiap pemeriksaan siap untuk tinjauan Anda sendiri.

Mulai gratis Bicara dengan kami

Poin-poin penting

Pasal 18 mengizinkan alih daya dengan perjanjian tertulis, pemberitahuan sebelumnya kepada pengawas dan kontrol reguler.
Entitas yang wajib "tetap bertanggung jawab penuh". Tidak ada kontrak yang mengubah hal itu.
Enam tugas tidak pernah meninggalkan perusahaan, termasuk profil risiko, keputusan orientasi, dan pelaporan FIU.
Pedoman alih daya AMLA akan diterbitkan paling lambat 10 Juli 2027 dan belum ada draf pada 2 Oktober 2026.

Pertanyaan yang sering diajukan

Bisakah Anda mengalihdayakan KYC berdasarkan AMLR?

Ya, sebagian. Pasal 18(1) mengizinkan entitas wajib mengalihdayakan tugas kepada penyedia layanan, dengan perjanjian tertulis, pemberitahuan sebelumnya kepada pengawas, dan kontrol reguler. Keputusan tetap ada pada perusahaan: profil risiko pelanggan dan keputusan untuk mengorientasi tidak dapat dialihdayakan.

Apakah mengalihdayakan KYC mengalihkan tanggung jawab kepada penyedia?

Tidak. Pasal 18(2) menyatakan bahwa entitas yang wajib "tetap bertanggung jawab penuh atas setiap tindakan, baik perbuatan aktif maupun kelalaian, yang terkait dengan tugas yang dialihdayakan". Kontrak dengan penyedia tidak mengubah siapa yang bertanggung jawab kepada pengawas.

Tugas apa saja yang tidak pernah dapat dialihdayakan berdasarkan Pasal 18?

Enam: penilaian risiko di seluruh bisnis, persetujuan kebijakan internal, profil risiko pelanggan, keputusan untuk mengorientasi atau melakukan transaksi sesekali, pelaporan kepada unit intelijen keuangan, dan persetujuan kriteria deteksi. Pelaporan memiliki satu pengecualian, dalam kelompok di Negara Anggota yang sama.

Apakah menggunakan perangkat lunak KYC atau database penyaringan termasuk alih daya?

Tidak, ketika perusahaan melakukan persyaratan itu sendiri. Resital 47 menyatakan bahwa penggunaan perangkat lunak pihak ketiga dan akses ke database atau layanan penyaringan tidak dianggap sebagai alih daya. Di mana layanan verifikasi otomatis berada tidak diatur dalam teks primer mana pun pada 2 Oktober 2026.

Apakah saya memerlukan persetujuan pengawas saya sebelum mengalihdayakan?

Tidak. Pasal 18(1) mensyaratkan pemberitahuan sebelum penyedia memulai tugas, bukan persetujuan. Resital 49 menambahkan bahwa pemberitahuan tidak menyiratkan penerimaan pengaturan tersebut.

Bisakah saya menggunakan penyedia KYC yang berbasis di luar UE?

Ya, kecuali penyedia berdomisili atau didirikan di negara ketiga yang diidentifikasi berdasarkan Pasal 29 hingga 31 AMLR. Untuk negara-negara tersebut, alih daya diizinkan hanya dalam kelompok yang sama dan di bawah kondisi tingkat kelompok. Pasal 18(6) bukanlah larangan umum bagi penyedia non-UE.

Apa perbedaan antara mengandalkan dan alih daya?

Mengandalkan, berdasarkan Pasal 48 dan 49, berarti menggunakan uji tuntas yang sudah dilakukan oleh entitas wajib lainnya, dan hanya mencakup identitas, kepemilikan manfaat, dan tujuan. Alih daya, berdasarkan Pasal 18, berarti penyedia layanan melakukan tugas untuk Anda di bawah kebijakan Anda. Dalam kedua kasus, tanggung jawab tetap ada pada Anda.

Kapan AMLA akan menerbitkan pedoman alih dayanya?

Batas waktu dalam Pasal 18(8) adalah 10 Juli 2027, hari dimulainya penerapan AMLR. Pada 2 Oktober 2026, belum ada konsultasi mengenai pedoman ini yang muncul dalam daftar konsultasi publik AMLA. Rencanakan dengan teks Pasal 18 dan tinjau kembali setiap klasifikasi setelah pedoman tersebut diterbitkan.

Sumber

Peraturan (EU) 2024/1624 (AMLR), EUR-Lex, Jurnal Resmi tanggal 19 Juni 2024. Pasal 9, 18, 48, 49, 76 dan 77; resital 47 dan 49.
Konsultasi publik, AMLA, dibaca pada 2 Oktober 2026.
Peraturan (EU) 2024/1620 (Peraturan AMLA), EUR-Lex, Jurnal Resmi tanggal 19 Juni 2024. Pasal 54.
Pedoman penggunaan solusi orientasi pelanggan jarak jauh (EBA/GL/2022/15), Otoritas Perbankan Eropa, bagian 4.5.2.
Pelacak instrumen regulasi, AMLA, pembaruan terakhir 30 September 2026.

Pasal 18 memungkinkan Anda membeli pekerjaan dan mempertahankan tanggung jawab pada Anda. Halaman solusi AMLR menunjukkan pemeriksaan apa yang Didit jalankan untuk setiap persyaratan dan keputusan apa yang tetap menjadi milik Anda.

Lihat apa yang akan ada dalam berkas alih daya Anda

Jalankan verifikasi, buka bukti yang dihasilkannya, dan nilai apakah itu menjawab pertanyaan pengawas Anda.