KYC: Процесс, Требования и API (RU)

KYC, или «Знай своего клиента», — это процесс, который организация использует для установления личности клиента, оценки риска отношений и поддержания актуальности этой информации. В регулируемых секторах KYC обеспечивает оперативное осуществление комплексной проверки клиента: он связывает доказательства личности, верификацию, оценку рисков, скрининг, принятие решений, записи и постоянный пересмотр.

KYC не является синонимом сканирования документа. Проверка документа может подтвердить один фрагмент доказательства, тогда как полная программа KYC определяет, какие доказательства достаточны, как обрабатываются более рискованные случаи, когда клиента необходимо повторно проверять и как каждое решение может быть объяснено позже.

Ключевые выводы

• KYC — это жизненный цикл, а не разовая проверка. Он начинается до или во время онбординга и продолжается при изменении данных личности, подверженности санкциям, права собственности или поведения.
• eKYC — это цифровая доставка KYC. Он может использовать документы, авторитетные базы данных, биометрию, NFC и другие удаленные доказательства, но не снимает основное обязательство по соблюдению требований.
• KYC и AML связаны, но отличаются. KYC идентифицирует и оценивает клиента; AML — это более широкая система контроля, которая также может включать мониторинг транзакций, расследования, отчетность и управление.
• Риск определяет глубину. Заявители с низким уровнем риска могут следовать более простому пути, тогда как отношения с более высоким уровнем риска могут потребовать усиленной комплексной проверки и человеческого обзора.
• API KYC — это лишь часть операционной модели. Командам также необходимы политика, оркестрация, обработка исключений, аудиторские записи, контроль конфиденциальности и мониторинг.

Что означает KYC?

KYC означает достаточное знание о клиенте для принятия и поддержания обоснованного решения об отношениях. Точные юридические обязанности варьируются в зависимости от юрисдикции, сектора, продукта, типа клиента и уровня риска. Общий операционный шаблон заключается в идентификации клиента, проверке надежных доказательств, понимании цели и ожидаемого характера отношений, оценке риска и мониторинге существенных изменений.

Руководство Целевой группы по финансовым мероприятиям (FATF) по цифровой идентификации рассматривает системы цифровой идентификации как один из способов поддержки идентификации и верификации клиентов. Оно не превращает технологический результат в автоматическое соответствие: регулируемая организация остается ответственной за оценку того, подходят ли система, уровень гарантий и средства контроля для данного риска.

KYC часто используется в разговорной речи как сокращение для верификации личности. Это сокращение полезно в обсуждениях продуктов, но неполно в программе соответствия. Верификация личности отвечает на вопрос, связана ли лицо, предоставляющее доказательства, с заявленной личностью. KYC также спрашивает, понятны ли отношения, приемлем ли риск и остается ли профиль клиента актуальным.

Сравнение KYC, eKYC, CDD, AML, CIP и KYB

Термин	Практическое значение	Типичная область применения	Распространенная ошибка
KYC	Знать и оценивать отдельного клиента	Личность, риск, скрининг, решения, записи, обзор	Рассматривать как одноразовую загрузку документа
eKYC	KYC, выполненный через цифровые каналы	Удаленный сбор доказательств, валидация, биометрия, проверки баз данных	Предполагать, что «электронный» означает более низкую гарантию
CDD	Комплексная проверка клиента	Личность, бенефициарный владелец там, где это уместно, цель, риск, мониторинг	Сведение CDD к скринингу санкций
EDD	Усиленная комплексная проверка для случаев с высоким риском	Больше доказательств, проверки источников средств или богатства, одобрения, более тщательный мониторинг	Применение одного и того же рабочего процесса ко всем уровням риска
AML	Система контроля по борьбе с отмыванием денег	KYC, скрининг, мониторинг транзакций, расследования, отчетность	Использование KYC и AML как взаимозаменяемых терминов
CIP	Требования к идентификации клиента, особенно в США	Сбор и проверка идентификационной информации	Предполагать, что правила CIP одной страны универсальны
KYB	Знай свой бизнес	Статус юридического лица, владение, контролеры, деловая активность, связанные лица	Проверка компании, но не ее бенефициарных владельцев

Эти термины пересекаются, потому что они описывают разные уровни одной и той же операционной проблемы. KYC ориентирован на клиента. CDD — это основанный на риске юридический и операционный процесс. AML — это более широкая система борьбы с финансовыми преступлениями. eKYC описывает канал. KYB применяет аналогичные рассуждения к юридическому лицу и его владению.

Как работает процесс KYC?

Самые сильные потоки KYC отделяют политику от доказательств. Политика определяет, что должно быть доказано и что происходит на каждом уровне риска. Доказательства и технические проверки поддерживают эту политику.

1. Установите политику и триггер

Начните с причины проверки. Открытие счета, регулируемая транзакция, выплата, восстановление счета, увеличение лимита или существенное изменение профиля могут потребовать разных гарантий. Определите юрисдикции, типы клиентов, принятые доказательства, запрещенные отношения, правила эскалации, сроки хранения и владельцев, прежде чем выбирать поля API.

2. Соберите идентификационную информацию

Собирайте только те атрибуты, которые необходимы для цели и применимого обязательства. Общие поля включают полное имя, дату рождения, адрес проживания, гражданство и государственный идентификатор. Бизнес-клиентам вместо этого требуются данные о юридическом лице и информация о владении.

Минимизация данных здесь важна. Сбор большего количества данных не создает автоматически больших гарантий; он может создать риски для конфиденциальности, безопасности и операционные риски, если информация не имеет определенного использования.

3. Разрешите заявленную личность

Разрешение личности определяет, указывают ли предоставленные атрибуты на реального, отдельного человека в соответствующей популяции. Доказательством может быть государственный документ, цифровая учетная запись, запись в авторитетной базе данных или разрешенная комбинация.

Текущая модель идентификации NIST разделяет разрешение, валидацию и верификацию. Это различие полезно за пределами использования правительством США, потому что оно предотвращает сведение командами трех разных вопросов в одну оценку.

4. Проверьте доказательства и атрибуты

Валидация спрашивает, являются ли доказательства подлинными, точными и приемлемыми в соответствии с политикой. Поток документов может проверять формат, срок действия, печатные и машиночитаемые поля, функции безопасности, подделку и данные эмитента. Поток базы данных может сравнивать предоставленные атрибуты с авторитетными или достоверными источниками.

Валидация должна возвращать доказательства, предупреждения и коды причин — не только «пройдено» или «не пройдено». Несоответствующая машиночитаемая зона, просроченный документ и неподдерживаемый документ являются разными операционными условиями и могут требовать разных действий.

5. Проверьте, является ли заявитель законным владельцем

Верификация связывает человека в потоке с проверенной личностью. В удаленном потоке документов это может включать живой захват, обнаружение живого человека и сравнение лица один к одному между заявителем и портретом на доказательстве.

Эти проверки отвечают на разные вопросы:

• Валидация документа: является ли доказательство подлинным и приемлемым?
• Совпадение лица: соответствует ли представленное лицо эталонному портрету?
• Живость: присутствует ли живой человек при захвате, а не артефакт презентации?
• Целостность захвата: поступили ли данные через ожидаемый датчик и канал, а не были внедрены?

Ни один ответ не заменяет другие.

6. Скрининг и оценка рисков клиента

Оценка риска сочетает результаты идентификации с целью отношений, географией, подверженностью продукту, типом клиента и другими факторами политики. При необходимости скрининг может охватывать санкции, политически значимых лиц, негативные публикации в СМИ и другие соответствующие источники.

Потенциальное совпадение не обязательно является подтвержденным совпадением. Имена могут совпадать, списки могут быть неполными, и контекст имеет значение. Хорошие рабочие процессы сохраняют совпадающие поля и исходные данные, применяют пороговые значения и направляют неоднозначные или более рискованные случаи обученным рецензентам.

7. Принять решение, зарегистрировать и сохранить доказательства

Результат должен соответствовать явному состоянию, такому как одобрено, отклонено, повторная попытка или ручная проверка. Сохраните версию политики, ссылки на доказательства, ответы поставщиков, коды причин, временные метки, действия рецензента и окончательное обоснование, необходимые для аудита и апелляции.

Не позволяйте браузеру решать, предоставляется ли доступ. Бэкенд должен потреблять подписанный веб-хук или получать окончательный результат из API, проверять подлинность и идемпотентность, а затем обновлять состояние клиента.

8. Мониторинг и обновление

KYC продолжается после онбординга. Обновление может быть периодическим или основанным на событиях, когда истекает срок действия документа, меняется владелец, меняются данные о санкциях, поведение отклоняется от ожидаемого профиля или происходит действие с высоким риском. Мониторинг транзакций и постоянный AML-скрининг являются связанными средствами контроля, но ни один из них не должен безмолвно переписывать исходную запись личности.

Что такое eKYC?

eKYC — это KYC, проводимый через электронные каналы. Он заменяет или дополняет личный сбор удаленным сбором доказательств, цифровыми учетными данными, запросами к авторитетным базам данных, биометрической верификацией, считыванием чипов NFC или их комбинацией.

Вопрос оценки не «цифровой или ручной?». Вопрос в том, достигают ли доказательства, метод сбора, средства контроля мошенничества и процесс исключений уровня гарантии, необходимого для конкретного случая использования. Хорошо разработанный удаленный поток может собирать убедительные доказательства и создавать подробный аудиторский след. Плохо разработанный поток может автоматизировать слабые проверки на высокой скорости.

eKYC также изменяет режимы отказа. Команды должны учитывать манипулируемые медиа, виртуальные камеры, эмуляторы устройств, потребности в доступности, качество камеры, потерю сети, повторные попытки и пользователей, которые не могут представить стандартные доказательства. Обработка исключений является частью контроля, а не второстепенной задачей.

Как KYC и AML сочетаются друг с другом?

KYC является одним из компонентов контроля AML. Он создает личность клиента и первоначальную картину риска, на которую опираются последующие средства контроля. AML также может включать скрининг санкций и PEP, постоянный скрининг, мониторинг транзакций, расследование оповещений, отчетность о подозрительной деятельности, ведение учета, обучение, управление и независимое тестирование.

Связь легче всего увидеть как временную шкалу:

1. Перед началом отношений: идентифицируйте, проверьте, отфильтруйте и оцените риск клиента.
2. Во время отношений: отслеживайте активность и изменения по сравнению с ожидаемым профилем.
3. При изменении риска: обновите доказательства, примените усиленную комплексную проверку, ограничьте активность, расследуйте или сообщайте по мере необходимости.
4. При закрытии: сохраните необходимые записи и примените любые сохраняющиеся ограничения.

Вот почему поиск aml kyc не должен приводить на страницу, которая обсуждает только сбор документов. Решение о личности предоставляет контекст; постоянные средства контроля проверяют, соответствует ли реальность этому контексту.

Что должен предоставлять API KYC?

API KYC должен предоставлять стабильный контракт для создания проверок, получения результатов и обработки исключений. Точная форма конечной точки менее важна, чем операционные гарантии, связанные с ней.

Основные возможности API

• Ссылка на клиента или поставщика, которая сопоставляет проверку с вашей собственной записью.
• Идемпотентность для операций создания и повторной попытки.
• Явное управление версиями рабочего процесса или политики.
• Размещенные и встроенные параметры захвата, если это применимо.
• Подписанные, перепроверяемые веб-хуки с документированными состояниями событий.
• Конечная точка получения, чтобы потребители могли устранять пропущенные события.
• Структурированные коды причин, предупреждения и результаты на уровне доказательств.
• Отдельные состояния для технического сбоя, повторной попытки пользователя, проверки, одобрения и отклонения.
• Тестовые данные и сценарии песочницы как для успешных, так и для неудачных путей.
• Документация по хранению, удалению, местонахождению и контролю доступа.

Минимальный шаблон интеграции

Ваш бэкенд
  -> создает сеанс верификации с внутренней ссылкой на клиента
  -> отправляет пользователя на утвержденный поток захвата
  -> получает подписанное событие
  -> получает окончательное решение из API провайдера
  -> применяет вашу собственную политику и переход состояния клиента
  -> записывает доказательства, причину и версию политики

Результат поставщика является входными данными для вашего решения. Сохранение границы политики в вашем бэкенде позволяет изменять пороговые значения, поставщиков или рабочие процессы, не теряя контроля над состоянием клиента.

Как команды должны оценивать сервис KYC?

Соответствие нормативным требованиям и гарантиям

Спросите, какую модель проверки личности поддерживает сервис, какие сильные стороны доказательств доступны, какие юрисдикции и типы клиентов охватываются, и какие независимые тесты применяются к каждому компоненту. Сертификация для одного биометрического механизма не сертифицирует весь процесс онбординга.

Устойчивость к мошенничеству

Проверьте охват атак на документы, обнаружение атак на презентацию, защиту от инъекций, оценку совпадения лиц, контроль повторяющихся устройств или личностей и инструменты ручной проверки. Запросите протоколы испытаний, классы атак, результаты ложных принятий и ложных отклонений, а также то, как производительность меняется при сжатии, плохом освещении, старых устройствах и необнаруженных атаках.

Качество покрытия

«Глобальный» — это не план тестирования. Создайте матрицу стран, типов документов, скриптов, источников данных и групп клиентов, которые вы фактически обслуживаете. Запустите образцы, аналогичные производственным, и отслеживайте процент завершения, отклонения, проверки и неподдерживаемых доказательств по сегментам.

Качество решений и операции

Проверьте коды причин, просмотры доказательств, разрешения рецензентов, журналы аудита, очереди кейсов, элементы управления повторными попытками и апелляции. Высокий уровень автоматизации бесполезен, если аналитики не могут понять исключения.

Надежность разработчиков

Проверьте идемпотентность, доставку веб-хуков, проверку подписи, порядок, повторные попытки, тайм-ауты, версионирование API, ограничения скорости, согласование статусов и точность песочницы. Определите, что происходит, когда пользователь завершает поток, но событие задерживается.

Конфиденциальность и безопасность

Сопоставьте каждый собранный атрибут и биометрический артефакт с целью, правилом хранения, политикой доступа, регионом и путем удаления. Проверьте субпроцессоров, шифрование, реагирование на инциденты, журналы доступа и возможность разделения сред и приложений.

Пользовательский опыт и инклюзивность

Измеряйте завершение и ложное отклонение по документу, устройству, операционной системе, сети, языку и соответствующей демографической группе. Предоставьте четкие инструкции по восстановлению и альтернативный путь для пользователей, которые не могут выполнить стандартный метод.

Распространенные ошибки при внедрении KYC

Рассмотрение KYC как одноразового шлюза

Чистый результат онбординга может устареть. Документы истекают, списки наблюдения меняются, учетные записи захватываются, и поведение меняется. Определите триггеры обновления при написании исходной политики.

Путаница верификации с принятием риска

Человек может быть правильно идентифицирован и при этом представлять неприемлемый или повышенный риск. Разделяйте решения о личности, скрининге, риске клиента и пригодности для бизнеса.

Автоматическое отклонение каждого потенциального совпадения при скрининге

Имена не являются уникальными идентификаторами. Сохраняйте контекст совпадения и проверяйте неоднозначные результаты, а не превращайте каждого кандидата в совпадение в подтвержденную личность.

Использование одного рабочего процесса для каждого клиента

Единообразные потоки могут перегружать пользователей с низким риском, одновременно недостаточно проверяя случаи с высоким риском. Используйте документированный подход, основанный на рисках, с ограниченными ветвями и четкими критериями эскалации.

Доверие к перенаправлению на стороне клиента

Страница успеха не является надежным решением. Подтвердите результат на стороне сервера, аутентифицируйте события, получите каноническую запись и примите решение о доступе в своей собственной системе.

Измерение только показателя успешности

Отслеживайте результаты безопасности и пользователей вместе: ложные принятия, ложные отклонения, повторные попытки, отказ, частота ручной проверки, время до разрешения, неподдерживаемые доказательства и последующее мошенничество. Более высокий показатель успешности может быть предупреждением, если средства контроля ослабли.

Игнорирование пути исключения

У реальных пользователей есть поврежденные документы, несоответствующие имена, ограниченные устройства, ограниченные возможности и плохое подключение. Определите повторные попытки, альтернативные доказательства, ручную проверку, апелляции и ответственность за поддержку до запуска.

Где подходит Didit

Didit предоставляет компонуемые проверки личности и мошенничества, которые могут быть собраны в рабочий процесс. Опубликованный пакет KYC составляет 0,33 $ за проверку личности, пассивную проверку живости, сопоставление лиц и IP-анализ; опубликованный бесплатный уровень составляет 500 бесплатных проверок в месяц.

Для части, касающейся личности, см. Проверка личности. Для проверок присутствия см. Обнаружение живости. Для скрининга рисков клиента см. AML-скрининг. Команды могут связывать проверки через Оркестратор рабочих процессов и просматривать тарифы на уровне модулей на странице цен.

Эти результаты продукта по-прежнему должны находиться в рамках собственной политики организации, юридического анализа, процесса проверки и программы мониторинга.

Часто задаваемые вопросы

Что означает KYC?

KYC означает «Знай своего клиента» (Know Your Customer), также пишется как Know Your Client. Это процесс идентификации клиента, проверки соответствующих доказательств, оценки риска отношений и поддержания актуальности профиля клиента.

Отличается ли eKYC от KYC?

eKYC — это электронная доставка KYC с помощью удаленных или цифровых методов. Цель остается прежней; доказательства, метод сбора, угрозы мошенничества и пути восстановления пользователя отличаются.

В чем разница между KYC и верификацией личности?

Верификация личности устанавливает связь между заявленной личностью и заявителем. KYC использует этот результат наряду с оценкой рисков, скринингом, политикой, записями и постоянным обзором.

В чем разница между KYC и AML?

KYC является частью AML, ориентированной на клиента. AML шире и может включать мониторинг транзакций, расследования, отчетность о подозрительной деятельности, управление и постоянный контроль.

Всегда ли KYC требует удостоверяющего личность документа?

Не всегда. Принимаемые доказательства зависят от закона, политики, гарантий, юрисдикции и риска. Некоторые разрешенные потоки могут использовать авторитетные базы данных, цифровые учетные данные или комбинированные доказательства. Команды должны подтвердить применимое требование, а не предполагать, что один метод подходит для каждого случая.

Как часто следует обновлять KYC?

Универсального интервала нет. Обновление должно соответствовать применимым требованиям и документированной модели риска, с обзорами, основанными на событиях, когда изменяются существенные данные о личности, владении, санкциях, документах или поведенческих сигналах.

Может ли API KYC сделать бизнес соответствующим требованиям?

Ни один API сам по себе не обеспечивает соответствие требованиям. Он может собирать доказательства и возвращать структурированные результаты, в то время как организация остается ответственной за политику, решения по рискам, исключения, управление, записи и мониторинг.

Основные ссылки

• Руководство FATF по цифровой идентификации
• Руководство FATF по комплексной проверке клиентов
• NIST SP 800-63A-4: Проверка личности и регистрация
• Объяснение HMRC комплексной проверки клиентов

KYC работает, когда доказательства личности, политика рисков, технические средства контроля, человеческое суждение и постоянный мониторинг согласованы. Сначала постройте жизненный цикл; затем выберите проверки и контракт API, которые могут его поддерживать.