Программное обеспечение KYC: Руководство для покупателя и критерии оценки (RU)

Программное обеспечение KYC – это технология, используемая для сбора информации о клиентах, проверки данных, подтверждающих личность, применения мер контроля рисков, управления исключениями и сохранения записей, лежащих в основе решения "Знай своего клиента". В зависимости от своего охвата, оно может также координировать биометрические проверки, авторитетные источники данных, проверку на наличие в санкционных списках и списки политически значимых лиц, рабочие процессы, обзоры и постоянное обновление.

Полезная оценка начинается с решения о клиенте, которое организация должна защитить, а затем проверяет, предоставляет ли программное обеспечение необходимые доказательства, средства контроля, надежность интеграции, операции по проверке и управление для его поддержки.

Это руководство посвящено коммерческому вопросу и вопросу операционной модели. Для получения базовых определений, регуляторного жизненного цикла и взаимосвязи между KYC, CDD и AML, см. руководство по жизненному циклу KYC. Для получения информации о веб-хуках, моделях состояний, идемпотентности, схемах доказательств и границах доверия бэкенда, см. руководство по оценке интеграции API проверки личности.

Ключевые выводы

• Требования предшествуют сравнению поставщиков. Типы клиентов, юрисдикции, доказательства, гарантии, риски, доступность, проверка и хранение определяют, что должно делать программное обеспечение.
• Программное обеспечение KYC шире, чем просто проверка документов. Результаты верификации требуют политики, проверки, рабочего процесса, исключений, аудиторских записей и постоянной проверки клиента.
• "Создать или купить" обычно является пограничным решением. Команды могут приобретать специализированные проверки доказательств, сохраняя состояние клиента, политику, оркестрацию и окончательные решения в своих собственных системах.
• Цена за единицу — это не общая стоимость. Повторные попытки, отказ, ручная проверка, интеграция, поддержка, потери от мошенничества, ложные отказы, операции с данными и управление изменениями влияют на экономический результат.
• Доказательство концепции требует репрезентативных доказательств и путей отказа. Отлаженный успешный поток мало говорит о неподдерживаемых документах, неопределенных результатах, атаках, задержках событий, очередях на проверку или удалении.

Что такое программное обеспечение KYC?

Программное обеспечение KYC — это система или набор услуг, которые помогают организации выполнять свою политику должной осмотрительности клиентов. Оно превращает такую политику, как "идентифицировать этого клиента, проверить соответствующие доказательства, проверить соответствующие риски и сохранить решение, подлежащее проверке", в повторяемый операционный процесс.

Термин охватывает продукты с очень разными границами. Одна услуга может проверять документы, удостоверяющие личность. Другая может сочетать захват, биометрию, проверки баз данных, скрининг, правила рабочего процесса, проверку и историю аудита. Третья может сосредоточиться на управлении случаями, обращаясь к специализированным поставщикам за доказательствами. Поэтому метки категорий менее полезны, чем точное утверждение, источник, охват угроз, причины и состояния отказов, возвращаемые каждым компонентом.

Руководство FATF по цифровой идентификации рекомендует понимать уровень гарантий, технологию, архитектуру и управление системы цифровой идентификации, прежде чем решить, является ли она достаточно надежной и независимой для соответствующего риска должной осмотрительности клиентов. Это лучшая основа для покупки, чем рассмотрение метки продукта как доказательства пригодности.

Сравнение программного обеспечения KYC, API идентификации, скрининга и инструментов управления делами

Категория	Основная задача	Типичный результат	Граница для проверки
Программное обеспечение KYC	Координация должной осмотрительности клиентов	Состояние рабочего процесса, доказательства, скрининг, проверка и аудиторская запись	Оно не определяет юридические обязательства организации
ID verification API	Валидация данных, подтверждающих личность, и привязка их к заявителю	Результаты на уровне доказательств, причины и состояние попытки	Оно может не охватывать риск клиента, скрининг или постоянную проверку
AML screening service	Сравнение людей или организаций с соответствующими источниками рисков	Потенциальные совпадения, исходные записи, уверенность и состояние проверки	Возможное совпадение не является подтвержденным совпадением или юридическим заключением
Transaction monitoring system	Оценка активности клиента по сценариям и рискам	Оповещения, дела, доказательства и история решений	Оно не заменяет проверку личности при регистрации
Case-management software	Организация человеческого расследования и утверждения	Очереди, назначения, заметки, решения и история аудита	Оно надежно только в той степени, в какой надежны доказательства и средства контроля, которые его питают
Workflow orchestrator	Маршрутизация проверок и действий в соответствии с политикой	Версионные ветви, действия по повышению уровня и окончательное состояние рабочего процесса	Оркестрация не делает слабые доказательства сильнее

Закупка может включать несколько из этих категорий. Цель состоит в том, чтобы сделать владение, поток доказательств, переходы состояний и обработку отказов явными по всей системе.

Начните с принятия решения и модели риска

Эффективный запрос предложений начинается с вариантов использования, а не с общего списка функций. Одной и той же организации могут потребоваться разные пути KYC для потребительского счета с низким риском, регулируемого финансового продукта, владельца бизнеса, восстановления счета или крупной выплаты.

Объем клиента и отношений

Определите, должно ли программное обеспечение поддерживать физических лиц, индивидуальных предпринимателей, юридических лиц, бенефициарных владельцев, уполномоченных представителей или несколько из них. Запишите продукты, каналы, возрастные ограничения, географию, ожидаемую активность и причины, по которым отношения могут потребовать усиленной проверки.

Объем доказательств и юрисдикции

Перечислите документы, авторитетные базы данных, цифровые учетные данные, чипы NFC, доказательства адреса и другие источники, разрешенные политикой. Не принимайте глобальный охват в качестве плана тестирования. Создайте матрицу из доказательств, которые предоставляют реальные клиенты, включая скрипты, старые версии документов, устройства низкого класса и законные пограничные случаи.

Объем гарантий и угроз

Укажите, что должно быть установлено: разрешение личности, проверка доказательств, привязка заявителя, реальное присутствие, целостность захвата, риск клиента или другое заключение. Затем сопоставьте угрозы, относящиеся к каждому шагу, такие как украденные подлинные документы, изменения, атаки презентаций, внедренные медиа, эмуляторы, повторяющиеся личности, фермы аккаунтов и скомпрометированные аккаунты.

Окончательный NIST SP 800-63A-4 разделяет разрешение личности, проверку доказательств, верификацию заявителя, управление мошенничеством, конфиденциальность, возмещение ущерба и записи. Даже если федеральные требования не регулируют покупателя, эти отдельные функции полезны для выявления пробелов, скрытых одним широким статусом "проверено".

Результаты и исключения

Определите больше, чем "одобрить" и "отклонить". Полезные состояния могут включать "ожидание ввода", "разрешена повторная попытка", "на рассмотрении", "истек срок действия", "отказано" и "технический сбой". Для каждого состояния укажите сообщение клиенту, действие бэкенда, ответственного за проверку, лимит повторных попыток, путь обжалования и аудиторские доказательства.

Управление и границы данных

Сопоставьте каждое собранное поле, изображение, биометрический образец, результат скрининга и примечание рецензента с целью, правовым основанием, правилом хранения, регионом, ролью доступа, процессом удаления и требованием аудита. Решите, какие данные могут оставаться у поставщика, а какие должны быть скопированы во внутренние системы.

Основные критерии оценки

Качество и происхождение доказательств

Спросите, как сервис проверяет каждый тип доказательств, с какими эмитентами или источниками он консультируется, какая актуальность применяется и какие поля результатов определяют используемый метод. Совпадение в базе данных, оптический осмотр документа, считывание чипа NFC и цифровая учетная запись могут поддерживать разные выводы. Результат должен сохранять это происхождение.

Устойчивость к мошенничеству и целостность захвата

Запросите покрытие атак и тестирование по механизму, версии, устройству и рабочему порогу. Проверка документов, сопоставление лиц, обнаружение атак презентаций и защита от внедрения являются отдельными элементами управления. Доказательства для одного не должны представляться как сертификация всего процесса.

Управление политикой и рабочим процессом

Программное обеспечение должно поддерживать различные маршруты по клиенту, географии, продукту, доказательствам и риску. Ищите явные версии рабочего процесса, ограниченные повторные попытки, действия по повышению уровня, ручную проверку и способность отличать технический сбой от предполагаемого мошенничества. Подтвердите, может ли организация изменить политику без перестройки клиентского приложения.

Объяснимость и операции по проверке

Рецензентам нужны исходные доказательства, стабильные коды причин, контекст уверенности или совпадения, история попыток, назначения, разрешения, примечания и обоснование переопределения. Покупатели должны наблюдать реальную очередь дел, а не только демонстрацию захвата, ориентированную на клиента. Измерьте, может ли аналитик понять, почему дело поступило и какие действия разрешены.

Надежность интеграции

Оцените аутентифицированные события, идемпотентное создание, каноническое извлечение, повторные попытки, тайм-ауты, порядок событий, версионирование API, контроль скорости, согласование статусов и точность песочницы. Хостируемые процессы по-прежнему требуют бэкенд-интеграции. Перенаправление, показанное пользователю, не должно становиться авторитетным решением клиента.

Безопасность, конфиденциальность и отказоустойчивость

Проверьте область действия учетных данных, шифрование, изоляцию клиентов, авторизацию объектов, ведение журнала доступа, обработку инцидентов, субпроцессоров, региональную обработку, удаление, резервные копии и непрерывность бизнеса. Проверьте, получают ли роли, такие как поддержка, рецензент, разработчик и администратор, только необходимые им доказательства.

Инклюзивность и восстановление клиента

Проверьте язык, доступность, разрешение камеры, низкую пропускную способность, старые устройства, варианты имен, транслитерацию, поврежденные доказательства и клиентов, которые не могут завершить маршрут по умолчанию. Защищенная система все равно будет операционно неэффективной, если у реальных пользователей нет контролируемого альтернативного пути.

Модели интеграции программного обеспечения KYC

Модель	Преимущества	Обязанности, сохраняемые покупателем	Основной риск оценки
Хостируемый провайдером процесс	Более быстрое развертывание захвата и централизованная поддержка устройств	Создание сеанса, сопоставление клиентов, окончательная политика и переход состояния	Рассмотрение страницы возврата как авторитетной
Встроенный веб- или мобильный SDK	Больший контроль над процессом приложения	Жизненный цикл SDK, разрешения, целостность приложения, состояние бэкенда и обновления	Старый или плохо интегрированный SDK, ослабляющий захват
Модули "сервер-сервер"	Гибкая композиция и переносимость	Захват, согласие, безопасность полезной нагрузки, защита от повторов и оркестрация	Отправка недоверенных доказательств, как если бы захват уже был доказан
Оркестрированный провайдером рабочий процесс	Единый процесс для множества проверок и путей проверки	Утверждение политики, последующее решение клиента, надзор и сверка	Потеря видимости того, какая версия и доказательства привели к результату
Оркестрация, контролируемая покупателем	Максимальный контроль политики и выбор компонентов	Конечный автомат, маршрутизация, повторные попытки, мониторинг и координация с провайдером	Недооценка инженерного и операционного владения

Лучшая модель зависит от того, где у организации есть устойчивый опыт. Хостируемый поток может сократить работу с устройствами и интерфейсами. Оркестрация, контролируемая покупателем, может сохранить переносимость и контроль политики. Многие команды используют гибридный подход: специализированные провайдеры предоставляют доказательства, в то время как бэкенд организации владеет идентификацией клиента, контекстом рабочего процесса и окончательным состоянием.

Создавать или покупать возможности KYC

"Создание KYC" может означать несколько разных проектов. Создание механизма политики и рабочего процесса управления делами — это не то же самое, что создание моделей подлинности документов, поддержание шаблонов эмитентов, управление биометрической защитой или курирование источников скрининга. Разделите эти уровни, прежде чем оценивать усилия.

Что разумно сохранять внутри компании

Организации часто обладают уникальными знаниями о продуктовых рисках, праве клиентов на участие, истории аккаунтов, контексте транзакций, восстановлении и юридической интерпретации. Поэтому внутренние системы хорошо подходят для:

• состояния клиента и аккаунта;
• решений политики и истории версий;
• независимых от поставщика идентификаторов;
• маршрутизации и ограничений, специфичных для продукта;
• окончательного утверждения, ограничения и обжалования;
• мониторинга, который сочетает доказательства поставщика с внутренним поведением.

Что способствует покупке

Покупка привлекательна, когда возможность требует специализированных моделей, обслуживания документов или источников, опыта захвата, исследования мошенничества, независимого тестирования, географических операций или постоянной поддержки на разных устройствах. Поставщик по-прежнему должен предоставлять достаточно доказательств и версий, чтобы покупатель мог управлять результатом.

Когда гибридная модель сильнее

Гибридный подход позволяет приобретать сложные функции доказательств и сохранять бизнес-решение. Он также может использовать более одного поставщика, когда юрисдикции, типы доказательств или восстановление после сбоев различаются. Стоимость заключается в дополнительной оркестрации, управлении поставщиками, сверке и последовательном обучении рецензентов.

Прежде чем выбрать границу, спросите, может ли команда поддерживать эту возможность по мере изменения угроз, документов, источников, устройств и правил; какие независимые доказательства подтвердят ее; кто управляет проверками и инцидентами; и можно ли заменить компонент без потери истории клиентов.

Решение "создать или купить" не является одноразовым вердиктом. Пересматривайте границу по мере изменения состава клиентов, регулирования, мошенничества, производительности поставщиков и внутренних возможностей.

Общая стоимость программного обеспечения KYC

Общая стоимость сочетает прямые платежи поставщику с затратами на получение обоснованного решения для клиента. Сравнение только заявленной цены проверки может привести к выбору процесса, который создает больше повторных попыток, проверок, работы по поддержке или ложных результатов.

Фактор стоимости	Вопросы для моделирования
Плата за использование	Оплата производится за попытку, завершенную проверку, успешный результат, модуль, пакет, проверку или хранимую запись?
Повторные попытки и отказ	Какие сбои подлежат оплате, и сколько реальных пользователей повторяют или покидают процесс?
Ручная проверка	Какая доля доходит до проверки, сколько времени занимает решение и какая экспертиза требуется?
Проектирование и обслуживание	Что необходимо создать для интеграции, обновлений, мониторинга, сверки, миграции и реагирования на инциденты?
Поддержка и восстановление	Как часто клиентам нужна помощь, альтернативные доказательства, обжалование или новая попытка?
Ошибки решений	Каково влияние принятого мошенничества, отклоненных реальных клиентов, задержки регистрации и непоследовательной политики?
Операции с данными	Какие затраты возникают из-за хранения, региональной обработки, контроля доступа, экспорта, удаления и аудита?
Изменения и выход	Важны ли минимальные значения, миграции, новые модули, перерасход, экспорт доказательств или выход из контракта?

Моделируйте затраты по репрезентативному сегменту клиентов, а не по одному усредненному значению. Процесс может быть недорогим для клиентов с общим документом и современным устройством, но дорогостоящим для другой географии, типа доказательств или группы проверки.

Знаменатель также должен быть явным. Стоимость за инициированную попытку, завершенный процесс, одобренного реального клиента и удержанного клиента отвечает на разные вопросы. Отдел закупок, комплаенс, отдел по борьбе с мошенничеством, операционный отдел, отдел продуктов и финансовый отдел должны согласовать знаменатель, прежде чем сравнивать предложения.

Проведите проверку концепции, которая может потерпеть неудачу

Проверка концепции должна тестировать предполагаемую операционную систему, а не устраивать демонстрацию поставщика. Используйте разрешенные, репрезентативные случаи и заранее определите критерии успеха, прежде чем результаты станут видимыми.

Создайте репрезентативную матрицу

Включите страны, типы доказательств, языки, устройства, камеры, сетевые условия, сегменты клиентов и пути рисков, ожидаемые в производстве. Сохраните достаточно достоверных данных, чтобы различать подлинное завершение, неподдерживаемые доказательства, сбой качества, предполагаемую атаку и системную ошибку.

Отработайте неблагоприятные и операционные сценарии

Проверьте истечение срока действия, повреждение, несоответствие полей, повторные попытки, прерванные сеансы, дублирующиеся события, отложенные события, проверку, удаление, недоступность поставщика и изменения версий. Используйте авторизованное тестирование атак для измененных документов, повторов, атак презентаций, путей внедрения, эмуляторов, повторяющихся личностей и автоматизации, где это применимо.

Измеряйте результаты для клиентов и риски вместе

Отслеживайте завершение, отказ, повторные попытки, неподдерживаемые доказательства, частоту проверок, время до разрешения, ложные принятия, ложные отказы, результаты без решения, контакты со службой поддержки и подтвержденное последующее мошенничество. Разделяйте результаты по сегментам, которые могут выявить неравномерную или хрупкую производительность.

Распространенные ошибки при покупке программного обеспечения KYC

Покупка самого длинного списка функций

Названия функций не устанавливают надежность доказательств, операционное качество или соответствие. Оценивайте необходимые выводы и рабочие процессы, требуемые вариантом использования.

Рассмотрение скорости автоматизации как качества решения

Высокая скорость автоматических решений может скрывать слабые средства контроля или чрезмерное количество отказов. Измеряйте безопасность, клиента, проверку и последующие результаты вместе.

Сравнение цен без определения принципов тарификации

Видимая цена за единицу не сопоставима до тех пор, пока попытки, повторные попытки, модули, проверки, хранение, минимумы и условия успеха не используют один и тот же знаменатель.

Передача политики статусу поставщика

Поставщик не знает всех ограничений продукта, истории клиента, юрисдикции или вариантов восстановления. Сохраняйте окончательное решение по политике и обоснование под контролем организации.

Тестирование только общих документов и новых телефонов

Это создает доказательство легкого пути. Репрезентативные доказательства, старые устройства, несколько скриптов, низкая пропускная способность, исключения и атаки выявляют реальные эксплуатационные затраты.

Игнорирование проверки и обжалования

Неопределенные доказательства неизбежны. Без обученной проверки, контролируемых повторных попыток, альтернативных путей и возмещения ущерба система превращает неопределенность в избегаемые потери или исключения.

Привязка состояния клиента к одному провайдеру

Если внутренние учетные записи напрямую зависят от статусов и идентификаторов поставщика, миграция становится переписыванием состояния клиента. Сохраняйте независимые от поставщика ссылки и переходы политик.

Контрольный список закупок

Прежде чем подписать или расширить соглашение о программном обеспечении KYC, убедитесь, что:

• требования к клиенту, продукту, юрисдикции, доказательствам, гарантиям и угрозам документированы;
• результат и ограничения каждого компонента явны;
• репрезентативные тесты охвата и мошенничества соответствуют заранее определенным критериям приемлемости;
• интеграция охватывает аутентифицированные события, идемпотентность, сверку, версионирование и сбои;
• пути проверки, повторных попыток, поддержки, обжалования и инцидентов имеют ответственных;
• контроль конфиденциальности, доступа, хранения, резидентства, удаления и аудита проверен;
• результаты для клиентов и рисков могут быть измерены по соответствующему сегменту;
• предположения о ценообразовании и общей стоимости используют согласованные определения тарификации и знаменатели;
• версии рабочего процесса, доказательств и политики остаются объяснимыми со временем;
• идентификация клиента, окончательные решения и данные миграции остаются под контролем организации.

Использование Didit для рабочего процесса KYC

Didit позволяет командам комбинировать проверку личности, обнаружение "живости", анализ устройств и IP-адресов, AML-скрининг и условные маршруты через оркестратор рабочих процессов.

Опубликованный полный пакет KYC составляет $0.33 за проверку личности, пассивную проверку "живости", сопоставление лиц и IP-анализ, а бесплатный уровень включает 500 бесплатных проверок в месяц. Текущие тарифы на модули указаны на странице ценообразования. Эти продукты предоставляют доказательства и средства контроля рабочего процесса; организация по-прежнему несет ответственность за требования, юридический анализ, решения клиентов, исключения и постоянную проверку.

Часто задаваемые вопросы

Что такое программное обеспечение KYC?

Программное обеспечение KYC помогает организации собирать данные о клиентах, проверять соответствующие доказательства личности, применять скрининг или меры контроля рисков, управлять проверками и сохранять записи для должной осмотрительности клиентов.

Какие функции должно включать программное обеспечение KYC?

Необходимые функции зависят от варианта использования. Общие потребности включают проверку доказательств, привязку заявителя, средства контроля мошенничества, скрининг, правила рабочего процесса, коды причин, ручную проверку, историю аудита, безопасную интеграцию, контроль конфиденциальности и постоянное обновление.

Является ли программное обеспечение KYC тем же, что и API проверки личности?

Нет. API проверки личности фокусируется на доказательствах личности и привязке заявителя. Программное обеспечение KYC может координировать этот результат со скринингом, риском клиента, рабочим процессом, проверкой, записями и постоянной должной осмотрительностью.

Должна ли компания создавать или покупать программное обеспечение KYC?

Большинство организаций должны принимать решение о возможностях по отдельности. Специализированные проверки доказательств часто выгоднее покупать, в то время как состояние клиента, политика продукта, окончательные решения и независимая от поставщика история являются сильными кандидатами на внутреннее владение.

Как следует сравнивать стоимость программного обеспечения KYC?

Сравните полную стоимость за значимый результат, используя согласованные определения тарификации. Включите попытки, модули, повторные попытки, отказ, проверку, проектирование, поддержку, операции с данными, ошибки решений и миграцию, а не только заявленную цену проверки.

Может ли программное обеспечение KYC обеспечить соответствие организации требованиям?

Нет. Программное обеспечение может собирать доказательства, выполнять настроенные средства контроля и сохранять записи. Организация по-прежнему несет ответственность за применимое законодательство, политику, соразмерность, решения, управление, исключения и мониторинг.

Что должна проверять проверка концепции программного обеспечения KYC?

Она должна проверять репрезентативных клиентов, доказательства, географию, устройства, угрозы, состояния интеграции, пути проверки, операции конфиденциальности и восстановление после сбоев в соответствии с заранее определенными показателями для клиентов, безопасности, операционной деятельности и затрат.

Основные ссылки

• Рекомендации FATF
• Руководство FATF по цифровой идентификации
• NIST SP 800-63A-4: Проверка и регистрация личности
• NIST Cybersecurity Framework 2.0
• OWASP API Security Top 10 — 2023

Программное обеспечение KYC работает, когда оно делает решение организации более обоснованным, а не просто более автоматизированным. Определите необходимые доказательства и результаты рисков, четко определите ответственность за политику, протестируйте пути отказа, подсчитайте полную операционную стоимость и выберите компоненты, которые остаются объяснимыми и заменяемыми по мере изменения клиентов и угроз.