远程eKYC：方法、风险与合规 (ZH)
电子化KYC（eKYC）的定义指南：远程身份证据、数字化入驻、欺诈控制、监管预期、评估标准以及实施陷阱。.
eKYC，即电子化了解您的客户（Know Your Customer），是指通过数字渠道进行客户身份识别和尽职调查。它允许组织收集身份信息、验证证据、确认申请人与证据的关联性、筛选相关风险并记录决策，而无需每位客户都亲自前往分支机构或办公室。
“电子化”部分描述的是渠道，而非减轻责任。远程流程仍需制定关于可靠证据、防欺诈、例外情况、人工审核、隐私、记录保存和持续客户尽职调查的政策。用应用程序取代办公桌改变了攻击面和操作模式；它并不能将一张自拍照或数据库响应转变为完整的KYC。
本指南重点关注更广泛的KYC生命周期中的远程入驻分支：当客户不在现场时，如何收集、测试、绑定申请人并操作电子证据。
主要收获
- eKYC是数字KYC，而非单一技术。文件、NFC芯片、权威数据库、数字凭证、生物识别和人工视频都可支持远程决策。
- 保证取决于整个系统。证据强度、验证、申请人绑定、捕获完整性、政策和异常处理，比流程是否被标记为“自动化”更重要。
- 远程入驻带来了独特的威胁。演示攻击、注入媒体、模拟器、被盗身份数据、合成身份、账户农场和篡改文件都需要单独的控制。
- 风险应决定路径。低风险申请人可能完成简短流程，而存在不确定性或高风险时，则可能触发更多证据、主动挑战或专业审核。
- 组织仍负有责任。供应商提供证据和技术结果；受监管或依赖的组织拥有法律分析、接受政策、记录和持续监控的责任。
eKYC意味着什么？
eKYC意味着通过电子流程进行KYC的身份识别和客户尽职调查部分。申请人可以使用手机、浏览器、自助终端、可重复使用的数字身份或辅助视频渠道。组织可以结合多种证据，而不是强制每个人都遵循相同的文件和自拍序列。
金融行动特别工作组关于数字身份的指南是技术中立的。它要求受监管实体了解数字身份系统的保证级别、架构和治理，然后决定其是否足够可靠和独立，以应对相关的客户尽职调查风险。
这使得eKYC成为一种操作模型，而非具有固定定义的单一产品类别。在一个市场中，权威数据库匹配加上绑定的电话可能足以用于有限账户。在另一个市场中，政策可能要求政府文件、芯片验证、活体检测、面部比对和筛选才能建立任何关系。
eKYC、KYC、数字身份和认证的比较
| 术语 | 它回答的问题 | 典型时刻 | 需要保留的界限 |
|---|---|---|---|
| KYC | 我们是否充分了解和理解这位客户，以建立关系？ | 入驻和持续审查 | 比身份证据更广泛 |
| eKYC | KYC证据和决策能否通过电子渠道完成？ | 远程入驻和更新 | 一种渠道，而非独立的法律目标 |
| 身份证明 | 所声称的真实世界身份是否存在，申请人是否与它相关联？ | 注册、恢复或升级 | 本身不评估客户风险 |
| 数字身份 | 指代主体的数字表示、凭证或账户是什么？ | 注册和后续使用 | 质量取决于其发行和维护方式 |
| 认证 | 当前用户是否控制绑定到账户的认证器？ | 登录或交易授权 | 不证明账户最初是如何建立的 |
| AML筛选 | 客户是否出现在相关制裁、PEP或其他风险数据中？ | 入驻和重新筛选 | 可能的匹配不自动等同于已确认的匹配 |
这些概念协同工作。eKYC可以建立客户记录并绑定认证器。认证可以保护后续访问。反洗钱控制可以使用已验证的客户资料来解释筛选和行为。将它们视为一个分数会掩盖实际支持的结论。
eKYC流程如何运作？
1. 定义政策和保证目标
从受保护的关系或行动开始。明确管辖区、客户类型、产品、风险因素、接受的证据、禁止情况、升级规则、保留期限和决策所有者。功能有限的账户可能不需要与账户恢复或访问受监管金融产品相同的证据。
政策还应定义当首选方法不可用时会发生什么。一个人可能没有兼容的手机、可读取的芯片、默认文件，或者无法完成生物识别操作。备用路径是控制的一部分。
2. 收集最少的识别数据
收集用于识别客户并满足适用目的所需的属性。这可以包括法定姓名、出生日期、地址、国籍、政府标识符或联系信息。更多数据不一定会自动产生更多保证。每个字段都应有其理由、保护措施、保留规则和删除路径。
3. 解决身份
解决身份确定所提供的属性是否识别了相关人群中的一个人。NIST SP 800-63A-4身份证明模型将解决、验证和核实分开。这种分离在美国联邦服务之外也很有用，因为它防止了将数据库命中误认为是申请人拥有记录的证据。
4. 验证证据和属性
验证测试证据是否真实、准确、最新和可接受。文件路径可以检查有效期、布局、打印字段、机器可读数据、安全功能、篡改迹象和签发信息。NFC路径可以在支持的情况下读取签名芯片数据。数据库路径可以根据权威或可信来源证实属性。
返回具体的证据和原因代码。“过期证据”、“不支持的证据”、“字段不匹配”和“疑似篡改”需要不同的客户指导和操作。
5. 验证申请人与身份的关联
验证将流程中的人员与已验证的证据连接起来。远程文件流程可以将实时面部捕获与文件上的肖像进行比较。数字凭证可以使用控制的加密证明。人工流程可能涉及受过培训的代理人遵循定义的程序。
文件验证、活体检测、面部匹配和捕获完整性回答不同的问题。通过其中一项不应默示所有四项都通过。
6. 筛选并评估客户风险
在需要时，根据相关的制裁、政治公众人物、负面媒体或其他风险来源筛选客户及相关人员。将筛选证据与地理位置、产品、目的、客户类型、所有权和其他政策因素结合起来。
姓名匹配是概率性的。保留源数据和匹配上下文，区分候选匹配和已确认匹配，并根据风险而非拒绝每个相似名称来处理模糊性。
7. 决策并保存记录
将证据映射到明确的结果，例如批准、重试、升级、人工审核或拒绝。存储政策和工作流版本、证据参考、结构化结果、时间戳、审核员操作和决策理由，以备审计、申诉和后续更新。
后端（而非浏览器重定向）应控制客户状态。通过经过身份验证的服务器到服务器路径验证最终结果，并使重试幂等，以便延迟事件不会创建重复客户或矛盾的决策。
8. 监控和更新
eKYC并非在开户时结束。文件会过期，制裁信息会变化，账户会被恢复，所有权会改变，行为可能偏离预期。定义定期和事件驱动的更新触发器，然后保留新证据与原始记录之间的关系。
eKYC中使用的证据方法
| 方法 | 可支持的内容 | 优势 | 重要局限性 |
|---|---|---|---|
| 文件光学捕获 | 属性收集和文件验证 | 广泛可用且用户旅程熟悉 | 图像可能被篡改、重放、捕获不良或不受支持 |
| NFC芯片读取 | 签名文件数据和更高置信度的肖像提取 | 可验证芯片签名并减少对像素的依赖 | 需要兼容的文件、设备和实施 |
| 权威数据库核查 | 属性证实 | 可能无需实体文件 | 覆盖范围、新鲜度、匹配逻辑和合法访问各不相同 |
| 生物识别面部比对 | 将申请人捕获与参考肖像关联 | 直接持有人绑定证据 | 准确性取决于参考、质量、阈值和人群 |
| 活体检测或PAD | 捕获时活体呈现的证据 | 有助于对抗已定义的重放和演示攻击 | 不自动阻止注入媒体或证明身份 |
| 数字凭证 | 加密呈现的身份属性 | 可最大限度地减少重复文件捕获 | 信任度取决于发行方、保证、状态、钱包和验证方政策 |
| 人工视频 | 代理人指导的证据和异常处理 | 可支持复杂或不确定的情况 | 需要培训、一致性、安全工具和质量控制 |
没有一种方法是普遍最好的。良好的架构允许政策结合证据并改变路径，而无需重新构建整个应用程序。
监管和标准预期
FATF：可靠性、独立性和风险
FATF建议10建立了客户尽职调查的基础。其数字身份指南不按标签批准技术。它要求依赖方组织了解保证并确定系统在洗钱和恐怖融资风险方面是否可靠和独立。
EBA：受治理的远程流程
欧洲银行管理局远程入驻指南为使用远程客户入驻解决方案的信贷和金融机构设定了预期。它们涵盖了政策、解决方案评估、信息收集、文件真实性、生物识别和非生物识别方法、对第三方的依赖、ICT安全以及持续监督。购买的组件仍需在机构的控制框架内进行治理和测试。
欧盟反洗钱规则：CDD仍是目标
法规（EU）2024/1624规定了身份文件、可靠独立来源和合格的电子身份识别方式作为验证途径。它还保留了更广泛的CDD职责：识别客户和受益所有人，了解关系，检查相关的金融制裁风险，并监控关系。
NIST：证明是一系列不同的控制
NIST将身份解决、证据验证、申请人核实、注册、欺诈管理、隐私和补救措施分开。其远程证明要求也区分了演示攻击与数字注入和伪造媒体威胁。即使组织不受NIST约束，该模型也是编写可测试要求的实用方法。
主要的eKYC欺诈威胁
被盗的真实证据
犯罪分子可以拥有真实个人的文件图像和个人数据。仅凭文件真实性并不能证明当前申请人是合法持有人。
篡改或伪造文件
文本、肖像、机器可读数据或布局可能会被修改。验证应比较独立的字段和安全证据，而不是信任视觉上令人信服的正面图像。
演示攻击
打印照片、屏幕重放、面具和其他伪造物会针对预期的摄像头。演示攻击检测和捕获指导可以在此边界添加证据。
注入攻击
虚拟摄像头、模拟器、修改后的应用程序、钩子和篡改的请求可以在物理传感器之后或周围插入伪造媒体。NIST SP 800-63A-4要求其范围内的远程证明系统增加对真实传感器捕获的信心并分析媒体是否被修改；仅生物识别比较不足以满足要求。
合成和复合身份
真实和伪造的属性可以组合成一个不对应于任何真实个人的身份。跨会话设备、联系方式、证据、速度和关系信号可以揭示单个文件决策遗漏的模式。
账户农场和自动化注册
脚本可以创建大量尝试，利用重试或大规模测试被盗数据。应在发布前设计速率限制、尝试绑定、资源控制、速度分析和审核队列。
如何评估eKYC服务
保证和监管适用性
询问支持哪些证据强度、身份证明模型、司法管辖区、客户类型和受监管用例。将每个独立测试或认证映射到精确的组件、版本、模式、阈值和攻击范围。
覆盖质量
为您的客户实际使用的国家、文件、脚本、数据库、设备和语言构建一个矩阵。“全球覆盖”是不够的。按细分市场衡量不支持的证据、提取质量、完成率、重试和审核。
欺诈抵抗
请求一份针对文件篡改、重放、面具、变形、生成媒体、注入、模拟器使用、重复身份和自动化尝试的逐项攻击图。在预期的操作阈值下审查误报和漏报行为。
决策和审查操作
检查证据视图、原因代码、策略版本控制、队列、权限、审查员操作、审计日志、重试控制和申诉。自动化只有在异常情况仍然可理解和可管理时才有用。
开发人员可靠性
测试API身份验证、幂等性、签名事件、事件排序、重试、协调、状态转换、超时、版本控制、速率限制、沙盒案例和环境隔离。模拟一个已完成的用户流程，其webhook延迟到达或多次到达。
隐私、安全和包容性
为每个属性和生物识别伪影映射收集、目的、适用时的同意、访问、加密、区域、保留、删除和子处理器处理。按设备和相关人群衡量结果，然后提供可访问的恢复和替代证据路径。
常见的eKYC实施错误
购买文件检查并将其称为KYC
一份真实的文件可能属于另一个人，而一个准确识别的人仍可能需要筛选和风险评估。将证据、身份、客户风险和资格分开。
强制所有申请人遵循一个流程
统一的路径可能会给低风险客户带来过重负担，并为高风险客户提供不足的证据。使用有界限、有文档记录的分支，并明确升级标准。
相信自动化百分比
较高的自动化决策率可能隐藏薄弱的阈值、不受支持的人群或过载的重试路径。同时衡量安全性、完成率、审查和下游结果。
忽略备用方案
如果唯一的备用方案是支持人员进行无文档记录的例外处理，那么最弱的路径将定义系统。以与默认方案相同的细心设计替代证据、人工审查、补救和恢复。
将供应商输出视为最终法律决定
供应商不了解完整的客户关系、产品风险、法律依据或风险偏好。将政策和客户状态所有权保留在依赖组织中。
eKYC部署清单
在发布之前，确认：
- 受保护的关系、管辖区和保证目标已记录；
- 已接受的证据和独立来源已映射到客户和风险类型；
- 解决、验证、核实、筛选和资格保持明确；
- 演示、注入、被盗证据和自动化尝试威胁已测试；
- 后端验证最终结果并安全处理重复事件；
- 重试、升级、审查、申诉和替代路径有明确的所有者；
- 隐私目的、保留、访问、驻留和删除已定义；
- 生产类设备、网络、文件和人群已包含在测试中；
- 政策、模型、工作流和审查员操作已进行版本控制以供审计；
- 更新和持续监控触发器已连接到客户记录。
使用Didit进行eKYC工作流
Didit允许团队通过工作流编排器组合身份验证、活体检测、设备和IP分析以及其他检查。已发布的完整KYC捆绑包（包括身份验证、被动活体检测、人脸匹配和IP分析）价格为0.33美元，每月提供500次免费验证。
团队可以在定价页面查看模块级费率。这些控制为远程旅程提供证据；组织仍拥有其客户尽职调查政策、法律解释、例外情况和监控。
常见问题
eKYC代表什么？
eKYC代表电子化了解您的客户（electronic Know Your Customer）。它是指利用电子渠道和证据远程进行客户身份识别和相关尽职调查。
eKYC与在线身份验证是否相同？
身份验证是eKYC的核心部分，但eKYC还可以包括客户风险评估、筛选、决策记录、例外情况和持续更新。这些术语在产品搜索中经常互换使用，但它们的操作范围有所不同。
eKYC总是需要自拍和身份证件吗？
不。可接受的证据取决于管辖区、风险、政策和保证。有些流程可以使用权威数据库、数字凭证、支持NFC的文件、人工视频或多种证据的组合。
eKYC能完全自动化吗？
许多低风险情况可以自动化，但一个可辩护的程序需要为不确定性、不支持的证据、可访问性、潜在匹配和申诉提供路径。“完全自动化”不应意味着“没有受治理的例外流程”。
远程eKYC是否比现场验证更不安全？
并非天生如此。安全性取决于证据强度、捕获完整性、欺诈控制、流程设计和测试。远程和现场方法具有不同的威胁，应根据所需的保证进行评估。
eKYC与AML有何关系？
eKYC创建并验证客户身份和初始风险记录。反洗钱（AML）控制利用该背景在整个关系中进行筛选、监控、调查和报告。
eKYC应该多久重复一次？
没有普遍的时间表。使用适用的法律要求和有文档记录的风险模型，并在身份数据、证据有效期、制裁风险、所有权、行为或账户控制发生重大变化时，触发事件驱动的更新。
主要参考文献
良好的eKYC在改变渠道的同时保留了客户尽职调查的逻辑。定义所需的保证，收集适当的证据，保护捕获路径，保持异常可管理，并将入驻决策与持续的客户关系联系起来。