KYC-dokumenter: elektronisk underskrift til bankkonformitet

Introduktion: hvorfor KYC er blevet en strategisk udfordring

KYC (Know Your Customer) betegner det samlede sæt verifikationsprocedurer for kundeidentitet, som et finansielt institut skal gennemføre, før det påbegynder forretningsforhold med en kunde. I 2026 kræver europæiske tilsynsmyndigheder — ACPR i Frankrig og EBA på europæisk plan — øget stringens i indsamlingen, autentificering og opbevaring af KYC-dokumenter. Elektronisk underskrift fremstår som det teknologiske omdrejningspunkt, der gør det muligt at forene kundeoplevelsens fluiditet, dokumenters beviskraft og regulatorisk overholdelse. Denne guide forklarer udfordringerne, juridiske krav og bedste praksis for implementering af en elektronisk signeret KYC-proces i bank- og finanssektoren.

---

KYC-grundlaget og dets dokumentariske dimension

KYC hviler på tre grundpiller: kundeidentifikation, verifikation af identitet og løbende overvågning af forretningsforholdet. Hver af disse søjler genererer vigtige dokumentstrømme, som skal autentificeres, tidsstemplede og opbevares på dokumenteret måde.

Dokumenter indsamlet i en KYC-proces

En typisk KYC-mappe omfatter:

• Identitetsbevis: nationalt identitetskort, pas, opholdstilladelse

• Bosætningsbevis: energiregninger, kontoudtog mindre end tre måneder gamle

• Dokumenter vedrørende erhvervsmæssig aktivitet: Kbis, vedtægter, årlige regnskaber for juridiske personer

• Erklæringsformularer: erklæring om retmæssige ejere, bosætningsattest, FATCA/CRS-formular

• Rammeaftaler: konti åbningskontrakter, forvaltningsfuldmagter, betalingstjenestekonventioner

Hvert af disse dokumenter skal være underskrevet, dateret og sporing. Spørgsmålet er derfor ikke længere, om elektronisk underskrift har sin plads i KYC, men snarere at bestemme, hvilket underskriveniveau der er nødvendigt for hvert dokument.

eIDAS-underskrivelseniveauer, der kan anvendes på KYC

Forordningen eIDAS (nr. 910/2014) skelner mellem tre underskrivelseniveauer, hvis relevans varierer afhængigt af KYC-dokumentets karakter:

Den avancerede elektroniske underskrift udgør det anbefalede minimumniveau for langt størstedelen af bankens KYC-dokumenter. For elektronisk underskriftprocesser i virksomheder underlagt forstærkede regulatoriske forpligtelser bliver kvalificeret underskrift uundværlig.

---

Digital KYC: specifik regulatorisk krav til finanssektoren

Kreditinstitutter, investeringsselskaber og betalingstjenesteudbydere er underlagt et omfattende regulatorisk lag, der direkte påvirker udformningen af deres elektroniske KYC-mekanisme.

5. anti-hvidvask-direktiv (AMLD5) og virkningen på digital KYC

Transponeret til fransk ret via bekendtgørelse nr. 2020-1342 af 4. november 2020, åbnede den 5. anti-hvidvask-direktiv (2018/843/EU) vejen for fjern-identifikation ved eksplicit at anerkende elektroniske identifikationsmidler notificeret i henhold til eIDAS. Det pålægger navnlig:

• Forstærket verifikation for kunder med høj risiko (PPE, tredjelande med høj risiko)

• Fuldstændig sporing af udførte årvågenhedstiltag

• Dataopbevaring i fem år fra slutningen af forretningsforholdet

• Forpligtelse til periodisk opdatering af klientmapper

Den 6. AMLD-direktiv (2021/1237), hvis transponering forventes før udgangen af 2026, styrkede yderligere disse forpligtelser gennem indførelsen af et europæisk digitalt identitetsrum (eID) og harmonisering af overvågningslister.

DSP2 og stærk autentificering: grænsesnittet med KYC

Direktivet om betalingstjenester DSP2 (2015/2366/EU) pålægger stærk kundeautentificering (SCA) for følsomme operationer. I forbindelse med KYC materialiseres dette krav ved:

• Etablering af fjernt forhold (100% digital kontåbning)

• Underskrift af tillæg, der ændrer kontoens væsentlige karakteristika

• Tilføjelse af en uventet overførselsbegunstiget

Stærk autentificering kræver kombination af mindst to faktorer blandt: viden (adgangskode), ejerskab (smartphone, token) og iboende karakteristika (biometri). Denne mekanisme artikuleres naturligt med avanceret elektronisk underskrift, hvis udstedelsesproces integrerer disse autentificeringsfaktorer. For at forstå nuancerne i forordningen eIDAS og dens udvikling mod eIDAS 2.0 giver en dedikeret guide dig alle nøgler.

EBA's anbefalinger om digital onboarding

Europæiske banktilsynsmyndighed (EBA) offentliggjorde i 2022 sine vejledninger om brug af fjern-identifikationsløsninger i forbindelse med KYC (EBA/GL/2022/15). Disse retningslinjer præciserer de betingelser, under hvilke et institut kan stole på elektroniske identitetsverifikationsløsninger uden kundens fysiske tilstedeværelse, især:

• Brug af automatiseret dokumentverifikation (OCR, NFC)

• Integration af liveness detection-trin for at forhindre deepfake-svindel

• Komplet audit trail, der tillader rekonstruktion af hele identifikationssessionen

• Konfidensniveau på substantielt eller højt i henhold til eIDAS for kunder med middel eller høj risiko

---

Implementering af en elektronisk signeret KYC-workflow: arkitektur og bedste praksis

Etablering af en fuldt digitaliseret KYC-proces kræver præcis artikulation mellem tekniske komponenter og lovmæssige krav.

Komponenterne i en integreret KYC-underskrift-løsning

En robust KYC elektronisk underskrift-anordning hviler på:

• Dokumentindsamlingsmodul: sikret portal, der gør det muligt for kunden at indsende sine identitetsdokumenter, med konsistenskontrol (format, læsbarhed, autenticitet)

• Identitetsverifikationsmottor: OCR kombineret med biometrisk verifikation til at udtrække og kontrollere data fra identitetsdokumentet

• Elektronisk underskriftmotor: udstedelse af underskriftcertifikat, påføring af underskrift på kontraktdokumenter, revisionsrapportgenerering

• Kvalificeret elektronisk tidsestempel: certificeret tidsstempel påført hvert signeret dokument, garantering af sikker dato

• Digitalt kasseskab: opbevaring af signerede dokumenter i den lovmæssige periode (minimum 5 år efter forholdet slutter)

• Compliance dashboard: realtidsovervågning af hver klients KYC-status, advarsler om mapper, der skal fornyes

Forvaltning af retmæssige ejere og delegationskæder

Verifikation af retmæssige ejere (UBO — Ultimate Beneficial Owners) repræsenterer en af de mest komplekse udfordringer ved KYC for juridiske personer. Institutterne skal identificere enhver fysisk person, der direkte eller indirekte ejer mere end 25% af kapitalen eller stemmeret.

Denne forpligtelse genererer underskriftskæder, der involverer flere underskrivere (direktører, mandatarer, juridiske repræsentanter) med forskellige bemyndigelsesniveauer. Avanceret elektronisk underskrift tillader styring af disse multi-underskriver-workflows med fuldstændig sporing af hver underskrifthandling. Den juridiske værdi af hver elektronisk underskrift i disse delegationskæder skal dokumenteres omhyggeligt.

KYC-fornyelse: automatisering af periodiske opdateringer

LCB-FT (bekæmpelse af hvidvaskning og finansiering af terrorisme) pålægger en periodisk gennemgang af klientmapper efter deres risikoprofil:

• Lav risiko: hvert 5. år

• Middel risiko: hvert 3. år

• Høj risiko: årligt

Automatisering af disse gennemgange via elektroniske underskrifte-workflows reducerer betydeligt driftsomkostningerne for compliance-teams. Automatiske advarsler udløses, når frister nærmer sig, og kunden inviteres til at opdatere sine dokumenter gennem en sikret digital rejse. For institutioner, der allerede har en underskrifelingsløsning, kan det være relevant at evaluere et skift til en løsning mod en mere integreret platform.

---

Datasikkerhed og privatlivsbeskyttelse i elektronisk KYC

Behandling af KYC-data indebærer nogle af de mest følsomme oplysninger: identitetsdata, biometriske data, patrimoniale oplysninger. GDPR-overholdelse påtvinges med særlig styrke.

GDPR og KYC: gældende juridiske grundlag

Behandling af persondata udført i forbindelse med KYC hviler på to hovedretlige grundlag i henhold til artikel 6 i GDPR:

• Juridisk forpligtelse (art. 6.1.c): LCB-FT pålægger indsamling og verifikation af identitetsdata

• Kontraktopfyldelse (art. 6.1.b): kontåbning kræver kundeidentifikation

For biometriske data (liveness detection, ansigtsgenkendelse) pålægger artikel 9 i GDPR et specifikt retligt grundlag, typisk eksplicit samtykke fra kunden eller en udtrykkelig juridisk forpligtelse. En virkningsanalyse (AIPD) er obligatorisk før implementering af disse teknologier.

Dataminimering og opbevaringsperioder

Minimeringsprincippet pålægger kun at indsamle data, der er strengt nødvendige for KYC-formålet. Originale dokumenter kan erstattes af udtrukne data (navn, fornavn, dokumentnummer, gyldighedsdato), så længe verifikationen er udført. Maksimal opbevaringsperiode for biometriske data er 3 år fra indsamling, medmindre anden juridisk forpligtelse gælder.

Institutterne skal også sikre retten til at blive glemt (art. 17 GDPR), selv om det skal forenes med LCB-FT-opbevaringsforpligtelser — en juridisk spænding, der kræver en præcis dokumenthåndteringspolitik.

Gældende juridisk ramme for KYC og elektronisk underskrift

Europæiske grundlæggende tekster

Det juridiske system, der regulerer elektronisk KYC i Frankrig, artikuleres omkring flere overlejrede regulatoriske lag:

Forordning eIDAS nr. 910/2014 (EU): etablerer det juridiske rammeværk for elektronisk underskrift i Den Europæiske Union. Artikel 25 opstiller princippet om ikke-diskrimination: en elektronisk underskrift kan ikke afvises blot på grund af, at den er i elektronisk form. Artiklerne 26-29 definerer de krav, der henholdsvis gælder for avancerede og kvalificerede underskrifter. Revisionen eIDAS 2.0 (forordning 2024/1183/EU) styrkede disse bestemmelser og introducerer den europæiske digitale identitetsportefølje (EUDIW).

5. anti-hvidvask-direktiv (2018/843/EU) og 6. AMLD-direktiv: betinger direkte årvågenheds- og identifikationsforpligtelserne. Den franske transponering findes i artikler L.561-1 og senere i Den Monetaire og Finansielle Kodeks samt i dekret af 6. januar 2021 vedrørende LCB-FT-mekanisme og intern kontrol.

DSP2-direktiv (2015/2366/EU) og delegeret forordning 2018/389: pålægger stærk autentificering (SCA) og betinger udstedelse af betalingsinstrumenter.

Fransk civilret og beviskraft

Artikel 1366 i Codes civil fastslår, at elektronisk skrift har samme bevisværdi som papirbaseret skrift, på betingelse af, at forfatteren kan identificeres tilstrækkelig, og at det etableres og opbevares under betingelser, der garanterer dets integritet. Artikel 1367 anerkender elektronisk underskrift, når den består i brug af en pålidelig identifikationsprocedure, der garanterer dens forbindelse med det dokument, som den vedrører.

Dekret nr. 2017-1416 præciserer betingelserne, under hvilke elektronisk underskrift er presumtiv pålidelig, navnlig gennem henvisning til eIDAS-krav for kvalificeret underskrift.

ETSI-tekniske normer

Standarderne ETSI EN 319 132 (XAdES, CAdES og PAdES-formater) definerer standarderne for elektronisk underskriftformat. I forbindelse med KYC favoriseres PAdES-formatet (PDF Advanced Electronic Signatures), fordi det integrerer underskriften direkte i PDF-filen og sikrer konsistens mellem det visuelle dokument og dets kryptografiske underskrift.

Standarden ETSI EN 319 401 regulerer de generelle krav, der gælder for tjenesteudbydere af tillid (TSP), hvortil elektroniske kvalificerede underskrifte-udbydere hører. I Frankrig sikrer ANSSI tilsynet med disse udbydere og offentliggør den nationale liste over tiltro (TL-FR).

Juridiske risici ved ikke-overholdelse

En ikke-konform KYC-mekanisme udsætter instituttet for betydelige sanktioner: ACPR kan udøve disciplinære sanktioner (advarsel, irettesættelse, midlertidig driftsforbudperiode) og pengestraffe på op til 100 millioner euro eller 10% af årlig nettoomsætning. MiCA-direktivet (2023/1114/EU) udvider disse forpligtelser til udbydere af tjenester på krypto-aktiver (PSAN/PSCA) fra 2024, hvilket yderligere styrker den KYC-perimeter, der skal overvåges.

Illustrative anvendelsesscenarier: elektronisk KYC

Scenarie 1 — Online bank og 100% digital onboarding

Disse scenarier er illustrative: de beskriver typiske situationer og rapporterer ingen målte resultater hos en kunde. En europæisk neobank, der behandler omkring 15.000 nye kontoåbninger om måneden, ønsker at reducere sin frafaldsrate under KYC-processen, som forværres af friktionen ved postforsendelse af dokumenter. Banken indfører et fuldt digitalt forløb: kunden fotograferer sit ID-dokument via mobil (NFC-verificering af chippen i det sikrede dokument), udfører en liveness-selfie og underskriver derefter elektronisk kontoaftalen og erklæringen om reel ejer via en eIDAS-kompatibel avanceret elektronisk signatur.

De forventede fordele ved et sådant forløb vedrører frafaldsraten ved KYC, tidsforbruget ved kontoåbning og enhedsomkostningen ved sagsbehandling, som alle bør falde sammenlignet med et papirbaseret forløb. Den automatisk genererede revisionsspor gør det desuden muligt at besvare ACPR's dokumentationskrav hurtigere ved kontroller. Gevinstens størrelse skal måles på bankens eget reelle område, før og efter et pilotprojekt.

Scenarie 2 — Kapitalforvaltningsselskab og investor KYC

Et kapitalforvaltningsselskab, der forvalter omkring 2,8 milliarder euro i aktiver på vegne af 1.200 institutionelle og formuende private kunder (UHNWI), skal årligt forny KYC-sagerne for sine højrisikokunder. Denne proces, der traditionelt foregår via postforsendelse og håndskreven underskrift, lægger beslag på flere medarbejdere i mange uger hvert år.

Med en KYC-løsning baseret på kvalificeret elektronisk signatur (QES) til forvaltningsmandater og bankfuldmagter, kombineret med en avanceret signatur til opdateringsspørgeskemaer, bør varigheden af den årlige fornyelsesproces og andelen af ufuldstændige sager ved fristen falde, hvilket begrænser situationer med regulatorisk blokering. Den tidsstemplede sporbarhed for hver signatur gør det desuden muligt præcist at dokumentere opdateringsdatoen over for tilsynsmyndigheden. Gevinstens størrelse skal måles på den reelle kundeportefølje, før og efter et pilotprojekt.

Scenarie 3 — Specialiseret kreditinstitut og KYC virksomheder

Et institut, der specialiserer sig i SMV-finansiering, behandler omkring 800 kreditdossier årligt, hver nødvendiggør indsamling og underskrift af 12 til 18 KYC-dokumenter (vedtægter, Kbis, attesterede regnskaber, UBO-erklæring, kreditkonvention, personlige sikkerhed). Mangfoldigheden af underskrivere (direktør, medejer-debitor, solidarisk garant) komplicerede workflows og forlængede implementeringstider.

Virksomheden indfører arbejdsgange med flere underskrivere og konfigurerbar signeringsrækkefølge: direktøren underskriver først, hvilket automatisk udløser invitationen til medlåntageren og derefter til kautionisten. Hver underskriver autentificeres via forstærket SMS-OTP og dokumentbaseret identitetsverificering. Tiden til afslutning af en komplet KYC-sag bør forkortes, hvilket fremskynder etableringen af finansieringer og kan forbedre kundetilfredsheden i SMV-segmentet. Gevinstens størrelse skal måles på virksomhedens eget reelle område, før og efter et pilotprojekt.

Ofte stillede spørgsmål

Hvad er forskellen mellem avanceret og kvalificeret elektronisk signatur i en KYC-fil?

Avanceret signatur sikrer signerens identifikation og dokumentets integritet uden at kræve et kvalificeret certifikat udstedt af en godkendt udbyder. Kvalificeret signatur tilføjer dette certifikat, udstedt af en eIDAS-certificeret tillidsudbyders tjenester, hvilket giver den samme juridiske værdi som en håndskreven signatur. For de fleste almindelige bankkonventioner er avanceret signatur tilstrækkelig; kvalificeret signatur er påkrævet for akter med høj juridisk betydning, såsom fuldmagtsbreve.

Hvor længe skal en bank opbevare elektronisk signerede KYC-dokumenter?

Hvidvaskreglementet pålægger en minimumsopbevaringsperiode på fem år fra afslutningen af forretningsforholdet. Denne forpligtelse gælder alle dokumenter, erklæringsformularer og kontrakter, der indsamles ved etablering af forholdet og under dets drift. Dokumenterne skal forblive læsbare, uviolerede og tilgængelige for de kompetente myndigheder, navnlig ACPR, i hele denne periode.

Er fjeridentifikation juridisk gyldig til at åbne en bankkonto i Frankrig?

Ja, siden gennemførelsen af det 5. hvidvaskinstruks ved forordning af 4. november 2020 er fjeridentifikation eksplicit anerkendt, forudsat at den bygger på elektronisk identifikation, der er i overensstemmelse med eIDAS-forordningen. Processen skal omfatte automatiseret dokumentverifikation, livdeteksion og fuldt revisionsspor. En høj risiko for kunden, som for eksempel dennes status som politisk udsat person, kræver øgede omhu, som kan begrænse brugen af en helt digitaliseret proces.

Er den stærke godkendelse, som DSP2 kræver, kompatibel med elektronisk signatur?

Ja, disse to mekanismer er komplementære. Avanceret elektronisk signatur omfatter naturligt de godkendelsesfaktorer, som DSP2 kræver — viden, besiddelse og iboende karakteristika — i sin udstedelsesproces. Ved signering af et følsomt KYC-dokument, såsom en ændring af vigtige kontokkerakteristika, opfylder institutionen samtidig kravet om stærk godkendelse og kravet om dokumentationssporing uden at formere trin for kunden.

Hvad risikerer en finansiel institution, der ikke overholder KYC-kravene under digital onboarding?

Manglende overholdelse af KYC-forpligtelser udsætter institutionen for administrative sanktioner fra ACPR, som kan omfatte kritik, forbud mod midlertidig aktivitet eller bøder, hvis beløb kan nå flere millioner euro afhængigt af alvorligheden. Ud over økonomiske sanktioner udsætter manglende KYC-overholdelse institutionen for borgerretlig ansvar i tilfælde af svig eller lettet hvidvaskning og kan skade dets omdømme permanent over for europæiske tilsynsmyndigheder.

Konklusion

Konvergensen mellem finanssektorens KYC-krav og elektronisk underskrivendes muligheder tegner i 2026 en nye standard for onboarding og styring af bankkonformitet. Uanset om det drejer sig om den indledende identifikation af en individuelt kunde, verifikation af retmæssige ejere af en kompleks struktur eller periodisk fornyelse af mapper, bringer elektronisk underskrift — avanceret eller kvalificeret alt efter indsatsen — den beviskraft, som regulatorer kræver, samtidig med at kundens oplevelse fluidiseres.

Det juridiske rammeværk er stabiliseret: eIDAS, LCB-FT, DSP2 og GDPR udgør et sammenhængende fundament, hvorpå institutioner kan basere sig for at digitalisere deres processer med fuld sikkerhed.

Certyneo tilbyder en eIDAS-konform, integreret og revisorbar elektronisk underskrifelingsløsning, som er særligt tilpasset finansaktørernes begrænsninger. Discover vores priser og begynd dit gratis forsøg for at transformere dine KYC-workflows fra i dag.