AML samvinnustig og rafræn undirritun í fjármálum: leiðbeiningar 2026

AML samvinnustig (Anti-Money Laundering) og rafræn undirritun eru nú ótaranlegir hornsteinar fyrir fjármálastofnanir, greiðslukerfisveitur og fintech-fyrirtæki sem starfa í Evrópu. Frá gildistöku 6. tilskipunar um baráttu gegn peningalokun (6AMLD) og framvindu eftirlitsflokks AML 2024-2025 Evrópusambandsins — sem felur í sér stofnun evrópsku yfirvaldanna gegn peningalokun (AMLA) —, verða skuldbundir aðilar að sýna fram á fordæmalausa stig sanngjarns flóknunarskyldu. Rafræn undirritun, þegar hún er til staðar á réttan hátt, er ekki einungis tól til skráskunar: hún verður að heilu sinni samvinnuverkfæri. Þessi grein leiðir þig í gegnum AML skyldur sem gilda um rafræna undirritun, nauðsynleg tryggingarstig, fáanleg tæknilegir lausnir og bestu starfsvenjur sem þarf að aðhyllast fyrir 2026.

Hvers vegna rafræn undirritun er kjarninn í AML samvinnustigi

Baráttan gegn peningalokun byggist á þremur grundvallarsteinum: þekkingu á viðskiptavini (KYC — Know Your Customer), eftirliti með viðskiptum og varðveislu sönnunargagna. Rafræn undirritun gegnir beinu hlutverki í fyrstu tveimur og þriðja þætti.

Rafræn undirritun sem staðfesting á auðkendu auðkenni

Innan AML ramma er upphaf viðskiptasambands augnablikið með mestri áhættu. Grein 13 tilskipunar 2015/849/ESB (4AMLD, eins og breytt með 5AMLD) setur ströng skilyrði um auðkennisstaðfestingu viðskiptavinar fyrir öllu stofnun samningssambandsins. Háþróuð eða viðurkennd rafræn undirritun — í skilningi reglugerðar eIDAS nr. 910/2014 — tryggir að undirritunarmaðurinn sé raunverulega sá sem hann segist vera, þökk sé auðkennings- og auðkennisferli sem er skjalað. Viðurkennd rafræn undirritun (SEQ), gefin út af treystumörkum þjónustuveitu (QTSP) sem skráð er á evrópsku traustvefinn, veitir tryggingarstig „hátt" eins og skilgreint er í reglugerð eIDAS 2.0 (reglugerð ESB 2024/1183 sem tók gildi í maí 2024). Þetta stig er samhæft við styrktar áreiðanleikaörlög sem settar eru fyrir viðskiptavini með mikla áhættu.

Rekjanleiki og endurskoðunarslóð sem samrýmist AML kröfum

AML reglugerð krefst varðveislu KYC skjala í að lágmarki 5 ár eftir lok viðskiptasambands (grein 40 tilskipunar 2015/849). Rafræn undirritun myndar eðlilega heila endurskoðunarslóð: viðurkenndan tímastimpil, kjötkássa skjalsins, auðkenni undirritunarmanns, aðgangslog og dulmálsskírteini. Þessi rekjanleiki tryggður með rafrænum tímastimpli svarar beint kröfum um varðveislu og sönnun sem eftirlitsvöld setja — ACPR í Frakklandi, BaFin í Þýskalandi, FCA í Bretlandi.

Aðlögun í stafrænu gangagöngum við skráningu

Fintech og nýbankar hafa stærstu hlutinn af gangagöngum við skráningu stafræna. Samkvæmt McKinsey Digital Banking skýrslunni 2025 opnuð meira en 78% af nýjum bankareiðum Evrópu algjörlega á netinu. Í þessu samhengi gerir rafræn undirritun sem er samþætt KYC gangagöngu við skráningu kleift að:

• Afla upplýsts samþykkis viðskiptavinarins um skilmála og gagnavinnslustefnu (ALEU)
• Formlega heimild til að safna auðkenningsskjölum og búsetustaðfestingu
• Ljúka samningum um reiðnarreitun með hámarksgildi til sönnunar
• Geyma heildarskrá málsins í endurskoðanlegri stafrænu geymslukistu

Fyrir skuldbundna aðila sem leitast við að efla eftirlit sitt er ítarlega leiðbeining um rafræna undirritun í fyrirtækjum vel heppilegur upphafspunktur.

Undirritunarstig sem nauðsynleg eru samkvæmt AML áhættusnið

Ein algengasta spurning samvinnuteymanna snýst um hvaða stig rafrænar undirritunartækni skal nota samkvæmt áhættustigi viðskiptavinarins. Áhættusniðin, sem mynda kjarna AML kerfisins, eiga einnig við um val á tækni.

Einföld og háþróuð rafræn undirritun: notkunarmál með stöðluðri áhættu

Fyrir viðskiptavini sem eru flokkaðir með stöðluðri áhættu — einstaklingar sem búa í ESB-aðildarríki, án sérstaklega áhættuþátta —, er háþróuð rafræn undirritun (SEA) yfirleitt fullnægjandi. SEA byggist á undirritunargögnum sem eru óaðskiljanlegur hluti af undirritunarmanninum, það er myndað frá gögnum sem aðeins undirritunarmaðurinn getur notað með einkarétti sinum, og það gerir kleift að greina breytingar á undirritaða skjalinu eftir á (grein 26 eIDAS reglugerðar). Samhæfðar lausnir eins og Certyneo gera kleift að nota þetta stig undirritunartækni með auðkenningsstaðfestingu í rauntíma með þekkingu á skjölum (OCR + bíómetrísk liveness athugun), sem uppfyllir staðlaðar áreiðanleikaörlög.

Viðurkennd undirritun: skylda fyrir styrkta áreiðanleika

Þegar áhættusnið viðskiptavinarins er hátt — stjórnmálaðila útsettir aðilar (PPE), borgarar landa utan ESB með háa áhættu sem eru skráðir af Framkvæmdastjórn Evrópusambandsins, viðskipti með mikla upphæð —, er styrktur áreiðanleikaflóki (Enhanced Due Diligence, EDD) nauðsynlegur. Í þessu samhengi tryggir aðeins viðurkennd rafræn undirritun nauðsynlegt tryggingarstig. SEQ felur í sér notkun á viðurkenndri undirritunartækni (QSCD) og skírteini sem útgefið er af viðurkenndum QTSP. Til að öðlast betri skilning á muninum á þessum stigum og velja viðeigandi lausn, bjóðar samanburður á rafrænum undirritunarlausnum sem fáanlegt er á Certyneo skipulagðri greiningu á markaðstilboðum árið 2026.

Hlutverk fjarlægrar auðkennisstaðfestingar (eIDAS 2.0 og EUDI veski)

Reglugerð eIDAS 2.0 (ESB 2024/1183) innleiðir evrópsku stafrænu auðkenningarveski (EUDI Wallet), sem væntanlega verður fært út fyrir öll ESB-ríki fyrir lok 2026. Þetta veski mun gera þegnum kleift að framvísa staðfestum auðkenningseigindum (þjóðerni, fæðingardagur, heimilisfang) á dreifðan hátt, án þess að þurfa að leggja fram gögn sín aftur fyrir hvern þjónustuveitu. Fyrir AML samvinnustig er þessi þróun mikilvæg: hún gerir kleift að framfylgja auðkennisstaðfestingu á „háu" stigi beint meðan á undirritunarferlinu stendur, án þess að auka núning fyrir notandann. Fjármálastofnanir sem samþæta í dag lausnir sem samrýmast eIDAS 2.0 sjá fyrir sér þessa umskiptingu og draga úr eftirlitsáhættu sinni til meðallangs tíma. Uppfærsla um reglugerð eIDAS 2.0 sem Certyneo gefur út lýsir hagnýtum afleiðingum fyrir skuldbundna aðila.

Sérstakar skyldur fjármálaaðila hvað varðar AML undirritun

Skuldbundnir aðilar sem um ræðir

Tilskipun 2015/849/ESB, sem felld var inn í frönsku lög á liðum L. 561-1 og áfram laga um peningamál og fjármál, skilgreinir vítt umfang skuldbundinna aðila AML reglugerðar: lánastofnanir, greiðsluStofnanir, lífeyristryggingafyrirtæki, eignastjórar, fasteignasalar sem framkvæma viðskipti yfir 10.000 €, lögfræðistofur, og frá 2020, veitendur stafrænn eignaþjónustunar (PSAN) sem nú eru háðir heimildum CASP samkvæmt MiCA kerfi. Fyrir hvern þessa flokk er skjöl af samningssamföngum með rakjanlegri rafrænum undirritun óbein skylda sem leiðir af skyldum um varðveislu og sönnun.

Varðveisla gagna: samhæfing ALEU og AML

Augljós spenna virðist vera á milli tímalengds varðveislu sem AML kveður á um (5 ár lágmark) og meginreglunnar um lágmörkun gagna ALEU (reglugerð ESB 2016/679). EDPB (Evrópski gagnaverndarstofunin) skýrði í handbókum sínum 4/2022 að lagalegur grundvöllur varðveislu til að berjast gegn svikum og peningalokun myndar sannaðan undantekningu frá útrýmingarrétti, að því tilskildu að gögn sem varðveitt eru séu stranglega nauðsynleg. Rafræn undirritun, með því að geyma aðeins dulmálsforgangagögn og auðkenningssönnun sem stranglega nauðsynleg eru, gerir kleift að uppfylla báðar kerfi samtímis. Notkun á vottuðum stafrænum geymslukistu, aðgreindur frá venjulegum gagnastjórnunarkerfum, er best ætt sem mælt er með af FATF (Financial Action Task Force) í leiðbeiningum um stafræna umbreytingu 2023.

Sektir og áhættu ef ekki er farið eftir reglum

Sektir fyrir AML brot eru mikilvægar. Í Frakklandi getur ACPR (Eftirlits- og ályktunarvald prudential) beitt peningalegum sektum allt að 100 milljónum evra eða 10% af árlegum tekjum. Árið 2025 beitti ACPR sektar sem námu meira en 47 milljónum evra gegn fjármálaaðilum, þar sem mörg tilvik voru með göllum í skjölum og staðfestingu á inngangi til sambands. Skortur á áreiðanlegri endurskoðunarslóð — sem rafræn undirritun gerir það kleift að mynda — var með dómum sem kosnir voru í nokkrum opinberum ákvörðunum.

Bestu starfsvenjur til að framkvæma AML-samhæfa rafræna undirritun

Samþætta undirritun í KYC verkflæði frá hönnun

Nálgunin „friðhelgi með hönnun" sem ALEU kveður á um kemur hér saman við „samvinnustig með hönnun" sem mælt er með af FATF. Þetta þýðir að rafræn undirritun má ekki bæta sem yfirborðslög á fyrirliggjandi ferli, heldur samþætt frá hönnun gangagöngu viðskiptavinarins. Flæðin ættu að vera hugsuð þannig að hvert skref myndar sjálfkrafa nauðsynlegar sannanir: undirritunarsertifikat, endurskoðunarskýrsla, hæfu tímastimpli, skjöl kjötkássa. Samvinnuteymi ættu að vinna með IT-teymum til að skilgreina skýr skipunartöfl: hvaða undirritunarstig fyrir hvaða skjalaflokk, hvaða varðveislutímalengd, hvaða gögn á að geyma.

Velja viðurkennt QTSP og endurskoðanlegt

Val á rafrænum undirritunarveitendum er skipulagslegur fyrir AML samvinnustig. Ber að sanna að veitandinn sé skráð á þjóðlega traustvef (í Frakklandi, stjórnaðir af ANSSI) og evrópska traustvefinn (EU Trust List), að hann sé vottuð samkvæmt ETSI EN 319 411 (fyrir sertifikaatstefnu) og ETSI EN 319 132 (fyrir XAdES undirritanir), og að hann hafi árskýrslur um endurskoðun sem framkvæmdar eru af viðurkenndum aðilum. Geta til flutninga sönnunar í stöðluðu sniði (PAdES, XAdES, CAdES) er einnig nauðsynleg til að leyfa notkun þeirra í dómsmálum eða AML rannsóknum. Stofnanir sem vilja fínstilla eftirlit sitt geta notað ROI reiknivél Certyneo til að mæla samvinnugæði og rekstrarinnar hagkvæmni tengda rafrænum undirritun.

Þjálfa liði og skjala ferla

AML samvinnustig endalýkur ekki við tækni. Framhliðarteymi, samvinnustjórar og áhættustjórar verða að fá þjálfun á sérstöðu rafrænar undirritunartækni í AML samhengi: skilja undirritunarstig, geta túlkað endurskoðunarskýrslu, vita hvaða ferla á að fylgja ef deilt er. Innri skjöl um undirritun ferla — felld inn í samvinnuhandbækur — eru skoðuð við ACPR yfirlit. Skýr, prófuð og reglulega uppfærð verklagsregla sýnir skuldbindingu stofnunarinnar til virks samvinnustig.

Löglegur rammi sem gildir um AML samvinnustig og rafræna undirritun

Samhengi milli rafrænar undirritunartækni og baráttu gegn peningalokun byggist á þéttum lögfræðilegum texta, bæði evrópskum og þjóðlegum.

Reglugerð eIDAS nr. 910/2014 og eIDAS 2.0 (ESB 2024/1183): Þessir textar skilgreina þrjú stig rafrænar undirritunartækni (einföld, háþróuð, viðurkennd) og skilyrði fyrir gagnkvæmri réttlætu milli aðildarríkja. Grein 25 reglugerðar eIDAS setur meginregluna um engan mismun: ekki er hægt að neita rafræna undirritun sem sönnun fyrir dómstólum eingöngu vegna þess að hún er rafræn. Reglugerð eIDAS 2.0, sem tók gildi í maí 2024, styrkir kröfur um stafrænt auðkenni með innleiðingu EUDI Wallet veskis.

Borgaralög, greinar 1366 og 1367: Grein 1366 frönsku borgaralaga viðurkennir rafrænan ritkrafa sem jafngilda pappírsritkröfu þar sem hægt er að auðkenna persónuna sem hún kemur frá og ákveða við skilyrði sem tryggja heilleika hans. Grein 1367 takmarkar sérstaklega rafræna undirritun í frönsku rétti, sem vísar til skilyrða sem sett eru með dekrétum frá ríkisráðinu (dekrét nr. 2017-1416 frá 28. september 2017).

AML tilskipanir — 4AMLD (2015/849/ESB), 5AMLD (2018/843/ESB), 6AMLD (2018/1673/ESB): Þessar tilskipanir setja skuldbundnum aðilum skyldur um auðkennisstaðfestingu, varðveislu skjala í 5 ár, eftirliti með viðskiptum og tilkynningu á grun til fjármálalegileitavaldanna (TRACFIN í Frakklandi). Þýsking frönsk felld inn á liðum L. 561-1 til L. 565-1 laga um peningamál og fjármál.

AML pakki 2024 ESB: Reglugerð ESB 2024/1624 (AMLR), beint gildandi í öllum aðildarríkjum frá 2027, og tilskipun ESB 2024/1640 (AMLD6) samhæfa reglur um áreiðanleika og stofna evrópsku yfirvaldanna gegn peningalokun (AMLA), með höfuðstöðvar í Frankfurt. Þessir textar styrkja kröfur um auðkennisstaðfestingu með rafrænum hætti, sem gerir eIDAS samvinnustig enn meira stefnumótandi.

ALEU nr. 2016/679: Grein 5 (lágmörkun gagna), grein 17 (réttur til eyðingar, með undantekningum hans), og grein 30 (skrá um vinnusvið) eiga fullt við um vinnslu sem tengist rafræna undirritun í AML samhengi. Lagalegur grundvöllur varðveislu vegna lagaskyldrar (grein 6.1.c ALEU) réttlætir framlengda varðveislu undirritunargagna.

ETSI staðlar: ETSI EN 319 132-1 staðallinn skilgreinir XAdES rafrænar undirritunarpróíla. ETSI EN 319 102-1 staðallinn tilgreinir ferli fyrir gerð og réttlætu undirritunartækni. Þessir tæknilegu staðlar eru rekstrarlegur útfærsla ETSI eIDAS skyldu fyrir tæknileg tilboð.

Áhættu fyrir vansamvinnustig: Umfram peningalegar sektir ACPR (allt að 100 M€ eða 10% af SA), AMLR 2024 heimilar samræmdar sektir á evrópskum stigi sem geta náð 10% af samstæðu tekjum um heiminn fyrir alvarlegstu brotin. Stjórnendur geta einnig verið persónulega settir í hlut, með banni á æfingu sem mælt er með í grein 42 AMLD6 tilskipunar.

Sviðsmyndir fyrir notkun: rafræn undirritun og AML samvinnustig í framkvæmdinni

Sviðsmynd 1 — Stafræn skráning hjá leyfilegri greiðsluStofnun

Greiðslustofnun sem fær leyfi frá Banque de France, sem fjallar um um 15.000 ný viðskiptasambandi á mánuði í gegnum farsímaforrit sinn, stendur frammi fyrir ströngum AML skyldum fyrir auðkennisstaðfestingu viðskiptavina sinna. Fyrir innleiðingu á rafræna undirritunarlausn sem er samþætt gangagöngu skráningar hans, studdi stofnunin sig við handvirka ferla um auðkennisstaðfestingu, sem myndaðu meðaltal töfum um 72 klst og afli 34% meðan á skráningu stóð.

Með því að framkvæma háþróaða rafræna undirritunarlausn sem er sameinuð bíómetríska auðkennisstaðfestingu (liveness athugun + OCR auðkenningaskjal), minnkaði stofnunin tíma skráningar í innan við 8 mínútur fyrir 89% af stöðluðum tilfellum. Endurskoðunarslóðin mynduð sjálfkrafa — þar með talið undirritunarsertifikat, skýrslu um bíómetríska staðfestingu og hæfu tímastimpli — svarar beint AML varðveislukröfum. Afli afli minnkaði frá 34% í 11%, sem þýðir hreina hækkun á lokinni skráningu um 35%, samkvæmt göllum sem skoðuð voru í skýrslum Juniper Research 2025 um stafræn bankastarfsemi.

Sviðsmynd 2 — Stjórnun styrkts áreiðanleika í eignastjórnunarfyrirtæki

Eignastjórnunarfyrirtæki sem stýrir eignum fyrir ríka viðskiptavini (UHNWI — Ultra High Net Worth Individuals) er háð skyldum um styrktan áreiðanleika fyrir alla viðskiptavini sína, með umtalsverðum hluta viðskiptavina flokkaðir sem PPE (stjórnmálaðir útsettir aðilar). Samningssambönd — umboð fyrir stjórn, viðtökubréf fyrir áhættu, reglubundnar skýrslur sem undirritaðar — fulltrúa margar þúsundir skjöla á ári.

Með því að framkvæma viðurkennda rafræna undirritunarlausn fyrir öll PPE skjöl og samþætta sjálfkrafa geymslu í vottuðum stafrænum geymslukistu NF461, mynduðu stofnunin heila endurskoðun og endurskoðanlegri slóð. Við 48 klst endurskoðun ACPR gat stofnunin framvísað öllum sóknum skrám á innan við 2 klst, miðað við meðalsúmleitun iðnaðar um 2-3 daga samkvæmt endurspeglunum sem birt voru af ACPR í ársskýrslu um eftirlit 2024. Samvinnuteymi drógust einnig úr 60% af þeim tíma sem varið var í undirbúning eftirlitstösku.

Sviðsmynd 3 — AML samvinnustig fyrir veitanda stafræns eignaþjónustu (CASP)

Veitandi stafræns eignaþjónustu (CASP) háð reglugerð MiCA og styrkri AML skyldu sem gildir frá janúar 2026 verður að skjala öll samningssambönd með auðkennisstaðfestingu sem jafngild stofnun lána. Notkun gæðasamninga, varðveisluvalsboð og yfirlýsingar um fjárfestingarstefnu verða að undirritaðar og varðveist.

Með því að samþætta rafræna undirritunarlausn sem framfarir API í gangagöngu skráningar hans gat CASP sjálfkrað myndun og undirritun samningsþjónustu um leið og KYC villuleit var fullgilt. Hvert undirritað skjal var sjálfkrað skráð í samvinnustjórnunarkerfi með dulmálsforgangagögnum. Þessi nálgun gerði kleift að draga úr 80% af handvirkum aðgerðum samvinnuteymanna á stöðluðum tilfellum, sem losar tíma fyrir meðhöndlun hátaskaáhættutilfella sem krefjast mannlegrar endurskoðunar.

Samantekt

AML samvinnustig og rafræn undirritun mynda nú óaðskiljanlegur paraðan fyrir hvaða fjármálaaðila sem starfar í Evrópu árið 2026. Síðari tilskipanir um baráttu gegn peningalokun, sem renna saman með AML pakkanum 2024 og stofnun AMLA, hafa mjög aukið kröfu um auðkennisstaðfestingu, gögn rekjanleika og varðveislu sönnunar. Rafræn undirritun — að því tilskildu að hún sé ekki framkvæmd á réttu stigi (háþróuð eða viðurkennd samkvæmt áhættusnið), samþætt frá hönnun gangaganga viðskiptavinarins og studd af viðurkenndum QTSP veitanda —, svarar skipulagslega þessum skyldum. Hún telst bæði samvinnuverkfæri, stöðuvaleigudrifkrafter og samkeppnisforskot í stafræmri viðskiptavinasambandi.

Certyneo kemur til móts við fjármálaaðila, fintech og eignastjórnunarfyrirtæki við innleiðingu samhæfðra eIDAS og AML krafna samvinnulusna. Finndu okkar tilboð og byrjaðu þinn AML samvinnustig í dag.