KYC-gögn: rafræn undirritun fyrir bankasamhæfi

Inngangur: hvers vegna KYC er orðin stefnumótandi útkoma

KYC (Know Your Customer) táknar heildarkerfi auðkenningarathugunar sem fjármálastofnun verður að framkvæma áður en viðskiptavensl við viðskiptavin hefjast. Árið 2026 krefjast evrópsku eftirlitsyfirvöld — ACPR í Frakklandi, EBA á evrópskum vettvangi — aukinna krafna um söfnun, auðkenningu og varðveislu KYC-gagna. Rafræn undirritun kemst fram sem tæknilega lykilstöð sem gerir kleift að samræma hagkvæmni viðskiptavinarupplifunar, sönnunargildi gagna og eftirlitssamhæfi. Þessi handbók útskýrir málefni, lagaréglur og bestu vinnubrögð fyrir útfærslu á KYC-ferli með rafræn undirritun í banka- og fjármálageiri.

---

Grundvallaratriði KYC og gagnasafn þeirra

KYC byggist á þremur meginstoðum: auðkenningu viðskiptavinar, staðfestingu auðkennis og stöðugri eftirliti með viðskiptasambandi. Hver þessara stoða skapar mikilvæga gagnasöfnun sem verða að vera auðkennd, tímasett og varðveitt á sönnunarhæfan hátt.

Gögn sem söfnuð eru í KYC-ferli

Dæmigert KYC-málefni inniheldur:

• Auðkenningargögn: þjóðkortið, vegabréf, dvalarleyfi
• Heimilistalin: orkareikningar, bankayfirlit yngri en þrír mánuðir
• Gögn um starfsemi: Kbis, samþykktir, árið reikningsskil fyrir félög
• Upplýsingayfirlýsingar: yfirlýsing um raunverulega eigendur, staðfesting á skattheimili, FATCA/CRS eyðublöð
• Rammasamninga: reikningsopnunarsamningar, umboðssamningar, greiðsluþjónustusamningar

Hver þessara gagna verður að vera undirritaður, dagsettur og rekjanlegur. Spurningin er því ekki lengur hvort rafræn undirritun á sinn stað í KYC, heldur hvaða undirritunarstig er nauðsynlegt fyrir hvert atriði.

eIDAS-undirritunarstig sem gildir um KYC

Reglugerð eIDAS (nr. 910/2014) aðgreinir þrjú stig rafrænnar undirritunnar, með breytilegum mikilvægileika eftir eðli KYC-gagna:

| Stig | Gildi KYC | Kröfur | |--------|------------------|----------| | Einföld (SES) | Upplýsingaeyðublöð með litlum áhættu | Tengsl við undirritara og gögn | | Útfærð (AES) | Reikningssamningar, staðlað umboð | Auðkennd auðkenning, tryggð heildleiki, valkvæmur hæf skírteini | | Hæf (QES) | Bankaheimildir, umboð, atriði með hátt réttargildi | Hæf skírteini gefin af viðurkenndum PSCO samkvæmt eIDAS |

Útfærð rafræn undirritun er lágmarksflokk sem mælst með fyrir langflesta KYC-gögn banka. Fyrir rafrænni undirritun í fyrirtækjum sem eru háð auknum eftirlitskröfum verður hæf undirritun óumflýjanleg.

---

Stafrænt KYC: sérstakar eftirlitskröfur fjármálageirirans

Lánastofnanir, fjárfestingarfyrirtæki og greiðsluþjónustuveitendur eru háðir þéttum eftirlitskerfum sem skipuleggja beint hönnun á rafrænni KYC-aðferð.

5. tilskipun um peningaþvotti (AMLD5) og áhrif hennar á stafrænt KYC

Með reglugerð nr. 2020-1342 frá 4. nóvember 2020 hefur 5. tilskipun um peningaþvotti (2018/843/ESB) opnað leið fyrir auðkenningu í fjarlægðum með því að viðurkenna skýrt rafrænar auðkenningaraðferðir sem tilkynnt eru samkvæmt eIDAS. Hún setur einkum fram:

• Ítarleg sannprófun fyrir viðskiptavini með háa áhættu (PPE, þriðju ríki með áhættu)
• Fullkomna rekjanleika verklagsaðila sem framkvæmdir voru
• Varðveislu gagna í fimm ár eftir lok viðskiptasambands
• Skyldleika til að endurkanna gögn reglulega

6. tilskipun um AMLD (2021/1237), sem búist er við að samþykkt verði fyrir lok 2026, flæmir enn frekar þessar kröfur með kynningu á evrópskum stafrænum auðkenniskerfum (eID) og samhæfingu á eftirlitslista.

DSP2 og sterk auðkenning: tengsl við KYC

Tilskipun um greiðsluþjónustu DSP2 (2015/2366/ESB) knúir fram sterka auðkenningu viðskiptavina (SCA) fyrir viðkvæm viðskipti. Þegar kemur að KYC birtist þessi krafa við:

• Hinn stafstafi viðskiptasambands (100% stafræn reikningsopnun)
• Undirritun breytinga á megineinkennum reiknings
• Viðbót nýrra greiðsluviðtakenda sem ekki eru venjulegir

Sterk auðkenning krefst samsetningar tveggja þátta að lágmarki: þekking (aðgangsorð), eign (sími, token) og eðli (lífmæling). Þetta kerfi tengist náttúrulega útfærðri rafræn undirritun, sem ferlið um útgáfu inniheldur þessa auðkenningarþætti. Til að skilja fína tungumál reglugerðar eIDAS og þróunar hennar til eIDAS 2.0, veitir sérhæfð handbók allt sem þarf að vita.

Leiðbeiningar EBA um stafræna inngöngu

Evrópska bankayfirvolding (EBA) birtu árið 2022 leiðbeiningar um notkun lausna fyrir auðkenningu í fjarlægðum í samhengi við KYC (EBA/GL/2022/15). Þessar viðmiðanir skýra skilyrði þess að stofnun geti treyst á rafrænlega staðfestingu án líkamlegra viðtaka viðskiptavina, einkum:

• Notkun sjálfvirkra gagnareglna (OCR, NFC) til að sannreyna gögn
• Samsetning liveness detection skrefs til að koma í veg fyrir sviksamlega deepfake
• Heildar endurskoðunarslóð sem gerir kleift að endurbyggja allt auðkenningarlotina
• Traustastig verulegt eða hátt samkvæmt eIDAS fyrir viðskiptavini með miðlungs eða háa áhættu

---

Framkvæmd KYC-verkflæðis með rafræn undirritun: arkitektúr og bestu vinnubrögð

Til að setja upp algjörlega stafrænt KYC-ferli þarf nákvæm samhæfing milli tæknihluta og eftirlitskrafna.

Íhlutir samþætta KYC-undirritunarlausnar

Áreiðanleg KYC-undirritunarlausn byggist á:

1. Gagnasöfnunareiningu: öruggur vefgátt sem leyfir viðskiptavini að leggja inn réttlætingarskjöl, með stjórnun á samkvæmni (snið, lesanleika, áreiðanleiki)
2. Auðkenningarvél: OCR þar sem hún tengst lífmælingarsannprófun til að draga út og stjórna auðkennigögnum
3. Undirritunarvél: útgáfa undirritunarsviða, beitingu undirritunnar á samninga, myndun endurskoðunarskýrslu
4. [Hæf rafræn tímasetning](/guide/horodatage-electronique): tímaskerðing sem auðkennd er sett á hvert undirritað gögn, sem tryggir skilgreinda dagsetningu
5. Stafrænt hvolf: varðveisla undirritaðra gagna meðan löglega tímabil (lágmarki 5 ár eftir viðskiptasambandi)
6. Samhæfisborð: rauntímaaðveitumarkaður yfir KYC-stöðu hvers viðskiptavinar, viðvaranir um endurskrifuð málefni

Stjórnun raunverulegra eigenda og framboðskeðjur

Staðfesting raunverulegra eigenda (UBO — Ultimate Beneficial Owners) er ein flóknustu áskoranir KYC fyrir félög. Stofnanir verða að auðkenna alla einstaka einstaklinga sem eiga beint eða óbeint meira en 25% af eignarhlutum eða atkvæðisrétti.

Þessi krafa skapar undirritunaketa sem felur í sér marga undirritara (stjórnendur, umboðsmenn, dómarstólar) með mismunandi heimildastig. Útfærð rafræn undirritun gerir kleift að stjórna þessum margundirritara verkflæðum með heilri rekjanleika fyrir hvert undirritanarsvið. Á réttargildi hverrar rafrænnar undirritunnar í þessum umboðskeðjum verður að vera vel skjöluð.

Endurnýjun KYC: gera sjálfvirk reglulegri uppfærslur

LCB-FT (barátta gegn peningaþvotti og fjármögnun hryðjuverka) knúir fram reglulega endurskoðun viðskiptavinirgagna eftir áhættusniði þeirra:

• Lág áhætta: á fimm ára fresti
• Meðaláhætta: á þriggja ára fresti
• Há áhætta: árlega

Sjálfvirkni þessara endurskoðunar með rafrænni undirritun getur dregið mjög úr starfsbyrði reglufylgniteymanna. Sjálfvirkar tilkynningar starfa inn á því ætlað er að endurnýja gögn og viðskiptavini er boðið að uppfæra gögn sín gegnum stafrænt ferli. Fyrir stofnanir sem þegar eru með undirritunarlausn gæti verið vandlegt að meta skipti yfir í samþættari vettvang.

---

Gagnagerð og persónuvernd í rafrænni KYC

Meðhöndlun KYC-gagna felur í sér suma viðkvæmustu upplýsinga: auðkenningarupplýsingar, lífmælingarupplýsingar, eignargögn. Samhæfi GDPR kemur fram með sérstakri einlægni.

GDPR og KYC: viðeigandi lagagrundvöllur

Gagnameðhöndlun sem framkvæmd er í KYC-samhengi byggist á tveimur aðallegagrunnöllum samkvæmt 6. kafla GDPR:

• Löglegt tilskilnaður (gr. 6.1.c): LCB-FT knúir fram söfnun og staðfestingu auðkenningarupplýsinga
• Afgreiðsla samnings (gr. 6.1.b): Reikningsopnun krefst auðkenningar viðskiptavina

Fyrir lífmælingarupplýsingar (liveness discovery, andlitskennsl), gr. 9 GDPR knúir fram sérstakan lagagrunn, venjulega skýr samþykki viðskiptavina eða bein lagaleg skylda. Áhrif- og áhættumatun (AIPD) er skyldubundinn fyrir allar þessaraheimild.

Fækkun gagna og varðveislutímar

Hagræðingarreglan knúir fram að aðeins nauðsynlegum gögnum fyrir KYC-tilgang sé safnað. Upprunnin gögn má skipta út fyrir útdrátt gögn (nafn, fornafn, gagnaafrituð númer, gildistími) um leið og staðfestingin hefur verið framkvæmd. Hámarksvarðveislutími fyrir lífmælingarupplýsingar er 3 ár frá söfnun, nema annar lagabundinn skylda segir til um það.

Stofnanir verða einnig að tryggja rétt til þess að vera gleymt (gr. 17 GDPR), með því að samræma það við LCB-FT varðveisluskyldur — lagalegur togsamgangur sem krefst nákvæmrar gagnastjórnunarstefnu.

Lagalegur rammi KYC og rafrænnar undirritunarmyndar

Evrópsk grunnskjöl

Lagagerfið sem tekur til rafrænnar KYC-myndarðar í Frakklandi snýst um nokkur lagakaflar sem ofan á hver öðrum:

Reglugerð eIDAS nr. 910/2014 (ESB): stofnar lagalegum ramma fyrir rafræna undirritun í Evrópusambandinu. 25. grein setur meginregluna um engin mismunun: ekki er hægt að hafna rafræn undirritun eingöngu vegna þess að hún er rafræn. Greinarnar 26 til 29 skilgreina kröfur sem gilda um ramma og hæfa undirritun. Endurskoðun eIDAS 2.0 (reglugerð 2024/1183/ESB) styrkir þessar ákvæði og kynnir evrópsk stafræn auðkenningarveski (EUDIW).

5. tilskipun um peningaþvotti (2018/843/ESB) og 6. tilskipun AMLD: skilaðu kröfum um gæzlu og auðkenningu. Franskt samþykki birtist í 7. og komandi greinum Kóða um peninga og fjármál, og í skipun 6. janúar 2021 um LCB-FT-aðferðir og innra eftirlit.

Tilskipun DSP2 (2015/2366/ESB) og framkvæmdareglugerð 2018/389: knúið fram sterka auðkenningu (SCA) og skilyrðuðu útgáfu greiðslugerninga.

Franskt einkarétt og sönnunargildi

1366. kafli borgaralegra laga segir að rafræn gögn séu með sömu sönnunargildi og gögn á pappíri, með því skilyrði að höfundur sé rétt auðkenndur og þau séu gerð og geymd með hætti sem tryggi heilleika. Kafli 1367 viðurkennir rafræna undirritun þegar hún samanstendur af notkun áreiðanlegrar auðkenningaraðferðar sem tryggir tengsl hennar við athöfnina.

Skipun nr. 2017-1416 skýrir skilyrði þess að rafræn undirritun sé talin áreiðanleg, einkum með tilvísun í eIDAS-kröfur fyrir hæfa undirritun.

ETSI tæknistöðlur

Stöðlarnir ETSI EN 319 132 (XAdES, CAdES og PAdES-snið) skilgreina stöðla fyrir rafræna undirritun. Í KYC-samhengi er PAdES-snið (PDF Advanced Electronic Signatures) æskilegt því hún felur undirritunina beint inn í PDF-skrá, sem tryggir samhæfi milli gagna sem myndir og dulmálsundirritun hennar.

Stöðullinn ETSI EN 319 401 stjórnar almennum kröfum fyrir fræðilega trausti (TSP), þar sem meðal eru rafrænir undirritunarveitendur. Í Frakklandi stjórnar ANSSI eftirliti með þessum veitendum og birtir þjóðlista trausts (TL-FR).

Lagaráðungin þegar ekki er farið eftir

Ósamhæfi KYC-kerfi gerir stofnunina ábótavant verulegum sektum: ACPR getur kveðið upp dómsmálasektir (áminningu, gangara, tímabundna starfsmannavömlun) og peningasektir sem geta náð 100 milljónum evra eða 10% árlegan hreint tekjum. MiCA-tilskipun (2023/1114/ESB) víkkar þessar skyldur til að ná til veitenda krpytaþjónustu (PSAN/PSCA) frá 2024, sem dregur ennfremur stærri KYC.

Notkunartilfelli: Rafræn KYC í reynd

Tilfelli 1 — Netbanki og 100% stafræn aðlögun

Nýr evrópsk netbanki sem nær um 15.000 nýrra reikningsopnana á mánuði leitast við að fækka yfirgefnum KYC-ferlinu, sem áætlað var 34% vegna núnings sem tengdist póstlegri skjalavíxlun. Bankinn notar algjörlega stafrænt ferli: framtíðarkúnninn snarar auðkenningu með fartölvu (NFC-staðfesting á öruggri fleti), tekur sjálfstenglimynd, og undirritaðir samningssamning og yfirlýsingu um raunverulegan eiganda með árslegri staðfestingu samkvæmt eIDAS.

Niðurstöður sem staðfestar eru eftir 6 mánaði dreifingar: yfirgefinn hlutfall fellur niður í 11% (fækkun um 67%), meðaltalstíminn fyrir reikningsopnun minnkar í minna en 20 mínútur, og einingarkostnaður við vinnslu KYC-malefni lækkar um 58%. Sjálfvirk endurskoðunarslóð gerir kleift að svara ACPR-beiðnum um réttlætingu innan minna en 4 klst. við eftirlit.

Tilfelli 2 — Eignastýringarfyrirtæki og KYC-fjárfestar

Eignastýringarfyrirtæki sem stýrir um 2,8 milljörðum evra í eignum fyrir um 1.200 fagfólk og óhóflega ríka viðskiptavina (UHNWI) verða að endurnýja árlegri KYC-gögn sína fyrir viðskiptavini með háa áhættu. Hefð var gerð með pósti og handskrifuðu undirritunum, þetta ferli fór með 3 fullan starf fyrir 6 vikur á ári.

Eftir dreifingu á rafrænni KYC-undirritunarlausn með hæfu stigi (QES) fyrir umboðssamninga og bankaheimildir, ásamt árslegri staðfestingu fyrir uppfærsluspurningar, dregur fyrirtækið tíma endurnýjunar úr 6 vikum í 8 virka daga. Hlutfall endurgjalds á heillum málefnum fyrir gjalddaga hækkar úr 71% í 96%, þannig að aðeins útrýmt sé alvarlegt eftirlitsblokkir. Tímasett eindæmi hverrar undirritunarmyndar gerir einnig kleift að réttlæta beint dagsetningu endurnýjunar á móti eftirlitsmönnum.

Tilfelli 3 — Iðulegur lánastofnun og KYC fyrirtækja

Sérhæfð lánastofnun sem fjallar um um 800 lánsupplýsingar á ári, hver sem krefst söfnunar og undirritunarmyndar 12 til 18 KYC-gagna (samþykktir, Kbis, auðkennd gögn, yfirlýsing um raunverulega eigenda, lánasamning, persónulegar tryggingar). Fjölfylking undirritara (stjórnandi, coniugum sam-lántakandi, samstöðuábyrgð) flækkuð verkflæð og framlengd dreifingartíma.

Stofnunin notar margundirritara verkflæði með breytilegu undirritanarpöntun: stjórnandi undirritaðir fyrstu, kviknaðu sjálfkrafa ákall til sam-lántakanda, síðan bót. Hver undirritara er auðkenndur með SMS OTP-styrk og gagnareining auðkenning. Meðaltal bouclage-tímans fyrir heilum KYC-málefni fer úr 18 dagum í 4 virka daga, sem gerir kleift að hraða verulega útfærslusetningum og bæta ánægju viðskiptavina (NPS 22 stigs hækkun á lánastofnun hópi).

Ályktun

Samsetning á KYC-kröfum fjármálageirirans og getu rafrænnar undirritunnar teiknar árið 2026 nýtt staðal fyrir ný upphaf og reglufylgni bankasamtaka. Hvort sem um er að ræða upphafleg auðkenningu á einstækum viðskiptavini, staðfestingu raunverulegra eigenda flókinna mannanna eða reglulega endurnýjun málefna, rafræn undirritun — útfærð eða hæf eftir þörfum — gerir sönnunargildið sem eftirlitsaðilar krefjast, á meðan viðskiptavinar þætti batnar.

Lagarammi er stöðugur: eIDAS, LCB-FT, DSP2 og GDPR mynda samstæða stöð sem stofnanir geta treyst á til að stafræna ferla sína örugglega.

Certyneo leggur fram undirritunarlausn í samhæfi við eIDAS, samþætta og endurskoðaða, sérstaklega aðlöguð kröfum fjármálastofnana. Komdu auga á okkar verð og byrjaðu ókeypis tilraunaðu til að breyta KYC-verkflæðinu þínum strax.