Документы KYC: электронная подпись для банковского соответствия

Введение: почему KYC стал стратегическим приоритетом

KYC (Know Your Customer) обозначает совокупность процедур проверки личности, которые финансовое учреждение должно внедрить перед началом деловых отношений с клиентом. В 2026 году европейские органы надзора — ACPR во Франции, EBA на европейском уровне — требуют повышенной строгости при сборе, аутентификации и сохранении документов KYC. Электронная подпись становится ключевой технологией, позволяющей согласовать удобство клиента, доказательную ценность документов и нормативную соответствие. Это руководство объясняет вам проблемы, правовые требования и передовые практики для развертывания процесса KYC с электронной подписью в банковском и финансовом секторе.

---

Основы KYC и его документарный аспект

KYC основана на трех ключевых столпах: идентификация клиента, проверка его личности и постоянный контроль деловых отношений. Каждый из этих столпов порождает значительные документооборот, который должен быть аутентифицирован, датирован и сохранен с доказательной силой.

Документы, собираемые при KYC

Типичный KYC-файл включает:

• Удостоверения личности: национальное удостоверение личности, паспорт, вид на жительство

• Доказательства места жительства: счета за коммунальные услуги, выписки с банковских счетов давностью менее трех месяцев

• Документы, относящиеся к профессиональной деятельности: свидетельство о государственной регистрации, учредительные документы, годовые отчеты для юридических лиц

• Декларативные формы: декларация бенефициаров, подтверждение налоговой резидентности, форма FATCA/CRS

• Договорные соглашения: договоры открытия счета, договоры управления, соглашения об оказании услуг по платежам

Каждый из этих документов должен быть подписан, датирован и отслеживаем. Таким образом, вопрос состоит не в том, есть ли место электронной подписи в KYC, а в определении какого уровня подписи требуется для каждого акта.

Уровни подписи eIDAS, применимые к KYC

Регламент eIDAS (№910/2014) различает три уровня электронной подписи, применимость которых варьируется в зависимости от характера документа KYC:

Продвинутая электронная подпись составляет минимально рекомендуемый уровень для большинства документов KYC в банковской сфере. Для процессов электронной подписи в предприятиях, подпадающих под усиленные нормативные требования, квалифицированная подпись становится необходимой.

---

КYC цифровая: специфические нормативные требования для финансового сектора

Кредитные учреждения, инвестиционные компании и поставщики услуг по платежам подчиняются сложному набору нормативных требований, которые напрямую определяют структуру их электронного устройства KYC.

5-я директива по борьбе с отмыванием денег (AMLD5) и ее влияние на цифровой KYC

Имплементированная во французское право ордонансом № 2020-1342 от 4 ноября 2020 г., 5-я директива по борьбе с отмыванием денег (2018/843/ЕС) открыла дорогу дистанционной идентификации, явно признав электронные средства идентификации, уведомленные в соответствии с eIDAS. Она особенно требует:

• Усиленную проверку для клиентов с высоким риском (ПЭП, страны третьих сторон с риском)

• Полную отслеживаемость выполняемых проверок

• Сохранение данных в течение пяти лет после прекращения деловых отношений

• Обязательство по периодическому обновлению файлов клиентов

6-я директива AMLD (2021/1237), трансформация которой ожидается до конца 2026 г., еще больше укрепляет эти требования введением европейского пространства цифровой идентичности (eID) и гармонизацией списков наблюдения.

DSP2 и сильная аутентификация: интерфейс с KYC

Директива об услугах по платежам DSP2 (2015/2366/ЕС) требует сильной аутентификации клиента (SCA) для чувствительных операций. В контексте KYC это требование реализуется при:

• Начале дистанционных отношений (открытие 100%-но цифрового счета)

• Подписании дополнения, изменяющего существенные характеристики счета

• Добавлении получателя платежа, не являющегося обычным

Сильная аутентификация требует комбинации как минимум двух факторов из: знания (пароль), владения (смартфон, токен) и присущего качества (биометрия). Это устройство естественным образом сочетается с продвинутой электронной подписью, процесс выдачи которой интегрирует эти факторы аутентификации. Чтобы понять особенности регламента eIDAS и его развития к eIDAS 2.0, специальное руководство предоставляет вам все необходимые ключи.

Рекомендации EBA по цифровой регистрации

Европейский банковский орган (EBA) опубликовал в 2022 году свои ориентиры по использованию решений дистанционной идентификации в контексте KYC (EBA/GL/2022/15). Эти руководящие принципы уточняют условия, при которых учреждение может полагаться на решения для электронной проверки идентичности без физического присутствия клиента, в частности:

• Использование технологий автоматической проверки документов (OCR, NFC)

• Интеграция этапа обнаружения живого лица для предотвращения deepfake-фальшивок

• Полный журнал аудита, позволяющий восстановить всю сессию идентификации

• Уровень доверия существенный или высокий в соответствии с eIDAS для клиентов среднего или высокого риска

---

Развертывание рабочего процесса KYC с электронной подписью: архитектура и передовые практики

Внедрение полностью цифровизированного процесса KYC требует точной координации между техническими компонентами и нормативными требованиями.

Компоненты интегрированного решения KYC-подпись

Надежное устройство KYC электронная подпись основано на:

• Модуль сбора документов: защищенный портал, позволяющий клиенту загружать свои удостоверяющие документы с проверкой согласованности (формат, разборчивость, подлинность)

• Механизм проверки личности: OCR, связанный с биометрической проверкой для извлечения и контроля данных удостоверения личности

• Механизм электронной подписи: выдача сертификата подписи, нанесение подписи на договорные документы, создание отчета об аудите

• Квалифицированное электронное датирование: сертифицированная временная метка, наносимая на каждый подписанный документ, гарантирующая дату совершения

• Цифровой сейф: сохранение подписанных документов в течение срока действия закона (минимум 5 лет после деловых отношений)

• Панель соответствия: мониторинг в реальном времени статуса KYC каждого клиента, оповещения о файлах, подлежащих обновлению

Управление бенефициарами и цепочками делегирования

Проверка бенефициаров (UBO — Ultimate Beneficial Owners) представляет одну из самых сложных задач KYC для юридических лиц. Учреждения должны идентифицировать любое физическое лицо, прямо или косвенно владеющее более чем 25% капитала или прав голоса.

Это требование порождает цепочки подписей, включающие нескольких подписавших (руководители, уполномоченные, юридические представители) с разными уровнями полномочий. Продвинутая электронная подпись позволяет управлять этими многоподписальными рабочими процессами с полной отслеживаемостью каждого акта подписания. Юридическая ценность каждой электронной подписи в этих цепочках делегирования должна быть тщательно задокументирована.

Обновление KYC: автоматизация периодических обновлений

Закон о ПОД/ФТ (противодействие отмыванию денег и финансированию терроризма) требует периодическое пересмотр файлов клиентов в соответствии с их профилем риска:

• Низкий риск: каждые 5 лет

• Средний риск: каждые 3 года

• Высокий риск: ежегодно

Автоматизация этих проверок через рабочие процессы электронной подписи позволяет значительно снизить операционную нагрузку на команды соответствия. Автоматические оповещения активируются при приближении сроков, и клиента приглашают обновить свои документы через защищенный цифровой маршрут. Для учреждений, уже располагающих решением подписания, может быть целесообразно оценить переход на более интегрированную платформу.

---

Безопасность данных и защита конфиденциальности при электронном KYC

Обработка данных KYC включает одну из самых конфиденциальной информации: данные идентификации, биометрические данные, информацию о материальном положении. Соответствие GDPR налагается с особой остротой.

GDPR и KYC: применимые правовые основания

Обработка персональных данных в контексте KYC основана на двух основных правовых основаниях в соответствии со статьей 6 GDPR:

• Правовое обязательство (ст. 6.1.c): закон о ПОД/ФТ требует сбора и проверки данных идентификации

• Исполнение контракта (ст. 6.1.b): открытие счета требует идентификации клиента

Для биометрических данных (обнаружение живого лица, распознавание лица) статья 9 GDPR требует специального правового основания, как правило явное согласие клиента или четкое правовое обязательство. Обязательна оценка воздействия (AIPD) перед развертыванием этих технологий.

Минимизация данных и сроки сохранения

Принцип минимизации требует собирать только данные, строго необходимые для цели KYC. Исходные документы могут быть заменены извлеченными данными (имя, фамилия, номер документа, дата действия), как только проверка проведена. Максимальный срок сохранения биометрических данных составляет 3 года с момента сбора, если иное не требуется законом.

Учреждения должны также обеспечивать право на забвение (ст. 17 GDPR), при этом согласовывая его с обязательствами по сохранению в соответствии с законом о ПОД/ФТ — правовое напряжение, требующее точной политики управления документами.

Применимая правовая база KYC и электронной подписи

Учредительные европейские документы

Правовое устройство, регулирующее электронный KYC во Франции, опирается на несколько наложенных друг на друга нормативных слоев:

Регламент eIDAS №910/2014 (ЕС): устанавливает правовую базу для электронной подписи в Европейском союзе. Статья 25 устанавливает принцип недискриминации: электронная подпись не может быть отклонена только по причине ее электронной формы. Статьи 26-29 определяют требования, применимые соответственно к продвинутым и квалифицированным подписям. Переработка eIDAS 2.0 (регламент 2024/1183/ЕС) усиливает эти положения и вводит европейский кошелек цифровой идентичности (EUDIW).

5-я директива по ПОД/ФТ (2018/843/ЕС) и 6-я директива AMLD: напрямую обусловливают требования к должной осмотрительности и идентификации. Французская трансформация отражена в статьях L.561-1 и далее Кодекса денежного и финансового, а также в ордонансе от 6 января 2021 г. об устройстве и внутреннем контроле ПОД/ФТ.

Директива DSP2 (2015/2366/ЕС) и делегированный регламент 2018/389: требуют сильную аутентификацию (SCA) и обусловливают выпуск платежных средств.

Французское гражданское право и доказательная ценность

Статья 1366 Гражданского кодекса предусматривает, что электронный документ имеет такую же доказательную силу, как документ на бумажном носителе, при условии, что его автор может быть надлежащим образом идентифицирован и что он составлен и сохранен таким образом, чтобы гарантировать его целостность. Статья 1367 признает электронную подпись, когда она состоит в использовании надежного процесса идентификации, гарантирующего ее связь с актом, к которому она относится.

Декрет №2017-1416 уточняет условия, при которых электронная подпись считается надежной, в частности путем ссылки на требования eIDAS для квалифицированной подписи.

Технические стандарты ETSI

Стандарты ETSI EN 319 132 (форматы XAdES, CAdES и PAdES) определяют стандарты формата электронной подписи. В контексте KYC формат PAdES (PDF Advanced Electronic Signatures) предпочтителен, поскольку он интегрирует подпись непосредственно в файл PDF, обеспечивая соответствие между визуальным документом и его криптографической подписью.

Стандарт ETSI EN 319 401 устанавливает общие требования, применимые к поставщикам услуг доверия (TSP), включая поставщиков квалифицированной электронной подписи. Во Франции ANSSI обеспечивает надзор за этими поставщиками и публикует национальный список доверия (TL-FR).

Юридические риски при несоответствии

Неконформное устройство KYC подвергает учреждение значительным санкциям: ACPR может вынести дисциплинарные санкции (предупреждение, порицание, временный запрет на осуществление деятельности) и денежные штрафы, которые могут достигать 100 млн евро или 10% годового чистого дохода. Директива MiCA (2023/1114/ЕС) распространяет эти обязательства на поставщиков услуг по криптоактивам (PSAN/PSCA) с 2024 г., еще больше расширяя сферу KYC для контроля.

Сценарии использования: электронный KYC на практике

Сценарий 1 — Онлайн-банк и 100%-но цифровая регистрация

Европейский необанк, обрабатывающий примерно 15 000 новых открытий счетов в месяц, стремится снизить уровень отказа при процессе KYC, который на тот момент составлял 34% из-за трений, связанных с почтовой отправкой документов. Банк развертывает полностью цифровой маршрут: потенциальный клиент захватывает удостоверение личности через мобильный (проверка NFC чипа защищенного документа), делает селфи с обнаружением живого лица, затем подписывает электронно договор счета и декларацию бенефициара через продвинутую подпись в соответствии с eIDAS.

Результаты, достигнутые через 6 месяцев развертывания: уровень отказа при KYC снижается до 11% (т.е. сокращение на 67%), среднее время открытия счета сокращается с 5 рабочих дней до менее чем 20 минут, а стоимость обработки одного дела KYC снижается на 58%. Автоматически создаваемый журнал аудита позволяет ответить менее чем за 4 часа на запросы обоснования от ACPR при проверках.

Сценарий 2 — Общество управления активами и KYC инвесторов

Общество управления, управляющее примерно 2,8 млрд евро активов для примерно 1 200 институциональных и частных клиентов высокого достатка (UHNWI), должно ежегодно обновлять дела KYC своих клиентов с высоким риском. Традиционно проводимое путем почтовой рассылки и рукописной подписи, этот процесс требовал 3 эквивалентов полной занятости в течение 6 недель каждый год.

После развертывания решения KYC электронной подписи квалифицированной (QES) для договоров управления и банковских полномочий, комбинированного с продвинутой подписью для анкет обновления, общество сокращает продолжительность процесса ежегодного обновления с 6 недель до 8 рабочих дней. Уровень возврата полных дел перед сроком повышается с 71% до 96%, практически исключая ситуации нормативной блокировки. Датированная отслеживаемость каждой подписи позволяет, кроме того, точно подтвердить дату обновления перед регулятором.

Сценарий 3 — Специализированное кредитное учреждение и KYC предприятий

Специализированное учреждение по финансированию МСП обрабатывает примерно 800 кредитных заявок в год, каждое требующее сбора и подписания 12-18 документов KYC (учредительные документы, выписка из реестра, заверенные счета, декларация бенефициаров, кредитный договор, личные гарантии). Множественность подписавших (руководитель, супруга/супруг, совозаемщик, гарант) усложняла рабочие процессы и удлиняла сроки внедрения.

Учреждение развертывает многоподписальные рабочие процессы с параметризуемым порядком подписей: руководитель подписывает первым, автоматически запускает приглашение совозаемщика, затем гаранта. Каждый подписавший аутентифицируется через усиленный OTP по SMS и проверку удостоверения личности. Среднее время завершения полного дела KYC снижается с 18 дней до 4 рабочих дней, позволяя значительно ускорить сроки финансирования и улучшить удовлетворенность клиентов (NPS на 22 пункта выше для сегмента МСП).

Часто задаваемые вопросы

Какова разница между продвинутой и квалифицированной электронной подписью в досье KYC?

Продвинутая подпись гарантирует идентификацию подписывающего лица и целостность документа без необходимости в квалифицированном сертификате, выданном аккредитованным поставщиком услуг. Квалифицированная подпись добавляет этот сертификат, выданный поставщиком услуг доверия, сертифицированным в соответствии с eIDAS, что придаёт ей одинаковую юридическую силу с собственноручной подписью. Для большинства стандартных банковских соглашений достаточно продвинутой подписи; квалифицированная подпись требуется для документов с высокими юридическими последствиями, таких как доверенности на представление интересов.

Как долго банк должен хранить документы KYC, подписанные в электронном виде?

Антиотмывочное законодательство устанавливает минимальный срок хранения в пять лет, считая с момента прекращения деловых отношений. Это обязательство охватывает все подтверждающие документы, декларативные формы и контракты, собранные при открытии счёта и во время его обслуживания. Документы должны оставаться читаемыми, целостными и доступными для компетентных органов, в частности ACPR, в течение всего этого периода.

Является ли удалённая идентификация юридически действительной для открытия банковского счёта во Франции?

Да, с момента имплементации пятой директивы по борьбе с отмыванием денег посредством ордонанса от 4 ноября 2020 года удалённая идентификация явно признана допустимой при условии использования средств электронной идентификации, соответствующих регламенту eIDAS. Процесс должен включать автоматизированную проверку документов, обнаружение живости и полный журнал аудита. Высокий риск клиента, такой как его статус политически значимого лица, требует усиленных проверок, которые могут ограничить возможность полностью дистанционного процесса.

Совместима ли строгая аутентификация, требуемая DSP2, с электронной подписью?

Да, эти два механизма дополняют друг друга. Продвинутая электронная подпись естественным образом встраивает факторы аутентификации, требуемые DSP2 — знание, владение и неотъемлемость — в процесс её создания. При подписании чувствительного документа KYC, такого как дополнение, изменяющее существенные характеристики счёта, финансовое учреждение одновременно выполняет обязательство по строгой аутентификации и требование по документальной прозрачности, не усложняя процедуру для клиента.

Какой риск грозит финансовому учреждению при несоблюдении требований KYC во время цифрового подключения?

Нарушения обязательств по KYC подвергают учреждение административным санкциям, налагаемым ACPR, которые могут включать выговор, временный запрет на деятельность или штрафы, размер которых может достигать нескольких миллионов евро в зависимости от тяжести нарушения. Помимо финансовых санкций, невыполнение требований KYC влечёт гражданскую ответственность учреждения в случае мошенничества или облегчения отмывания денег и наносит долгосрочный ущерб его репутации перед европейскими регуляторами.

Заключение

Конвергенция между требованиями KYC финансового сектора и возможностями электронной подписи рисует в 2026 году новый стандарт для регистрации и управления банковской соответствием. Будь то начальная идентификация частного клиента, проверка бенефициаров сложной структуры или периодическое обновление файлов, электронная подпись — продвинутая или квалифицированная в зависимости от проблем — обеспечивает доказательную строгость, которую требуют регуляторы, одновременно упрощая взаимодействие с клиентом.

Правовая база стабилизирована: eIDAS, ПОД/ФТ, DSP2 и GDPR составляют согласованную основу, на которую учреждения могут опираться для безопасной цифровизации своих процессов.

Certyneo предлагает решение электронной подписи в соответствии с eIDAS, интегрированное и проверяемое, специально адаптированное к ограничениям финансовых участников. Узнайте наши тарифы и начните бесплатное тестирование для трансформации ваших рабочих процессов KYC уже сегодня.