Документи KYC: електронний підпис для банківської відповідності

Вступ: чому KYC став стратегічним пріоритетом

KYC (Know Your Customer) означає набір процедур перевірки ідентичності, які фінансова установа повинна реалізувати перед тим, як розпочати ділові відносини з клієнтом. У 2026 році європейські органи нагляду — ACPR у Франції, EBA на європейському рівні — вимагають підвищеної ретельності при збиранні, аутентифікації та збереженні документів KYC. Електронний підпис виступає як технологічна опора, яка дозволяє узгодити плавність клієнтського досвіду, доказову силу документів та нормативну відповідність. Цей посібник пояснює ризики, правові вимоги та найкращі практики для впровадження процесу KYC з електронним підписом у банківському та фінансовому секторі.

---

Основи KYC та його документальний аспект

KYC спирається на три фундаментальних стовпи: ідентифікація клієнта, перевірка його ідентичності та постійний моніторинг ділових відносин. Кожен із цих стовпів генерує значні документальні потоки, які повинні бути аутентифіковані, проштамповані часом та збережені з доказовою силою.

Документи, зібрані у процесі KYC

Типова папка KYC включає:

• Посвідчення особистості: національне посвідчення особистості, паспорт, дозвіл на проживання

• Документи, що підтверджують місце проживання: рахунки за енергію, виписки з банку віком не більше трьох місяців

• Документи, пов'язані з професійною діяльністю: витяг з реєстру KBIS, статути, річні звіти для юридичних осіб

• Декларативні форми: декларація про бенефіціарів, свідоцтво про податкове місце проживання, форма FATCA/CRS

• Рамкові угоди: договори на відкриття рахунку, мандати на управління, угоди про надання платіжних послуг

Кожен із цих документів повинен бути підписаний, датований та простежуваний. Питання тому не в тому, чи має місце електронний підпис у KYC, а в тому, щоб визначити який рівень підпису необхідний для кожного документа.

Рівні підпису eIDAS, що застосовуються до KYC

Регламент eIDAS (№910/2014) розрізняє три рівні електронного підпису, які мають різну актуальність залежно від типу документа KYC:

Розширений електронний підпис становить мінімальний рекомендований рівень для переважної більшості документів KYC у банківській сфері. Для процесів електронного підпису в підприємстві, які підлягають посиленим нормативним вимогам, кваліфікований підпис стає обов'язковим.

---

Цифровий KYC: нормативні вимоги, специфічні для фінансового сектору

Установи кредитування, інвестиційні компанії та постачальники платіжних послуг підлягають щільному нашаруванню нормативної бази, яка безпосередньо впливає на розроблення їхнього електронного KYC-пристрою.

5-а директива про боротьбу з відмиванням грошей (AMLD5) та її вплив на цифровий KYC

Трансформована у французьке право розпорядженням №2020-1342 від 4 листопада 2020 року, 5-а директива про боротьбу з відмиванням грошей (2018/843/EU) відкрила шлях до дистанційної ідентифікації, визнавши явно електронні засоби ідентифікації, зареєстровані відповідно до eIDAS. Вона передбачає зокрема:

• Посилену перевірку для клієнтів з високим рівнем ризику (ЗІО, країни третього світу з ризиком)

• Повну простежуваність здійснених заходів

• Збереження даних протягом п'яти років з дати закінчення ділових відносин

• Зобов'язання щодо періодичного оновлення файлів клієнтів

6-а директива AMLD (2021/1237), трансформація якої очікується до кінця 2026 року, ще більше посилює ці вимоги з введенням європейського простору цифрової ідентичності (eID) та гармонізацією списків спостереження.

DSP2 та강 аутентифікація: інтерфейс з KYC

Директива про послуги платежів DSP2 (2015/2366/EU) накладає силу аутентифікації клієнта (SCA) для чутливих операцій. У контексті KYC ця вимога матеріалізується під час:

• Встановлення дистанційних відносин (відкриття рахунку 100% в цифровій формі)

• Підписання змін, які змінюють суттєві характеристики рахунку

• Додавання новоствореного бенефіціара переводу

Сильна аутентифікація вимагає комбінації щонайменше двох факторів з: знання (пароль), володіння (смартфон, токен) та притаманні (біометрія). Цей пристрій природно узгоджується з розширеним електронним підписом, процес видачі якого інтегрує ці фактори аутентифікації. Щоб розібратися в тонкощах регламенту eIDAS та його еволюції в бік eIDAS 2.0, спеціалізований посібник надає вам усі ключі.

Рекомендації EBA щодо цифрового входу на борт

Європейський банківський орган (EBA) опублікував у 2022 році свої вказівки щодо використання рішень дистанційної ідентифікації в контексті KYC (EBA/GL/2022/15). Ці рекомендації уточнюють умови, за яких установа може спиратися на рішення електронної перевірки ідентичності без фізичної присутності клієнта, зокрема:

• Використання автоматизованої технології перевірки документів (OCR, NFC)

• Інтеграція етапу виявлення живості для запобігання фальшивкам deepfake

• Повна стежувальна розписка, що дозволяє відновити всю сесію ідентифікації

• Рівень довіри суттєвий або високий відповідно до eIDAS для клієнтів з середнім або високим ризиком

---

Розгортання робочого процесу KYC з електронним підписом: архітектура та найкращі практики

Впровадження повністю цифровізованого процесу KYC вимагає точної координації між технічними компонентами та нормативними вимогами.

Компоненти інтегрованого рішення KYC-signature

Надійний пристрій KYC електронного підпису спирається на:

• Модуль збирання документів: захищений портал, що дозволяє клієнту завантажувати обґрунтовуючі документи, з контролем узгодженості (формат, читабельність, автентичність)

• Механізм перевірки ідентичності: OCR у поєднанні з біометричною перевіркою для видобування та перевірки даних з посвідчення особистості

• Механізм електронного підпису: видача сертифіката підпису, накладення підпису на контрактні документи, генерація звіту аудиту

• Кваліфікований електронний хронометраж: кваліфікована часова мітка накладена на кожен підписаний документ, що гарантує певну дату

• Цифровий сейф: зберігання підписаних документів протягом встановленого періоду (щонайменше 5 років після закінчення ділових відносин)

• Комісійна дошка compliance: моніторинг KYC статусу кожного клієнта в реальному часі, сповіщення про файли для оновлення

Управління бенефіціарами та ланцюги делегування

Перевірка істинних власників (UBO — Ultimate Beneficial Owners) являється одним з найскладніших викликів KYC для юридичних осіб. Установи повинні виявити кожну фізичну особу, яка прямо або опосередковано володіє більше ніж 25% капіталу або голосів.

Ця вимога породжує ланцюги підписів, у яких беруть участь кілька підписантів (директори, повірені, законні представники) з різними рівнями авторизації. Розширений електронний підпис дозволяє керувати цими багатопідписними робочими процесами з повною простежуваністю кожного акта підпису. Юридична цінність кожного електронного підпису в цих ланцюгах делегування повинна бути ретельно задокументована.

Оновлення KYC: автоматизація періодичних оновлень

LCB-FT (боротьба з відмиванням грошей та фінансуванням тероризму) накладає періодичний огляд файлів клієнтів відповідно до їхнього профілю ризику:

• Низький ризик: кожні 5 років

• Середній ризик: кожні 3 роки

• Високий ризик: щорічно

Автоматизація цих оглядів через робочі процеси електронного підпису дозволяє значно зменшити операційне навантаження на команди compliance. Автоматичні сповіщення запускаються за наближенням крайніх термінів, і клієнта запрошують оновити документи через захищену цифрову сеанс. Для установ, які вже мають рішення для підпису, може виявитися доцільним оцінити переважзміну до більш інтегрованої платформи.

---

Безпека даних і захист приватності у електронному KYC

Обробка даних KYC передбачає одну з найбільш чутливих інформацій: дані ідентичності, біометричні дані, інформацію про майно. Відповідність GDPR накладається з особливою гостротою.

GDPR та KYC: правові основи, що застосовуються

Обробка персональних даних у контексті KYC спирається на дві основні правові основи відповідно до статті 6 GDPR:

• Юридичне зобов'язання (ст. 6.1.c): LCB-FT накладає зобов'язання збирати та перевіряти дані ідентифікації

• Виконання контракту (ст. 6.1.b): відкриття рахунку вимагає ідентифікації клієнта

Для біометричних даних (виявлення живості, розпізнавання облич), стаття 9 GDPR накладає спеціальну правову основу, як правило, явна згода клієнта або прямо передбачене юридичне зобов'язання. Оцінка впливу обов'язкова перед будь-яким розгортанням цих технологій.

Мінімізація даних і строки зберігання

Принцип мінімізації накладає зобов'язання збирати лише дані, суто необхідні для мети KYC. Оригінальні документи можуть бути замінені витягнутими даними (прізвище, ім'я, номер документа, дата дійсності) як тільки перевірка буде реалізована. Максимальний період зберігання біометричних даних становить 3 роки з дати збирання, якщо не передбачено іншим юридичним зобов'язанням.

Установи повинні також забезпечити право на забування (ст. 17 GDPR), узгоджуючи його з обов'язками зберігання LCB-FT — юридична напруженість, яка вимагає точної політики управління документами.

Нормативна база, що застосовується до KYC та електронного підпису

Установчі європейські тексти

Правовий режим, що регулює електронний KYC у Франції, розміщується навколо кількох накладених регуляторних шарів:

Регламент eIDAS №910/2014 (ЄС): встановлює правову базу для електронного підпису в Європейському Союзі. Стаття 25 визначає принцип недискримінації: електронний підпис не може бути відхилений просто тому, що він у електронній формі. Статті 26-29 визначають вимоги, що відповідно застосовуються до розширених та кваліфікованих підписів. Перевір eIDAS 2.0 (Регламент 2024/1183/EU) посилює ці положення та впроваджує європейський портфель цифрової ідентичності (EUDIW).

5-а директива про боротьбу з відмиванням грошей (2018/843/EU) та 6-а директива AMLD: безпосередньо визначають обов'язки дотримання та ідентифікації. Французька трансформація розташована в статтях L.561-1 та наступних Монетарного та фінансового кодексу, а також в розпорядженні від 6 січня 2021 року про пристрій та внутрішній контроль LCB-FT.

Директива DSP2 (2015/2366/EU) та Делегований регламент 2018/389: накладають сильну аутентифікацію (SCA) та обумовлюють видачу платіжних інструментів.

Французьке цивільне право та доказова сила

Стаття 1366 Цивільного кодексу передбачає, що електронна письмова форма має таку ж доказову силу, як письмова форма на паперовому носії, за умови, що її автор може бути належним чином ідентифікований, а її складання та зберігання здійснюється за умов, які гарантують її цілісність. Стаття 1367 визнає електронний підпис, коли він складається з використання надійного засобу ідентифікації, що гарантує його зв'язок з документом, до якого він застосовується.

Декрет №2017-1416 уточнює умови, за яких електронний підпис вважається надійним, зокрема шляхом посилання на вимоги eIDAS для кваліфікованого підпису.

Технічні стандарти ETSI

Стандарти ETSI EN 319 132 (формати XAdES, CAdES та PAdES) визначають стандарти формату електронного підпису. У контексті KYC формат PAdES (PDF Advanced Electronic Signatures) є привілейованим, оскільки інтегрує підпис безпосередньо до PDF-файлу, забезпечуючи узгодженість між візуальним документом та його криптографічним підписом.

Стандарт ETSI EN 319 401 регулює загальні вимоги, що застосовуються до поставників послуг довіри (TSP), до яких належать поставники кваліфікованого електронного підпису. У Франції ANSSI здійснює нагляд за цими постачальниками та публікує список національної довіри (TL-FR).

Юридичні ризики у разі недотримання

Пристрій KYC, що не відповідає вимогам, піддає установу значним санкціям: ACPR може виконати дисциплінарні санкції (попередження, осуд, тимчасова заборона на виконання діяльності) та грошові штрафи, що можуть досягти 100 мільйонів євро або 10% річного чистого доходу. Директива MiCA (2023/1114/EU) розширює ці вимоги на постачальників послуг на крипто-активи (PSAN/PSCA) з 2024 року, ще більше посилюючи периметр KYC, який потрібно контролювати.

Ілюстративні сценарії використання: електронний KYC

Сценарій 1 — Онлайн-банк та 100% цифрове підключення до мережі

Ці сценарії є ілюстративними: вони описують типові ситуації і не повідомляють про жодні виміряні результати у клієнта. Європейський необанк, що обробляє близько 15 000 нових відкриттів рахунків на місяць, прагне знизити рівень відмов у процесі KYC, який схильна погіршувати тертя, пов'язане з поштовим надсиланням документів. Банк впроваджує повністю цифровий шлях: потенційний клієнт фотографує документ, що посвідчує особу, через мобільний пристрій (NFC-перевірка чипа захищеного документа), робить селфі для перевірки живості, а потім підписує угоду про відкриття рахунку та декларацію бенефіціарного власника за допомогою удосконаленого електронного підпису, що відповідає eIDAS.

Очікувані переваги такого шляху стосуються рівня відмов на етапі KYC, строку відкриття рахунку та питомої вартості обробки справи, які мають знизитися порівняно з поштовим циклом. Автоматично створюваний журнал аудиту також дозволяє швидше реагувати на запити щодо обґрунтування з боку ACPR під час перевірок. Масштаб вигоди вимірюється на реальному périmètre банку, до і після пілотного проєкту.

Сценарій 2 — Компанія управління активами та KYC інвесторів

Керуюча компанія, що управляє активами на суму близько €2,8 млрд в інтересах 1 200 інституційних клієнтів та приватних осіб із високим статком (UHNWI), повинна щороку оновлювати досьє KYC своїх клієнтів із високим рівнем ризику. Традиційно виконуваний шляхом поштового надсилання та власноручного підпису, цей процес щороку залучає кількох співробітників протягом багатьох тижнів.

Із рішенням для KYC на основі кваліфікованого електронного підпису (QES) для договорів довірчого управління та банківських довіреностей, у поєднанні з удосконаленим електронним підписом для анкет оновлення, тривалість процесу щорічного оновлення та частка неповних досьє на момент настання строку мають зменшитися, що обмежує ситуації регуляторного блокування. Крім того, відмітка часу для кожного підпису дозволяє точно підтвердити дату оновлення перед регулятором. Масштаб вигоди вимірюється на реальному портфелі клієнтів, до і після пілотного проєкту.

Сценарій 3 — Спеціалізована кредитна установа та KYC для підприємств

Установа, спеціалізована на фінансуванні МСП, обробляє близько 800 кредитних папок на рік, кожна з яких вимагає збирання та підписання 12-18 документів KYC (статути, витяг з реєстру KBIS, переглянуті рахунки, декларація про бенефіціарів, кредитну угоду, гарантії). Множина підписантів (директор, супруг(а) як позичальник, поручитель) ускладнювала робочі процеси та подовжувала строки впровадження.

Установа впроваджує робочі процеси багатосторонього підпису з налаштовуваним порядком підписання: керівник підписує першим, автоматично ініціюючи запрошення співпозичальника, а потім поручителя. Кожен підписант проходить автентифікацію за допомогою посиленого SMS OTP та перевірки особи за документами. Строк завершення повного досьє KYC має скоротитися, що прискорює оформлення фінансування та може підвищити задоволеність клієнтів у сегменті МСП. Масштаб вигоди вимірюється на реальному périmètre установи, до і після пілотного проєкту.

Часто задаються питання

Яка різниця між просунутою та кваліфікованою електронним підписом в справі KYC?

Просунутий підпис гарантує ідентифікацію підписувача та цілісність документа без необхідності мати кваліфікований сертифікат, виданий акредитованим постачальником послуг. Кваліфікований підпис додає цей сертифікат, виданий сертифікованим постачальником послуг довіри відповідно до eIDAS, що надає йому ту саму юридичну чинність, що й рукописний підпис. Для більшості звичайних банківських угод просунутого підпису достатньо; кваліфікований підпис необхідний для документів з високою юридичною вагою, таких як доручення на представництво.

На протязі якого часу банк повинен зберігати документи KYC, підписані електронно?

Антивідмивальне законодавство встановлює мінімальний період збереження у п'ять років з дня закінчення банківських відносин. Це зобов'язання стосується всіх документів, які підтверджують інформацію, декларативних форм та контрактів, зібраних при установленні та ведені відносин. Документи мають залишатися читаними, цілісними та доступними для компетентних органів, зокрема ACPR, протягом усього цього періоду.

Чи законна дистанційна ідентифікація для відкриття банківського рахунку у Франції?

Так, з моменту впровадження 5-ї антивідмивальної директиви через ордонанс від 4 листопада 2020 року дистанційна ідентифікація була явно визнана при умові спирання на засоби електронної ідентифікації, які відповідають регламенту eIDAS. Процес повинен включати автоматизовану перевірку документів, виявлення живості та повний журнал аудиту. Високий ризик, пов'язаний з клієнтом, наприклад його статус політично залежної особи, вимагає посилених заходів перевірки, які можуть обмежити використання повністю цифрового маршруту.

Чи сумісна посилена автентифікація, необхідна за DSP2, з електронним підписом?

Так, ці два механізми доповнюють один одного. Просунутий електронний підпис за своєю природою включає фактори автентифікації, необхідні за DSP2 — знання, володіння та невід'ємні якості — в свій процес видачі. При підписанні чутливого документа KYC, такого як додаток, що змінює суттєві характеристики рахунку, установа одночасно задовольняє зобов'язання щодо посиленої автентифікації та вимогу документального обліку без необхідності множити кроки для клієнта.

Які ризики несе фінансова установа, яка не дотримується вимог KYC під час цифрового залучення клієнтів?

Невідповідність зобов'язанням KYC піддає установу адміністративним санкціям, накладаним ACPR, які можуть включати сувору выговір, тимчасове заборону на здійснення діяльності або штрафи, розмір яких може становити кілька мільйонів євро залежно від серйозності. Крім фінансових санкцій, недотримання вимог KYC викликає цивільну відповідальність установи в разі шахрайства або полегшеного відмивання грошей та наносить довготривалу шкоду її репутації серед європейських регуляторів.

Висновок

Збіжність між вимогами KYC фінансового сектору та можливостями електронного підпису окреслює у 2026 році новий стандарт для підключення до мережі та управління банківською відповідністю. Чи йдеться про первинну ідентифікацію приватного клієнта, перевірку істинних власників складної структури чи періодичне оновлення файлів, електронний підпис — розширений або кваліфікований залежно від ставок — забезпечує доказову ригорозність, яку вимагають регулятори, одночасно полегшуючи клієнтський досвід.

Правова база стабільна: eIDAS, LCB-FT, DSP2 та GDPR утворюють послідовну основу, на яку фінансові установи можуть спиратися для цифровізації своїх процесів з впевненістю.

Certyneo пропонує рішення електронного підпису, сумісне з eIDAS, інтегроване та піддаване аудиту, спеціально адаптоване до обмежень учасників фінансової сфери. Дізнайтеся про наші ціни та розпочніть безплатне пробне використання, щоб трансформувати ваші робочі процеси KYC вже сьогодні.