Tài liệu KYC: chữ ký điện tử để tuân thủ ngân hàng

Giới thiệu: tại sao KYC trở thành vấn đề chiến lược

KYC (Know Your Customer) chỉ tập hợp các thủ tục xác minh danh tính mà một tổ chức tài chính phải thực hiện trước khi bắt đầu quan hệ kinh doanh với khách hàng. Vào năm 2026, các cơ quan giám sát châu Âu — ACPR ở Pháp, EBA ở cấp châu Âu — yêu cầu sự nghiêm ngặt hơn trong việc thu thập, xác thực và lưu giữ tài liệu KYC. Chữ ký điện tử trở thành trục công nghệ cho phép kết hợp trải nghiệm khách hàng mượt mà, giá trị pháp lý của tài liệu và tuân thủ quy định. Hướng dẫn này giải thích các vấn đề, yêu cầu pháp lý và các hoạt động tốt nhất để triển khai quy trình KYC được ký điện tử trong lĩnh vực ngân hàng và tài chính.

---

Những điều cơ bản về KYC và khía cạnh tài liệu của nó

KYC dựa trên ba trụ cột cơ bản: xác định khách hàng, xác minh danh tính của họ và giám sát liên tục quan hệ kinh doanh. Mỗi trụ cột này tạo ra lưu lượng tài liệu đáng kể phải được xác thực, đóng dấu thời gian và lưu giữ một cách pháp lý.

Tài liệu được thu thập trong quy trình KYC

Một hồ sơ KYC điển hình bao gồm:

• Giấy tờ tùy thân: thẻ căn cước quốc gia, hộ chiếu, giấy tờ cư trú
• Chứng minh thu nhập: hóa đơn điện, sao kê ngân hàng từ dưới 3 tháng trước
• Tài liệu liên quan đến hoạt động chuyên môn: Kbis, điều lệ, báo cáo tài chính hàng năm đối với pháp nhân
• Biểu mẫu khai báo: khai báo chủ sở hữu thực tế, chứng chỉ cư trú thuế, biểu mẫu FATCA/CRS
• Hợp đồng khung: hợp đồng mở tài khoản, ủy quyền quản lý, thỏa thuận dịch vụ thanh toán

Mỗi tài liệu này phải được ký, ghi ngày và có thể theo dõi. Do đó, câu hỏi không phải là liệu chữ ký điện tử có vị trí trong KYC hay không, mà là xác định mức độ ký nào thích hợp cho từng hành động.

Các mức chữ ký eIDAS áp dụng cho KYC

Quy định eIDAS (n°910/2014) phân biệt ba mức chữ ký điện tử, có tính năng khác nhau tùy theo bản chất của tài liệu KYC:

| Mức | Khả năng áp dụng KYC | Yêu cầu | |--------|------------------|----------| | Đơn giản (SES) | Biểu mẫu khai báo rủi ro thấp | Liên kết giữa người ký và tài liệu | | Nâng cao (AES) | Hợp đồng tài khoản, ủy quyền tiêu chuẩn | Danh tính được xác minh, tính toàn vẹn được đảm bảo, chứng chỉ đủ điều kiện tùy chọn | | Đủ điều kiện (QES) | Quyền hạn ngân hàng, ủy quyền đại diện, hành động có giá trị pháp lý cao | Chứng chỉ đủ điều kiện do PSCO được phê duyệt theo eIDAS cấp |

Chữ ký điện tử nâng cao là mức tối thiểu được khuyến nghị cho phần lớn tài liệu KYC ngân hàng. Đối với quy trình chữ ký điện tử trong doanh nghiệp phải tuân theo các yêu cầu quy định tăng cường, chữ ký đủ điều kiện trở thành bắt buộc.

---

KYC kỹ thuật số: các yêu cầu quy định cụ thể cho lĩnh vực tài chính

Các tổ chức tín dụng, công ty đầu tư và nhà cung cấp dịch vụ thanh toán phải tuân thủ các quy định dày đặc trùm lên nhau trực tiếp ảnh hưởng đến thiết kế thiết bị KYC điện tử của họ.

Chỉ thị chống rửa tiền lần thứ 5 (AMLD5) và tác động của nó đối với KYC kỹ thuật số

Được chuyển giao thành luật Pháp bằng sắc lệnh n°2020-1342 ngày 4 tháng 11 năm 2020, chỉ thị chống rửa tiền lần thứ 5 (2018/843/UE) đã mở đường cho việc xác định từ xa bằng cách công nhận rõ ràng các phương tiện xác định điện tử được thông báo theo eIDAS. Nó đặc biệt áp đặt:

• Xác minh tăng cường cho khách hàng rủi ro cao (PPE, nước thứ ba rủi ro)
• Truyền tải hoàn chỉnh của các biện pháp được thực hiện
• Lưu giữ dữ liệu trong năm năm kể từ khi kết thúc quan hệ kinh doanh
• Nghĩa vụ cập nhật định kỳ hồ sơ khách hàng

Chỉ thị AMLD lần thứ 6 (2021/1237), dự kiến chuyển giao trước cuối năm 2026, tăng cường thêm các yêu cầu này bằng cách đưa vào một không gian nhận dạng kỹ thuật số châu Âu (eID) và hài hòa hóa danh sách giám sát.

DSP2 và xác thực mạnh: giao diện với KYC

Chỉ thị về dịch vụ thanh toán DSP2 (2015/2366/UE) áp đặt xác thực mạnh của khách hàng (SCA) cho các hoạt động nhạy cảm. Trong bối cảnh KYC, yêu cầu này cụ thể hóa khi:

• Bắt đầu quan hệ từ xa (mở tài khoản 100% kỹ thuật số)
• Ký bổ sung sửa đổi các đặc tính cơ bản của tài khoản
• Thêm người thụ hưởng chuyển tiền không thường xuyên

Xác thực mạnh yêu cầu kết hợp ít nhất hai yếu tố từ: kiến thức (mật khẩu), sở hữu (điện thoại thông minh, mã thông báo) và bản chất (sinh trắc). Thiết bị này tích hợp tự nhiên với chữ ký điện tử nâng cao, quy trình phát hành của nó tích hợp các yếu tố xác thực này. Để hiểu rõ các tinh tế của quy định eIDAS và sự phát triển của nó hướng tới eIDAS 2.0, một hướng dẫn chuyên dụng cung cấp cho bạn tất cả các khóa.

Khuyến nghị của EBA về nhập hàng kỹ thuật số

Cơ quan Ngân hàng châu Âu (EBA) đã công bố vào năm 2022 các hướng dẫn của nó về việc sử dụng các giải pháp nhận dạng từ xa trong bối cảnh KYC (EBA/GL/2022/15). Những hướng dẫn này làm rõ các điều kiện trong đó một tổ chức có thể dựa vào các giải pháp xác minh danh tính điện tử mà không có sự hiện diện vật lý của khách hàng, đặc biệt:

• Sử dụng các công nghệ xác minh tài liệu tự động (OCR, NFC)
• Tích hợp một bước phát hiện tính sống để ngăn chặn gian lận deepfake
• Dấu vết kiểm toán hoàn chỉnh cho phép tái tạo toàn bộ phiên xác định
• Mức độ tin cậy tương ứng hoặc cao theo eIDAS cho khách hàng rủi ro vừa phải hoặc cao

---

Triển khai quy trình KYC được ký điện tử: kiến trúc và hoạt động tốt nhất

Thiết lập một quy trình KYC hoàn toàn kỹ thuật số yêu cầu sự phối hợp chính xác giữa các thành phần kỹ thuật và yêu cầu quy định.

Các thành phần của giải pháp KYC-chữ ký tích hợp

Một thiết bị KYC chữ ký điện tử mạnh mẽ dựa trên:

1. Mô-đun thu thập tài liệu: cổng thông tin được bảo mật cho phép khách hàng gửi các chứng chỉ của mình, với kiểm soát tính nhất quán (định dạng, khả năng đọc, tính xác thực)
2. Công cụ xác minh danh tính: OCR kết hợp với xác minh sinh trắc để trích xuất và kiểm soát dữ liệu từ tài liệu tùy thân
3. Công cụ chữ ký điện tử: cấp chứng chỉ chữ ký, thêm chữ ký vào tài liệu hợp đồng, tạo báo cáo kiểm toán
4. [Đóng dấu thời gian điện tử đủ điều kiện](/guide/horodatage-electronique): tem thời gian được chứng thực được thêm vào từng tài liệu được ký, đảm bảo ngày chắc chắn
5. Két sắt kỹ thuật số: lưu giữ tài liệu được ký trong thời gian luật định (tối thiểu 5 năm sau quan hệ kinh doanh)
6. Bảng điều khiển tuân thủ: giám sát theo thời gian thực tình trạng KYC của từng khách hàng, cảnh báo về hồ sơ cần đổi mới

Quản lý chủ sở hữu thực tế và chuỗi ủy quyền

Xác minh chủ sở hữu thực tế (UBO — Ultimate Beneficial Owners) đại diện cho một trong những thách thức phức tạp nhất của KYC đối với pháp nhân. Các tổ chức phải xác định bất kỳ cá nhân nào sở hữu, trực tiếp hoặc gián tiếp, hơn 25% vốn hoặc quyền biểu quyết.

Yêu cầu này tạo ra chuỗi chữ ký liên quan đến nhiều người ký (nhà lãnh đạo, đại lý, đại diện hợp pháp) với các mức ủy quyền khác nhau. Chữ ký điện tử nâng cao cho phép quản lý các quy trình làm việc ký nhiều người với truyền tải hoàn chỉnh của từng hành động ký. Giá trị pháp lý của mỗi chữ ký điện tử trong các chuỗi ủy quyền này phải được ghi chép cẩn thận.

Đổi mới KYC: tự động hóa các bản cập nhật định kỳ

LCB-FT (chống rửa tiền và tài trợ khủng bố) áp đặt xem xét định kỳ hồ sơ khách hàng theo hồ sơ rủi ro của họ:

• Rủi ro thấp: mỗi 5 năm
• Rủi ro vừa phải: mỗi 3 năm
• Rủi ro cao: hàng năm

Tự động hóa các xem xét này thông qua quy trình làm việc chữ ký điện tử cho phép giảm đáng kể khối lượng công việc của các đội tuân thủ. Cảnh báo tự động được kích hoạt khi tiếp cận thời hạn, và khách hàng được mời cập nhật tài liệu của họ thông qua một hành trình kỹ thuật số được bảo mật. Đối với các tổ chức đã có giải pháp ký, có thể hợp lý để đánh giá chuyển đổi sang một giải pháp hướng tới một nền tảng tích hợp hơn.

---

Bảo mật dữ liệu và bảo vệ quyền riêng tư trong KYC điện tử

Xử lý dữ liệu KYC liên quan đến các thông tin nhạy cảm nhất: dữ liệu danh tính, dữ liệu sinh trắc, thông tin tài sản. Tuân thủ RGPD được áp dụng với cấp độ cấp tính cụ thể.

RGPD và KYC: các cơ sở pháp lý áp dụng

Các xử lý dữ liệu cá nhân được thực hiện trong bối cảnh KYC dựa trên hai cơ sở pháp lý chính theo Điều 6 của RGPD:

• Nghĩa vụ pháp lý (art. 6.1.c): LCB-FT áp đặt việc thu thập và xác minh dữ liệu xác định
• Thực hiện hợp đồng (art. 6.1.b): mở tài khoản yêu cầu xác định khách hàng

Đối với dữ liệu sinh trắc (phát hiện tính sống, nhận dạng khuôn mặt), Điều 9 của RGPD áp đặt một cơ sở pháp lý cụ thể, thường là sự đồng ý rõ ràng của khách hàng hoặc một yêu cầu pháp lý rõ ràng. Một phân tích tác động (AIPD) là bắt buộc trước bất kỳ triển khai nào của các công nghệ này.

Tối thiểu hóa dữ liệu và thời gian lưu giữ

Nguyên tắc tối thiểu hóa áp đặt chỉ thu thập dữ liệu hoàn toàn cần thiết cho mục đích KYC. Các tài liệu gốc có thể được thay thế bằng dữ liệu được trích xuất (tên, tên đệm, số tài liệu, ngày hết hạn) khi xác minh đã được thực hiện. Thời gian lưu giữ tối đa của dữ liệu sinh trắc là 3 năm kể từ khi thu thập, trừ khi có yêu cầu pháp lý khác.

Các tổ chức cũng phải đảm bảo quyền bị xóa (art. 17 RGPD), đồng thời hòa hợp nó với các yêu cầu lưu giữ LCB-FT — một căng thẳng pháp lý đòi hỏi một chính sách quản lý tài liệu chính xác.

Khung pháp lý áp dụng cho KYC và chữ ký điện tử

Các văn bản sáng lập châu Âu

Thiết bị pháp lý điều tiết KYC điện tử ở Pháp được tổ chức xung quanh nhiều lớp quy định chồng chéo:

Quy định eIDAS n°910/2014 (EU): thiết lập khung pháp lý của chữ ký điện tử trong Liên minh châu Âu. Điều 25 đặt nguyên tắc không phân biệt: chữ ký điện tử không thể bị từ chối chỉ vì nó ở dạng điện tử. Các điều 26 đến 29 định nghĩa các yêu cầu tương ứng được áp dụng cho các chữ ký nâng cao và đủ điều kiện. Sửa đổi eIDAS 2.0 (quy định 2024/1183/EU) tăng cường các quy định này và đưa vào ví danh tính kỹ thuật số châu Âu (EUDIW).

Chỉ thị chống rửa tiền lần thứ 5 (2018/843/UE) và chỉ thị AMLD lần thứ 6: điều kiện trực tiếp các yêu cầu siêng năng và xác định. Chuyển giao Pháp được tìm thấy trong các điều L.561-1 và các điều sau của Bộ luật Tiền tệ và Tài chính, cũng như trong sắc lệnh ngày 6 tháng 1 năm 2021 liên quan đến thiết bị và kiểm soát nội bộ LCB-FT.

Chỉ thị DSP2 (2015/2366/UE) và quy định ủy quyền 2018/389: áp đặt xác thực mạnh (SCA) và điều kiện phát hành các công cụ thanh toán.

Luật dân sự Pháp và giá trị pháp lý

Điều 1366 của Bộ luật Dân sự quy định rằng văn bản điện tử có cùng sức thuyết phục như văn bản trên giấy in, nhân điều kiện là tác giả của nó có thể được xác định đúng cách và nó được thiết lập và lưu giữ trong những điều kiện có tính chất đảm bảo tính toàn vẹn của nó. Điều 1367 công nhận chữ ký điện tử khi nó bao gồm việc sử dụng một thủ tục xác định đáng tin cậy đảm bảo mối liên kết của nó với hành động mà nó được gắn kèm.

Sắc lệnh n°2017-1416 làm rõ các điều kiện trong đó chữ ký điện tử được giả định là đáng tin cậy, đặc biệt bằng cách đề cập đến các yêu cầu eIDAS cho chữ ký đủ điều kiện.

Tiêu chuẩn kỹ thuật ETSI

Các tiêu chuẩn ETSI EN 319 132 (định dạng XAdES, CAdES và PAdES) định nghĩa các tiêu chuẩn về định dạng chữ ký điện tử. Trong bối cảnh KYC, định dạng PAdES (Chữ ký điện tử PDF nâng cao) được ưu tiên vì nó tích hợp chữ ký trực tiếp vào tệp PDF, đảm bảo tính nhất quán giữa tài liệu trực quan và chữ ký mã hóa của nó.

Tiêu chuẩn ETSI EN 319 401 điều tiết các yêu cầu chung áp dụng cho các nhà cung cấp dịch vụ tin cậy (TSP), trong đó có các nhà cung cấp chữ ký điện tử đủ điều kiện. Ở Pháp, ANSSI đảm bảo sự giám sát của các nhà cung cấp này và công bố danh sách tin cậy quốc gia (TL-FR).

Rủi ro pháp lý nếu không tuân thủ

Một thiết bị KYC không tuân thủ tiếp xúc tổ chức với các hình phạt đáng kể: ACPR có thể đưa ra các hình phạt kỷ luật (cảnh cáo, khiển trách, cấm tạm thời thực hành) và tiền tệ lên tới 100 triệu euro hoặc 10% doanh thu hàng năm ròng. Chỉ thị MiCA (2023/1114/UE) mở rộng các yêu cầu này cho các nhà cung cấp dịch vụ trên tiền điện tử (PSAN/PSCA) từ năm 2024, tăng cường hơn nữa phạm vi KYC cần giám sát.

Tình huống sử dụng: KYC điện tử trong thực tế

Tình huống 1 — Ngân hàng trực tuyến và nhập hàng 100% kỹ thuật số

Một ngân hàng mới ở châu Âu xử lý khoảng 15.000 lần mở tài khoản mới mỗi tháng tìm cách giảm tỷ lệ bỏ việc của nó trong quá trình KYC, khi đó ước tính ở mức 34% do ma sát liên quan đến gửi tài liệu theo đường bưu điện. Ngân hàng triển khai một hành trình hoàn toàn kỹ thuật số: khách hàng tiềm năng chụp tấm giấy tùy thân của anh ta qua di động (xác minh NFC của chip trên tiêu đề được bảo đảm), thực hiện selfie tính sống, sau đó ký điện tử hợp đồng tài khoản và khai báo chủ sở hữu thực tế thông qua chữ ký nâng cao tuân thủ eIDAS.

Kết quả được quan sát sau 6 tháng triển khai: tỷ lệ bỏ việc trong KYC giảm xuống 11% (giảm 67%), thời gian trung bình mở tài khoản giảm từ 5 ngày làm việc xuống dưới 20 phút, và chi phí đơn vị xử lý một hồ sơ KYC giảm 58%. Dấu vết kiểm toán được tạo tự động cho phép trả lời trong ít hơn 4 giờ các yêu cầu lý giải từ ACPR trong các cuộc kiểm tra.

Tình huống 2 — Công ty quản lý tài sản và nhà đầu tư KYC

Một công ty quản lý quản lý khoảng 2,8 tỷ euro tài sản cho tài khoản của 1.200 khách hàng tổ chức và cá nhân có tài sản cao (UHNWI) phải đổi mới hàng năm hồ sơ KYC của các khách hàng rủi ro cao. Theo truyền thống được thực hiện qua gửi bưu điện và ký tay, quá trình này huy động 3 tương đương toàn thời gian trong 6 tuần mỗi năm.

Sau triển khai một giải pháp KYC chữ ký điện tử đủ điều kiện (QES) cho các ủy quyền quản lý và quyền hạn ngân hàng, kết hợp với chữ ký nâng cao cho các bảng câu hỏi cập nhật, công ty giảm thời gian của quá trình đổi mới hàng năm từ 6 tuần xuống 8 ngày làm việc. Tỷ lệ trả lại hồ sơ hoàn chỉnh trước thời hạn tăng từ 71% lên 96%, loại bỏ hầu như hoàn toàn các tình huống chặn quy định. Truyền tải hoàn chỉnh được đóng dấu thời gian của mỗi chữ ký cho phép hơn nữa để chứng minh chính xác ngày cập nhật trước người điều tiết.

Tình huống 3 — Tổ chức tín dụng chuyên biệt và doanh nghiệp KYC

Một tổ chức chuyên biệt trong tài trợ SME xử lý khoảng 800 hồ sơ tín dụng mỗi năm, mỗi hồ sơ yêu cầu việc thu thập và ký 12 đến 18 tài liệu KYC (điều lệ, Kbis, các tài khoản được chứng thực, khai báo chủ sở hữu thực tế, thỏa thuận tín dụng, bảo đảm cá nhân). Tính đa dạng của người ký (nhà lãnh đạo, vợ / chồng đồng vay, bảo lãnh đoàn kết) phức tạp hóa quy trình làm việc và kéo dài thời gian thiết lập.

Tổ chức triển khai quy trình làm việc ký nhiều người với thứ tự ký có thể thiết lập: nhà lãnh đạo ký trước, kích hoạt tự động lời mời của đồng vay, sau đó của bảo đảm. Mỗi người ký được xác thực bằng OTP SMS tăng cường và xác minh danh tính tài liệu. Thời gian trung bình để khóa một hồ sơ KYC hoàn chỉnh giảm từ 18 ngày xuống 4 ngày làm việc, cho phép tăng tốc độ đáng