Le 10 domande principali da porre a un fornitore di servizi di verifica dell'identità prima di sceglierne uno

Nel 2024, la FTC ha segnalato perdite per frode superiori a 12.5 miliardi di dollari, con un aumento del 25% rispetto all'anno precedente e oltre 1.1 milioni di denunce di furto d'identità presentate tramite IdentityTheft.gov. In questo contesto, la selezione del fornitore appare urgente e, proprio per questo, la dovuta diligenza tende a ridurre la semplice comparazione delle funzionalità a un'analisi superficiale. Un fornitore viene confrontato con un altro in base a dati di accuratezza, prezzo e velocità di integrazione. E il contratto viene firmato.

Dai sei ai diciotto mesi dopo, molti team scoprono che le vere domande di valutazione non sono mai state poste. Un nuovo mercato richiede tipologie di documenti che il fornitore copre a malapena. Un'interruzione del servizio non ha rimedio contrattuale SLA. L'accordo sul trattamento dei dati è in conflitto con le norme di residenza locali. Si prevede che il mercato della verifica dell'identità crescerà da 14.34 miliardi di dollari nel 2025 a 29.32 miliardi di dollari entro il 2030.e ogni fornitore in quel mercato affermerà di possedere le stesse capacità di primo livello. Le domande seguenti sono pensate per mostrare dove queste affermazioni si discostano dalla realtà.

Sviluppi e gestisci internamente la tua tecnologia di verifica?

Molti fornitori di IDV integrano componenti di terze parti per l'acquisizione di documenti, la corrispondenza biometrica o rilevazione del liveness e confezionarli sotto un unico marchio. Chiedete specificamente quali parti della pipeline sono proprietarie e quali sono concesse in licenza da altri fornitori. Le dipendenze da terze parti creano rischi relativi a SLA, licenze e roadmap che esulano dal controllo del fornitore. Quando un subappaltatore modifica i prezzi o interrompe una linea di prodotti, l'interruzione ricade sul vostro team operativo, non sul suo.

Quali opzioni di implementazione supportate?

Per molte organizzazioni, una soluzione esclusivamente cloud è adatta. Tuttavia, per i team con requisiti di sovranità dei dati, la questione se un fornitore possa operare sulla propria infrastruttura, sul proprio tenant cloud o su una soluzione ibrida di entrambi non è un'opzione, ma una necessità. Gli enti regolatori nei settori dei servizi finanziari, della sanità e della pubblica amministrazione sono diventati sempre più esigenti in merito a dove i dati di identità possono essere elaborati e archiviati. È fondamentale verificare che l'architettura del fornitore sia compatibile con gli obblighi giurisdizionali prima della firma del contratto, non dopo.

Quali certificazioni normative possedete effettivamente?

La baseline del settore comprende SOC 2 Tipo II, ISO 27001:2013, PCI DSS e Conforme al GDPR elaborazione dati. Per il rilevamento biometrico della vitalità, iBeta Livello 1, 2 e Certificazione iBeta Livello 3 La certificazione rilasciata da un laboratorio di prova accreditato NIST NVLAP è il parametro di riferimento indipendente riconosciuto. Se la tua azienda opera in Germania, l'approvazione KJM è un requisito imprescindibile per i prodotti soggetti a restrizioni di età. Chiedi al fornitore di mostrare i certificati effettivi. Un certificato con una data di scadenza risalente a due anni prima è un segnale che merita di essere approfondito.

Quanti paesi e tipologie di documenti copre effettivamente la vostra soluzione?

Copertura del documento È proprio in questo ambito che le affermazioni dei fornitori divergono maggiormente dalla realtà dell'implementazione. Un fornitore potrebbe supportare in linea di principio 200 paesi, ma avere tassi di estrazione che si degradano significativamente per determinati formati di documento in specifiche regioni. Richiedete dati di copertura a livello di tipo di documento e giurisdizione per i mercati che vi interessano. Le organizzazioni che si espandono nel Sud-est asiatico, in America Latina o in Medio Oriente scopriranno che la profondità della copertura determina quante verifiche finiscono in una coda di revisione manuale.

Da cosa protegge il tuo sistema di rilevamento della vitalità?

Il rilevamento degli attacchi di presentazione è andato ben oltre i controlli statici delle foto. L'attuale scenario delle minacce include attacchi con maschere 3D, iniezioni di video deepfakee attacchi di replay dello schermo. Chiedete al fornitore su quali categorie di attacchi è addestrato il suo sistema di rilevamento della presenza in tempo reale e quali test indipendenti convalidano tali affermazioni. Il livello 2 di iBeta copre una gamma più ampia di attacchi di presentazione rispetto al livello 1. I fornitori senza certificazione di terze parti vi chiedono di accettare i loro dati di accuratezza, che rappresentano una categoria di rischio diversa dalla frode che il prodotto dovrebbe prevenire.

Quanto è approfondita la vostra copertura di screening antiriciclaggio e sanzionatorio?

AML screening non è una caratteristica binaria. Chiedi quante watchlist sono coperte, con quale frequenza vengono aggiornati i dati, come Profili PEP vengono reperiti e mantenuti, e se è incluso lo screening dei media avversi. Il quadro delle raccomandazioni del GAFI Conformità antiriciclaggio come un processo basato sul rischio, non come una lista di controllo. Un fornitore che gestisce 50 watchlist e uno che ne gestisce 3,500 non risolvono lo stesso problema di conformità, anche se entrambi descrivono la funzionalità in modo identico nella loro documentazione.

Quali sono le vostre garanzie di disponibilità e le soluzioni SLA?

I processi di onboarding non prevedono periodi di inattività programmati. Chiedete qual è l'accordo sui livelli di servizio (SLA) contrattuale del fornitore, cosa costituisce una violazione e quali sono le soluzioni concrete. Un credito su fatture future raramente compensa un processo di onboarding fallito durante il lancio di un prodotto o un audit normativo. Chiedete se il fornitore mantiene una pagina pubblica sullo stato del servizio e qual è la sua procedura di comunicazione degli incidenti, inclusi i tempi di notifica ai clienti e i canali utilizzati.

Puoi scalare con noi senza dover migrare la piattaforma?

I fornitori ottimizzati per volumi da piccoli a medi a volte richiedono modifiche architetturali per supportare il throughput di livello enterprise. Chiedi se l'architettura API è la stessa a 1,000 verifiche al giorno come a un milione. Un'analisi approfondita processo di due diligence del fornitore Un approccio che valuti solo le esigenze attuali produrrà un contratto adatto al presente ma che limiterà la crescita. Informatevi su episodi storici in cui l'aumento dei volumi ha causato un peggioramento delle prestazioni, non solo sui limiti teorici.

Dove vengono conservati i nostri dati di identità e chi vi ha accesso?

La residenza dei dati è una questione di approvvigionamento, non solo legale. Richiedete al fornitore l'elenco completo dei subappaltatori, dove i dati vengono archiviati a riposo, dove vengono elaborati durante una sessione di verifica e quali politiche di conservazione ed eliminazione dei dati si applicano al termine della verifica. Ai sensi del GDPR, la vostra organizzazione è responsabile delle pratiche del vostro responsabile del trattamento, oltre che delle proprie. I fornitori che non sono in grado di fornire un addendum sul trattamento dei dati aggiornato e firmato prima della firma del contratto, potrebbero dare segnali di un livello di maturità in materia di conformità.

Che cosa richiede concretamente l'integrazione?

Le tempistiche di implementazione variano da pochi giorni per le integrazioni basate su webhook a diversi mesi per ambienti aziendali complessi. Richiedete informazioni sul percorso di integrazione specifico per il vostro stack tecnologico, sulla disponibilità di un ambiente sandbox prima del lancio, sulla documentazione relativa ai casi limite e sulla disponibilità di un supporto dedicato all'integrazione, anche a pagamento. Avere un quadro chiaro di ciò che i servizi di verifica dell'identità richiedono realisticamente in fase di integrazione vi eviterà di scoprire la soluzione a metà progetto, quando i costi di transizione sono più elevati.

La scelta di un fornitore di verifica dell'identità inadeguato influenza ogni processo di onboarding, ogni avviso AML e ogni espansione di mercato che dipende dalla copertura del fornitore e dall'affidabilità degli SLA. Verifica dell'identità di Shufti coperture della piattaforma Paesi 240 +Supporta implementazioni cloud, on-premise e ibride tramite un'unica API, possiede le certificazioni iBeta di livello 1, 2 e 3 per il rilevamento della vitalità e effettua controlli su oltre 3,500 watchlist globali, il tutto con un unico contratto.

Richiedi una demo per testare il tuo caso d'uso specifico sulla piattaforma e verificarne le prestazioni rispetto ai mercati di riferimento e ai requisiti di conformità.