KYC kontra AML: różnice, proces i wymagania dotyczące zgodności – wyjaśnienie

KYC weryfikuje tożsamość klienta, podczas gdy AML KYC to szersze ramy zapobiegające przestępstwom finansowym. KYC to pierwszy krok w ramach AML, który obejmuje również weryfikację sankcji, monitorowanie transakcji, weryfikację negatywnych informacji w mediach oraz stałą należytą staranność. Przedsiębiorstwa podlegające regulacjom (banki, firmy fintech, giełdy kryptowalut, brokerzy, firmy hazardowe i ubezpieczyciele) muszą wdrożyć przepisy AML, co nie jest możliwe bez skutecznego KYC.

Czym jest KYC (Know Your Customer)?

Znaj swojego klienta jest regulowanym procesem identyfikacji klienta i weryfikacji, że jest tym, za kogo się podaje, przed otwarciem konta lub udostępnieniem produktu finansowego.

Pełna procedura KYC obejmuje trzy elementy:

1. Gromadzi informacje identyfikacyjne, pełne imię i nazwisko, datę urodzenia, adres zamieszkania i

numer identyfikacyjny wydany przez organ rządowy.

2. Weryfikuje informacje w oparciu o wiarygodne źródła, zwykle wydawane przez rząd

dokumenty, dane o tożsamości elektronicznej oraz bazy danych PEP/sankcji.

3. Łączy tożsamość z prawdziwą osobąpotwierdzając, że osoba składająca

dokumenty są faktycznym posiadaczem danej tożsamości, zazwyczaj poprzez biometryczną weryfikację twarzy z detekcją żywotności.

Proces KYC nie jest działaniem jednorazowym. Podmioty regulowane muszą okresowo aktualizować dane klientów, zazwyczaj co 12 miesięcy w przypadku klientów wysokiego ryzyka i co 24–36 miesięcy w przypadku klientów standardowego ryzyka.

Skąd wziął się wymóg KYC?

Region	Podstawa prawna podstawowa
United States	Ustawa USA PATRIOT (Program identyfikacji klienta), ustawa o tajemnicy bankowej
Wielka Brytania	Przepisy dotyczące przeciwdziałania praniu pieniędzy z 2017 r. (MLR 2017) ze zmianami
Unia Europejska	AMLD4/5 (obecnie); Rozporządzenie UE w sprawie przeciwdziałania praniu pieniędzy (AMLR) i AMLD6 od lipca 2027 r.
Globalny standard	Zalecenia FATF 10–12 (należyta staranność wobec klienta)

 

Zalecenia FATF 40 stanowią globalną bazę, do której dostosowuje się ponad 200 jurysdykcji prawa krajowego. Stanowią one właściwy punkt wyjścia dla każdego programu zgodności działającego w całym kraju. Granice.

Dokumenty zazwyczaj wymagane do KYC

Dla osób fizycznych:

• Dokument tożsamości ze zdjęciem wydany przez organ rządowy (paszport, dowód osobisty, prawo jazdy)
• Dowód adresu – rachunek za media, wyciąg bankowy lub umowa najmu, zazwyczaj z ostatnich trzech miesięcy
• Numer identyfikacji podatkowej, jeżeli ma zastosowanie

Dla firm (KYB):

• Świadectwo rejestracji
• Memorandum i statut spółki
• Ujawnienia dotyczące beneficjentów rzeczywistych (informacje o UBO)
• Identyfikacja dyrektora i akcjonariusza
• Dowód adresu rejestrowego

Czym jest AML (przeciwdziałanie praniu pieniędzy)?

AML jest ramą parasolową przepisów, polityk i kontroli operacyjnych mających na celu wykrywanie, Zapobieganie przestępstwom finansowym i zgłaszanie ich. Obejmuje wszystko, od prania pieniędzy po terroryzm. finansowanie unikania sankcji, oszustw i korupcji.

Podczas gdy KYC jest odrębnym procesem, AML jest programem. Zgodny Program AML zazwyczaj obejmuje:

• Należyta staranność wobec klienta (CDD) – ocena oparta na ryzyku, która zaczyna się od KYC i trwa przez cały okres trwania relacji
• Sankcje i kontrola PEPsprawdzanie klientów i kontrahentów na podstawie list OFAC, ONZ, UE, HMT i innych
• Kontrola negatywnych mediów – monitorowanie negatywnych wiadomości, które sygnalizują ryzyko utraty reputacji lub przestępstw finansowych
• Monitorowanie transakcji – sygnalizowanie nietypowych wzorców, takich jak strukturyzacja, szybki przepływ środków lub aktywność niezgodna z profilem klienta
• Raporty o podejrzanej aktywności (SAR) – obowiązkowe składanie sprawozdań do właściwej jednostki analityki finansowej (FinCEN, NCA, AUSTRAC itp.)
• Ewidencjonowanie – przechowywanie danych dotyczących tożsamości, transakcji i ryzyka przez okres wymagany przez prawo (zwykle od pięciu do dziesięciu lat)
• Kontrola wewnętrzna i szkolenia – pisemne zasady, wyznaczony urzędnik ds. przeciwdziałania praniu pieniędzy i praniu pieniędzy, stałe szkolenie personelu i niezależny audyt.

Skąd wziął się wymóg AML?

• Stany Zjednoczone: Bank Secrecy Act (BSA)Ustawa o przeciwdziałaniu praniu pieniędzy z 2020 r., przepisy FinCEN
• Zjednoczone Królestwo: Ustawa o dochodach z przestępstwa z 2002 r., ustawa o przeciwdziałaniu przestępczości gospodarczej i przejrzystości korporacyjnej z 2017 r., przepisy FCA
• Unia Europejska: Pakiet AML UE został przyjęty w 2024 r. Rozporządzenie AML (AMLR, UE 2024/1624) wchodzi w życie bezpośrednio od lipca 2027 r., a AMLD6 (UE 2024/1640) ma zostać transponowana przez państwa członkowskie do tego samego dnia. Nowy Europejski Urząd ds. Przeciwdziałania Praniu Pieniędzy (AMLA) z siedzibą we Frankfurcie rozpoczął działalność w lipcu 2025 r.
• Globalny standard: Rekomendacje FATF 40 oraz wytyczne dotyczące poszczególnych sektorów, np. wytyczne FATF dotyczące wirtualnych aktywów w zakresie kryptowalut.

KYC a AML: porównanie bezpośrednie

Wymiary	KYC	AML
Co to jest	Proces weryfikacji tożsamości klienta	Ramy regulacyjne zapobiegające przestępstwom finansowym
Zakres	Weryfikacja tożsamości + wstępna klasyfikacja ryzyka	Tożsamość, transakcje, sankcje, raportowanie, kontrole, szkolenia
Chronometraż	Wdrażanie + okresowe odświeżanie	Ciągły na terenie całego Cyklu życia klienta
Wyjścia	Zweryfikowana tożsamość, ocena ryzyka, historia klienta	Raporty SAR, trafienia w sankcje, alerty monitorujące, raporty regulacyjne
Pytanie kierowcy	„Kim jest ten klient?”	„Czy zachowanie tego klienta jest uzasadnione?”
Właściciel	Wdrażanie/operacje + zgodność	Zgodność z danymi wejściowymi z operacji, oszustw i ryzyka
Narzędzia	Weryfikacja dokumentów, biometria, eIDV, kontrola PEP/sankcji	KYC + monitorowanie transakcji, niekorzystne informacje w mediach, zarządzanie sprawami, składanie wniosków SAR
Relacja	Wymagany składnik AML	Parasol zawierający KYC

 

Najprostszy sposób na zapamiętanie: KYC informuje o tożsamości klienta. AML informuje, czy jego działania są zgodne z prawem. Potrzebujesz pierwszego, aby wykonać drugie.

Jak KYC wpisuje się w ramy AML?

KYC i AML nie są procesami równoległymi. KYC jest jednym z kilku mechanizmów kontroli, które razem tworzą program AML. Relacja wygląda następująco:

• AML (rama) określa prawny obowiązek wykrywania i zapobiegania przestępstwom finansowym.
• CDD (należyta staranność wobec klienta) to oparty na ryzyku sposób realizacji tego obowiązku.
• KYC to element CDD służący weryfikacji tożsamości.
• Monitorowanie na żywoInne elementy CDD to kontrola sankcji, analiza transakcji i składanie wniosków SAR.

Gdyby usunąć KYC, reszta programu AML nie miałaby żadnych wiarygodnych podstaw do podejmowania decyzji o ryzyku. Dlatego wszystkie ramy AML, FATF, BSA, MLR 2017 i EU AMLR, traktują weryfikację tożsamości klienta jako wymóg podstawowy, a nie opcjonalny.

Proces KYC: krok po kroku (2026)

Nowoczesny Proces KYC, którego celem jest zadowolenie regulatorów i pozyskanie legalnych klientów, przebiega w pięciu etapach.

Krok 1: Program identyfikacji klienta (CIP)

Zbierz punkty danych wymagane w Twojej jurysdykcji Program identyfikacji klienta (CIP) Odpowiednik: imię i nazwisko, data urodzenia, adres i numer dowodu osobistego. W przypadku klientów biznesowych należy zebrać dane identyfikacyjne firmy i informacje o beneficjentach rzeczywistych.

Krok 2: Weryfikacja dokumentu

Zweryfikuj autentyczność przedłożonych dokumentów tożsamości. Wiarygodna weryfikacja obejmuje:

• Integralność formatu i szablonu w odniesieniu do globalnej bazy danych szablonów dokumentów
• Funkcja bezpieczeństwa sprawdza hologramy, spójność strefy odczytu maszynowego (MRZ), mikrodruk i oryginalność dokumentu
• Wykrywanie manipulacji, analiza kryminalistyczna na poziomie pikseli w celu wykrycia edytowanych dokumentów
• Wykrywanie fałszywych dokumentów staje się coraz ważniejsze, ponieważ generatywna sztuczna inteligencja obniża poprzeczkę dla syntetycznych identyfikatorów

Krok 3: Powiązanie tożsamości (weryfikacja biometryczna)

Potwierdź, że osoba przedstawiająca dokument jest rzeczywistym posiadaczem tej tożsamości. Wymaga to:

• Dopasowanie twarzy do zdjęcia w dokumencie
• Wykrywanie żywotności aby potwierdzić obecność prawdziwej, żywej osoby, a nie zdjęcia, maski lub nagrania wideo
• Wykrywanie ataków typu injection, aby zapobiec całkowitemu ominięciu kamery przez deepfake’i i syntetyczne media

To właśnie na tym etapie większość prób oszustwa kończy się sukcesem, gdy kontrole są słabe. Same statyczne kontrole dokumentów nie są w stanie udowodnić fizycznej obecności; jedynie biometryczne weryfikacja twarzy dzięki solidnej żywotności może zdalnie zamknąć tę lukę.

Krok 4: Sankcje, PEP i kontrola negatywnych treści w mediach

Sprawdź zweryfikowaną tożsamość na podstawie:

• Globalne listy sankcji, OFAC, ONZ, UE, HMT/OFSI i inne
• Osoby zajmujące eksponowane stanowiska polityczne (PEP) bazy danych, obejmujące bliskich współpracowników i członków rodziny
• Niekorzystne mediaostatnie negatywne doniesienia, które sygnalizują ryzyko utraty reputacji lub AML

Krok 5: Klasyfikacja ryzyka

Przypisz poziom ryzyka – uproszczony, standardowy lub rozszerzony – na podstawie profilu klienta, lokalizacji geograficznej, produktu i wszelkich sygnałów zgłoszonych podczas kontroli. Poziom ryzyka określa poziom szczegółowości due diligence i częstotliwość bieżącego monitorowania.

Cykl życia zgodności z przepisami AML

KYC otwiera drzwi. AML od tej pory czuwa.

Etap wdrażania – KYC i wstępna CDD

Ustalenie tożsamości, weryfikacja dokumentów, ekran w stosunku do list obserwacyjnych, sklasyfikuj ryzyko i udokumentuj uzasadnienie. Organy regulacyjne oczekują jasnego śladu audytu wyjaśniającego, dlaczego każdy klient otrzymał taką ocenę ryzyka.

Monitorowanie na żywo

• Monitorowanie transakcji, reguły i alerty oparte na zachowaniu dotyczące wzorców niezgodnych z oczekiwanym profilem klienta
• Ponowna kontrola sankcji jest ciągły, ponieważ listy sankcji są aktualizowane kilka razy w tygodniu
• Monitorowanie PEP i niekorzystnych mediów w celu wychwycenia zmian statusu po wdrożeniu
• Okresowe odświeżanie KYC, zazwyczaj co 12 miesięcy w przypadku klientów wysokiego ryzyka, co 24–36 miesięcy w przypadku klientów standardowego ryzyka

Śledztwo i raportowanie

• Selekcja alertów: analitycy przeglądają i rozpatrują każdy alert
• Wzmocniona należyta staranność (EDD) – wzmożone dochodzenie w sprawie związków wysokiego ryzyka
• Raporty o podejrzanej działalności (SAR) – składane do właściwej jednostki wywiadu finansowego, gdy istnieją uzasadnione podstawy

Zarządzanie i audyt

• Pisemna polityka i procedury AML
• Wyznaczony MLRO lub oficer AML
• Niezależne testowanie lub audyt z określoną częstotliwością
• Roczne szkolenie personelu, w stosownych przypadkach z modułami dotyczącymi konkretnych stanowisk
• Przechowywanie dokumentacji przez okres ustawowy

Należyta staranność wobec klienta: wyjaśnienie SDD, CDD i EDD

KYC oparte na ryzyku oznacza dopasowanie stopnia należytej staranności do ryzyka, jakie prezentuje klient.

Uproszczona należyta staranność (SDD) – stosowane tylko wtedy, gdy ryzyko jest wyraźnie niskie i regulator na to zezwala, zazwyczaj w przypadku produktów o niskiej wartości i niskim ryzyku, z rygorystycznymi kryteriami kwalifikowalności. SDD jest wyjątkiem, a nie regułą.

Standardowa należyta staranność wobec klienta (CDD) – domyślne dla większości klientów detalicznych. Identyfikuj i weryfikuj klienta, zrozum cel relacji i stosuj monitorowanie transakcji bazowych.

Wzmocniona należyta staranność (EDD) jest obowiązkowe dla:

• Osoby zajmujące eksponowane stanowiska polityczne (PEP) i ich bliscy współpracownicy
• Klienci z jurysdykcji wysokiego ryzyka wymienionych na liście FATF
• Klienci o złożonej strukturze własnościowej lub nietypowych wzorcach aktywności
• Każdy klient, którego profil lub zachowanie budzi obawy

EDD wymaga głębszego zbadania źródło funduszy i źródła bogactwa, częstszej ponownej weryfikacji i zgody kierownictwa wyższego szczebla przed nawiązaniem relacji.

Kto musi spełniać wymogi KYC i AML?

Obowiązki KYC i AML dotyczą podmiotów zobowiązanych, czyli kategorii zdefiniowanych w przepisach AML obowiązujących w Twojej jurysdykcji. Lista ta znacznie się poszerzyła w ciągu ostatniej dekady, szczególnie w przypadku firm cyfrowych.

Do typowych podmiotów zobowiązanych zalicza się:

• Banki i spółdzielnie kredytowe – pełne pokrycie wszędzie
• Dostawcy usług płatniczych i instytucje pieniądza elektronicznego – objęci dyrektywą PSD2/AML w UE i Biznes usług pieniężnych zasady w USA
• Giełdy kryptowalut i VASP są obecnie objęte zakresem zaktualizowanych wytycznych FATF dotyczących wirtualnych aktywów i większości przepisów krajowych
• Maklerzy-dealerzy, firmy inwestycyjne i zarządzający aktywami
• Towarzystwa ubezpieczeniowe oferujące ubezpieczenia na życie i niektóre produkty majątkowe
• Firmy zajmujące się nieruchomościami powyżej zdefiniowanych progów transakcyjnych
• Kancelarie prawne i księgowi obsługujący fundusze klientów lub określone transakcje
• Operatorzy gier i zakładów powyżej określonych progów
• Handlarze dziełami sztuki i handlarze towarami o dużej wartości w wielu jurysdykcjach

Jeśli nie masz pewności, czy Twoja działalność mieści się w zakresie tej ustawy, wiarygodnym źródłem informacji są wytyczne krajowego organu regulacyjnego, a nie blogi sprzedawców.

Koszt popełnienia błędu

Globalne kary finansowe za uchybienia w zakresie przeciwdziałania praniu pieniędzy, KYC, sankcji i CDD osiągnęły 4.6 miliarda dolarów w 2024 roku, z czego zdecydowaną większość stanowiła Ameryka Północna. Grzywnę nałożono na jedną instytucję, TD Bank. $ 3 mld po tym jak organy regulacyjne odkryły systemowe uchybienia w zakresie przeciwdziałania praniu pieniędzy, które przez lata pozostawały niewykryte.

Schemat, który zaobserwowano w ciągu ostatniej dekady, jest jednoznaczny: organy regulacyjne częściej nakładają wyższe kary i coraz częściej pociągają do odpowiedzialności osoby na wyższych stanowiskach, zamiast po prostu karać instytucję.

Koszty słabej kontroli wykraczają poza kary:

• Koszty napraw, zaległe przeglądy plików, zaangażowanie konsultantów, odbudowa systemów
• Ograniczenia operacyjne, nakazy zgody, ograniczenia biznesowe, limity wzrostu
• Uszczerbek na reputacji, presja finansowa, utrata klientów, wycofanie się partnerów
• Odpowiedzialność osobista, MLRO, funkcjonariusze ds. zgodności, a członkowie zarządu staną przed bezpośrednim postępowaniem egzekucyjnym

Działający program KYC/AML nie jest centrum kosztów. Jest warunkiem koniecznym do działania na rynku regulowanym.

KYC i AML w dobie oszustw generowanych przez sztuczną inteligencję

Krajobraz zagrożeń zmienił się znacząco od czasu opracowania większości programów AML. Trzy zmiany zmieniają sposób działania mechanizmów KYC i AML:

1. Oszustwa związane z tożsamością syntetyczną. Sfabrykowane tożsamości, zbudowane na bazie połączenia prawdziwych i fałszywych danych, przechodzą kontrolę dokumentów i badania kredytowe, ponieważ żaden pojedynczy element nie jest „błędny”. Obrona przed tożsamości syntetyczne wymaga powiązania tożsamości poprzez żywotność oraz korelację sygnałów pomiędzy warstwami danych.
2. Deepfake'i i ataki wstrzykiwane. Generatywna sztuczna inteligencja może tworzyć przekonujące twarze, głosy i fałszerstwa dokumentów przy niemal zerowym koszcie krańcowym. W 2024 roku FinCEN wydał przełomowy alert dotyczący oszustw deepfake wymierzonych w instytucje finansowe, co stanowiło wyraźny sygnał regulacyjny, że zagrożenie to stało się powszechne. Kontrole aktualności opracowane przed 2022 rokiem często zawodzą w przypadku nowoczesnych ataków typu injection.
3. Udokumentuj deepfake'i. Syntetyczne dokumenty tożsamości, generowane zamiast fizycznie podrabianych, coraz częściej wymykają się weryfikacji opartej na szablonach. Wykrywanie ich wymaga obecnie analizy kryminalistycznej na poziomie pikseli, dostosowanej do generatywnych artefaktów.

W jaki sposób Shufti wspiera zgodność z zasadami KYC i AML?

Szufti zapewnia pełen pakiet KYC/AML na jednej platformie:

• weryfikacja tożsamości, weryfikacja dokumentów, weryfikacja twarzy z funkcją liveness, weryfikacja adresów i eIDV w ponad 240 krajach i terytoriach
• KYC, KYB, KYI obejmujące osoby fizyczne, firmy i inwestorów
• AML Screening i biznes AML Screening – sankcje, PEP, listy obserwacyjne, stały monitoring
• Kontrola transakcji – sankcje na poziomie płatności i kontrole ryzyka
• Kontrola negatywnych mediów – ciągły monitoring negatywnych wiadomości
• Uwierzytelnianie wieloczynnikowe, biometria behawioralna i odciski palców urządzeń do ciągłego uwierzytelniania poza drzwiami wejściowymi
• Audyt martwego pola – oszustwa powierzchniowe, które przeszły już przez istniejący stos weryfikacji, w tym deepfake’i, ataki typu replay i dokumenty syntetyczne

Oznacza to, że pojedyncza integracja obejmuje obowiązki, które zazwyczaj wymagają od trzech do pięciu oddzielnych dostawców, wdrożenia IDV, AML screening, monitorowanie transakcji i ciągłe uwierzytelnianie z jednym śladem audytu i jednym kontraktem.

Chcesz zobaczyć, jak wygląda ujednolicony zestaw KYC + AML w środowisku produkcyjnym? Poproś o prezentację.