身份验证协议指南：企业所需的一切

国际刑警组织全球金融欺诈威胁评估显示，全球与金融欺诈相关的损失估计为 442 亿美元。  对于受监管行业的合规和风险团队而言，这个数字直接引出了一个问题：目前实施的身份验证协议是否与威胁相匹配，还是仅仅是一系列与风险没有明确对应关系的方法？

本指南涵盖企业常用的三大协议框架，分别阐述了每个框架的要求，以及如何构建经得起监管审查的基于风险的方法。如果您的团队正在研究 NIST 800-63、FATF 强化尽职调查要求或 eIDAS 2.0 准备时间表，那么本指南将是您切实可行的起点。

什么是身份验证协议？

身份验证协议是一套既定的规则集，它规定了组织接受哪些证据、如何验证这些证据，以及用户继续操作前验证必须达到的安全级别。验证方法（例如文档扫描或生物识别检查）是更广泛协议的一个组成部分。单个企业通常会并行运行多个协议，每个协议都针对不同的客户风险等级进行校准。

企业所依赖的三种协议框架

大多数受监管企业的要求都源自三个相互重叠的标准，具体而言， NIST 800-63FATF基于风险的客户尽职调查层级以及eIDAS 2.0。这些框架旨在解决以下问题： 数字身份验证 虽然角度不同，但它们的要求在更高的保证水平上趋于一致。

NIST 800-63 和身份验证级别

NIST SP 800-63A 定义了三个身份保证级别。

IAL1 允许远程、自我声明的身份，并辅以基本的证据验证和可选的生物识别信息。IAL2 提高了标准。证据必须通过权威来源进行验证，申请人必须通过生物识别信息比对或邮寄确认来证明其身份的真实性。IAL3 则强制要求申请人亲临现场，由经过培训的验证人员进行现场验证并采集生物识别样本，仅适用于最高安全级别的场景。

对于金融服务和金融科技行业的客户准入流程，IAL2 是标准操作基准。账户恢复、大额转账或访问受限资产等高风险事件通常需要采用与 IAL3 等效的控制措施，即使当地监管机构不直接使用 NIST 术语。

FATF风险分级核查要求

此 FATF 建议 需要采用基于风险的方法进行客户尽职调查。标准客户尽职调查包括使用可靠文件或数据进行身份验证。 加强尽职调查 （EDD）适用于客户或交易存在较高风险的情况，包括政治敏感人物、高价值跨境支付、高风险司法管辖区的非面对面注册以及复杂的股权结构。

尽职调查 (EDD) 的要求不仅限于确认某人的身份。该协议必须核实资金来源、实际受益所有人（直至最终受益所有人）以及政治风险敞口，并且要求在整个客户关系期间进行持续监控。在美国， FinCEN CDD 最终规则 将这些义务编入法​​典，强制要求对在任何法人客户中持有 25% 或以上所有权的自然人进行身份验证。

eIDAS 2.0 及向数字身份凭证的转变

欧洲企业面临着严格的合规期限。到2027年12月，银行、能源、医疗、教育和电信行业的企业必须接受 欧盟数字身份钱包 根据 eIDAS 2.0 的规定，用户出示电子钱包时，所有 27 个成员国都必须在 2026 年 12 月之前向公民提供电子钱包。

对于身份验证团队而言，这立即提出了协议规划的要求。EUDI 钱包符合 NIST 框架下的“高级”证据标准，这意味着它具有密码学可验证性、发行方签名和防篡改功能。接受 EUDI 钱包的系统必须直接验证其数字安全特性，而不仅仅是比对照片文件。

目前仅采用文件上传方式对欧洲用户进行验证的企业面临着最大的准备不足问题。一套在 2026 年能够处理护照和驾照的工作流程，到 2027 年就需要能够支持基于电子钱包的凭证展示。那些已经部署了该系统的企业也面临着同样的问题。 电子身份验证 通过国家数据库方案（如 BankID、MitID 和 Singpass），可以更好地吸收这种变化，而无需从头开始重建。

如何构建基于风险的身份验证协议框架

基于风险的协议框架会在任何验证运行之前，将每个客户群体分配到相应的保障级别。这与对所有用户应用单一标准流程截然不同。

将客户风险映射到合适的保障级别

该框架至少支持三个客户风险等级。交易量低且无异常情况的标准客户可以通过相当于 IAL1 的验证流程，仅需进行基本的文档验证。高风险客户，特别是那些身处受限行业、交易额超过规定阈值或来自高风险司法管辖区的客户，需要实施 IAL2 级别的控制措施，包括跨源属性验证和生物识别绑定。高风险客户，包括政治公众人物 (PEP) 和拥有复杂最终受益所有人 (UBO) 结构的客户，则需要执行完整的尽职调查 (EDD) 级别协议，并需提供完整的证据记录和持续的交易监控。

FATF 数字身份指南 明确支持这种分层方法，确认设计良好的数字身份系统在验证方法与风险结果正确对应时，可以满足反洗钱/反恐融资保证要求。

无需开发团队即可定制协议

转向风险分层模型时，一个常见的担忧是工程成本。过去，三个风险等级对应三个独立的验证流程，这意味着需要进行三次独立的集成。而现代的无代码技术则解决了这个问题。 验证工作流程工具 合规团队无需更改底层 API，即可为每个风险层级配置协议逻辑，涵盖文档要求、生物识别阈值、电子身份识别方案接受度以及升级触发条件。风险层级分配会随着客户资料的变化实时更新，因此，交易额超过阈值的普通客户会自动触发升级协议。

企业在选择身份验证协议时常犯的错误

最常见的错误是将“验证方法”和“验证协议”混为一谈。生物识别验证是一种方法。而协议则定义了何时需要进行验证、验证必须满足哪些保证标准，以及验证失败时的处理方式。

第二个常见的缺陷是将初始入职审核视为完整的流程。FATF 和 FinCEN 的客户尽职调查 (CDD) 规则均要求在入职后进行持续监控，而不仅仅是一次性的身份确认。如果一家企业拥有完善的准入控制措施，却没有入职后的审查流程，那么它的流程就存在结构性缺陷。

进入欧盟市场的企业也低估了eIDAS 2.0的准备时间。虽然2027年12月是合规截止日期，但钱包互操作性测试、技术集成和员工培训都需要提前准备。 形成一种 电子IDAS 2.0 正在重塑身份验证 欧洲金融机构现在避免了日后在压力下仓促应对合规问题。

协议不匹配以及在不同客户风险等级中身份验证协议应用不一致，是金融服务、金融科技和游戏企业面临监管风险的最直​​接途径之一。Shufti 涵盖了所有协议，从 IAL1 等效的被动数据库检查和生物识别验证，到 30 多个符合 eIDAS 2.0 标准的国家级电子身份识别方案，所有这些都可以通过无代码界面按风险等级进行配置。 预约演示 将您的客户群体映射到正确的验证协议，并在您自己的用例中查看完整流程。