Mi az a KYC (Know Your Customer) és miért van rá szüksége a vállalatoknak?

A KYC a Know Your Customer („ismerd meg az ügyfeled”) rövidítése: a jogszabályokban előírt eljárások összessége, amelyekkel egy vállalat vagy weboldal ellenőrzi ügyfelei valódi személyazonosságát, és értékeli az egyes ügyfelek pénzmosási, csalási és kapcsolódó bűncselekményekkel járó kockázatát. Egyszerűen fogalmazva a KYC azt jelenti, hogy mielőtt egy vállalkozás hozzáférést adna egy felhasználónak pénzügyi vagy érzékeny szolgáltatásokhoz, meggyőződik arról, hogy a felhasználó valóban az, akinek mondja magát.

Ha Ön valaha nyitott már számlát banknál, kriptotőzsdenél vagy nemzetközi fizetési szolgáltatónál, és kérték Öntől az útlevele, a személyi igazolványa vagy egy közüzemi számla fotóját, akkor Ön már átesett KYC-eljáráson. Ma a KYC már nem korlátozódik a bankokra: a kriptotőzsdéktől és a fizetési átjáróktól a piacterekig és az előfizetéses szolgáltatásokig minden vállalkozásnak, amely az emberek pénzét mozgatja vagy megőrzi, valamilyen formában KYC-t kell végeznie. Ez az útmutató részletesen bemutatja, mi pontosan a KYC, miből áll, miért jogilag kötelező, és hogyan zajlik az Ön, felhasználó szemével nézve.

Mi az a KYC?

A KYC a személyazonosság ellenőrzésének és a kockázatértékelésnek azokat az intézkedéseit jelenti, amelyeket az üzleti kapcsolat megkezdése előtt hajtanak végre, és amelyek a kapcsolat teljes időtartama alatt folynak. Három célja van: az ügyfél valódi személyazonosságának megerősítése, tevékenysége természetének megértése (honnan származik a pénze, és hová jut el), valamint annak értékelése, mekkora a valószínűsége, hogy az ügyfél pénzmosásban vagy terrorizmusfinanszírozásban érintett lehet. A KYC nem csupán iparági szokás; a pénzmosás elleni (AML) jogszabályok el nem választható része a világ minden táján.

A koncepció gyökerei az amerikai 1970-es Bank Secrecy Actig nyúlnak vissza, amely kötelezte a bankokat ügyfeleik valutatranzakcióinak nyilvántartására. Modern, globális formája a Financial Action Task Force (FATF) 1989-es, a G7 általi létrehozásával öltött testet. A FATF ma a pénzmosás elleni világszabványokat megalkotó szervezet, 40 ajánlása pedig kilenc, FATF-típusú regionális testületen keresztül több mint 200 ország és joghatóság jogalkotásának kiindulópontja. Az Egyesült Államokban a USA PATRIOT Act (2001) 326. szakasza minden pénzintézet számára kötelezővé tette az ügyfél-azonosítási programot, az Európai Unióban pedig az AML-irányelvek láncolata — a 4.-től (2015/849) az 5.-ig (2018/843), csúcsán az egységes 2024-es AML-csomaggal és annak új AMLA felügyeleti hatóságával — ugyanezt a kötelezettséget egyre tágabb vállalati körre terjeszti ki.

A KYC-program alapvető összetevői

A standard KYC-program több egymást kiegészítő összetevőből épül fel — a megfelelőségi szaknyelvben CIP, CDD és EDD néven ismertek —, amelyek a folyamatos monitorozással együtt alkotják a teljes „ismerd meg az ügyfeled” életciklust.

Ügyfél-azonosítási program (CIP)

Az ügyfél-azonosítási program a KYC alapvető lépése: egy személy azonosításához szükséges minimális információk begyűjtése — teljes név, születési dátum, nemzeti vagy adóazonosító szám és lakcím —, majd ezek hitelesítése hivatalos dokumentummal, például útlevéllel, személyi igazolvánnyal vagy vezetői engedéllyel. Sok jogrendszerben az intézmények kötelesek ezeket a nyilvántartásokat meghatározott ideig megőrizni, és felügyelő szerveik kérésére bemutatni.

Ügyfél-átvilágítás (CDD)

Az ügyfél-átvilágítás túlmutat a dokumentumok egyeztetésén, és felteszi a kérdéseket: kicsoda ez az ügyfél, mi a foglalkozása és a pénzeszközei forrása, és mekkora tranzakciós volumen várható tőle? A CDD eredménye egy kockázati profil, amely meghatározza az ügyfél kockázati szintjét és a szükséges ellenőrzés mélységét.

Kiterjesztett ügyfél-átvilágítás (EDD)

Ha egy ügyfél magasabb kockázatú kategóriába tartozik — például politikailag eksponált személy (PEP), magas kockázatú országok lakója vagy érzékeny ágazatok résztvevője —, úgy kiterjesztett ügyfél-átvilágítást (EDD) kell alkalmazni: a vagyon forrásának, a negatív médiatörténetnek és a tulajdonosi struktúráknak a mélyebb vizsgálatát. Ezen a szinten a bankok jellemzően kiegészítő dokumentumokat kérnek, és bemutatkozó interjút folytatnak.

Folyamatos monitorozás

A KYC nem egyszeri esemény. A számlákat folyamatosan figyelik, hogy a szokatlan viselkedés — a tranzakciós volumen hirtelen megugrása, a bejelentési küszöbök alatt strukturált befizetések vagy magas kockázatú célállomásokra irányuló, ismétlődő átutalások — jelölésre, és szükség esetén bejelentésre kerüljön. Az ügyfél kockázati profilja a körülmények változásával frissül.

Miért kötelező a vállalatoknak és a weboldalaknak a KYC?

A KYC megkövetelésének okai öt témába csoportosíthatók — és bármelyik önmagában is elegendő ahhoz, hogy egy vállalkozás komolyan vegye a folyamatot.

• Jogi kötelezettség és súlyos bírságok: a bankok, a tőzsdék és a fizetési szolgáltatások számára a KYC törvény, nem pedig választás kérdése. 2023 novemberében a Binance kriptotőzsde körülbelül 4,3 milliárd dollárt fizetett az amerikai hatóságoknak KYC- és pénzmosás elleni hiányosségekért — az iparág történetének legnagyobb rendezése. Korábban, 2022 decemberében a Danske Bank mintegy 2 milliárd euró bírságot fizetett a körülbelül 200 milliárd euró értékű gyanús pénzáramlásért, amely 2007 és 2015 között az észt fióktelepén keresztül haladt át.
• Csalás és személyazonosság-lopás megelőzése: a KYC az első védelmi vonal a hamis fiókok, a jogosulatlan pénzkivételek és a másvalakinek a személyazonosságával történő vásárlások ellen. Amikor a pénzkivétel csak a fiók hitelesített tulajdonosa számára lehetséges, a feltört fiókok értékük nagy részét elveszítik a bűnözők számára.
• A pénzmosás és a terrorizmusfinanszírozás elleni küzdelem: a bűncselekményből származó bevételeket „kimossák”, és ez a mosás szinte mindig valódi, de azonosítatlan számlákon keresztül halad. A KYC pontosan ezt az utat zárja le.
• A nemzetközi szankciók betartása: a vállalkozások nem bonyolíthatnak le ügyleteket szankció alá vetett személyekkel vagy országokkal; személyazonosság-ellenőrzés és a szankciós listákkal (OFAC, ENSZ, Európai Unió) való szűrés nélkül ez a kötelezettség teljesíthetetlen.
• Bizalom és kereskedelmi egészség: a magas visszatartási (chargeback) és csalási arány közvetlen veszteségeket és magasabb feldolgozási díjakat jelent. Az a vállalkozás, amely hitelesíti a felhasználóit, alacsonyabb csalási költségekkel és nagyobb bizalommal rendelkezik pénzügyi partnerei részéről.

Mely vállalkozások kötelesek KYC-t végezni?

Minden vállalkozás, amely az emberek pénzét fogadja, őrzi vagy mozgatja, illetve érzékeny eszközöket értékesít, valamilyen formában a KYC-kötelezettségek hatálya alá tartozik. A legfontosabb csoportok: bankok és hitelintézetek; fizetési szolgáltatások és elektronikus pénztárcák, mint a PayPal és a Wise; kriptovaluta-tőzsdék — amelyekre 2020 januárja óta kifejezetten kiterjed az EU 5. pénzmosás elleni irányelve, később pedig a MiCA-rendelet; forex- és aranybrókerek és -kereskedők; biztosítók; online szerencsejáték- és sportfogadási platformok; távközlési szolgáltatók és SIM-kártya-értékesítők; aukciós házak, valamint a luxusjavak és a műtárgyak kereskedői; továbbá a hitelező fintech-vállalatok. Még egyes piacterek és SaaS-szolgáltatók is végeznek önkéntes KYC-t — nem közvetlen jogi előírás miatt, hanem hogy csökkentsék a csalási kockázatot, és megfeleljenek fizetési partnereik KYC-elvárásainak.

A KYC-folyamat lépésről lépésre, a felhasználó szemével

Az Ön, felhasználó szemszögéből egy tipikus KYC-folyamat hat lépésen át halad; a legtöbb online szolgáltatás ma percek alatt, automatikusan teljesíti az utat.

1. lépés — személyes adatok megadása: a regisztrációs űrlapon megadja a teljes nevét, a születési dátumát, az állampolgárságát és a lakcímét. Ezeknek az adatoknak egyezniük kell a hivatalos dokumentumaival; már egy apró eltérés (például felcserélt születési dátum vagy kihagyott középső név) is automatikusan leállíthatja a folyamatot.

2. lépés — személyazonosító dokumentum feltöltése: beküldi az útlevele, a személyi igazolványa vagy a vezetői engedélye fotóját vagy szkennelt képét. A fotó minősége nagyon számít: a képnek teljesnek, körbe nem vágottnak, tükröződésmentesnek és részleteiben olvashatónak kell lennie. Ne feledje, hogy a mobiltelefonnal készített fotók rejtett Exif-metaadatokat hordozhatnak, például a felvétel helyét és idejét, amelyeket egyes automatizált ellenőrző rendszerek elemeznek.

3. lépés — a lakcím igazolása: számos szolgáltatás a lakcímét is ellenőrizni kívánja, általában egy bankszámla-kivonattal vagy az Ön nevére, az elmúlt három hónapban kiállított közüzemi számlával (áram, víz, gáz, internet).

4. lépés — az élő jelenlét megerősítése: a digitális onboarding során általában selfie-t vagy rövid videót kérnek Öntől, hogy az arcát összevessék a dokumentumon lévő fotóval, és olyan cselekvésekkel — például a fej elfordításával vagy a pislogással — megerősítsék az Ön „élő voltát” (liveness).

5. lépés — automatizált szűrés: a nevét összevetik a szankciós listákkal (OFAC, ENSZ, Európai Unió), a PEP-listákkal és a negatív médiaadatbázisokkal, a dokumentum hitelességét (például az útlevél MRZ-mintázatát) pedig validálják.

6. lépés — döntés és monitorozás: a döntés legjobb esetben perceket, kézi ellenőrzés bekapcsolódása esetén néhány napot vesz igénybe; innentől a számláját folyamatosan figyelik, és a jelentős változások (például a tranzakciós volumen ugrása) KYC-megújítási kérést válthatnak ki.

Mi a különbség a KYC, az AML és a CDD között?

A három fogalom rokon, de nem azonos. Az AML (Anti-Money Laundering) azon törvények, szabályozások és kontrollok ernyője, amelyeket a nemzetközi közösség a pénzmosás és a terrorizmusfinanszírozás visszafogására alkotott; a KYC e program ügyfélszintű végrehajtásának egyik fő eszköze. A CDD — ahogy olvashatta — a KYC-n belüli, a kockázatértékeléssel foglalkozó összetevő. Az összefüggés így foglalható össze: az AML a cél és a jogi keret, a KYC az ügyfél megismerésének működési folyamata ezen kereten belül, a CDD pedig a KYC szívében álló kockázatelemzési mélység.

eKYC és a digitális személyazonosság-ellenőrzés jövője

Az eKYC (elektronikus KYC) a folyamat teljesen digitális, távolról végzett változata — olyan, amely fizikai fiók nélkül működik: a dokumentumok automatikus beolvasása OCR-rel, a modern útlevelek NFC-chipjének kiolvasása, biometrikus arcegyeztetés és liveness-érzékelés, valamint a hivatalos nyilvántartásokhoz való kapcsolódás. Kiváló példa az indiai Aadhaar-rendszer, amelynek több mint egymilliárd regisztrációja a személyes jelenléttel zajló ellenőrzést másodpercekig tartó tranzakcióvá alakította. A felhasználók számára az eKYC előnye a sebesség (napok helyett percek); a vállalkozások számára a kisebb költség és a szélesebb földrajzi lefedettség — ezért ma ez az alapértelmezett szabvány a fintech-vállalatok és az online tőzsdék körében.

Mi történik, ha nem sikerül átesnie a KYC-n?

A KYC-n való megbukás nem mindig „biztonsági probléma” — az elutasítások többsége javítható okra vezethető vissza: életlen vagy körbevágott fotó, lejárt dokumentum, a hivatalos nyilvántartásokkal nem egyező név vagy lakcím, érvénytelen fájlformátum vagy szankcionált országokhoz köthető lakcímtörténet. Ilyen esetekben általában elegendő egy javított dokumentum feltöltése vagy az ügyfélszolgálattól kért kézi ellenőrzés. Ha az elutasítás szűrési eredményből ered (például a név egyezik egy szankciós listával), a folyamat nehezebb, és gyakran nem oldható meg a szokásos csatornákon keresztül, mert a szolgáltató nem fogadhat el magas kockázatú ügyfelet. Az adatvédelmi oldalon a helyzete egyértelmű: az Európai Unióban a GDPR kötelezi a vállalkozásokat az összegyűjtött adatok minimalizálására, valamint arra, hogy a KYC-dokumentumokat csak a szükséges ideig, meghatározott időtartamig őrizzék — Önnek pedig joga van tudni, milyen adatokat tartanak nyilván, miért és meddig.

Gyakran ismételt kérdések a KYC-ről

Mit jelent a KYC rövidítés?

A KYC a Know Your Customer („ismerd meg az ügyfeled”) rövidítése — azoknak a folyamatoknak az összessége, amelyekkel egy vállalkozás ellenőrzi az ügyfél személyazonosságát, és értékeli a kockázatát.

Jogilag kötelező a KYC?

Igen. A bankok, pénzintézetek, tőzsdék és fizetési szolgáltatások számára szinte minden országban a KYC elvégzése közvetlen jogi követelmény, amelynek elmulasztása több milliárd dolláros bírsághoz vezethet. Néhány más vállalkozás számára a KYC közvetve válik kötelezővé — a fizetési partnerein vagy az AML-törvényeken keresztül.

Milyen dokumentumok kellenek a KYC-hoz?

Három kategória: személyazonosító dokumentum (útlevél, személyi igazolvány vagy vezetői engedély), lakcímet igazoló dokumentum (az Ön nevére kiállított bankszámla-kivonat vagy közüzemi számla, jellemzően az elmúlt három hónapban kiállítva), illetve a digitális folyamatokban selfie vagy rövid videó az élő jelenlét megerősítéséhez.

Mennyi ideig tart a KYC?

Automatizált ellenőrzéssel a modern szolgáltatásoknál: néhány perctől néhány óráig; bankoknál és kézi ellenőrzést igénylő esetekben: jellemzően egy-öt munkanap. Az EDD-ig eljutó, magas kockázatú esetek több hetet is igénybe vehetnek.

Biztonságos átadni a személyazonosító dokumentumaimat weboldalaknak?

Ha a szolgáltatás jó hírű, igen. Az ilyen vállalkozásoknak titkosított formában kell tárolniuk a dokumentumokat, korlátozniuk kell a hozzáférést hozzájuk, és csak a szükséges ideig szabad megtartaniuk őket (GDPR-követelmény Európában). Részesítse előnyben az átlátható adatvédelmi szabályzattal és nyilvános múlttal rendelkező szolgáltatásokat, és soha ne küldje el a dokumentumait informális csatornákon, például csevegőben vagy e-mailben.

Mi a különbség a KYC és az AML között?

Az AML a pénzmosás elleni fellépés jogi kerete; a KYC ennek ügyfélszintű, működési eszköze. Más szavakkal: a KYC minden szervezet AML-programjának részhalmaza.

Lehetséges a KYC személyazonosító dokumentumok nélkül?

A standard esetben nem; az alternatív eKYC-módszerek — a hivatalos személyazonossági nyilvántartáshoz való kapcsolódás, az útlevél NFC-chipjének kiolvasása vagy banki szintű biometrikus ellenőrzés — azonban megszüntethetik a hagyományos dokumentum feltöltésének szükségességét, miközben a háttérben továbbra is digitális személyazonosító dokumentumra támaszkodnak.