Apakah itu pengesahan KYC? Maksud, proses dan keperluan
Apakah itu pengesahan KYC? Cara proses KYC berjalan, dari semakan identiti hingga pemantauan berterusan, dan tuntutan FATF serta pengawal selia Asia Tenggara.
Kenali Pelanggan Anda (KYC) ialah set semakan yang dijalankan oleh perniagaan yang dikawal selia untuk mengesahkan bahawa pelanggan benar-benar orang yang didakwanya dan untuk memahami risiko yang ditimbulkan pelanggan itu. Ia bermaksud mengumpul data identiti, mengesahkannya terhadap sumber yang boleh dipercayai dan bebas, serta memastikannya sentiasa terkini. Piawaian Financial Action Task Force (FATF) menetapkan asasnya, dan setiap negara menetapkan peraturan terperincinya sendiri.
Artikel ini menerangkan kewajipan institusi, bukan cara pelanggan melengkapkan KYC dalam sesuatu aplikasi. Contohnya menumpukan Filipina, Malaysia dan Singapura; Indonesia, Vietnam dan Thailand muncul dalam jadual. Peraturan bersifat kebangsaan, dan pendekatan satu negara tidak boleh dibaca sebagai norma serantau.
Apakah maksud KYC?
KYC ialah singkatan bagi Know Your Customer. Ia merupakan kewajipan mengenal pasti pelanggan dan memahami risiko yang ditimbulkan mereka, dan ia satu bahagian daripada rangka kerja pencegahan pengubahan wang haram (AML). Istilah FATF bagi langkah-langkah berkenaan ialah usaha wajar pelanggan (CDD). Ungkapan “pengesahan KYC” kerap digunakan bagi bahagian pengenalpastian dan pengesahan, dan dalam penggunaan umum bagi keseluruhan semakan; artikel ini menggunakannya bagi keseluruhan semakan.
Piawaian FATF menghendaki pelanggan dikenal pasti dan disahkan menggunakan dokumen, data atau maklumat daripada sumber yang boleh dipercayai dan bebas, dan setiap negara menterjemahkannya menjadi peraturan kebangsaan AML/CFT, iaitu pencegahan pengubahan wang haram dan pembiayaan keganasan. Peraturan kebangsaan itulah, bukan piawaian FATF itu sendiri, yang mengikat sesebuah institusi.
Empat unsur teras KYC (Syor 10 FATF)
Syor 10 FATF (FATF Recommendation 10) menetapkan empat langkah CDD:
- Mengenal pasti pelanggan dan mengesahkan identiti pelanggan menggunakan dokumen, data atau maklumat daripada sumber yang boleh dipercayai dan bebas.
- Mengenal pasti pemilik benefisial, iaitu orang perseorangan yang akhirnya memiliki atau mengawal pelanggan, dan mengambil langkah munasabah untuk mengesahkan identiti orang itu.
- Memahami, dan apabila sesuai memperoleh maklumat tentang, tujuan dan sifat yang dihasratkan bagi hubungan perniagaan.
- Menjalankan pemantauan berterusan dan penelitian transaksi sepanjang hubungan tersebut, termasuk sumber dana apabila perlu.
Piawaian FATF menghendaki langkah-langkah ini diambil apabila hubungan perniagaan dijalin, bagi transaksi sekali sekala yang tertentu, apabila pengubahan wang haram atau pembiayaan keganasan disyaki, dan apabila data pengenalan terdahulu diragui. Sesetengah panduan menggambarkan KYC sebagai tiga komponen; piawaian FATF menetapkan empat langkah.
Bagaimana proses pengesahan KYC berjalan
Langkah-langkah di bawah mengikut empat langkah FATF dan menambah saringan, penilaian risiko serta keputusan. Susunan dan perinciannya berbeza mengikut institusi dan negara.
- Kumpul data identiti. Institusi mengumpul data identiti pelanggan. Butiran yang dinamakan peraturan berbeza mengikut negara, seperti ditunjukkan jadual data di bawah.
- Sahkan identiti. Data disemak terhadap dokumen, data atau maklumat yang boleh dipercayai dan bebas, secara bersemuka atau dari jauh. Di Singapura, contohnya, Monetary Authority of Singapore (MAS) menerima Myinfo sebagai sumber yang boleh dipercayai dan bebas, dan di Filipina Bangko Sentral ng Pilipinas (BSP) menerima Philippine Identification System (PhilSys) dengan cara yang sama. Piawaian FATF menghendaki pengesahan dibuat sebelum atau semasa hubungan dijalin; sesebuah negara boleh membenarkannya disempurnakan secepat yang munasabah selepas itu sekiranya risiko diurus dengan berkesan dan memang perlu untuk tidak mengganggu urusan perniagaan biasa.
- Kenal pasti pemilik benefisial. Apabila berkaitan, institusi mengenal pasti orang perseorangan di sebalik pelanggan dan mengambil langkah munasabah untuk mengesahkan identiti orang itu. Piawaian FATF turut merangkumi pemilikan benefisial entiti undang-undang (Syor 24).
- Fahami tujuannya. Institusi menentukan sebab pelanggan mahukan hubungan itu dan bentuk hubungan yang dihasratkan. Peraturan Malaysia dan Indonesia menyebut tujuan dalam kalangan maklumat yang perlu diperoleh.
- Saring. Saringan sekatan dan saringan individu berisiko politik (PEP) lazimnya sebahagian daripada CDD di bawah peraturan kebangsaan; piawaian FATF membincangkan PEP dalam Syor 12.
- Nilai risiko. Penilaian menentukan sedalam mana semakan dijalankan: usaha wajar dipermudah, biasa atau dipertingkat, yang dibincangkan di bahagian berikutnya.
- Putuskan. Institusi mendaftarkan pelanggan, membawanya ke peringkat lebih tinggi atau menolaknya. Jika CDD tidak dapat disempurnakan, piawaian FATF menyatakan institusi tidak sepatutnya membuka akaun atau memulakan hubungan, atau sepatutnya menamatkan hubungan sedia ada, dan perlu mempertimbangkan untuk mengemukakan Laporan Transaksi Mencurigakan (STR).
- Pantau dan kemas kini. Pemantauan berterusan merangkumi penelitian transaksi dan memastikan data sentiasa terkini melalui semakan berkala, terutamanya bagi pelanggan berisiko lebih tinggi. Piawaian FATF turut menghendaki CDD ke atas pelanggan sedia ada berdasarkan materialiti dan risiko.
KYC berasaskan risiko: usaha wajar dipermudah, biasa dan dipertingkat
Piawaian FATF menghendaki skop CDD mengikut pendekatan berasaskan risiko (RBA), jadi kedalaman semakan berubah mengikut risiko pelanggan. Contoh dalam nota tafsiran FATF ialah panduan, bukan unsur wajib.
| Tahap | Bila dikenakan | Langkah lazim (contoh FATF) | Contoh di peringkat negara |
|---|---|---|---|
| Dipermudah (SDD) | Risiko lebih rendah dan telah dianalisis dengan secukupnya; tidak dikenakan apabila ada syak atau senario berisiko lebih tinggi yang tertentu | Contohnya mengesahkan identiti selepas hubungan bermula, mengemas kini data dengan lebih jarang dan mengurangkan pemantauan | Dokumen dasar Bank Negara Malaysia (BNM) membenarkan CDD dipermudah apabila risiko dinilai rendah, kecuali apabila terdapat risiko lebih tinggi atau syak; OJK Regulation No. 8 of 2023 milik Otoritas Jasa Keuangan (OJK) Indonesia membenarkannya selepas analisis risiko yang mencukupi |
| Biasa | Tiada faktor risiko lebih rendah mahupun lebih tinggi yang menunjukkan kedalaman lain | Empat langkah CDD yang diterangkan di atas | Dokumen dasar BNM menyenaraikan data yang perlu diperoleh bagi CDD biasa ke atas pelanggan perseorangan (lihat jadual data) |
| Dipertingkat (EDD) | Risiko lebih tinggi | Contohnya maklumat tambahan tentang pelanggan dan hubungan, maklumat tentang sumber dana atau sumber kekayaan dan sebab transaksi, kelulusan pengurusan kanan, pemantauan yang dipertingkat dan kemas kini data yang lebih kerap | OJK mentakrifkan usaha wajar dipertingkat (EDD) sebagai CDD yang lebih mendalam bagi pelanggan berisiko tinggi, termasuk PEP |
Hubungan tanpa bersemuka muncul dalam contoh FATF sebagai faktor yang berpotensi berisiko lebih tinggi hanya apabila langkah mitigasi risiko yang sesuai belum dilaksanakan. Oleh itu, KYC dari jauh tidak secara automatik berisiko tinggi.
Dokumen dan data apakah yang diperlukan bagi KYC?
Butiran khusus datang daripada peraturan kebangsaan dan penilaian risiko institusi. Jadual ini menunjukkan data yang dinamakan bagi pelanggan perseorangan; setiap peraturan mengumpulkan maklumat secara berbeza, jadi senarainya tidak setara antara satu sama lain. Contohnya, MAS Notice 626 menetapkan tujuan hubungan dalam perenggan berasingan, manakala senarai Malaysia dan Indonesia memasukkannya, jadi bilangan butiran tidak menunjukkan sebanyak mana sesebuah negara menuntut. Kandungan peraturan Thailand tidak diterangkan di sini.
| Negara (peraturan) | Maklumat yang disenaraikan peraturan untuk mengenal pasti pelanggan perseorangan |
|---|---|
| Singapura (MAS Notice 626, bagi bank) | Nama penuh termasuk nama samaran; nombor pengenalan unik; alamat kediaman; tarikh lahir; kewarganegaraan |
| Malaysia (dokumen dasar BNM) | Nama penuh; nombor National Registration Identity Card (NRIC), pasport atau dokumen rasmi lain; alamat kediaman dan alamat surat-menyurat; tarikh lahir; kewarganegaraan; jenis pekerjaan; majikan atau jenis perniagaan; nombor untuk dihubungi; tujuan transaksi |
| Indonesia (OJK Regulation No. 8 of 2023) | Nama penuh termasuk nama samaran; nombor dokumen pengenalan diri; alamat; tempat dan tarikh lahir; kewarganegaraan; pekerjaan; alamat dan telefon tempat kerja; jantina; taraf perkahwinan; nama ibu sebelum berkahwin; serta pemilik benefisial, sumber dana, pendapatan atau nilai bersih kekayaan dan tujuan hubungan |
| Vietnam (undang-undang pencegahan pengubahan wang haram) | Nama penuh; tarikh lahir; kewarganegaraan; pekerjaan atau jawatan; nombor telefon; nombor kad pengenalan, kad pengenalan warganegara, pengenalan diri atau pasport (bagi pemastautin warga asing, berserta tarikh dan tempat dikeluarkan); tempat kediaman |
| Filipina (peraturan BSP) | Nama dan/atau nombor PhilSys, dalam kalangan maklumat minimum; senarai penuh tidak diberikan di sini |
Bagi pelanggan syarikat, prosesnya turut merangkumi pemilik benefisial; pengesahan perniagaan pula ialah bidang Kenali Perniagaan Anda (KYB).
Keperluan KYC di Asia Tenggara: gambaran mengikut negara
Jadual ini menamakan instrumen utama di setiap negara. Ia menerangkan peraturan apa yang wujud, bukan apa yang dituntut oleh setiap satunya.
| Negara | Pengawal selia / unit perisikan kewangan (setakat yang dinamakan di sini) | Peraturan utama (versi semasa) | Skop dan batasan |
|---|---|---|---|
| Filipina | Bangko Sentral ng Pilipinas (BSP); Anti-Money Laundering Council (AMLC), unit perisikan kewangan | the Anti-Money Laundering Act of 2001 (Republic Act No. 9160) berserta pindaannya, terkini melalui Republic Act No. 11521 (2021); peraturan usaha wajar pelanggan BSP sebagaimana dipinda oleh Circular No. 1170 (2023) | Peraturan BSP terpakai bagi institusi yang diselia BSP; senarai data penuh tidak diberikan di sini |
| Malaysia | Bank Negara Malaysia (BNM) | Dokumen dasar BNM tentang pencegahan pengubahan wang haram, pembiayaan keganasan dan pembiayaan percambahan, serta sekatan kewangan bersasar bagi institusi kewangan (BNM/RH/PD 030-14), berkuat kuasa sejak 6 Februari 2024 dan menggantikan versi yang berkuat kuasa pada 1 Januari 2020 | Terpakai bagi institusi kewangan dalam skopnya; butiran datanya bagi pelanggan perseorangan di bawah CDD biasa |
| Singapura | MAS; Suspicious Transaction Reporting Office (STRO), unit perisikan kewangan | MAS Notice 626 bagi bank (disemak semula terkini pada 30 Jun 2025), berserta notice seumpamanya bagi institusi kewangan lain | Notice 626 terpakai bagi bank; nombor notice yang lain tidak diterangkan di sini |
| Indonesia | Otoritas Jasa Keuangan (OJK); PPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan), unit perisikan kewangan | OJK Regulation No. 8 of 2023 tentang pencegahan pengubahan wang haram dan pembiayaan keganasan serta pembiayaan percambahan dalam sektor perkhidmatan kewangan | Tajuk dalam sumber ialah terjemahan bahasa Inggeris tidak rasmi |
| Vietnam | State Bank of Vietnam (SBV) | Law on Anti-Money Laundering No. 14/2022/QH15, dipinda dan berkuat kuasa mulai 1 Disember 2026 | Tajuk bahasa Inggeris tidak rasmi; kandungan pindaan belum diteliti |
| Thailand | Anti-Money Laundering Office (AMLO) | Anti-Money Laundering Act B.E. 2542 (1999) berserta pindaannya; Ministerial Regulation on Customer Due Diligence B.E. 2563 (2020) | Nama instrumen sahaja; kandungan dan tarikh kuat kuasa tidak diterangkan di sini |
Disemak pada 30 Oktober 2026. Peraturan berubah, jadi sahkan versi semasa dengan setiap pengawal selia. Piawaian FATF dipetik sebagaimana dipinda pada Jun 2026; keputusan sidang pleno FATF pada 26 hingga 30 Oktober 2026 belum diterbitkan ketika halaman ini disemak. Undang-undang Vietnam diterangkan daripada terjemahan bahasa Inggeris yang disimpan dalam sebuah pangkalan data undang-undang. Tajuk bagi Indonesia, Vietnam dan Thailand ialah terjemahan bahasa Inggeris tidak rasmi.
Filipina. PhilSys ditubuhkan di bawah Philippine Identification System Act (Republic Act No. 11055). Peraturan BSP, sebagaimana dipinda oleh Circular No. 1170 (2023), menerima rekod PhilSys seseorang individu sebagai bukti identiti yang rasmi dan mencukupi.
Malaysia. Dokumen dasar BNM menghendaki institusi mengesahkan identiti sebelum atau semasa hubungan berlangsung.
Singapura. MAS Notice 626 menghendaki bank mengesahkan identiti menggunakan data, dokumen atau maklumat daripada sumber yang boleh dipercayai dan bebas.
Artikel ini bertujuan memberikan maklumat sahaja dan bukan nasihat undang-undang atau nasihat pengawalseliaan.
KYC bersemuka dan e-KYC
KYC elektronik (e-KYC) menjalankan semakan yang sama melalui saluran dalam talian atau mudah alih, dan piawaian CDD tidak berubah mengikut saluran. Di Singapura, MAS Notice 626 menghendaki CDD tanpa bersemuka di bank sekurang-kurangnya sekukuh CDD bersemuka. Semakan dari jauh lazimnya menggunakan pengesahan dokumen, padanan biometrik dan pengesanan Liveness, iaitu langkah-langkah yang disenaraikan dokumen dasar e-KYC Malaysia sebagai boleh digunakan institusi. Guidance on Digital ID terbitan FATF pada 2020 membantu entiti yang dikawal selia memutuskan sama ada sesuatu identiti digital sesuai bagi CDD.
Kesilapan dan risiko KYC yang lazim
- Menganggap KYC sebagai kerja sekali sahaja. Piawaian FATF menghendaki data CDD dikekalkan terkini melalui semakan berkala, terutamanya bagi pelanggan berisiko lebih tinggi.
- Mengenakan semakan yang sama kepada setiap pelanggan. Pendekatan berasaskan risiko menghendaki langkah dipermudah apabila risiko lebih rendah dan langkah dipertingkat apabila risiko lebih tinggi.
- Mengabaikan pemilik benefisial. Mengenal pasti pemilik benefisial ialah satu daripada empat langkah FATF, bukan tambahan pilihan.
- Menganggap pelanggan dari jauh berisiko tinggi secara lalai, atau memutuskan seluruh kumpulan. FATF menyatakan bahawa piawaiannya tidak bermaksud de-risking, iaitu memutuskan keseluruhan kelas pelanggan, sebaliknya menghendaki pendekatan berasaskan risiko.
- Menganggap identiti yang telah disahkan sebagai bukti penggunaan yang sah. Dalam satu kes yang dilaporkan Singapura kepada FATF, 147 orang menyerahkan identiti digital kebangsaan mereka kepada sindiket jenayah, yang menggunakannya untuk membuka 276 akaun di 8 bank secara dari jauh.
- Mengabaikan serangan terhadap semakan dari jauh. Pada 2022 European Union Agency for Cybersecurity (ENISA) mengenal pasti serangan foto, main semula video, topeng 3D dan deepfake sebagai serangan pemalsuan persembahan wajah (presentation attack) yang utama terhadap pembuktian identiti dari jauh, dan menyatakan bahawa suntikan video, yang memintas kamera, bukan serangan pemalsuan persembahan. Panduan MAS menyatakan bahawa permohonan melalui internet boleh membawa risiko lebih besar, termasuk mudahnya membuat banyak permohonan palsu.
Pengesahan KYC bukan satu semakan tunggal ketika mendaftar. Ia ialah usaha wajar pelanggan berasaskan risiko: empat langkah FATF yang dikenakan seimbang dengan risiko pelanggan, dikekalkan terkini sepanjang hubungan, dan dibentuk oleh peraturan setiap negara.
Data yang dikumpul dan instrumen undang-undangnya berbeza mengikut negara, jadi apa yang terpakai di satu pasaran tidak boleh diandaikan terpakai di pasaran lain. Pasukan yang meneliti bagaimana perisian menyokong langkah-langkah ini boleh membaca lanjut tentang perisian pengesahan KYC.
Beberapa peraturan yang diterangkan di sini masih baharu atau dipinda dengan kuat kuasa pada tarikh kemudian, jadi versi semasanya perlu disahkan dengan setiap pengawal selia sebelum dijadikan sandaran.
Soalan lazim
