什么是 KYC 验证？含义、流程与要求
什么是 KYC 验证？KYC 流程如何运作，从证件核查到持续监测，以及 FATF 和东南亚监管机构的要求。
了解你的客户（KYC）验证，是受监管机构为确认客户确属其所声称的身份、并掌握该客户带来的风险而执行的一整套核查。它包括收集身份数据、对照可靠且独立的来源加以验证，并保持数据更新。金融行动特别工作组（FATF）的标准确立了基准，各国再制定本国的具体规则。
本文讲的是机构的义务，而不是客户在某款应用中如何完成 KYC。示例以菲律宾、马来西亚和新加坡为主，印度尼西亚、越南和泰国出现在表格中。规则由各国自行制定，不应把任何一国的做法当作本地区的通例。
KYC 是什么意思
KYC 是 Know Your Customer（了解你的客户）的缩写。它是识别客户并掌握客户所带来风险的义务，属于反洗钱（AML）框架的一部分。FATF 对相关措施的用语是客户尽职调查（CDD）。“KYC 验证”常用来指其中的识别与验证环节，在日常用法中也指整套核查；本文按整套核查来使用这个说法。
FATF 标准要求使用可靠、独立的来源文件、数据或信息来识别并验证客户，各国再把它转化为本国的反洗钱与反恐怖融资（AML/CFT）规则。对机构具有约束力的是这些本国规则，而不是 FATF 标准本身。
KYC 的四项核心要素（FATF 第 10 项建议）
FATF 第 10 项建议规定了四项 CDD 措施：
- 识别客户，并使用可靠、独立的来源文件、数据或信息验证客户身份。
- 识别受益所有人，即最终拥有或控制该客户的自然人，并采取合理措施验证其身份。
- 了解业务关系的目的和拟定性质，并在适当情况下获取相关信息。
- 在整个业务关系期间开展持续尽职调查并审视交易，必要时包括资金来源。
FATF 标准要求在建立业务关系时、在某些临时性交易中、在怀疑存在洗钱或恐怖融资时，以及在对先前的身份识别数据存疑时采取这些措施。有些指南把 KYC 说成三个组成部分，而 FATF 的标准列出的是四项措施。
KYC 验证流程如何运作
下面的步骤沿用 FATF 的四项措施，并加入了名单筛查、风险评估和决策环节。顺序和细节因机构和国家而异。
- 收集身份数据。机构收集客户的身份数据。各国规则列明的项目不同，下面的数据表格有说明。
- 验证身份。这些数据会对照可靠、独立的文件、数据或信息进行核对，可以当面进行，也可以远程进行。例如在新加坡，新加坡金融管理局（MAS）把 Myinfo 视为可靠且独立的来源；在菲律宾，Bangko Sentral ng Pilipinas（BSP，菲律宾中央银行）同样对待菲律宾身份识别系统（PhilSys）。FATF 标准要求在建立业务关系之前或过程中完成验证；若风险得到有效管理，且确有必要不中断正常业务，各国可以允许在此之后尽快合理地完成验证。
- 识别受益所有人。在相关情形下，机构会识别客户背后的自然人，并采取合理措施验证其身份。FATF 标准也涵盖法人主体的受益所有权（第 24 项建议）。
- 了解目的。机构要弄清客户为什么要建立这段业务关系，以及这段关系拟定的性质。马来西亚和印度尼西亚的规则把目的列入应当获取的信息之中。
- 名单筛查。按照各国规则，制裁名单筛查和政治公众人物（PEP）筛查通常是 CDD 的组成部分；FATF 标准在第 12 项建议中涉及 PEP。
- 评估风险。评估结果决定核查的深度：简化、标准还是强化尽职调查，下一节会讲到。
- 作出决定。机构可以为客户开户、上报升级或予以拒绝。如果无法完成 CDD，FATF 标准指出，机构不应开立账户或建立业务关系，或者应终止已有的业务关系，并应考虑提交可疑交易报告（STR）。
- 持续监测与更新。持续尽职调查包括审视交易，以及通过复核保持数据更新，对较高风险客户尤其如此。FATF 标准还要求根据重要性和风险对存量客户开展 CDD。
以风险为本的 KYC：简化、标准与强化尽职调查
FATF 标准要求 CDD 的范围遵循风险为本方法，因此核查的深度随客户风险而不同。FATF 释义性说明中的例子属于指引，并非强制性要素。
| 层级 | 适用情形 | 典型措施（FATF 举例） | 各国实例 |
|---|---|---|---|
| 简化 | 风险较低且已经过充分分析；存在可疑情形或特定较高风险情形时不适用 | 例如在建立业务关系之后再验证身份、降低数据更新频率、减少监测 | 马来西亚国家银行（Bank Negara Malaysia，BNM）的政策文件允许在风险被评估为低时采用简化 CDD，但存在较高风险或可疑情形的除外；印度尼西亚金融服务管理局（Otoritas Jasa Keuangan，OJK）2023年第 8 号条例允许在充分的风险分析之后采用简化 CDD |
| 标准 | 没有较低或较高风险因素指向不同的核查深度 | 上文所述的四项 CDD 措施 | BNM 的政策文件列明了对个人客户开展标准 CDD 时应当获取的数据（见数据表格） |
| 强化 | 风险较高 | 例如获取更多关于客户和业务关系的信息、关于资金来源或财富来源以及交易原因的信息，取得高级管理层批准，加强监测，并更频繁地更新数据 | OJK 把强化尽职调查（EDD）定义为针对高风险客户（包括 PEP）的更深入的 CDD |
在 FATF 的例子中，非面对面业务关系只有在未采取适当风险缓释措施的情况下，才被列为可能的较高风险因素。因此远程 KYC 并不当然属于高风险。
KYC 需要哪些证件和数据
具体项目来自各国规则和机构自身的风险评估。下表列出的是规则对个人客户点名要求的数据；各国规则对信息的归类方式不同，因此这些清单之间并不是同口径的对比。例如，MAS 第 626 号通知把业务关系的目的单列一段，而马来西亚和印度尼西亚的清单把它包含在内，所以项目数量并不能说明一个国家要求的多少。泰国规则的内容不在此处展开。
| 国家（规则） | 规则为识别个人客户所列明的信息 |
|---|---|
| 新加坡（MAS 第 626 号通知，适用于银行） | 全名，包括别名；唯一身份识别号码；居住地址；出生日期；国籍 |
| 马来西亚（BNM 政策文件） | 全名；国民登记身份证（NRIC）、护照或其他官方证件的号码；居住地址和邮寄地址；出生日期；国籍；职业类别；雇主或业务性质；联系电话；交易目的 |
| 印度尼西亚（OJK 2023年第 8 号条例） | 全名，包括别名；身份证件号码；地址；出生地和出生日期；国籍；职业；工作单位地址和电话；性别；婚姻状况；母亲的婚前姓氏；此外还有受益所有人、资金来源、收入或净资产，以及业务关系的目的 |
| 越南（反洗钱法） | 全名；出生日期；国籍；职业或职务；电话号码；身份证、公民身份证、个人身份识别号码或护照号码（外国居民还需注明签发日期和签发地）；居住地 |
| 菲律宾（BSP 规则） | 最低限度信息中包括姓名和／或 PhilSys 号码；此处不给出完整清单 |
对公司客户而言，流程还要覆盖受益所有人；对企业客户的核查属于了解你的企业客户（KYB）的范畴。
东南亚的 KYC 要求：各国概览
下表列出各国的主要规范性文件。它说明的是有哪些规则，而不是每项规则具体要求什么。
| 国家 | 监管机构／金融情报机构（此处点名者） | 主要规则（现行版本） | 适用范围与说明边界 |
|---|---|---|---|
| 菲律宾 | Bangko Sentral ng Pilipinas（BSP，菲律宾中央银行）；Anti-Money Laundering Council（AMLC，反洗钱委员会），即金融情报机构 | 2001 年反洗钱法（Republic Act No. 9160）及其历次修订，最近一次由Republic Act No. 11521（2021年）修订；BSP 的客户尽职调查规则，经第 1170 号通函（Circular No. 1170）（2023年）修订 | BSP 规则适用于受 BSP 监管的机构；此处不给出完整的数据清单 |
| 马来西亚 | Bank Negara Malaysia（BNM，马来西亚国家银行） | BNM 面向金融机构的反洗钱、反恐怖融资与反扩散融资以及定向金融制裁政策文件（BNM/RH/PD 030-14），自 2024年2月6日起施行，取代 2020年1月1日生效的版本 | 适用于其涵盖范围内的金融机构；数据项目针对的是标准 CDD 下的个人客户 |
| 新加坡 | MAS；Suspicious Transaction Reporting Office（STRO，可疑交易报告办公室），即金融情报机构 | 面向银行的MAS 第 626 号通知（最近一次修订为 2025年6月30日），其他金融机构适用相应的平行通知 | 第 626 号通知适用于银行；其他通知的编号不在此处展开 |
| 印度尼西亚 | Otoritas Jasa Keuangan（OJK，印度尼西亚金融服务管理局）；PPATK（Pusat Pelaporan dan Analisis Transaksi Keuangan），即金融情报机构 | 关于金融服务业反洗钱与反恐怖融资、反扩散融资的OJK 2023年第 8 号条例 | 文件标题为非官方英文译名 |
| 越南 | State Bank of Vietnam（SBV，越南国家银行） | 第 14/2022/QH15 号反洗钱法，自 2026年12月1日起施行的修订 | 英文标题为非官方译名；修订内容未经查阅 |
| 泰国 | Anti-Money Laundering Office（AMLO，泰国反洗钱办公室） | 反洗钱法 B.E. 2542（1999年）及其修订；客户尽职调查部级条例 B.E. 2563（2020年） | 仅列出文件名称；内容和施行日期不在此处展开 |
核对日期：2026年10月30日。规则会变动，请向各监管机构确认现行版本。所引 FATF 标准为 2026年6月修订版；本页核对时，FATF 2026年10月26日至30日全会的结果尚未公布。越南法律依据法律数据库收录的英文译本描述。印度尼西亚、越南和泰国的文件标题为非官方英文译名。
菲律宾。PhilSys 依据菲律宾身份识别系统法（Republic Act No. 11055）设立。BSP 的规则经第 1170 号通函（2023年）修订后，承认个人的 PhilSys 记录为官方且充分的身份证明。
马来西亚。BNM 的政策文件要求机构在建立业务关系之前或过程中验证身份。
新加坡。MAS 第 626 号通知要求银行使用可靠、独立的来源数据、文件或信息验证身份。
本文仅供参考，不构成法律或监管方面的意见。
面对面 KYC 与 eKYC
电子化 KYC（eKYC）通过线上或移动渠道执行同样的核查，CDD 标准不会因渠道而改变。在新加坡，MAS 第 626 号通知要求银行的非面对面 CDD 至少与面对面 CDD 同样严格。远程核查通常会用到证件核验、生物识别比对和活体检测，马来西亚的 e-KYC 政策文件把它们列为机构可以采用的措施。FATF 2020年的数字身份指引可以帮助受监管实体判断某一数字身份是否适合用于 CDD。
KYC 中常见的错误与风险
- 把 KYC 当成一次性工作。FATF 标准要求通过复核保持 CDD 数据更新，对较高风险客户尤其如此。
- 对所有客户采用同样的核查。风险为本方法要求风险较低时采取简化措施，风险较高时采取强化措施。
- 忽视受益所有人。识别受益所有人是 FATF 四项措施之一，并非可选的附加项。
- 默认把远程客户当作高风险，或者整类切断客户。FATF 已表明，其标准并不主张去风险化（de-risking），即整类切断客户，而是要求采取风险为本方法。
- 把通过验证的身份当作正当使用的证明。在新加坡向 FATF 报告的一起案件中，147 人把自己的国家数字身份交给犯罪团伙，后者用它在 8 家银行远程开立了 276 个账户。
- 忽视针对远程核查的攻击。2022年，欧盟网络安全局（ENISA）把照片、视频回放、3D 面具和深度伪造攻击列为针对远程身份核实的主要人脸呈现攻击（presentation attack），并指出绕过摄像头的视频注入攻击不属于呈现攻击。MAS 的指引指出，通过互联网提交的申请可能带来更大的风险，包括更容易批量提交虚构的申请。
KYC 验证不是注册时的一次性核查。它是以风险为本的客户尽职调查：按照客户风险的高低相应地适用 FATF 的四项措施，在整个业务关系期间保持更新，并由各国规则塑造其具体形态。
收集的数据和适用的规范性文件因国家而异，因此在一个市场适用的做法不能想当然地套用到另一个市场。想了解软件如何嵌入这些步骤的团队，可以进一步阅读 KYC 验证软件。
本文描述的多项规则是新近出台的，或者修订后自更晚的日期起施行，因此在依据它们行事之前，应当向各监管机构确认现行版本。
常见问题
