KYC 검증이란 무엇인가? 의미와 절차, 요건
KYC 검증이란 무엇인가. 신분증 확인부터 지속적인 모니터링까지 절차가 어떻게 진행되는지, FATF와 동남아시아 규제기관이 무엇을 요구하는지 살펴봅니다.
고객확인(KYC)는 규제 대상 사업자가 고객이 본인이 주장하는 사람이 맞는지 확인하고 그 고객이 초래하는 위험을 파악하기 위해 수행하는 일련의 확인 절차입니다. 신원 데이터를 수집하고 신뢰할 수 있는 독립적인 출처와 대조해 검증하며 최신 상태로 유지하는 것을 뜻합니다. 국제자금세탁방지기구(FATF)의 기준이 기본선을 정하고, 구체적인 규정은 각국이 정합니다.
이 글은 사업자의 의무를 다루며, 고객이 특정 앱에서 KYC를 어떻게 마치는지를 다루지 않습니다. 사례는 필리핀, 말레이시아, 싱가포르를 중심으로 들었고 인도네시아, 베트남, 태국은 표에 담았습니다. 규정은 나라마다 다르므로 어느 한 나라의 방식도 역내 표준으로 읽어서는 안 됩니다.
KYC의 의미
KYC는 Know Your Customer의 약자입니다. 고객을 식별하고 그 고객이 초래하는 위험을 파악할 의무이며, 자금세탁방지(AML) 체계의 한 부분입니다. FATF가 이 조치들을 가리키는 용어는 고객확인의무(CDD)입니다. ‘KYC 검증’은 신원 식별과 검증 부분을 가리키기도 하고, 일상적인 용법에서는 확인 전체를 가리키기도 합니다. 이 글에서는 확인 전체를 가리키는 말로 씁니다.
FATF 기준은 신뢰할 수 있는 독립적인 출처의 문서, 데이터 또는 정보를 이용해 고객을 식별하고 검증할 것을 요구하며, 각국은 이를 자국의 자금세탁방지 및 테러자금조달 방지(AML/CFT) 규정으로 옮깁니다. 사업자를 구속하는 것은 FATF 기준 자체가 아니라 이러한 각국 규정입니다.
KYC의 네 가지 핵심 요소(FATF 권고 10)
FATF 권고 10은 네 가지 고객확인의무 조치를 정하고 있습니다.
- 고객을 식별하고, 신뢰할 수 있는 독립적인 출처의 문서, 데이터 또는 정보를 이용해 고객의 신원을 검증한다.
- 고객을 궁극적으로 소유하거나 지배하는 자연인인 실제 소유자를 식별하고, 그 신원을 검증하기 위해 합리적인 조치를 취한다.
- 거래관계의 목적과 의도된 성격을 파악하고, 필요한 경우 그에 관한 정보를 확보한다.
- 거래관계 전 기간에 걸쳐 지속적인 고객확인과 거래 점검을 수행하며, 필요한 경우 자금 출처도 확인한다.
FATF 기준은 거래관계를 수립할 때, 일정한 일회성 거래의 경우, 자금세탁이나 테러자금조달이 의심될 때, 그리고 앞서 확보한 신원 식별 데이터에 의문이 생길 때 이러한 조치를 취하도록 요구합니다. KYC를 세 가지 요소로 설명하는 안내서도 있지만, FATF 기준이 제시하는 조치는 네 가지입니다.
KYC 검증 절차의 진행 방식
아래 단계는 FATF의 네 가지 조치를 따르고 여기에 스크리닝, 위험평가, 결정을 더한 것입니다. 순서와 세부 내용은 사업자와 국가에 따라 다릅니다.
- 신원 데이터 수집. 사업자는 고객의 신원 데이터를 수집합니다. 규정이 열거하는 항목은 나라마다 다르며, 아래 데이터 표에 정리했습니다.
- 신원 검증. 데이터는 신뢰할 수 있는 독립적인 문서, 데이터 또는 정보와 대조해 확인하며, 대면으로도 비대면으로도 가능합니다. 예컨대 싱가포르에서는 싱가포르 통화청(MAS)가 Myinfo를 신뢰할 수 있고 독립적인 출처로 인정하고 있고, 필리핀에서는 필리핀 중앙은행(Bangko Sentral ng Pilipinas, BSP)가 필리핀 신원확인체계(PhilSys)를 같은 방식으로 인정합니다. FATF 기준은 거래관계 수립 전이나 수립 중에 검증할 것을 요구하지만, 위험이 실효적으로 관리되고 정상적인 업무를 중단하지 않는 것이 필수적인 경우에는 각국이 그 이후 합리적으로 가능한 한 빨리 검증을 마치도록 허용할 수 있습니다.
- 실제 소유자 식별. 해당하는 경우 사업자는 고객 뒤에 있는 자연인을 식별하고 그 신원을 검증하기 위해 합리적인 조치를 취합니다. FATF 기준은 법인의 실제 소유 관계도 다룹니다(권고 24).
- 목적 파악. 사업자는 고객이 왜 그 거래관계를 원하는지, 그 관계가 무엇을 의도한 것인지 확인합니다. 말레이시아와 인도네시아 규정은 확보해야 할 정보로 목적을 열거하고 있습니다.
- 스크리닝. 각국 규정에서 제재 대상 스크리닝과 정치적 주요인물(PEP) 스크리닝은 대체로 고객확인의무의 일부입니다. FATF 기준은 권고 12에서 PEP를 다룹니다.
- 위험 평가. 평가 결과에 따라 확인의 깊이가 정해집니다. 간소화된 고객확인, 일반 고객확인, 강화된 고객확인 가운데 하나이며 다음 절에서 다룹니다.
- 결정. 사업자는 고객을 받아들이거나, 상위 단계로 올리거나, 거절합니다. 고객확인의무를 완료할 수 없는 경우 FATF 기준은 계좌를 개설하거나 거래관계를 시작해서는 안 되며, 기존 관계는 종료해야 하고, 의심거래보고(STR)를 검토해야 한다고 밝히고 있습니다.
- 모니터링과 갱신. 지속적인 고객확인에는 거래 점검과 재검토를 통해 데이터를 최신으로 유지하는 일이 포함되며, 특히 고위험 고객에게 요구됩니다. FATF 기준은 중요성과 위험에 따라 기존 고객에게도 고객확인의무를 수행하도록 요구합니다.
위험기반 KYC: 간소화·일반·강화된 고객확인
FATF 기준은 고객확인의무의 범위가 위험기반접근법(RBA)를 따르도록 요구하므로, 확인의 깊이는 고객의 위험에 따라 달라집니다. FATF 해석 주석에 실린 예시는 지침이며 의무 요소가 아닙니다.
| 구분 | 적용되는 경우 | 전형적인 조치(FATF 예시) | 각국 사례 |
|---|---|---|---|
| 간소화 | 위험이 낮고 충분히 분석된 경우. 의심이 있거나 특정 고위험 상황에는 적용하지 않음 | 거래관계 시작 이후에 신원을 검증하거나, 데이터 갱신 주기를 늦추거나, 모니터링을 줄이는 예가 있음 | 말레이시아 중앙은행(Bank Negara Malaysia, BNM)의 정책문서는 위험이 낮다고 평가되는 경우 간소화된 고객확인을 허용하되 고위험이나 의심이 있는 경우는 제외합니다. 인도네시아 금융감독청(Otoritas Jasa Keuangan, OJK)의 2023년 제8호 규정은 충분한 위험 분석을 거친 뒤 이를 허용합니다 |
| 일반 | 낮은 위험 요인도 높은 위험 요인도 다른 깊이를 가리키지 않는 경우 | 위에서 설명한 네 가지 고객확인의무 조치 | BNM의 정책문서는 개인 고객에 대한 일반 고객확인에서 확보해야 할 데이터를 열거합니다(데이터 표 참조) |
| 강화 | 위험이 높은 경우 | 고객과 거래관계에 관한 더 많은 정보, 자금 출처나 재산 형성 과정 및 거래 사유에 관한 정보, 고위경영진 승인, 강화된 모니터링, 더 잦은 데이터 갱신 등의 예가 있음 | OJK는 PEP를 포함한 고위험 고객에 대한 더 심층적인 고객확인의무로 강화된 고객확인(EDD)를 정의합니다 |
FATF 예시에서 비대면 거래관계는 적절한 위험 완화 조치가 시행되지 않은 경우에만 고위험이 될 수 있는 요인으로 제시됩니다. 따라서 비대면 KYC가 당연히 고위험인 것은 아닙니다.
KYC에 필요한 서류와 데이터
구체적인 항목은 각국 규정과 사업자 자신의 위험평가에서 나옵니다. 표에는 개인 고객 식별에 관해 규정이 열거하는 데이터를 담았습니다. 규정마다 정보를 묶는 방식이 달라 각 항목은 같은 기준의 비교가 아닙니다. 예컨대 MAS Notice 626은 거래관계의 목적을 별도 항에서 정하는 반면 말레이시아와 인도네시아의 목록은 이를 포함하므로, 항목 수가 그 나라가 요구하는 양을 보여주지는 않습니다. 태국 규정의 내용은 여기에서 다루지 않습니다.
| 국가(규정) | 개인 고객 식별에 관해 규정이 열거하는 정보 |
|---|---|
| 싱가포르(MAS Notice 626, 은행 대상) | 가명을 포함한 성명, 고유 식별번호, 거주지 주소, 생년월일, 국적 |
| 말레이시아(BNM 정책문서) | 성명, 국민등록신분증(NRIC)·여권 또는 그 밖의 공식 문서 번호, 거주지 및 우편 주소, 생년월일, 국적, 직업 유형, 고용주 또는 사업의 성격, 연락처 전화번호, 거래 목적 |
| 인도네시아(OJK 2023년 제8호 규정) | 가명을 포함한 성명, 신분증 번호, 주소, 출생지와 생년월일, 국적, 직업, 근무지 주소와 전화번호, 성별, 혼인 상태, 어머니의 혼전 성, 그리고 실제 소유자, 자금 출처, 소득 또는 순자산, 거래관계의 목적 |
| 베트남(자금세탁방지법) | 성명, 생년월일, 국적, 직업 또는 직위, 전화번호, 신분증·시민신분증·개인식별번호 또는 여권 번호(외국인 거주자는 발급일과 발급지 포함), 거주지 |
| 필리핀(BSP 규정) | 최소 정보로 성명 또는 PhilSys 번호, 또는 둘 다. 전체 목록은 여기에서 제시하지 않습니다 |
법인 고객의 경우 절차는 실제 소유자까지 포괄합니다. 법인 고객 확인은 기업고객확인(KYB)가 다루는 영역입니다.
동남아시아의 KYC 요건: 국가별 개요
표에는 각국의 주요 규범을 담았습니다. 어떤 규정이 있는지를 보여줄 뿐, 각 규정이 무엇을 요구하는지를 보여주지는 않습니다.
| 국가 | 규제기관/금융정보기구(여기에서 이름을 밝힌 경우) | 주요 규정(현행본) | 적용 범위와 서술의 한계 |
|---|---|---|---|
| 필리핀 | 필리핀 중앙은행(Bangko Sentral ng Pilipinas, BSP), 금융정보기구인 Anti-Money Laundering Council(AMLC) | 2001년 자금세탁방지법(Republic Act No. 9160)과 그 개정. 가장 최근 개정은 Republic Act No. 11521(2021년)입니다. BSP의 고객확인의무 규정은 Circular No. 1170(2023년)으로 개정되었습니다 | BSP 규정은 BSP의 감독을 받는 사업자에게 적용됩니다. 전체 데이터 목록은 여기에서 제시하지 않습니다 |
| 말레이시아 | 말레이시아 중앙은행(Bank Negara Malaysia, BNM) | 금융기관을 대상으로 한 자금세탁방지, 테러자금조달 및 확산금융 대응, 표적 금융제재에 관한 BNM의 정책문서(BNM/RH/PD 030-14). 2024년 2월 6일 시행되었으며 2020년 1월 1일 시행본을 대체합니다 | 그 적용 범위에 있는 금융기관에 적용됩니다. 데이터 항목은 일반 고객확인에서 개인 고객을 대상으로 한 것입니다 |
| 싱가포르 | MAS, 금융정보기구인 Suspicious Transaction Reporting Office(STRO) | 은행을 대상으로 한 MAS Notice 626(가장 최근 개정 2025년 6월 30일). 다른 금융기관에는 이에 대응하는 통지가 있습니다 | Notice 626은 은행에 적용됩니다. 다른 통지의 번호는 여기에서 다루지 않습니다 |
| 인도네시아 | 인도네시아 금융감독청(Otoritas Jasa Keuangan, OJK), 금융정보기구인 PPATK(Pusat Pelaporan dan Analisis Transaksi Keuangan) | 금융서비스 부문의 자금세탁방지와 테러자금조달 및 확산금융 대응에 관한 OJK 2023년 제8호 규정 | 제목은 비공식 영어 번역입니다 |
| 베트남 | 베트남 국가은행(State Bank of Vietnam, SBV) | 자금세탁방지법 제14/2022/QH15호. 2026년 12월 1일부터 시행되는 개정이 있습니다 | 영어 제목은 비공식입니다. 개정 내용은 확인하지 않았습니다 |
| 태국 | 태국의 자금세탁방지 당국인 Anti-Money Laundering Office(AMLO) | 자금세탁방지법 B.E. 2542(1999년)와 그 개정, 고객확인의무에 관한 시행규칙 B.E. 2563(2020년) | 규범의 명칭만 제시합니다. 내용과 시행일은 여기에서 다루지 않습니다 |
2026년 10월 30일에 확인했습니다. 규정은 바뀌므로 현행본은 각 규제기관에 확인하십시오. FATF 기준은 2026년 6월 개정본으로 인용했습니다. 2026년 10월 26일부터 30일까지 열린 FATF 총회의 결과는 이 페이지를 확인한 시점에 공표되지 않았습니다. 베트남 법률은 법률 데이터베이스에 수록된 영어 번역본을 바탕으로 서술했습니다. 인도네시아, 베트남, 태국의 제목은 비공식 영어 번역입니다.
필리핀. PhilSys는 필리핀 신원확인체계법(Republic Act No. 11055)에 따라 설립되었습니다. BSP 규정은 Circular No. 1170(2023년)으로 개정된 뒤 개인의 PhilSys 기록을 공식적이고 충분한 신원 증명으로 인정합니다.
말레이시아. BNM의 정책문서는 거래관계 수립 전이나 수립 중에 신원을 검증하도록 사업자에게 요구합니다.
싱가포르. MAS Notice 626은 신뢰할 수 있는 독립적인 출처의 데이터, 문서 또는 정보를 이용해 신원을 검증하도록 은행에 요구합니다.
이 글은 정보 제공만을 목적으로 하며 법률 자문이나 규제 자문이 아닙니다.
대면 KYC와 eKYC
전자적 고객확인(eKYC)는 온라인이나 모바일 채널로 동일한 확인을 수행하며, 고객확인의무의 수준은 채널에 따라 달라지지 않습니다. 싱가포르에서는 MAS Notice 626이 은행의 비대면 고객확인의무를 대면 고객확인의무와 최소한 동등하게 견고하게 할 것을 요구합니다. 비대면 확인에는 대체로 신분증 검증, 생체인식 대조, 라이브니스 검출이 쓰이며, 말레이시아의 e-KYC 정책문서는 이를 사업자가 쓸 수 있는 조치로 열거합니다. FATF가 2020년에 낸 디지털 신원에 관한 지침은 특정 디지털 신원이 고객확인의무에 적합한지를 규제 대상 사업자가 판단하는 데 도움이 됩니다.
KYC에서 흔한 실수와 위험
- KYC를 한 번으로 끝나는 일로 보는 것. FATF 기준은 재검토를 통해 고객확인의무 데이터를 최신으로 유지하도록, 특히 고위험 고객에 대해 요구합니다.
- 모든 고객에게 같은 확인을 적용하는 것. 위험기반접근법은 위험이 낮은 곳에서는 간소화된 조치를, 높은 곳에서는 강화된 조치를 요구합니다.
- 실제 소유자를 놓치는 것. 실제 소유자 식별은 FATF의 네 가지 조치 가운데 하나이며 선택적인 추가 작업이 아닙니다.
- 비대면 고객을 기본적으로 고위험으로 보거나 특정 집단 전체와 거래를 끊는 것. FATF는 자신의 기준이 고객 집단 전체를 끊어내는 디리스킹을 상정하지 않으며 위험기반접근법을 요구한다고 밝혔습니다.
- 검증된 신원을 정당한 이용의 증거로 보는 것. 싱가포르가 FATF에 보고한 사례에서는 147명이 자국의 디지털 신원을 범죄 조직에 넘겼고, 조직은 이를 이용해 8개 은행에서 276개 계좌를 비대면으로 개설했습니다.
- 비대면 확인에 대한 공격을 놓치는 것. 2022년 유럽연합 사이버보안청(ENISA)는 사진, 영상 재생, 3D 마스크, 딥페이크 공격을 비대면 신원증명에 대한 주요 얼굴 제시 공격(presentation attack)으로 제시하면서, 카메라를 우회하는 영상 인젝션은 제시 공격이 아니라고 밝혔습니다. MAS 지침은 인터넷을 통한 신청에 허위 신청을 여러 건 하기 쉬운 점을 비롯해 더 큰 위험이 따를 수 있다고 밝히고 있습니다.
KYC는 가입 시점의 일회성 확인이 아닙니다. 위험기반 고객확인의무, 즉 FATF의 네 가지 조치를 고객의 위험에 비례해 적용하고 거래관계 내내 최신으로 유지하며 각국 규정에 따라 형태가 정해지는 것입니다.
수집하는 데이터도 근거가 되는 규범도 나라마다 다르므로, 한 시장에서 통하는 것을 다른 시장에서도 당연하게 전제할 수 없습니다. 이 단계들에 소프트웨어가 어떻게 맞물리는지 살펴보는 팀은 KYC 검증 소프트웨어에 관해 더 읽어볼 수 있습니다.
여기에서 설명한 규정 가운데 여럿은 최근의 것이거나 더 늦은 날짜부터 시행되는 개정을 거쳤으므로, 이에 의존하기 전에 현행본을 각 규제기관에 확인해야 합니다.
자주 묻는 질문
