ما هو التحقق عبر KYC؟ المعنى والعملية والمتطلبات
ما هو التحقق عبر KYC؟ كيف تسير عملية KYC من فحص الهوية إلى المراقبة المستمرة، وما الذي تشترطه FATF والجهات التنظيمية في جنوب شرق آسيا.
التحقق عبر «اعرف عميلك» (KYC) هو مجموعة الفحوص التي تجريها المنشأة الخاضعة للتنظيم للتأكد من أن العميل هو من يدّعي أنه هو، ولفهم المخاطر التي يمثّلها. ويعني ذلك جمع بيانات الهوية، والتحقق منها لدى مصادر موثوقة ومستقلة، وإبقاءها محدّثة. وتضع معايير مجموعة العمل المالي (FATF) الحد الأدنى، فيما تحدّد كل دولة قواعدها التفصيلية.
تصف هذه المقالة التزام المؤسسة، لا الطريقة التي يُكمل بها العميل إجراءات KYC في تطبيق بعينه. وتركّز الأمثلة على الفلبين وماليزيا وسنغافورة، فيما ترد إندونيسيا وفيتنام وتايلاند في الجداول. والقواعد وطنية، فلا ينبغي قراءة نهج دولة واحدة بوصفه العُرف الإقليمي.
ما معنى KYC؟
KYC اختصار لعبارة Know Your Customer، أي «اعرف عميلك». وهو الالتزام بتحديد هوية العملاء وفهم المخاطر التي يمثّلونها، وهو جزء من إطار مكافحة غسل الأموال (AML). أما المصطلح الذي تستخدمه FATF للتدابير المعنية فهو العناية الواجبة تجاه العملاء (CDD). وكثيراً ما يُستعمل تعبير «التحقق عبر KYC» للدلالة على جزء تحديد الهوية والتحقق منها، ويُستعمل في الاستخدام الشائع للدلالة على الفحص كاملاً؛ وتستعمله هذه المقالة بالمعنى الثاني.
تقضي معايير FATF بتحديد هوية العملاء والتحقق منها بالاعتماد على مستندات أو بيانات أو معلومات من مصادر موثوقة ومستقلة، وتحوّل الدول ذلك إلى قواعد وطنية لمكافحة غسل الأموال وتمويل الإرهاب (AML/CFT). وهذه القواعد الوطنية، لا معيار FATF نفسه، هي ما يُلزم المؤسسة.
العناصر الأربعة الأساسية لـ KYC (التوصية 10 من FATF)
تحدّد التوصية 10 من FATF أربعة تدابير CDD:
- تحديد هوية العميل والتحقق منها بالاعتماد على مستندات أو بيانات أو معلومات من مصادر موثوقة ومستقلة.
- تحديد المستفيد الحقيقي، أي الشخص الطبيعي الذي يملك العميل أو يسيطر عليه في نهاية المطاف، واتخاذ تدابير معقولة للتحقق من هويته.
- فهم الغرض من علاقة العمل وطبيعتها المقصودة، والحصول على معلومات بشأنهما عند الاقتضاء.
- ممارسة العناية الواجبة المستمرة وتدقيق المعاملات طوال مدة العلاقة، بما يشمل مصدر الأموال عند الضرورة.
وتقضي معايير FATF بتطبيق هذه التدابير عند إقامة علاقة عمل، وفي معاملات عارضة معيّنة، وعند الاشتباه في غسل أموال أو تمويل إرهاب، وعند وجود شك في بيانات تحديد الهوية السابقة. وتصف بعض الأدلة KYC بوصفه ثلاثة مكوّنات، غير أن معيار FATF ينصّ على أربعة تدابير.
كيف تسير عملية التحقق عبر KYC
تتبع الخطوات أدناه تدابير FATF الأربعة، وتضيف إليها الفحص وتقييم المخاطر واتخاذ القرار. ويختلف الترتيب ودرجة التفصيل باختلاف المؤسسة والدولة.
- جمع بيانات الهوية. تجمع المؤسسة بيانات هوية العميل. وتختلف العناصر التي تسمّيها القواعد من دولة إلى أخرى، كما يبيّن جدول البيانات أدناه.
- التحقق من الهوية. تُقارَن البيانات بمستندات أو بيانات أو معلومات موثوقة ومستقلة، حضورياً أو عن بُعد. ففي سنغافورة مثلاً، تعدّ Monetary Authority of Singapore (MAS) منصة Myinfo مصدراً موثوقاً ومستقلاً، وفي الفلبين تتعامل Bangko Sentral ng Pilipinas (BSP) مع Philippine Identification System (PhilSys) على النحو نفسه. وتقضي معايير FATF بإجراء التحقق قبل إقامة العلاقة أو أثناءها، وقد تسمح الدول بإتمامه بعد ذلك في أقرب وقت ممكن عملياً متى كانت المخاطر مُدارة بفعالية وكان من الضروري عدم تعطيل سير العمل المعتاد.
- تحديد المستفيد الحقيقي. تحدّد المؤسسة، عند الاقتضاء، الشخص الطبيعي الذي يقف خلف العميل، وتتخذ تدابير معقولة للتحقق من هويته. وتتناول معايير FATF أيضاً ملكية المستفيد الحقيقي في الأشخاص الاعتباريين (التوصية 24).
- فهم الغرض. تحدّد المؤسسة سبب رغبة العميل في العلاقة والغاية المقصودة منها. وتُدرج قواعد ماليزيا وإندونيسيا الغرض ضمن المعلومات الواجب الحصول عليها.
- الفحص. يندرج فحص قوائم العقوبات وفحص الأشخاص المعرضين سياسياً (PEP) عادةً ضمن CDD بموجب القواعد الوطنية، وتتناول معايير FATF هذه الفئة في التوصية 12.
- تقييم المخاطر. يحدّد التقييم عمق الفحوص: عناية واجبة مبسطة أو معيارية أو معززة، وهو ما يتناوله القسم التالي.
- اتخاذ القرار. تستقبل المؤسسة العميل أو تُصعّد الحالة أو ترفض. وإذا تعذّر إتمام CDD، تنصّ معايير FATF على ألا تفتح المؤسسة الحساب أو تبدأ العلاقة، أو أن تُنهي علاقة قائمة، وأن تنظر في تقديم تقرير معاملات مشتبه بها (STR).
- المراقبة والتحديث. تشمل العناية الواجبة المستمرة تدقيق المعاملات وإبقاء البيانات محدّثة عبر مراجعات دورية، ولا سيما للعملاء الأعلى مخاطر. وتقضي معايير FATF كذلك بتطبيق CDD على العملاء الحاليين على أساس الأهمية النسبية والمخاطر.
KYC القائم على المخاطر: العناية الواجبة المبسطة والمعيارية والمعززة
تقضي معايير FATF بأن يتبع نطاق CDD النهج القائم على المخاطر، فيتفاوت عمق الفحوص بتفاوت مخاطر العميل. والأمثلة الواردة في المذكرة التفسيرية لـ FATF إرشادية، لا عناصر إلزامية.
| المستوى | متى يُطبَّق | التدابير المعتادة (أمثلة FATF) | أمثلة وطنية |
|---|---|---|---|
| مبسطة | المخاطر أدنى وجرى تحليلها تحليلاً كافياً؛ ولا تُطبَّق عند وجود اشتباه أو سيناريو محدد أعلى مخاطر | من الأمثلة التحقق من الهوية بعد بدء العلاقة، وتحديث البيانات على فترات أطول، وتخفيف المراقبة | تسمح وثيقة السياسة الصادرة عن Bank Negara Malaysia (BNM) بعناية واجبة مبسطة متى قُيّمت المخاطر بأنها منخفضة، إلا عند وجود مخاطر أعلى أو اشتباه؛ وتسمح بها OJK Regulation No. 8 of 2023 الصادرة عن Otoritas Jasa Keuangan (OJK) الإندونيسية بعد تحليل كافٍ للمخاطر |
| معيارية | لا تشير عوامل المخاطر الأدنى ولا الأعلى إلى عمق مختلف | تدابير CDD الأربعة الموصوفة أعلاه | تسمّي وثيقة السياسة الصادرة عن BNM البيانات الواجب الحصول عليها في CDD المعيارية للأفراد (انظر جدول البيانات) |
| معززة | المخاطر أعلى | من الأمثلة الحصول على معلومات إضافية عن العميل وعن العلاقة، ومعلومات عن مصدر الأموال أو الثروة وعن أسباب المعاملات، وموافقة الإدارة العليا، وتشديد المراقبة، وتحديث البيانات على نحو أكثر تواتراً | تعرّف OJK العناية الواجبة المعززة (EDD) بأنها عناية واجبة أكثر تعمقاً تجاه العملاء مرتفعي المخاطر، بمن فيهم PEP |
ترد العلاقات التي تُقام دون حضور شخصي في أمثلة FATF بوصفها عامل خطر أعلى محتملاً، وذلك فقط حين لا تكون تدابير التخفيف المناسبة قد طُبِّقت. ومن ثم فإن KYC عن بُعد ليس مرتفع المخاطر تلقائياً.
ما المستندات والبيانات اللازمة لـ KYC؟
تأتي العناصر المحددة من القواعد الوطنية ومن تقييم المؤسسة للمخاطر. ويعرض الجدول البيانات المسمّاة للعملاء الأفراد؛ وتجمّع القواعد المعلومات بطرق مختلفة، فالقوائم ليست متماثلة. فعلى سبيل المثال، يورد MAS Notice 626 الغرض من العلاقة في فقرة منفصلة، بينما تُدرجه القائمتان الماليزية والإندونيسية، ولذلك لا يدل عدد العناصر على حجم ما تطلبه الدولة. ولا يُوصف هنا مضمون القاعدة التايلاندية.
| الدولة (القاعدة) | المعلومات التي تسمّيها القاعدة لتحديد هوية العملاء الأفراد |
|---|---|
| سنغافورة (MAS Notice 626، للبنوك) | الاسم الكامل بما فيه الأسماء المستعارة؛ رقم التعريف الفريد؛ عنوان السكن؛ تاريخ الميلاد؛ الجنسية |
| ماليزيا (وثيقة السياسة الصادرة عن BNM) | الاسم الكامل؛ رقم National Registration Identity Card (NRIC) أو جواز السفر أو مستند رسمي آخر؛ عنوان السكن وعنوان المراسلة؛ تاريخ الميلاد؛ الجنسية؛ نوع المهنة؛ جهة العمل أو طبيعة النشاط؛ رقم الاتصال؛ الغرض من المعاملة |
| إندونيسيا (OJK Regulation No. 8 of 2023) | الاسم الكامل بما فيه الاسم المستعار؛ رقم وثيقة الهوية؛ العنوان؛ مكان الميلاد وتاريخه؛ الجنسية؛ المهنة؛ عنوان مكان العمل وهاتفه؛ الجنس؛ الحالة الاجتماعية؛ اسم الأم قبل الزواج؛ إضافة إلى المستفيد الحقيقي ومصدر الأموال والدخل أو صافي الثروة والغرض من العلاقة |
| فيتنام (قانون مكافحة غسل الأموال) | الاسم الكامل؛ تاريخ الميلاد؛ الجنسية؛ المهنة أو المنصب؛ رقم الهاتف؛ رقم الهوية أو هوية المواطن أو رقم التعريف الشخصي أو جواز السفر (للمقيمين الأجانب، مع تاريخ الإصدار ومكانه)؛ محل الإقامة |
| الفلبين (قواعد BSP) | الاسم و/أو رقم PhilSys، ضمن الحد الأدنى من المعلومات؛ ولا تُعرض هنا قائمة كاملة |
أما بالنسبة إلى الشركات، فتشمل العملية كذلك المستفيدين الحقيقيين؛ والتحقق من المنشآت هو موضوع «اعرف منشأتك» (KYB).
متطلبات KYC في جنوب شرق آسيا: لمحة عن الدول
يسمّي الجدول الأداة التنظيمية الرئيسية في كل دولة. وهو يبيّن القواعد الموجودة، لا ما تشترطه كل منها.
| الدولة | الجهة التنظيمية / وحدة المعلومات المالية (حيثما وردت هنا) | القاعدة الرئيسية (النسخة السارية) | النطاق والحدود |
|---|---|---|---|
| الفلبين | Bangko Sentral ng Pilipinas (BSP)؛ وAnti-Money Laundering Council (AMLC)، وهي وحدة المعلومات المالية | Anti-Money Laundering Act of 2001 (Republic Act No. 9160) بصيغته المعدّلة، وآخر تعديل بموجب Republic Act No. 11521 لسنة 2021؛ وقواعد العناية الواجبة تجاه العملاء الصادرة عن BSP بصيغتها المعدّلة بموجب Circular No. 1170 لسنة 2023 | تسري قواعد BSP على المؤسسات الخاضعة لإشراف BSP؛ ولا تُعرض هنا قائمة بيانات كاملة |
| ماليزيا | Bank Negara Malaysia (BNM) | وثيقة السياسة الصادرة عن BNM بشأن مكافحة غسل الأموال ومكافحة تمويل الإرهاب وانتشار التسلح والعقوبات المالية المستهدفة للمؤسسات المالية (BNM/RH/PD 030-14)، وهي سارية منذ 6 فبراير 2024 وتحل محل النسخة التي بدأ سريانها في 1 يناير 2020 | تسري على المؤسسات المالية الداخلة في نطاقها؛ وعناصر البيانات تخص العملاء الأفراد في إطار CDD المعيارية |
| سنغافورة | MAS؛ وSuspicious Transaction Reporting Office (STRO)، وهي وحدة المعلومات المالية | MAS Notice 626 للبنوك (آخر مراجعة في 30 يونيو 2025)، مع إشعارات موازية لسائر المؤسسات المالية | يسري Notice 626 على البنوك؛ ولا تُوصف هنا أرقام الإشعارات الأخرى |
| إندونيسيا | Otoritas Jasa Keuangan (OJK)؛ وPPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan)، وهي وحدة المعلومات المالية | OJK Regulation No. 8 of 2023 بشأن مكافحة غسل الأموال ومكافحة تمويل الإرهاب وانتشار التسلح في قطاع الخدمات المالية | ترجمة إنجليزية غير رسمية للعنوان |
| فيتنام | State Bank of Vietnam (SBV) | Law on Anti-Money Laundering No. 14/2022/QH15، وقد عُدِّل اعتباراً من 1 ديسمبر 2026 | عنوان إنجليزي غير رسمي؛ ولم يُراجَع مضمون التعديل |
| تايلاند | Anti-Money Laundering Office (AMLO) | Anti-Money Laundering Act B.E. 2542 (1999) بصيغته المعدّلة؛ وMinisterial Regulation on Customer Due Diligence B.E. 2563 (2020) | أسماء الأدوات التنظيمية فقط؛ ولا يُوصف هنا المضمون ولا تواريخ السريان |
جرى التحقق في 30 أكتوبر 2026. القواعد تتغير، لذا تأكد من النسخة السارية لدى كل جهة تنظيمية. ومعايير FATF مذكورة بصيغتها المعدّلة في يونيو 2026؛ ولم تكن نتائج الاجتماع العام لـ FATF المنعقد من 26 إلى 30 أكتوبر 2026 قد نُشرت وقت التحقق من هذه الصفحة. والقانون الفيتنامي موصوف استناداً إلى ترجمة إنجليزية محفوظة في قاعدة بيانات قانونية. وعناوين إندونيسيا وفيتنام وتايلاند صياغات إنجليزية غير رسمية.
الفلبين. أُنشئ PhilSys بموجب Philippine Identification System Act (Republic Act No. 11055). وتقبل قواعد BSP، بصيغتها المعدّلة بموجب Circular No. 1170 لسنة 2023، سجلات PhilSys الخاصة بالفرد بوصفها إثباتاً رسمياً وكافياً للهوية.
ماليزيا. تُلزم وثيقة السياسة الصادرة عن BNM المؤسسات بالتحقق من الهوية قبل إقامة العلاقة أو أثناءها.
سنغافورة. يُلزم MAS Notice 626 البنوك بالتحقق من الهوية بالاعتماد على بيانات أو مستندات أو معلومات من مصادر موثوقة ومستقلة.
هذه المقالة لأغراض إعلامية فقط ولا تشكّل استشارة قانونية أو تنظيمية.
KYC الحضوري وeKYC
يُجري eKYC، أي «اعرف عميلك إلكترونياً»، الفحوص نفسها عبر القنوات الإلكترونية أو قنوات الهاتف المحمول، ولا يتغير معيار CDD بتغير القناة. وفي سنغافورة، يشترط MAS Notice 626 ألا تقل متانة CDD التي تُجرى دون حضور شخصي عن متانة تلك التي تُجرى بحضور شخصي. وتستخدم الفحوص عن بُعد عادةً التحقق من المستندات والمطابقة بالقياسات الحيوية وكشف الحيوية، وهي تدابير تُدرجها وثيقة سياسة e-KYC الماليزية بوصفها تدابير يجوز للمؤسسات استخدامها. وتساعد Guidance on Digital ID الصادرة عن FATF عام 2020 الجهات الخاضعة للتنظيم على تقرير ما إذا كانت الهوية الرقمية مناسبة لـ CDD.
أخطاء KYC الشائعة ومخاطرها
- التعامل مع KYC بوصفه إجراءً يُنفَّذ مرة واحدة. تقضي معايير FATF بإبقاء بيانات CDD محدّثة عبر مراجعات دورية، ولا سيما للعملاء الأعلى مخاطر.
- تطبيق الفحوص نفسها على كل عميل. يقتضي النهج القائم على المخاطر تدابير مبسطة حيث تكون المخاطر أدنى، وتدابير معززة حيث تكون أعلى.
- إغفال المستفيدين الحقيقيين. تحديد المستفيد الحقيقي أحد تدابير FATF الأربعة، لا إضافة اختيارية.
- اعتبار العملاء عن بُعد مرتفعي المخاطر تلقائياً، أو قطع التعامل مع فئات بأكملها. ذكرت FATF أن معاييرها لا تتوخى ما يُعرف بـ de-risking، أي قطع التعامل مع فئات كاملة من العملاء، بل تقضي بنهج قائم على المخاطر.
- اعتبار الهوية المتحقق منها دليلاً على استخدام مشروع. في حالة أبلغت بها سنغافورة FATF، سلّم 147 شخصاً هويتهم الرقمية الوطنية إلى عصابات إجرامية استخدمتها لفتح 276 حساباً لدى ثمانية بنوك عن بُعد.
- إغفال الهجمات على الفحوص عن بُعد. في عام 2022 حدّدت European Union Agency for Cybersecurity (ENISA) هجمات الصور وإعادة تشغيل الفيديو والأقنعة ثلاثية الأبعاد والتزييف العميق بوصفها أبرز هجمات تقديم الوجه ضد إثبات الهوية عن بُعد، وأشارت إلى أن الحقن عبر الفيديو، الذي يلتف على الكاميرا، ليس هجوم تقديم. وتلاحظ إرشادات MAS أن الطلبات المقدَّمة عبر الإنترنت قد تنطوي على مخاطر أكبر، منها سهولة تقديم طلبات وهمية متعددة.
التحقق عبر KYC ليس فحصاً واحداً عند التسجيل. إنه عناية واجبة تجاه العملاء قائمة على المخاطر: تدابير FATF الأربعة مطبَّقة بما يتناسب مع مخاطر العميل، ومحدَّثة طوال مدة العلاقة، ومصوغة وفق قواعد كل دولة.
وتختلف البيانات المجموعة والأدوات التنظيمية من دولة إلى أخرى، فما يسري في سوق لا يصح افتراضه في سوق أخرى. ويمكن للفرق التي تبحث في كيفية تغطية البرمجيات لهذه الخطوات الاطلاع على المزيد عن برنامج التحقق عبر KYC.
وعدد من القواعد الموصوفة هنا حديث أو معدَّل اعتباراً من تاريخ لاحق، لذا ينبغي التأكد من النسخ السارية لدى كل جهة تنظيمية قبل الاعتماد عليها.
الأسئلة الشائعة
