การยืนยันตัวตนแบบ KYC คืออะไร ความหมาย ขั้นตอน และข้อกำหนด
การยืนยันตัวตนแบบ KYC คืออะไร กระบวนการ KYC ทำงานอย่างไร ตั้งแต่การตรวจสอบเอกสารแสดงตนจนถึงการติดตามอย่างต่อเนื่อง และสิ่งที่ FATF กับหน่วยงานกำกับดูแลกำหนด
การทำความรู้จักลูกค้า (KYC) คือชุดการตรวจสอบที่ธุรกิจภายใต้การกำกับดูแลดำเนินการ เพื่อยืนยันว่าลูกค้าเป็นบุคคลตามที่กล่าวอ้างจริง และเพื่อเข้าใจความเสี่ยงที่ลูกค้ารายนั้นก่อขึ้น หมายถึงการเก็บข้อมูลระบุตัวตน การตรวจสอบข้อมูลนั้นกับแหล่งที่เชื่อถือได้และเป็นอิสระ และการปรับข้อมูลให้เป็นปัจจุบัน มาตรฐานของ Financial Action Task Force (FATF) วางเกณฑ์พื้นฐานไว้ และแต่ละประเทศกำหนดกฎเกณฑ์โดยละเอียดของตนเอง
บทความนี้อธิบายหน้าที่ของสถาบันที่อยู่ภายใต้การกำกับดูแล ไม่ใช่วิธีที่ลูกค้าทำ KYC ให้เสร็จในแอปใดแอปหนึ่ง ตัวอย่างเน้นที่ฟิลิปปินส์ มาเลเซีย และสิงคโปร์ ส่วนอินโดนีเซีย เวียดนาม และไทยปรากฏอยู่ในตาราง กฎเกณฑ์เป็นเรื่องของแต่ละประเทศ และไม่ควรอ่านแนวทางของประเทศใดประเทศหนึ่งเป็นบรรทัดฐานของทั้งภูมิภาค
KYC หมายถึงอะไร
KYC ย่อมาจาก Know Your Customer คือหน้าที่ในการระบุตัวตนลูกค้าและเข้าใจความเสี่ยงที่ลูกค้าก่อขึ้น และเป็นส่วนหนึ่งของกรอบการป้องกันและปราบปรามการฟอกเงิน (AML) คำที่ FATF ใช้เรียกมาตรการเหล่านี้คือการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า (CDD) คำว่า “การยืนยันตัวตนแบบ KYC” มักใช้กับส่วนของการระบุและยืนยันตัวตน และในการใช้งานทั่วไปใช้กับการตรวจสอบทั้งกระบวนการ บทความนี้ใช้คำนี้ในความหมายของการตรวจสอบทั้งกระบวนการ
มาตรฐานของ FATF กำหนดให้ระบุและยืนยันตัวตนลูกค้าโดยใช้เอกสาร ข้อมูล หรือสารสนเทศจากแหล่งที่เชื่อถือได้และเป็นอิสระ และแต่ละประเทศแปลงข้อกำหนดนี้เป็นกฎเกณฑ์การป้องกันและปราบปรามการฟอกเงินและการต่อต้านการสนับสนุนทางการเงินแก่การก่อการร้าย (AML/CFT) ของประเทศตน กฎเกณฑ์ของประเทศเหล่านั้น ไม่ใช่ตัวมาตรฐานของ FATF เอง คือสิ่งที่ผูกพันสถาบัน
องค์ประกอบหลักสี่ข้อของ KYC (ข้อแนะนำที่ 10 ของ FATF)
ข้อแนะนำที่ 10 ของ FATF (FATF Recommendation 10) กำหนดมาตรการ CDD ไว้สี่ข้อ
- ระบุตัวตนลูกค้าและยืนยันตัวตนของลูกค้าโดยใช้เอกสาร ข้อมูล หรือสารสนเทศจากแหล่งที่เชื่อถือได้และเป็นอิสระ
- ระบุผู้ได้รับผลประโยชน์ที่แท้จริง ซึ่งคือบุคคลธรรมดาที่เป็นเจ้าของหรือควบคุมลูกค้าในท้ายที่สุด และดำเนินมาตรการตามสมควรเพื่อยืนยันตัวตนของบุคคลนั้น
- เข้าใจวัตถุประสงค์และลักษณะที่ตั้งใจไว้ของความสัมพันธ์ทางธุรกิจ และขอข้อมูลเกี่ยวกับเรื่องดังกล่าวตามความเหมาะสม
- ดำเนินการตรวจสอบอย่างต่อเนื่องและสอบทานธุรกรรมตลอดช่วงความสัมพันธ์ รวมถึงแหล่งที่มาของเงินเมื่อจำเป็น
มาตรฐานของ FATF กำหนดให้ใช้มาตรการเหล่านี้เมื่อเริ่มความสัมพันธ์ทางธุรกิจ เมื่อมีธุรกรรมเป็นครั้งคราวบางประเภท เมื่อมีข้อสงสัยว่ามีการฟอกเงินหรือการสนับสนุนทางการเงินแก่การก่อการร้าย และเมื่อข้อมูลระบุตัวตนที่มีอยู่เดิมเป็นที่น่าสงสัย คู่มือบางฉบับอธิบายว่า KYC มีสามองค์ประกอบ แต่มาตรฐานของ FATF กำหนดมาตรการไว้สี่ข้อ
กระบวนการยืนยันตัวตนแบบ KYC ทำงานอย่างไร
ขั้นตอนด้านล่างเรียงตามมาตรการทั้งสี่ของ FATF และเพิ่มการตรวจสอบรายชื่อ การประเมินความเสี่ยง และการตัดสินใจ ลำดับและรายละเอียดแตกต่างกันไปตามสถาบันและประเทศ
- เก็บข้อมูลระบุตัวตน สถาบันเก็บข้อมูลระบุตัวตนของลูกค้า รายการข้อมูลที่กฎเกณฑ์ระบุไว้แตกต่างกันไปตามประเทศ ดังที่ตารางข้อมูลด้านล่างแสดงไว้
- ยืนยันตัวตน ข้อมูลถูกตรวจสอบกับเอกสาร ข้อมูล หรือสารสนเทศที่เชื่อถือได้และเป็นอิสระ ไม่ว่าจะต่อหน้าหรือจากระยะไกล ตัวอย่างเช่น ในสิงคโปร์ Monetary Authority of Singapore (MAS) ถือว่า Myinfo เป็นแหล่งข้อมูลที่เชื่อถือได้และเป็นอิสระ และในฟิลิปปินส์ Bangko Sentral ng Pilipinas (BSP) ถือว่า Philippine Identification System (PhilSys) เป็นแหล่งข้อมูลในลักษณะเดียวกัน มาตรฐานของ FATF กำหนดให้ยืนยันตัวตนก่อนหรือระหว่างการเริ่มความสัมพันธ์ แต่ละประเทศอาจอนุญาตให้ดำเนินการให้เสร็จโดยเร็วที่สุดเท่าที่ทำได้ตามสมควรหลังจากนั้น หากบริหารจัดการความเสี่ยงได้อย่างมีประสิทธิผลและมีความจำเป็นที่จะต้องไม่ขัดจังหวะการดำเนินธุรกิจตามปกติ
- ระบุผู้ได้รับผลประโยชน์ที่แท้จริง ในกรณีที่เกี่ยวข้อง สถาบันระบุบุคคลธรรมดาที่อยู่เบื้องหลังลูกค้า และดำเนินมาตรการตามสมควรเพื่อยืนยันตัวตนของบุคคลนั้น มาตรฐานของ FATF ยังครอบคลุมการเป็นผู้ได้รับผลประโยชน์ที่แท้จริงของนิติบุคคลด้วย (ข้อแนะนำที่ 24)
- เข้าใจวัตถุประสงค์ สถาบันพิจารณาว่าเหตุใดลูกค้าจึงต้องการความสัมพันธ์นี้ และความสัมพันธ์นั้นตั้งใจให้เป็นอย่างไร กฎเกณฑ์ของมาเลเซียและอินโดนีเซียระบุวัตถุประสงค์ไว้ในบรรดาข้อมูลที่ต้องขอ
- ตรวจสอบรายชื่อ การตรวจสอบรายชื่อผู้ถูกคว่ำบาตรและการตรวจสอบรายชื่อบุคคลที่มีสถานภาพทางการเมือง (PEP) โดยทั่วไปเป็นส่วนหนึ่งของ CDD ตามกฎเกณฑ์ของแต่ละประเทศ มาตรฐานของ FATF ครอบคลุม PEP ไว้ในข้อแนะนำที่ 12
- ประเมินความเสี่ยง การประเมินกำหนดว่าการตรวจสอบจะลงลึกเพียงใด ได้แก่ การตรวจสอบแบบลดระดับ แบบมาตรฐาน หรือแบบเข้มข้น ซึ่งอธิบายไว้ในหัวข้อถัดไป
- ตัดสินใจ สถาบันรับลูกค้าเข้าระบบ ส่งเรื่องให้พิจารณาในระดับที่สูงขึ้น หรือปฏิเสธ หากไม่สามารถทำ CDD ให้เสร็จได้ มาตรฐานของ FATF ระบุว่าสถาบันไม่ควรเปิดบัญชีหรือเริ่มความสัมพันธ์ หรือควรยุติความสัมพันธ์ที่มีอยู่ และควรพิจารณาจัดทำรายงานธุรกรรมที่มีเหตุอันควรสงสัย (STR)
- ติดตามและปรับข้อมูลให้เป็นปัจจุบัน การตรวจสอบอย่างต่อเนื่องรวมถึงการสอบทานธุรกรรมและการปรับข้อมูลให้เป็นปัจจุบันผ่านการทบทวน โดยเฉพาะกับลูกค้าที่มีความเสี่ยงสูงกว่า มาตรฐานของ FATF ยังกำหนดให้ทำ CDD กับลูกค้าที่มีอยู่เดิมโดยพิจารณาจากสาระสำคัญและความเสี่ยง
KYC ที่อิงความเสี่ยง: การตรวจสอบแบบลดระดับ แบบมาตรฐาน และแบบเข้มข้น
มาตรฐานของ FATF กำหนดให้ขอบเขตของ CDD เป็นไปตามแนวทางที่อิงความเสี่ยง (RBA) ความลึกของการตรวจสอบจึงแตกต่างกันไปตามความเสี่ยงของลูกค้า ตัวอย่างในบันทึกตีความของ FATF เป็นแนวทาง ไม่ใช่องค์ประกอบบังคับ
| ระดับการตรวจสอบ | ใช้เมื่อใด | มาตรการทั่วไป (ตัวอย่างของ FATF) | ตัวอย่างระดับประเทศ |
|---|---|---|---|
| แบบลดระดับ (SDD) | ความเสี่ยงต่ำกว่าและได้รับการวิเคราะห์อย่างเพียงพอแล้ว ไม่ใช้ในกรณีที่มีข้อสงสัยหรือมีสถานการณ์ความเสี่ยงสูงเฉพาะเรื่อง | ตัวอย่างเช่น การยืนยันตัวตนหลังเริ่มความสัมพันธ์ การปรับข้อมูลให้เป็นปัจจุบันถี่น้อยลง และการลดระดับการติดตาม | เอกสารนโยบายของ Bank Negara Malaysia (BNM) อนุญาตให้ทำ CDD แบบลดระดับได้เมื่อประเมินแล้วว่าความเสี่ยงต่ำ ยกเว้นกรณีที่มีความเสี่ยงสูงกว่าหรือมีข้อสงสัย ส่วน Regulation No. 8 of 2023 ของ Otoritas Jasa Keuangan (OJK) ของอินโดนีเซียอนุญาตให้ทำได้หลังการวิเคราะห์ความเสี่ยงอย่างเพียงพอ |
| แบบมาตรฐาน | ไม่มีปัจจัยความเสี่ยงต่ำกว่าหรือสูงกว่าที่ชี้ว่าควรใช้ความลึกอื่น | มาตรการ CDD ทั้งสี่ข้อที่อธิบายไว้ข้างต้น | เอกสารนโยบายของ BNM ระบุข้อมูลที่ต้องขอสำหรับ CDD แบบมาตรฐานกับลูกค้าบุคคลธรรมดา (ดูตารางข้อมูล) |
| แบบเข้มข้น (EDD) | ความเสี่ยงสูงกว่า | ตัวอย่างเช่น การขอข้อมูลเพิ่มเติมเกี่ยวกับลูกค้าและความสัมพันธ์ ข้อมูลแหล่งที่มาของเงินหรือแหล่งที่มาของความมั่งคั่งและเหตุผลของธุรกรรม การอนุมัติจากผู้บริหารระดับสูง การติดตามที่เข้มข้นขึ้น และการปรับข้อมูลให้เป็นปัจจุบันบ่อยขึ้น | OJK นิยามการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าแบบเข้มข้น (EDD) ว่าเป็น CDD ที่ลงลึกมากขึ้นสำหรับลูกค้าความเสี่ยงสูง รวมถึง PEP |
ความสัมพันธ์ที่ไม่ได้พบหน้ากันปรากฏในตัวอย่างของ FATF ว่าเป็นปัจจัยที่อาจมีความเสี่ยงสูงกว่า เฉพาะในกรณีที่ยังไม่ได้ใช้มาตรการลดความเสี่ยงที่เหมาะสมเท่านั้น KYC จากระยะไกลจึงไม่ได้มีความเสี่ยงสูงโดยอัตโนมัติ
KYC ต้องใช้เอกสารและข้อมูลอะไรบ้าง
รายการข้อมูลที่เจาะจงมาจากกฎเกณฑ์ของแต่ละประเทศและการประเมินความเสี่ยงของสถาบัน ตารางแสดงข้อมูลที่ระบุไว้สำหรับลูกค้าบุคคลธรรมดา กฎเกณฑ์แต่ละฉบับจัดกลุ่มข้อมูลต่างกัน รายการจึงเทียบกันแบบหนึ่งต่อหนึ่งไม่ได้ ตัวอย่างเช่น MAS Notice 626 กำหนดเรื่องวัตถุประสงค์ของความสัมพันธ์ไว้ในย่อหน้าแยกต่างหาก ขณะที่รายการของมาเลเซียและอินโดนีเซียรวมเรื่องนี้ไว้ด้วย จำนวนรายการจึงไม่ได้บอกว่าประเทศหนึ่งขอข้อมูลมากเพียงใด เนื้อหากฎเกณฑ์ของไทยไม่ได้อธิบายไว้ในที่นี้
| ประเทศ (กฎเกณฑ์) | ข้อมูลที่กฎเกณฑ์ระบุไว้สำหรับการระบุตัวตนลูกค้าบุคคลธรรมดา |
|---|---|
| สิงคโปร์ (MAS Notice 626 สำหรับธนาคาร) | ชื่อเต็มรวมถึงชื่ออื่นที่ใช้ เลขประจำตัวเฉพาะ ที่อยู่อาศัย วันเดือนปีเกิด สัญชาติ |
| มาเลเซีย (เอกสารนโยบายของ BNM) | ชื่อเต็ม หมายเลข National Registration Identity Card (NRIC) หนังสือเดินทาง หรือเอกสารราชการอื่น ที่อยู่อาศัยและที่อยู่ทางไปรษณีย์ วันเดือนปีเกิด สัญชาติ ประเภทอาชีพ นายจ้างหรือลักษณะธุรกิจ หมายเลขติดต่อ วัตถุประสงค์ของธุรกรรม |
| อินโดนีเซีย (OJK Regulation No. 8 of 2023) | ชื่อเต็มรวมถึงชื่ออื่นที่ใช้ หมายเลขเอกสารแสดงตน ที่อยู่ สถานที่และวันเดือนปีเกิด สัญชาติ อาชีพ ที่อยู่และหมายเลขโทรศัพท์ของที่ทำงาน เพศ สถานภาพสมรส นามสกุลเดิมของมารดา รวมถึงผู้ได้รับผลประโยชน์ที่แท้จริง แหล่งที่มาของเงิน รายได้หรือความมั่งคั่งสุทธิ และวัตถุประสงค์ของความสัมพันธ์ |
| เวียดนาม (กฎหมายป้องกันและปราบปรามการฟอกเงิน) | ชื่อเต็ม วันเดือนปีเกิด สัญชาติ อาชีพหรือตำแหน่ง หมายเลขโทรศัพท์ หมายเลขบัตรประจำตัว บัตรประจำตัวประชาชน เลขประจำตัวบุคคล หรือหนังสือเดินทาง (สำหรับผู้มีถิ่นที่อยู่ซึ่งเป็นชาวต่างชาติ พร้อมวันที่และสถานที่ออกเอกสาร) ถิ่นที่อยู่ |
| ฟิลิปปินส์ (กฎเกณฑ์ของ BSP) | ชื่อและ/หรือหมายเลข PhilSys ซึ่งอยู่ในบรรดาข้อมูลขั้นต่ำ ไม่ได้ให้รายการทั้งหมดไว้ในที่นี้ |
สำหรับลูกค้านิติบุคคล กระบวนการยังครอบคลุมผู้ได้รับผลประโยชน์ที่แท้จริงด้วย ส่วนการตรวจสอบนิติบุคคลเป็นเรื่องของการทำความรู้จักนิติบุคคล (KYB)
ข้อกำหนด KYC ในเอเชียตะวันออกเฉียงใต้: ภาพรวมรายประเทศ
ตารางระบุกฎหมายหรือกฎเกณฑ์หลักของแต่ละประเทศ ตารางนี้บอกว่ามีกฎเกณฑ์ใดอยู่บ้าง ไม่ได้บอกว่าแต่ละฉบับกำหนดอะไรไว้
| ประเทศ | หน่วยงานกำกับดูแล / หน่วยข่าวกรองทางการเงิน (เท่าที่ระบุไว้ในที่นี้) | กฎเกณฑ์หลัก (ฉบับปัจจุบัน) | ขอบเขตและข้อจำกัด |
|---|---|---|---|
| ฟิลิปปินส์ | Bangko Sentral ng Pilipinas (BSP) และ Anti-Money Laundering Council (AMLC) ซึ่งเป็นหน่วยข่าวกรองทางการเงิน | the Anti-Money Laundering Act of 2001 (Republic Act No. 9160) ฉบับแก้ไขเพิ่มเติม ล่าสุดโดย Republic Act No. 11521 (2021) และกฎเกณฑ์การตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าของ BSP ฉบับแก้ไขเพิ่มเติมโดย Circular No. 1170 (2023) | กฎเกณฑ์ของ BSP ใช้กับสถาบันที่อยู่ภายใต้การกำกับดูแลของ BSP ไม่ได้ให้รายการข้อมูลทั้งหมดไว้ในที่นี้ |
| มาเลเซีย | Bank Negara Malaysia (BNM) | เอกสารนโยบายของ BNM ว่าด้วยการป้องกันและปราบปรามการฟอกเงิน การต่อต้านการสนับสนุนทางการเงินแก่การก่อการร้ายและการแพร่ขยายอาวุธ และมาตรการคว่ำบาตรทางการเงินแบบเจาะจงสำหรับสถาบันการเงิน (BNM/RH/PD 030-14) มีผลบังคับใช้ตั้งแต่ 6 กุมภาพันธ์ 2024 แทนฉบับที่มีผลเมื่อ 1 มกราคม 2020 | ใช้กับสถาบันการเงินที่อยู่ในขอบเขต รายการข้อมูลเป็นของลูกค้าบุคคลธรรมดาภายใต้ CDD แบบมาตรฐาน |
| สิงคโปร์ | MAS และ Suspicious Transaction Reporting Office (STRO) ซึ่งเป็นหน่วยข่าวกรองทางการเงิน | MAS Notice 626 สำหรับธนาคาร (แก้ไขล่าสุด 30 มิถุนายน 2025) พร้อมประกาศคู่ขนานสำหรับสถาบันการเงินประเภทอื่น | Notice 626 ใช้กับธนาคาร หมายเลขประกาศฉบับอื่นไม่ได้อธิบายไว้ในที่นี้ |
| อินโดนีเซีย | Otoritas Jasa Keuangan (OJK) และ PPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan) ซึ่งเป็นหน่วยข่าวกรองทางการเงิน | OJK Regulation No. 8 of 2023 ว่าด้วยการป้องกันและปราบปรามการฟอกเงินและการต่อต้านการสนับสนุนทางการเงินแก่การก่อการร้ายและการแพร่ขยายอาวุธในภาคบริการทางการเงิน | ชื่อกฎหมายเป็นคำแปลภาษาอังกฤษอย่างไม่เป็นทางการ |
| เวียดนาม | State Bank of Vietnam (SBV) | Law on Anti-Money Laundering No. 14/2022/QH15 แก้ไขเพิ่มเติมโดยมีผลตั้งแต่ 1 ธันวาคม 2026 | ชื่อกฎหมายภาษาอังกฤษอย่างไม่เป็นทางการ ยังไม่ได้ตรวจสอบเนื้อหาของการแก้ไขเพิ่มเติม |
| ไทย | สำนักงานป้องกันและปราบปรามการฟอกเงิน (ปปง.) | พระราชบัญญัติป้องกันและปราบปรามการฟอกเงิน พ.ศ. 2542 (ค.ศ. 1999) ฉบับแก้ไขเพิ่มเติม และกฎกระทรวงการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้า พ.ศ. 2563 (ค.ศ. 2020) | ระบุเฉพาะชื่อกฎหมาย ไม่ได้อธิบายเนื้อหาและวันที่มีผลบังคับใช้ไว้ในที่นี้ |
ตรวจสอบเมื่อ 30 ตุลาคม 2026 กฎเกณฑ์มีการเปลี่ยนแปลง จึงควรยืนยันฉบับปัจจุบันกับหน่วยงานกำกับดูแลแต่ละแห่ง มาตรฐานของ FATF ที่อ้างถึงเป็นฉบับแก้ไขเพิ่มเติมเมื่อมิถุนายน 2026 ผลการประชุมใหญ่ของ FATF ระหว่างวันที่ 26 ถึง 30 ตุลาคม 2026 ยังไม่ได้เผยแพร่ในขณะที่ตรวจสอบหน้านี้ กฎหมายของเวียดนามอธิบายจากคำแปลภาษาอังกฤษที่จัดเก็บอยู่ในฐานข้อมูลกฎหมาย ชื่อกฎหมายของอินโดนีเซียและเวียดนามเป็นคำแปลภาษาอังกฤษอย่างไม่เป็นทางการ
ฟิลิปปินส์ PhilSys จัดตั้งขึ้นตาม Philippine Identification System Act (Republic Act No. 11055) กฎเกณฑ์ของ BSP ฉบับแก้ไขเพิ่มเติมโดย Circular No. 1170 (2023) ยอมรับระเบียนข้อมูล PhilSys ของบุคคลเป็นหลักฐานแสดงตนที่เป็นทางการและเพียงพอ
มาเลเซีย เอกสารนโยบายของ BNM กำหนดให้สถาบันยืนยันตัวตนก่อนหรือระหว่างความสัมพันธ์
สิงคโปร์ MAS Notice 626 กำหนดให้ธนาคารยืนยันตัวตนโดยใช้ข้อมูล เอกสาร หรือสารสนเทศจากแหล่งที่เชื่อถือได้และเป็นอิสระ
บทความนี้จัดทำขึ้นเพื่อให้ข้อมูลเท่านั้น และไม่ถือเป็นคำแนะนำทางกฎหมายหรือด้านการกำกับดูแล
KYC แบบพบหน้าและ e-KYC
KYC แบบอิเล็กทรอนิกส์ (e-KYC) ดำเนินการตรวจสอบชุดเดียวกันผ่านช่องทางออนไลน์หรือมือถือ และมาตรฐาน CDD ไม่ได้เปลี่ยนไปตามช่องทาง ในสิงคโปร์ MAS Notice 626 กำหนดให้ CDD แบบไม่พบหน้าของธนาคารต้องรัดกุมไม่น้อยกว่า CDD แบบพบหน้า การตรวจสอบจากระยะไกลโดยทั่วไปใช้การตรวจสอบเอกสารแสดงตน การเปรียบเทียบข้อมูลไบโอเมตริก และการตรวจจับการมีชีวิตจริง ซึ่งเอกสารนโยบาย e-KYC ของมาเลเซียระบุไว้เป็นมาตรการที่สถาบันอาจใช้ได้ Guidance on Digital ID ของ FATF ปี 2020 ช่วยให้หน่วยงานภายใต้การกำกับดูแลตัดสินใจว่าอัตลักษณ์ดิจิทัลเหมาะสมกับ CDD หรือไม่
ข้อผิดพลาดและความเสี่ยงที่พบบ่อยในการทำ KYC
- มอง KYC เป็นงานที่ทำครั้งเดียวจบ มาตรฐานของ FATF กำหนดให้ปรับข้อมูล CDD ให้เป็นปัจจุบันผ่านการทบทวน โดยเฉพาะกับลูกค้าที่มีความเสี่ยงสูงกว่า
- ใช้การตรวจสอบชุดเดียวกันกับลูกค้าทุกราย แนวทางที่อิงความเสี่ยงกำหนดให้ใช้มาตรการแบบลดระดับเมื่อความเสี่ยงต่ำกว่า และมาตรการแบบเข้มข้นเมื่อความเสี่ยงสูงกว่า
- มองข้ามผู้ได้รับผลประโยชน์ที่แท้จริง การระบุผู้ได้รับผลประโยชน์ที่แท้จริงเป็นหนึ่งในมาตรการทั้งสี่ของ FATF ไม่ใช่ส่วนเสริมที่จะเลือกทำหรือไม่ก็ได้
- ถือว่าลูกค้าจากระยะไกลมีความเสี่ยงสูงโดยปริยาย หรือตัดลูกค้าทั้งกลุ่มออกไป FATF ระบุว่ามาตรฐานของตนไม่ได้มุ่งหมายให้เกิด de-risking ซึ่งหมายถึงการตัดลูกค้าทั้งประเภทออกไป แต่กำหนดให้ใช้แนวทางที่อิงความเสี่ยง
- ถือว่าตัวตนที่ยืนยันแล้วเป็นหลักฐานว่ามีการใช้งานโดยชอบ ในกรณีที่สิงคโปร์รายงานต่อ FATF มีผู้คน 147 คนมอบอัตลักษณ์ดิจิทัลประจำชาติของตนให้กลุ่มอาชญากร ซึ่งนำไปใช้เปิดบัญชี 276 บัญชีกับธนาคาร 8 แห่งจากระยะไกล
- มองข้ามการโจมตีการตรวจสอบจากระยะไกล ในปี 2022 European Union Agency for Cybersecurity (ENISA) ระบุว่าการโจมตีด้วยภาพถ่าย การเล่นวิดีโอซ้ำ หน้ากากสามมิติ และดีปเฟก เป็นการโจมตีด้วยสิ่งปลอมแปลงทางใบหน้า (presentation attack) รูปแบบหลักต่อการพิสูจน์ความถูกต้องของตัวตนจากระยะไกล และระบุว่าการฉีดข้อมูลภาพวิดีโอ (video injection) ซึ่งข้ามกล้องไปนั้นไม่ใช่การโจมตีด้วยสิ่งปลอมแปลง แนวทางของ MAS ระบุว่าการสมัครผ่านอินเทอร์เน็ตอาจมีความเสี่ยงมากกว่า รวมถึงความง่ายในการยื่นคำขอปลอมหลายรายการ
การยืนยันตัวตนแบบ KYC ไม่ใช่การตรวจสอบครั้งเดียวตอนสมัคร แต่เป็นการตรวจสอบเพื่อทราบข้อเท็จจริงเกี่ยวกับลูกค้าที่อิงความเสี่ยง คือมาตรการทั้งสี่ของ FATF ที่ใช้ตามสัดส่วนความเสี่ยงของลูกค้า ปรับให้เป็นปัจจุบันตลอดความสัมพันธ์ และกำหนดรูปแบบโดยกฎเกณฑ์ของแต่ละประเทศ
ข้อมูลที่เก็บและกฎหมายที่ใช้แตกต่างกันไปตามประเทศ สิ่งที่ใช้ได้ในตลาดหนึ่งจึงสันนิษฐานไม่ได้ว่าใช้ได้ในอีกตลาดหนึ่ง ทีมที่กำลังพิจารณาว่าซอฟต์แวร์เข้ากับขั้นตอนเหล่านี้อย่างไร อ่านเพิ่มเติมได้ที่ ซอฟต์แวร์ยืนยันตัวตนแบบ KYC
กฎเกณฑ์หลายฉบับที่อธิบายไว้ในที่นี้เป็นฉบับใหม่หรือมีการแก้ไขเพิ่มเติมที่มีผลในภายหลัง จึงควรยืนยันฉบับปัจจุบันกับหน่วยงานกำกับดูแลแต่ละแห่งก่อนนำไปใช้อ้างอิง
คำถามที่พบบ่อย
