Xác minh KYC là gì? Ý nghĩa, quy trình và yêu cầu
Xác minh KYC là gì? Quy trình KYC vận hành ra sao, từ kiểm tra giấy tờ tùy thân đến giám sát liên tục, và điều FATF cùng cơ quan quản lý Đông Nam Á yêu cầu.
Nhận biết khách hàng (KYC) là tập hợp các bước kiểm tra mà một doanh nghiệp chịu sự quản lý thực hiện để xác nhận khách hàng đúng là người họ tự nhận và để hiểu rủi ro mà khách hàng đó đặt ra. Việc này có nghĩa là thu thập dữ liệu danh tính, đối chiếu dữ liệu đó với nguồn đáng tin cậy và độc lập, rồi giữ cho dữ liệu luôn cập nhật. Chuẩn mực của Financial Action Task Force (FATF) đặt ra mức nền, còn mỗi quốc gia tự đặt ra quy định chi tiết của mình.
Bài viết mô tả nghĩa vụ của tổ chức, không phải cách khách hàng hoàn tất KYC trong một ứng dụng cụ thể. Các ví dụ tập trung vào Philippines, Malaysia và Singapore; Indonesia, Việt Nam và Thái Lan xuất hiện trong các bảng. Quy định mang tính quốc gia, và không nên đọc cách làm của riêng một nước như chuẩn mực của cả khu vực.
KYC nghĩa là gì?
KYC là viết tắt của Know Your Customer. Đó là nghĩa vụ nhận dạng khách hàng và hiểu rủi ro họ đặt ra, và là một phần của khuôn khổ phòng, chống rửa tiền (AML). Thuật ngữ FATF dùng cho các biện pháp này là thẩm định khách hàng (CDD). Cụm “xác minh KYC” thường được dùng cho phần nhận dạng và xác minh, và trong cách dùng phổ thông là cho toàn bộ quá trình kiểm tra; bài viết dùng nó theo nghĩa toàn bộ quá trình.
Chuẩn mực FATF yêu cầu nhận dạng và xác minh khách hàng bằng giấy tờ, dữ liệu hoặc thông tin từ nguồn đáng tin cậy và độc lập, rồi mỗi quốc gia chuyển hóa yêu cầu này thành quy định quốc gia về phòng, chống rửa tiền và tài trợ khủng bố (AML/CFT). Chính các quy định quốc gia đó, chứ không phải bản thân chuẩn mực FATF, mới ràng buộc một tổ chức.
Bốn yếu tố cốt lõi của KYC (Khuyến nghị 10 của FATF)
Khuyến nghị 10 của FATF (FATF Recommendation 10) đặt ra bốn biện pháp CDD:
- Nhận dạng khách hàng và xác minh danh tính của khách hàng bằng giấy tờ, dữ liệu hoặc thông tin từ nguồn đáng tin cậy và độc lập.
- Nhận dạng chủ sở hữu hưởng lợi, tức cá nhân cuối cùng sở hữu hoặc kiểm soát khách hàng, và áp dụng các biện pháp hợp lý để xác minh danh tính của người đó.
- Hiểu, và khi cần thì thu thập thông tin về, mục đích và bản chất dự kiến của quan hệ kinh doanh.
- Thực hiện giám sát liên tục và rà soát giao dịch trong suốt quan hệ, bao gồm cả nguồn tiền khi cần thiết.
Chuẩn mực FATF yêu cầu áp dụng các biện pháp này khi thiết lập quan hệ kinh doanh, với một số giao dịch không thường xuyên, khi nghi ngờ có rửa tiền hoặc tài trợ khủng bố, và khi dữ liệu nhận dạng trước đó còn nghi vấn. Một số tài liệu hướng dẫn mô tả KYC gồm ba thành phần; chuẩn mực FATF nêu bốn biện pháp.
Quy trình xác minh KYC vận hành ra sao
Các bước dưới đây đi theo bốn biện pháp của FATF và bổ sung khâu sàng lọc, đánh giá rủi ro và ra quyết định. Thứ tự và mức độ chi tiết khác nhau tùy tổ chức và tùy quốc gia.
- Thu thập dữ liệu danh tính. Tổ chức thu thập dữ liệu danh tính của khách hàng. Những mục mà quy định nêu tên khác nhau theo từng nước, như bảng dữ liệu bên dưới cho thấy.
- Xác minh danh tính. Dữ liệu được đối chiếu với giấy tờ, dữ liệu hoặc thông tin đáng tin cậy và độc lập, trực tiếp hoặc từ xa. Chẳng hạn ở Singapore, Monetary Authority of Singapore (MAS) coi Myinfo là nguồn đáng tin cậy và độc lập, còn ở Philippines, Bangko Sentral ng Pilipinas (BSP) coi Philippine Identification System (PhilSys) theo cách tương tự. Chuẩn mực FATF yêu cầu xác minh trước hoặc trong khi thiết lập quan hệ; các nước có thể cho phép hoàn tất sớm nhất có thể một cách hợp lý sau đó, nếu rủi ro được quản lý hiệu quả và việc không làm gián đoạn hoạt động kinh doanh bình thường là thiết yếu.
- Nhận dạng chủ sở hữu hưởng lợi. Khi có liên quan, tổ chức nhận dạng cá nhân đứng sau khách hàng và áp dụng các biện pháp hợp lý để xác minh danh tính của người đó. Chuẩn mực FATF cũng bao quát sở hữu hưởng lợi của pháp nhân (Khuyến nghị 24).
- Hiểu mục đích. Tổ chức xác định vì sao khách hàng muốn quan hệ này và quan hệ đó được dự kiến như thế nào. Quy định của Malaysia và Indonesia nêu mục đích trong số thông tin phải thu thập.
- Sàng lọc. Sàng lọc danh sách trừng phạt và sàng lọc cá nhân có ảnh hưởng chính trị (PEP) thường là một phần của CDD theo quy định quốc gia; chuẩn mực FATF quy định về PEP tại Khuyến nghị 12.
- Đánh giá rủi ro. Việc đánh giá quyết định mức độ sâu của các bước kiểm tra: thẩm định đơn giản, thẩm định thông thường hay thẩm định tăng cường, được trình bày ở phần sau.
- Ra quyết định. Tổ chức tiếp nhận khách hàng, chuyển lên cấp cao hơn hoặc từ chối. Nếu không thể hoàn tất CDD, chuẩn mực FATF nêu rằng tổ chức không nên mở tài khoản hoặc bắt đầu quan hệ, hoặc nên chấm dứt quan hệ đang có, và nên cân nhắc gửi báo cáo giao dịch đáng ngờ (STR).
- Giám sát và cập nhật. Giám sát liên tục bao gồm rà soát giao dịch và giữ cho dữ liệu luôn cập nhật thông qua các đợt rà soát, nhất là với khách hàng rủi ro cao hơn. Chuẩn mực FATF cũng yêu cầu thực hiện CDD với khách hàng hiện hữu trên cơ sở mức trọng yếu và rủi ro.
KYC dựa trên rủi ro: thẩm định đơn giản, thông thường và tăng cường
Chuẩn mực FATF yêu cầu phạm vi CDD đi theo cách tiếp cận dựa trên rủi ro, nên mức độ sâu của các bước kiểm tra thay đổi theo rủi ro của khách hàng. Các ví dụ trong ghi chú diễn giải của FATF là hướng dẫn, không phải yếu tố bắt buộc.
| Mức độ | Khi nào áp dụng | Biện pháp thường gặp (ví dụ của FATF) | Ví dụ ở từng nước |
|---|---|---|---|
| Đơn giản (SDD) | Rủi ro thấp hơn và đã được phân tích đầy đủ; không áp dụng khi có nghi ngờ hoặc có kịch bản rủi ro cao hơn cụ thể | Ví dụ gồm xác minh danh tính sau khi quan hệ bắt đầu, cập nhật dữ liệu thưa hơn và giảm mức giám sát | Văn bản chính sách của Bank Negara Malaysia (BNM) cho phép CDD đơn giản khi rủi ro được đánh giá là thấp, trừ khi có rủi ro cao hơn hoặc có nghi ngờ; OJK Regulation No. 8 of 2023 của Otoritas Jasa Keuangan (OJK) Indonesia cho phép áp dụng sau khi phân tích rủi ro đầy đủ |
| Thông thường | Không có yếu tố rủi ro thấp hơn hay cao hơn nào cho thấy cần mức độ sâu khác | Bốn biện pháp CDD nêu ở trên | Văn bản chính sách của BNM nêu dữ liệu phải thu thập cho CDD thông thường với khách hàng cá nhân (xem bảng dữ liệu) |
| Tăng cường (EDD) | Rủi ro cao hơn | Ví dụ gồm thu thập thêm thông tin về khách hàng và quan hệ, thông tin về nguồn tiền hoặc nguồn tài sản và lý do giao dịch, phê duyệt của lãnh đạo cấp cao, giám sát chặt hơn và cập nhật dữ liệu thường xuyên hơn | OJK định nghĩa thẩm định tăng cường (EDD) là CDD chuyên sâu hơn dành cho khách hàng rủi ro cao, trong đó có PEP |
Quan hệ không gặp mặt trực tiếp chỉ xuất hiện trong các ví dụ của FATF như một yếu tố có thể mang rủi ro cao hơn khi chưa áp dụng biện pháp giảm thiểu rủi ro phù hợp. Vì vậy, KYC từ xa không mặc nhiên là rủi ro cao.
KYC cần những giấy tờ và dữ liệu nào?
Các mục cụ thể đến từ quy định quốc gia và đánh giá rủi ro của tổ chức. Bảng dưới đây nêu dữ liệu được quy định cho khách hàng cá nhân; mỗi quy định nhóm thông tin theo cách khác nhau, nên các danh sách không tương đương nhau. Chẳng hạn, MAS Notice 626 đặt mục đích của quan hệ ở một đoạn riêng, trong khi danh sách của Malaysia và Indonesia lại gộp vào, nên số lượng mục không cho thấy một nước yêu cầu nhiều hay ít. Nội dung quy định của Thái Lan không được mô tả ở đây.
| Quốc gia (quy định) | Thông tin mà quy định nêu để nhận dạng khách hàng cá nhân |
|---|---|
| Singapore (MAS Notice 626, dành cho ngân hàng) | Họ tên đầy đủ kể cả tên gọi khác; số định danh duy nhất; địa chỉ cư trú; ngày sinh; quốc tịch |
| Malaysia (văn bản chính sách của BNM) | Họ tên đầy đủ; số National Registration Identity Card (NRIC), hộ chiếu hoặc giấy tờ chính thức khác; địa chỉ cư trú và địa chỉ nhận thư; ngày sinh; quốc tịch; loại nghề nghiệp; người sử dụng lao động hoặc lĩnh vực kinh doanh; số liên hệ; mục đích giao dịch |
| Indonesia (OJK Regulation No. 8 of 2023) | Họ tên đầy đủ kể cả tên gọi khác; số giấy tờ tùy thân; địa chỉ; nơi sinh và ngày sinh; quốc tịch; nghề nghiệp; địa chỉ và điện thoại nơi làm việc; giới tính; tình trạng hôn nhân; tên thời con gái của mẹ; cùng với chủ sở hữu hưởng lợi, nguồn tiền, thu nhập hoặc giá trị tài sản ròng và mục đích của quan hệ |
| Việt Nam (Luật Phòng, chống rửa tiền) | Họ tên đầy đủ; ngày sinh; quốc tịch; nghề nghiệp hoặc chức vụ; số điện thoại; số chứng minh nhân dân, căn cước công dân, số định danh cá nhân hoặc hộ chiếu (với người nước ngoài cư trú, kèm ngày và nơi cấp); nơi cư trú |
| Philippines (quy định của BSP) | Họ tên và/hoặc số PhilSys, nằm trong nhóm thông tin tối thiểu; danh sách đầy đủ không được nêu ở đây |
Với khách hàng là doanh nghiệp, quy trình còn bao gồm chủ sở hữu hưởng lợi; việc xác minh doanh nghiệp thuộc phạm vi nhận biết doanh nghiệp (KYB).
Yêu cầu KYC tại Đông Nam Á: bức tranh theo từng nước
Bảng dưới đây nêu tên văn bản chính ở mỗi nước. Bảng cho biết những quy định nào đang tồn tại, chứ không cho biết mỗi quy định yêu cầu điều gì.
| Quốc gia | Cơ quan quản lý / đơn vị tình báo tài chính (trong phạm vi nêu ở đây) | Văn bản chính (bản hiện hành) | Phạm vi và giới hạn |
|---|---|---|---|
| Philippines | Bangko Sentral ng Pilipinas (BSP); Anti-Money Laundering Council (AMLC), đơn vị tình báo tài chính | the Anti-Money Laundering Act of 2001 (Republic Act No. 9160) và các lần sửa đổi, gần nhất là Republic Act No. 11521 (2021); quy định về thẩm định khách hàng của BSP, được sửa đổi bởi Circular No. 1170 (2023) | Quy định của BSP áp dụng cho các tổ chức do BSP giám sát; danh sách dữ liệu đầy đủ không được nêu ở đây |
| Malaysia | Bank Negara Malaysia (BNM) | Văn bản chính sách của BNM về phòng, chống rửa tiền, chống tài trợ khủng bố và tài trợ phổ biến vũ khí, cùng các biện pháp trừng phạt tài chính có mục tiêu đối với tổ chức tài chính (BNM/RH/PD 030-14), có hiệu lực từ 6/2/2024 và thay thế bản có hiệu lực từ 1/1/2020 | Áp dụng cho các tổ chức tài chính trong phạm vi của văn bản; các mục dữ liệu là dành cho khách hàng cá nhân theo CDD thông thường |
| Singapore | MAS; Suspicious Transaction Reporting Office (STRO), đơn vị tình báo tài chính | MAS Notice 626 dành cho ngân hàng (sửa đổi gần nhất ngày 30/6/2025), kèm các notice tương ứng cho tổ chức tài chính khác | Notice 626 áp dụng cho ngân hàng; số hiệu các notice khác không được mô tả ở đây |
| Indonesia | Otoritas Jasa Keuangan (OJK); PPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan), đơn vị tình báo tài chính | OJK Regulation No. 8 of 2023 về phòng, chống rửa tiền và chống tài trợ khủng bố, tài trợ phổ biến vũ khí trong lĩnh vực dịch vụ tài chính | Tên văn bản trong nguồn là bản dịch tiếng Anh không chính thức |
| Việt Nam | Ngân hàng Nhà nước Việt Nam (NHNN) | Luật Phòng, chống rửa tiền số 14/2022/QH15, được sửa đổi, có hiệu lực từ 1/12/2026 | Tên văn bản dẫn nguyên văn từ luật; nội dung sửa đổi chưa được rà soát |
| Thái Lan | Anti-Money Laundering Office (AMLO) | Anti-Money Laundering Act B.E. 2542 (1999) và các lần sửa đổi; Ministerial Regulation on Customer Due Diligence B.E. 2563 (2020) | Chỉ nêu tên văn bản; nội dung và ngày có hiệu lực không được mô tả ở đây |
Kiểm tra ngày 30/10/2026. Quy định thay đổi, nên hãy xác nhận bản hiện hành với từng cơ quan quản lý. Chuẩn mực FATF được dẫn theo bản sửa đổi tháng 6/2026; kết quả phiên họp toàn thể của FATF từ ngày 26 đến ngày 30/10/2026 chưa được công bố khi trang này được kiểm tra. Luật của Việt Nam được mô tả từ một bản dịch tiếng Anh lưu trong cơ sở dữ liệu pháp luật. Tên văn bản của Indonesia và Thái Lan trong nguồn là các bản dịch tiếng Anh không chính thức.
Philippines. PhilSys được lập theo Philippine Identification System Act (Republic Act No. 11055). Quy định của BSP, được sửa đổi bởi Circular No. 1170 (2023), chấp nhận hồ sơ PhilSys của một cá nhân là bằng chứng danh tính chính thức và đầy đủ.
Malaysia. Văn bản chính sách của BNM yêu cầu tổ chức xác minh danh tính trước hoặc trong khi quan hệ diễn ra.
Singapore. MAS Notice 626 yêu cầu ngân hàng xác minh danh tính bằng dữ liệu, giấy tờ hoặc thông tin từ nguồn đáng tin cậy và độc lập.
Bài viết chỉ nhằm mục đích thông tin và không cấu thành tư vấn pháp lý hay tư vấn về tuân thủ.
KYC trực tiếp và eKYC
KYC điện tử (eKYC) thực hiện chính những bước kiểm tra đó qua kênh trực tuyến hoặc di động, và chuẩn mực CDD không thay đổi theo kênh. Ở Singapore, MAS Notice 626 yêu cầu CDD không gặp mặt trực tiếp của ngân hàng phải chặt chẽ ít nhất ngang với CDD gặp mặt trực tiếp. Các bước kiểm tra từ xa thường dùng xác minh giấy tờ, đối sánh sinh trắc học và phát hiện thực thể sống, những biện pháp mà văn bản chính sách e-KYC của Malaysia nêu là tổ chức có thể sử dụng. Guidance on Digital ID năm 2020 của FATF giúp các đơn vị chịu sự quản lý quyết định một danh tính số có phù hợp cho CDD hay không.
Những sai lầm và rủi ro KYC thường gặp
- Coi KYC là việc làm một lần. Chuẩn mực FATF yêu cầu giữ cho dữ liệu CDD luôn cập nhật thông qua các đợt rà soát, nhất là với khách hàng rủi ro cao hơn.
- Áp dụng cùng một bộ kiểm tra cho mọi khách hàng. Cách tiếp cận dựa trên rủi ro yêu cầu biện pháp đơn giản khi rủi ro thấp hơn và biện pháp tăng cường khi rủi ro cao hơn.
- Bỏ qua chủ sở hữu hưởng lợi. Nhận dạng chủ sở hữu hưởng lợi là một trong bốn biện pháp của FATF, không phải phần tùy chọn thêm vào.
- Mặc định coi khách hàng từ xa là rủi ro cao, hoặc cắt bỏ cả nhóm khách hàng. FATF đã nêu rằng chuẩn mực của mình không nhằm tới de-risking, tức cắt bỏ cả một nhóm khách hàng, mà yêu cầu cách tiếp cận dựa trên rủi ro.
- Coi một danh tính đã xác minh là bằng chứng của việc sử dụng hợp pháp. Trong một vụ việc Singapore báo cáo với FATF, 147 người đã giao danh tính số quốc gia của mình cho các nhóm tội phạm, và nhóm này dùng để mở 276 tài khoản tại 8 ngân hàng theo phương thức từ xa.
- Bỏ qua các cuộc tấn công nhằm vào kiểm tra từ xa. Năm 2022, European Union Agency for Cybersecurity (ENISA) đã xác định tấn công bằng ảnh chụp, phát lại video, mặt nạ 3D và deepfake là những dạng tấn công giả mạo khuôn mặt (presentation attack) chính nhằm vào hoạt động chứng minh danh tính từ xa, và lưu ý rằng tiêm luồng video, vốn đi vòng qua camera, không phải là tấn công giả mạo. Hướng dẫn của MAS lưu ý rằng hồ sơ nộp qua internet có thể mang rủi ro lớn hơn, trong đó có việc dễ dàng tạo ra nhiều hồ sơ giả.
Xác minh KYC không phải một lần kiểm tra duy nhất lúc đăng ký. Đó là thẩm định khách hàng dựa trên rủi ro: bốn biện pháp của FATF được áp dụng tương xứng với rủi ro của khách hàng, được giữ cập nhật trong suốt quan hệ và được định hình bởi quy định của từng quốc gia.
Dữ liệu thu thập và các văn bản pháp luật khác nhau theo từng nước, nên điều áp dụng được ở thị trường này không thể mặc nhiên áp dụng ở thị trường khác. Các nhóm đang xem xét phần mềm phù hợp với những bước này ra sao có thể đọc thêm về phần mềm xác minh KYC.
Một số quy định mô tả ở đây còn mới hoặc được sửa đổi với hiệu lực vào thời điểm muộn hơn, nên cần xác nhận bản hiện hành với từng cơ quan quản lý trước khi dựa vào chúng.
Câu hỏi thường gặp
