Przewodnik założyciela po zgodności KYC AML dla fintech MVP

Zapytaj założyciela fintechu, co nie daje mu spać przed startem, a zgodność KYC AML pojawia się niemal tak samo często jak runway. Ten niepokój ma uzasadnienie: aplikacja płatnicza, produkt pożyczkowy czy neobank przenoszący realne pieniądze musi udowodnić bankowi partnerskiemu, sieci kart płatniczych albo regulatorowi, że zna swoich klientów i potrafi wychwycić pieniądze płynące tam, gdzie nie powinny. Dobra wiadomość: to, czego fintech MVP potrzebuje na tym etapie, jest węższe, niż zakłada większość założycieli. Nie potrzebujesz własnego działu compliance, tylko jasnego obrazu tego, czego wymagają KYC i AML, czego oczekuje twój partner bankowy i gdzie lepiej kupić gotowe rozwiązanie, niż budować je samodzielnie. Ten przewodnik omawia obie kwestie, a także pokazuje, gdzie sztuczna inteligencja naprawdę pomaga w wykrywaniu oszustw. Część dotyczącą danych kart znajdziesz w naszej liście kontrolnej zgodności z PCI DSS dla startupów.

KYC to skrót od Know Your Customer, czyli poznaj swojego klienta: weryfikacja, że dana osoba albo firma jest tym, za kogo się podaje, zanim pozwolisz jej otworzyć konto lub przenosić pieniądze. W praktyce oznacza to zebranie dokumentu tożsamości wydanego przez państwo, porównanie go z podanymi danymi i często wykonanie selfie albo testu żywej obecności (liveness check), który potwierdza, że wniosek złożyła prawdziwa osoba, a nie zdjęcie czy bot. AML to skrót od Anti-Money Laundering, czyli przeciwdziałanie praniu pieniędzy: szerszy program, w który wpisuje się KYC. Tam, gdzie KYC odpowiada na pytanie, czy ta osoba jest prawdziwa, AML zadaje pytanie ciągłe: czy aktywność na tym koncie nadal wygląda legalnie. Obejmuje to sprawdzanie list sankcyjnych i osób PEP przy onboardingu, ciągłe monitorowanie transakcji później oraz zgłaszanie raportu (Suspicious Activity Report, SAR, w USA; STR w wielu innych krajach), gdy coś się nie zgadza. KYC odbywa się głównie na starcie i potem okresowo. AML działa nieprzerwanie, dopóki konto istnieje.

Zgodność kształtuje decyzje, które podejmujesz już w pierwszym tygodniu: jak zorganizowany jest onboarding, jakie dane możesz przechowywać, którym krajom możesz oferować usługę i który partner bankowy w ogóle odbierze twój telefon. Większość wczesnych fintechów nie ma własnej licencji instytucji płatniczej ani bankowej. Działają za pośrednictwem partnera Banking-as-a-Service (BaaS) albo banku sponsorującego, a to właśnie ten partner wyznacza minimalny poziom twojego programu zgodności KYC AML, często surowszy, niż wybrałbyś sam. Bank sponsorujący, chroniąc własną licencję, zwykle wymaga konkretnego poziomu weryfikacji i prawa do audytu twojego procesu, zanim pozwoli ci przepuścić choćby dolara przez swoją infrastrukturę. To jeden z powodów, dla których harmonogram rozwoju oprogramowania fintech wydłuża się w porównaniu ze standardowym MVP: cykl przeglądu po stronie banku partnerskiego to zwykle najwolniejszy etap.

Większość fintechów startuje z warstwowym KYC: lżejsza weryfikacja dla kont z niskim limitem, pełniejsza, gdy klient chce przenosić większe kwoty. Nikt nie oczekuje od założyciela uruchamiającego swój pierwszy produkt, że zbuduje najbardziej rozbudowany proces weryfikacji, jaki można sobie wyobrazić, a próba zrobienia tego zwykle tylko spowalnia twój własny onboarding. Typowy przebieg wygląda tak: klient przesyła dokument tożsamości wydany przez państwo i selfie, zautomatyzowana usługa sprawdza dokument pod kątem śladów podrobienia, dopasowuje selfie do zdjęcia na dokumencie i sprawdza nazwisko na listach sankcyjnych i osób PEP. Gdy wszystko się zgadza, cały proces często kończy się w kilka minut. Gdy coś nie pasuje, sprawa trafia do ręcznej weryfikacji, która trwa od kilku godzin do paru dni roboczych, dłużej przy wnioskodawcach wyższego ryzyka albo niejasnych dokumentach. Zbuduj to na API dostawcy, a nie na własnym modelu. Dopracowanie pokrycia dokumentów i wskaźnika fałszywych trafień do właściwego poziomu zajmuje lata dostrajania. Giełdy kryptowalut leżą na surowym końcu tego spektrum. Nasz przewodnik po budowie aplikacji giełdy kryptowalut takiej jak Coinbase omawia tę wersję, podczas gdy standardowa aplikacja pożyczkowa czy neobank zwykle potrzebują lżejszego poziomu.

Zgodność AML to program obejmujący wszystko, co dzieje się po onboardingu: obserwowanie transakcji pod kątem wzorców niepasujących do legalnego użytkowania, sprawdzanie nazwisk na listach sankcyjnych na bieżąco, a nie tylko raz przy rejestracji, oraz prowadzenie dokumentacji, która obroni się, gdy zapyta o nią regulator. Większość monitoringu zaczyna się od reguł: oznacz duże transakcje, oznacz szybkie przemieszczanie środków, oznacz przelewy tuż poniżej progu raportowania, czyli wzorzec zwany structuringiem, bo ludzie omijają progi raportowania, dzieląc duży przelew na kilka mniejszych. W USA ten próg wynosi 10 000 USD zgodnie z Bank Secrecy Act. Inne jurysdykcje ustalają własne progi, więc sprawdź, co obowiązuje tam, gdzie masz licencję. Uruchomiona reguła kieruje sprawę do kolejki dla człowieka, często twojego compliance officera albo zespołu partnera BaaS, który decyduje, czy potrzebny jest formalny raport. Większość oznaczeń okazuje się niczym poważnym, a zadaniem programu jest wyłapanie tych nielicznych, które są poważne.

Monitoring AML i zapobieganie oszustwom pokrywają się na tyle, że założyciele zakładają, że to ten sam system. Są ze sobą powiązane, ale odpowiadają na inne pytania. AML pyta, czy przepływ pieniędzy przypomina pranie. Zapobieganie oszustwom pyta, czy sama transakcja jest legalna: skradziona karta, przejęte logowanie, syntetyczna tożsamość albo bot testujący numery kart po kilka centów naraz. Silnik antyfraudowy zwykle łączy wiele sygnałów: fingerprinting urządzenia, sprawdzanie geolokalizacji, wzorce zachowań i kontrolę częstotliwości, czyli jak często dana karta próbuje wykonać transakcję w krótkim oknie czasowym. Żaden z tych sygnałów osobno nie dowodzi oszustwa. Razem tworzą punktację ryzyka, która decyduje, czy transakcja przechodzi, dostaje dodatkowe wyzwanie weryfikacyjne, czy zostaje zablokowana. Niektórzy dostawcy KYC AML mają wbudowaną punktację ryzyka oszustw, inni oczekują osobnego dostawcy. Tak czy inaczej, planuj oba obszary od początku, zanim bot testujący karty znajdzie twój proces checkout.

Narzędzia do zgodności to jeden z najbardziej oczywistych argumentów za kupnem gotowego rozwiązania w fintech MVP i jeden z obszarów, w których samodzielna budowa niesie realne ryzyko, a do tego podnosi koszty.

Weryfikacja tożsamości

Dostawcy tacy jak Persona, Onfido, Sumsub czy Trulioo obsługują sprawdzanie dokumentów, wykrywanie liveness i sprawdzanie list sankcyjnych przez API, które zintegrujesz w kilka dni. Utrzymują szablony dokumentów dla dziesiątek krajów i trenują swoje modele na znacznie większej ilości danych, niż wygeneruje samodzielnie pojedynczy fintech.

Monitorowanie transakcji

ComplyAdvantage, Alloy i podobne narzędzia obsługują monitoring oparty na regułach i na ML oraz zarządzanie sprawami. Niektórzy partnerzy BaaS wymagają narzędzia z zatwierdzonej listy, więc potwierdź to, zanim podpiszesz umowę z dostawcą.

Kiedy budowa własnego rozwiązania ma sens

Rachunek się zmienia, gdy zgodność staje się prawdziwym wyróżnikiem: własna punktacja ryzyka oparta na dużym istniejącym zbiorze danych albo firma, której produktem są właśnie narzędzia compliance. Przy pierwszym fintech MVP rzadko jesteś jeszcze na tym etapie.

Monitoring oparty na regułach wychwytuje wzorce, dla których pomyślałeś o napisaniu reguł. Modele uczenia maszynowego wychwytują część tych, o których nie pomyślałeś, oceniając transakcje względem wzorców wyuczonych z danych historycznych, a nie ze stałej listy. To uczciwy opis roli sztucznej inteligencji w wykrywaniu oszustw: większość nowoczesnych narzędzi łączy dziś oba podejścia, bo same reguły zwykle oznaczają za dużo, frustrując dobrych klientów, albo za mało, przepuszczając nowe wzorce w miarę ich pojawiania się. Dobrze dostrojony model zmniejsza liczbę fałszywych trafień, co ma większe znaczenie, niż mogłoby się wydawać. Każda oznaczona transakcja, która okazuje się legalna, kosztuje cykl weryfikacji i często sfrustrowanego klienta uwięzionego w pętli potwierdzania tożsamości. Czego sztuczna inteligencja nie zastępuje: człowiek nadal musi zatwierdzić raport o podejrzanej aktywności, zanim zostanie złożony, a regulator będzie oczekiwał wyjaśnienia, dlaczego model oznaczył daną sprawę albo dlaczego jej nie oznaczył. Traktuj punktację AI jako sposób na ustalanie priorytetów w kolejce, a nie jako samodzielny program zgodności. Większość dostawców KYC AML ma to dziś wbudowane, więc bardziej prawdopodobne jest, że to odziedziczysz, niż że będziesz musiał to zbudować sam.

Zanim uruchomisz fintech MVP na produkcji, przejdź przez tę listę z osobą odpowiedzialną za zgodność, nawet jeśli to zewnętrzny doradca na część etatu albo zespół twojego partnera BaaS:

• Potwierdź swoją ścieżkę licencyjną. Licencja banku sponsorującego, licencja płatnicza czy własna rejestracja jako instytucja płatnicza? To determinuje niemal wszystko inne na tej liście.
• Wybierz strukturę poziomów KYC, która inaczej traktuje konto na 50 USD, a inaczej konto na 5000 USD, zanim projektant onboardingu zacznie rysować wireframe'y.
• Wybierz dostawców do weryfikacji tożsamości i monitorowania transakcji i potwierdź, że są na liście zatwierdzonej przez twojego partnera bankowego, jeśli taka lista obowiązuje.
• Spisz proces eskalacji: kto sprawdza oznaczoną sprawę, jak szybko i kto może złożyć raport albo zamknąć konto.
• Ustal politykę przechowywania dokumentacji. Większość ram AML zakłada przechowywanie zapisów przez lata, a nie miesiące, po zamknięciu konta.
• Wyznacz osobę odpowiedzialną, nawet w małym zespole, w której obowiązkach formalnie znajdzie się zgodność.

Nic z tego nie zastępuje porady prawnej dopasowanej do twojej jurysdykcji. Traktuj to jako operacyjną połowę tamtej rozmowy. Gdy kształt zgodności twojego MVP jest już ustalony, sama budowa przebiega dość standardową ścieżką, którą opisujemy w naszym przewodniku jak zbudować aplikację fintech.