KYC w instytucjach obowiązanych – dlaczego weryfikacja tożsamości to czasem za mało?

Jeszcze kilka lat temu wymóg identyfikacji i weryfikacji klienta nie był stosowany aż tak rygorystycznie. Jeśli instytucja dysponowała skanem dowodu osobistego lub paszportu danej osoby, uznawało się to za prawidłową weryfikację. W praktyce jednak to było zdecydowanie za mało.

Z tego artykułu dowiesz się:

1. Dlaczego samo posiadanie skanu dokumentu tożsamości nie wystarcza do prawidłowej weryfikacji klienta
2. Jakie dodatkowe metody weryfikacji stosują dziś instytucje obowiązane
3. Dlaczego banki mają w tej sprawie trudniejszą sytuację niż inne instytucje obowiązane
4. Jak wygląda typowy schemat oszustwa, w którym środki trafiają przez firmę kryptowalutową
5. Dlaczego nawet bardzo dokładna weryfikacja nie zawsze chroni instytucję przed odpowiedzialnością

Dlaczego sam skan dowodu osobistego nie wystarczy?

Skan dowodu osobistego mógł zostać po prostu skradziony. Trzeba więc przyznać rację organom nadzoru – w wielu sytuacjach taka weryfikacja była niewystarczająca, zwłaszcza gdy klient zachowywał się nietypowo w kontekście swoich późniejszych transakcji i sposobu korzystania z konta.

Jakie dodatkowe metody weryfikacji stosują dziś instytucje?

Instytucje obowiązane zaczęły więc wymagać czegoś więcej. Wśród dodatkowych metod znajdują się między innymi:

• drugi dokument tożsamości,
• selfie z dowodem osobistym – klient musi zrobić zdjęcie siebie trzymającego swój dokument,
• weryfikacja technicznych sygnałów ostrzegawczych, np. wykrywanie połączenia przez pulpit zdalny czy zmiany adresu IP w trakcie sesji.

Nawet zastosowanie wszystkich tych metod naraz nie daje jednak pełnej gwarancji. Jeśli klient zostanie oszukany, i tak może zwrócić się do instytucji obowiązanej z żądaniem zwrotu utraconych środków.

Dlaczego banki mają trudniejszą sytuację niż inne instytucje?

Z tym problemem mierzą się zarówno instytucje kredytowe (banki), jak i inne instytucje obowiązane – instytucje płatnicze czy firmy kryptowalutowe. Banki znajdują się jednak w szczególnie trudnej sytuacji, bo ustawa o usługach płatniczych nakłada na nie obowiązek zwrotu środków użytkownikom. Co ciekawe, banki od razu blokują takie środki, żeby nie doszło do ich wypłaty.

Inne instytucje obowiązane – nieobjęte tym konkretnym przepisem – zwykle po prostu zaskarżają postanowienia o blokadzie swoich środków i przekazaniu ich osobie pokrzywdzonej. To zresztą podobny mechanizm do tego, o którym pisałem przy okazji uchylenia blokady rachunku bankowego – zażalenie na postanowienie organu jest tu podstawowym narzędziem obrony instytucji.

Jak wygląda typowy schemat oszustwa z udziałem firmy kryptowalutowej?

Cały mechanizm zwykle wygląda podobnie: pokrzywdzony wpłaca środki do instytucji – często do firmy kryptowalutowej, czasem za pośrednictwem instytucji płatniczej, która pełni funkcję pośrednika w drodze do tej firmy. Środki są zamieniane na kryptowaluty, a następnie wypłacane na zewnętrzny adres w sieci blockchain. Później prokuratorzy zjawiają się u instytucji, żeby zabezpieczyć środki fiducjarne (fiat) i zwrócić je pokrzywdzonemu.

Dlatego dla każdej instytucji obowiązanej – niezależnie, czy prowadzi działalność hazardową, kryptowalutową czy inną – kluczowe jest zbudowanie skutecznej weryfikacji potwierdzającej, że dana osoba świadomie dokonuje wpłaty, świadomie kupuje kryptowaluty i świadomie zleca dalszy transfer środków.

Selfie z dowodem i odręcznym oświadczeniem – czy to wystarczy?

W jednej z realizowanych procedur wymagane jest, żeby użytkownik – w ramach selfie z dowodem osobistym – dodatkowo napisał odręcznie oświadczenie, że nikt się z nim nie kontaktuje i że działa samodzielnie, po czym trzyma taką kartkę widoczną na zdjęciu.

Mimo takiego zabezpieczenia zdarza się, że oszukana osoba zgłasza się na policję i twierdzi, że nie była o niczym informowana, a osoby, które ją namówiły do takich działań, w rzeczywistości pomagały w oszustwie i praniu pieniędzy – po czym żąda zwrotu środków, między innymi od danej instytucji obowiązanej. W takich sytuacjach firma dysponująca twardym dowodem w postaci takiego nagrania czy dokumentacji ma zdecydowanie łatwiej wygrać sprawę – w praktyce większość tego typu zażaleń kończy się sukcesem instytucji, choć nie wszystkie.

Dlaczego nawet dokładna weryfikacja nie zawsze wystarcza?

Nadal zdarzają się sytuacje, w których organy uznają, że nawet przeprowadzona weryfikacja wideo (tzw. wideoweryfikacja) była niewystarczająca – np. że instytucja powinna była zadać klientowi inne pytania. Cały ciężar odpowiedzialności jest wtedy przerzucany na instytucję obowiązaną, z czym osobiście się nie zgadzam. Uważam, że powinna istnieć jasna, twarda praktyka, do której instytucja mogłaby dążyć, żeby mieć pewność co do prawidłowości swojego działania. Tymczasem obecne przepisy nie dają nigdy pełnej, stuprocentowej pewności – zawsze można usłyszeć, że firma mogła zrobić coś więcej.

Sądzę, że rozwiązaniem może okazać się dopiero powszechny elektroniczny podpis autoryzujący transakcje – gdy tego rodzaju rozwiązanie pojawi się w przepisach, może dać instytucjom obowiązanym realną pewność, że ich identyfikacja i weryfikacja klienta jest wystarczająca, żeby nie odpowiadać później za utracone środki użytkownika.

FAQ

1. Czy sam skan dowodu osobistego wystarcza do weryfikacji klienta przez instytucję obowiązaną? Nie – taka weryfikacja bywa uznawana za niewystarczającą, zwłaszcza przy nietypowym zachowaniu klienta, m.in. dlatego, że skan dokumentu mógł zostać skradziony.
2. Dlaczego banki mają trudniejszą sytuację niż inne instytucje obowiązane w przypadku oszustw? Bo ustawa o usługach płatniczych nakłada na nie bezpośredni obowiązek zwrotu środków użytkownikom, podczas gdy inne instytucje muszą zaskarżać postanowienia o blokadzie i przekazaniu środków.
3. Czy selfie z dowodem i odręcznym oświadczeniem chroni firmę przed odpowiedzialnością? W praktyce znacznie zwiększa szanse na wygranie zażalenia, ale nie daje pełnej gwarancji – organy czasem uznają nawet taką weryfikację za niewystarczającą.
4. Co mogłoby dać instytucjom obowiązanym pełną pewność co do poprawności weryfikacji? Prawdopodobnie dopiero powszechny elektroniczny podpis autoryzujący transakcje, jeśli pojawi się w przepisach jako formalny standard.