KYC və AML sistemləri online olaraq necə işləyir

KYC (Know Your Customer) və AML (Anti-Money Laundering) onlayn rejimində - «formalizm» deyil, məcburi nəzarət sistemi: şəxsiyyət vəsiqəsi, müştəri riskinin qiymətləndirilməsi, əməliyyatların davamlı monitorinqi və tənzimləyiciyə vaxtında hesabatlar. Məqsəd çirkli pulların yuyulmasının, terrorizmin maliyyələşdirilməsinin, dələduzluğun və yetkinlik yaşına çatmayanların oyununun qarşısını almaq, eyni zamanda məlumatların yüksək UX və məxfiliyini saxlamaqdır.

1) KYC və AML nədir - qısa

KYC: müştərinin şəxsiyyətinin və ünvanının müəyyən edilməsi, yaş/hüquq qabiliyyətinin yoxlanılması, minimum PII dəstinin toplanması, girişdə risklərin qiymətləndirilməsi və periodik yenidən baxılması (KYC refresh).

AML/CFT: sanksiya və PEP-skrininqlər, şübhəli ödəniş nümunələrinin detekasiyası, limitlər, əllə araşdırmalar və STR/SAR (şübhəli fəaliyyət mesajları) təqdim edilməsi.

2) Bağlama: standart KYC axını (5 addım)

1. Məlumatların toplanması: ad, doğum tarixi, vətəndaşlıq, ünvan, əlaqə; razılıq və emal əsasları.

2. Sənədlər: foto/skan ID (pasport/ID-kart/su. ) + bəzən ünvanın təsdiqi (utility bill/bank hesabatı).

3. Liveness və biometrika: selfi-video/foto, «canlılıq» yoxlaması, sənədlə müqayisə.

4. Validasiya: MRZ, son tarix, saxta nəzarət, geo uyğunsuzluqlar, yaş baryeri.

5. Sanksiyalar/PEP/Adverse media: cari siyahılar və mənfi xəbərlər üzrə müştəri və benefisiarın yoxlanılması → risk hesabı.

Nəticə: approve/reject/manual review. Əl yoxlaması zamanı case çeklist və SLA ilə xüsusi növbəyə keçir.

3) Müştəri Risk Reytinqi

Aşağıdakılardan formalaşır:

İdentifikasiya faktorları: sənədlər və onların etibarlılığı, məlumatların uyğunsuzluğu.
Georisk: yaşayış ölkəsi/vəsait mənbəyi, sanksiya yurisdiksiyası.
Davranış siqnalları: cihaz, proxy/VPN, məşhur frod şəbəkələri ilə uyğunluq.
Maliyyə profili: elan edilmiş vəsait mənbəyi, dövriyyə limitləri, erkən əməliyyatlar.
Skorinq Low/Medium/High səviyyələrinə bölünür və KYC dərinliyini (EDD) və KYC refresh tezliyini təyin edir.

4) Ongoing Due Diligence: onbording sonra monitorinq

Periodik yenidən baxılması (12-36 ay və ya risk hadisələri zamanı).

Siyahıların yenilənməsi zamanı daimi sanksiya/RER-reskrininq.

Davranış triggerləri: depozitlərin/hesabların partlaması, atipik ödəniş marşrutları, çoxsaylı kartlar, «qatırlar», transsərhəd köçürmələr, gecə zirvələri, digər hesablarla əlaqə (qrafik siqnallar).

Case management: Alertlər prioritet, çeklistlər, qeydlər, əlavələr və nəticələr (cleared/STR) olan hallara çevrilir.

5) Əməliyyatların monitorinqi (AML rules & modelləri)

Qayda-boşluqlar: Dövr üçün N depozit/çıxarış, böyük məbləğlər, tez-tez ləğv, parçalanma (structuring).

Marşrutların nümunələri: sürətli giriş/çıxış, nadir/qeyri-standart PSP, yüksək chargeback rate.

Davranış ML: Anomaliyalar klasterləri, multiakkaunting/kollyuziya qrafik göstəriciləri.

Nazik konfiqurasiya (tuning): balans TP/FP (true/false positives), tarixi məlumatlarda periodik backtesting.

6) STR/SAR və tənzimləyici ilə qarşılıqlı əlaqə

Hal şübhəli qaldıqda:

Komplayens zabiti STR/SAR (faktlar, məbləğ, nümunə, iştirakçılar, vaxt miqdarı) formalaşdırır.
Hesabatın vaxtı və formatı yurisdiksiyadan asılıdır; materialların saxlanması - dəyişməz arxivdə, yalnız rollara çıxış.
Müştəriyə hesabatın təqdim edilməsi barədə məlumat verilmir (tipping-off qadağandır).

7) İnteqrasiya və memarlıq (API/Webhooks/şinlər)

REST/gRPC sinxron sorğular üçün (KYC case yaratmaq, nəticə tələb, risk-skor almaq).

KYC/sanksiyalar/AML provayderlərindən Webhooks: HMAC tərəfindən imzalanmış, anti-replay (timestamp, nonce), deduplikasiya retraisi.

Hadisə şinası (Kafka/PubSub): əməliyyatlar, status dəyişiklikləri, risklər → SIEM/iş saxlama.

Pul idempotentliyi: 'Idempotency-Key', unikal 'txn _ id', dastanlar/kompensasiyalar - webhooks-un təkrarlanması dubl yaratmamalıdır.

8) UX və frodla mübarizə - necə birləşdirmək olar

Çox mərhələli: əsas giriş yoxlaması, genişləndirilmiş - yalnız risk/limit yeniləmə üçün.

Mobil KYC: kamera, OCR, avtomatik doldurma, tərəqqi bar, başa düşülən format və vaxt tələbləri.

Siqnalla Friction: yalnız proxy/VPN, qeyri-adi cihazlar, qrafik uyğunluqları ilə sərtləşdirin.

Şəffaflıq: dəstək biletlərini azaltmaq üçün interfeysdə case və ETA statusu.

9) Məlumatların məxfiliyi və təhlükəsizliyi (GDPR/təhlükəsizlik)

Minimallaşdırma: yalnız lazım olanları toplamaq; PII, KYC media, əməliyyatlar üçün müxtəlif bazalar.

Şifrələmə: TLS 1. 2+/1. 3; AES-256-GCM saxlanılır; fərdi açarlar və KMS/HSM; KYC foto/video üçün məhdud TTL.

Giriş: RBAC/ABAC, MFA, jurnallar; Just-in-Time araşdırmalar üçün hüquqlar.

Hüquqi əsaslar: müqavilə/qanuni maraq/hüquqi öhdəlik; DSR prosesləri (giriş/düzəliş/silmə) və Retence siyasəti.

WORM arxivləri log və araşdırma materialları üçün.

10) Təchizatçılar və keyfiyyət (vendor management)

Dəqiqlik (match-rate) və gecikmə: CUS/sanksiyaların cavab vaxtı ≤ X saniyə, liveness → SLO metrikasının dəqiqliyi.

Ölkələrin/sənədlərin əhatə dairəsi: bölgələr üzrə ID validatorları, yerli ünvan bazaları.

Etibarlılıq: aptaym, DR planları, sanksiya siyahılarının yenilənməsinin şəffaflığı.

Audit və komplayens: ISO 27001, pen-test hesabatları, DPIA, məlumatların emalı müqavilələri.

Qiymət: «yoxlama üçün» vs «uğurlu validasiya üçün» modeli, həcm üçün endirimlər.

11) KYC/AML effektivlik metrikası

KYC pass-rate və orta case vaxt (dəqiqə/saat).

False Positive Rate/RER və tranzaksiya alertlərində.

Alert-to-Case Ratio və STR/SAR-da eskalasiya payı.

Onbordinqdən sonra Chargeback Rate/Fraud Rate.

Cost per Verification və əl review payı.

Tənzimləyici SLA: cavab və saxlama müddətlərinə riayət edin.

12) Tipik səhvlər

«Hər şeyi toplayacağıq və sonra bunu anlayacağıq». Əlavə məlumatlar risk və dəyəri artırır.

Bütün bazarlar üçün vahid limitlər. Lokal qaydaların icrası bloklara/cərimələrə səbəb olur.

Rescrining yoxdur. Sanksiya siyahıları hər gün dəyişir.

Pul idempotantlığının olmaması. Təkrar webhooks → dubl əməliyyatlar.

Həddindən artıq WAF/bot çeki: KYC yükləməsini pozur və pass-rate-i azaldır.

Çeklistlər olmadan əl ilə aparılan araşdırmalar: müxtəlif zabitlər fərqli nəticədir, təkrarlanma yoxdur.

13) Giriş yoxlama siyahısı (saxla)

SLA və UX başa düşülən əsas və genişləndirilmiş KYC axını
Sanksiyalar/PEP/Adverse media: gündəlik yeniləmələr, reskrininq
Risk skoru və eskalasiya qaydaları (EDD, limitlər, refresh)
Əməliyyat monitorinqi: eşiklər, ssenarilər, ML siqnalları, backtesting
HMAC ilə API/Webhooks, anti-replay, retray + pul idempotentliyi
KMS/HSM, PII/KYC media şifrələmə, ayrı saxlama
WORM-arxiv üçün cases/log, SIEM və dashboard
Retance/DSR siyasəti, DPIA və provayderlərlə müqavilələr
STR/SAR hesabat və hadisə runbook
Keyfiyyət metrləri: pass-rate, FP-rate, TTV KYC, əl review payı

14) Mini-FAQ

KYC = birdəfəlik yoxlama? Xeyr, yüksək riskli müştərilər - periodik refresh və daimi skrininq.

Həmişə liveness lazımdır? Yüksək qida bazarları üçün - bəli; aşağı risk üçün siqnal ilə işə salına bilər.

ML qaydaları əvəz edəcək? Daha yaxşı hibrid: izah və tənzimləyici üçün qaydalar, ML - FP-ni azaltmaq və kiçik olmayan nümunələri müəyyən etmək üçün.

KYC dönüşüm mane olur? Çevik addım, mobil UX və aydın tələblər pass-rate yüksək saxlayır.

Sənədləri «hər ehtimala qarşı» saxlamaq olarmı? Yox. Qanunun məqsədi və şərtlərinə görə Retence, sonra silmək və ya kriptovalyutası.

Onlayn effektiv KYC/AML texnologiyaların, proseslərin və insanların əlaqələndirilmiş işidir: liveness və çek sənədi ilə dəqiq onbordinq, daimi sanksiya yoxlamaları, əməliyyatların ağıllı monitorinqi, məlumatların etibarlı kriptovalyutası və tənzimləyiciyə şəffaf hesabatlılıq. Bu yanaşma ilə platforma maliyyə və hüquqi riskləri bloklayır, «təmiz» müştəriləri sürətləndirir və istifadəçilərin və tərəfdaşların etimadını dəstəkləyir.