KYC/AML-yoxlama provayderləri ilə inteqrasiya

1) Bu nə üçün lazımdır və hansı KPI vacibdir

Məqsədlər: tənzimləyicilərin tələblərinə uyğunluq, fırıldaqçılığın/çirkli pulların yuyulmasının qarşısının alınması, partnyorların/ödənişlərin minimum sürtünmə ilə azaldılması.

Açar metriklər:

Approval rate (bazar seqmentləri/ödənişlər/VIP), FPR/FNR, onbordinq vaxtı (p95), oyunçu başına yoxlama dəyəri.
Sanksiyalar üzrə hit-rate/PEP/Adverse Media, əl hallarının payı, tamamlanmamış yoxlamaların faizi.
SLA provayder (aptaym, latency, p95 cavab), retray/inteqrasiya səhvləri.

2) İnteqrasiyanın əsas arxitekturası

Laylar:

1. Orchestrator (risk-onboarding servisi): qaydalar/ölkələr/yoxlama növləri üzrə provayderlər arasında sorğular marşrutlaşdıracaq.

2. Providers SDK/API: KYC (ID + Liveness), AML (санкции/PEP/Adverse Media), Address, Age, Device.

3. Feature Store/Risk Engine: Nəticələr, bayraqlar, skoring və antifrod üçün fiçalar saxlayır.

4. Case-management: əl yoxlamalar, apellyasiya, second-line review.

5. Audit & Compliance: dəyişməz qərar qeydləri, qaydaların/modellərin versiyalaşdırılması, tənzimləyiciyə hesabatlar.

Hadisə axını:

Registration → Age/ID (yurisdiksiya üzrə minimum KYC).
First Deposit/Withdrawal → Enhanced Due Diligence (Məbləğlər/Risklər üzrə EDD).
Recurring AML Screening: cədvələ görə sanksiyaların/RER-in yenidən başlaması (gündəlik/həftəlik).
Trigger-based: rekvizitlərin/cihazın/geo → re-screen dəyişdirilməsi.

3) Yoxlama növləri və tam olaraq nə edirlər

Document Verification: pasport/ID/su. şəxsiyyət vəsiqəsi/yaşayış icazəsi; OCR + MRZ/Barcode, orijinallıq çeki.

Liveness & Biometrics: aktiv/passiv liveness, face-match (selfie document).

Address Verification: proof of address (utility bill/bank çıxarışı), bəzən - ünvan reyestrləri.

Sanctions/PEP/Watchlists: OFAC/UN/EU/UK HMT + lokal; siyasi əhəmiyyətli şəxslər; arzuolunmaz media siyahıları/məhkəmə salnamələri (Adverse Media).

Age Verification: doğum tarixi vs yerli eşiklər.

Device/Email/Phone: risk siqnalları (birdəfəlik domenlər, virtual nömrələr, proxy/hosting).

KYB (tərəfdaşlar/satıcılar üçün): nizamnamə sənədləri, benefisiarlar (UBO), qeydiyyat reyestrləri, mənfi xəbərlər.

4) Orkestrasiya və risk əsaslı yanaşma

Marşrutlaşdırma qaydaları: sənəd ölkəsi → provayder A, örtük yoxdursa → provayder B; VIP/yüksək məbləğ → EDD paketi.

Step-up məntiqi: yumşaq çek (məlumat mənbələri) → risk zamanı selfi/sənəd tələb.

Kompozisiya: AML screening + IDV + Address kombinasiyası yurisdiksiyadan (MGA/UKGC/Curacao və s.) və həyat dövrünün mərhələsindən (onboarding vs payout) asılıdır.

Re-screening: dövri (məsələn, gündəlik sanksiyalar) və hadisə (ölkə/sənəd dəyişikliyi).

5) API dizayn və inteqrasiya nümunələri

Idempotency & retries: bütün çağırışlar - idempotentlik açarı ilə; eksponent retras, taymaut, circuit-breaker.

Vebhuki: asinxron statuslar (processing → completed → reviewed).

Giriş validasiyası: format nəzarəti (MRZ, ISO country, sənəd-tayplar).

Artefaktların saxlanması: şifrələmə, yurisdiksiyalara görə TTL/retention, «minimal zəruri» prinsipi ilə giriş.

Sorğu nümunəsi (psevdo):

http
POST /kyc/start
{
"user_id": "u_123",  "flows": ["IDV","AML"],  "country_hint": "DE",  "document_types": ["PASSPORT","NATIONAL_ID"],  "webhook_url": "https://risk. example. com/webhooks/kyc"
}

Provayderin cavabı:

json
{
"session_id": "sess_abc",  "status": "pending",  "redirect_url": "https://provider/flow/sess_abc"
}

Vebhuk-nəticə:

json
{
"session_id": "sess_abc",  "status": "approved",  "checks": {
"idv": {"liveness": "pass", "face_match": 0. 92, "doc_authenticity": "pass"},   "aml": {"sanctions": "clear", "pep": "clear", "adverse_media": "none"}
},  "risk_score": 18
}

6) Məlumat keyfiyyəti: tipik problemlər və həllər

Adların transliterasiyası/dəyişkənliyi: fonotik alqoritmlərdən, normallaşmadan, alias cədvəllərindən istifadə edin.

Qeyri-latın skriptləri: kiril/ərəb yazısı/hanzi adlarının müqayisəsi → yerli müqayisə modulları.

Doğum tarixi/ünvanı: formatlaşdırma, sənəd və ödəniş ünvanı ilə çapraz yoxlama (BIN/AVS).

Sanksiyalardakı saxta uyğunluqlar/RER: fuzzy-score və eskalasiya qaydalarının (gənc kişilər, tez-tez soyadlar) konfiqurasiyası.

Şəkil keyfiyyəti: UX ipuçları (işıq, çərçivə, parıltı), avtomatik kəskinlik/bucaq nəzarəti.

7) SLA, müşahidə və həyəcan

Latency Məqsədlər: interaktiv onbording ≤ 60-120 ms kataloq/ekran sorğu + asenxron addımlar ≤ 2-3 dəqiqə (sənədlər).

Aptime: ≥ 99. Kritik end nöqtələrində 9%; ikili provayder (active-active/active-standby).

Alertlər: 'error _ rate' böyüməsi, 'hit _ rate' deqradasiyası, 'review _ rate' sıçrayışı, webhook «sakit pəncərələri», OCR/Liveness gecikmələri.

Log/Trace: cəbhədən provayderə correlation-ID; masked payloads; həll və səbəbləri saxlamaq.

8) Case management

Cases növbəsi: məbləğ/risk/region üzrə prioritet.

Playbook: müştəridən nə tələb etmək (selfie, digər sənəd, proof address).

SLA əl işi: p95 ≤ 24 saat; high-value ≤ 2 ч.

Apelyasiya: təkrar matç + müstəqil reviewer; uğursuzluq səbəblərinin sənədləşdirilməsi (adverse action notice).

9) Uyğunluq və məxfilik

GDPR/yerli analoqları: purpose limitation, data minimization, giriş/silinmə hüququ (harada mümkündür).

PCI DSS: ödəniş məlumatlarına toxunulursa.

PSD2/SCA: ödəniş addımlarında güclü autentifikasiya ilə korrelyasiya.

Retention: yalnız tələb olunan artefaktları və yalnız qanunun/tənzimləyicinin tələb etdiyi qədər saxlayın.

Explainability: «decision rationale» yazın - sistemin əsaslandığı şey (liveness fail, doc mismatch, PEP hit).

10) Alış qiyməti və modeli

Pricing: per-check, paket tarifləri, regional əmsallar, EDD/Adverse Media üçün əlavə ödənişlər.

Optimallaşdırma: risk bazalı orkestr (ucuz provayder → bahalı folbek), nəticələrin TTL-də keşləşdirilməsi, deltada re-screen.

RFP çek siyahısı: sənədlər/ölkələr üzrə örtüklər, liveness/face-match dəqiqliyi, sanksiyaların yenilənmə tezliyi/RER, latency, vebhuk, SDK, hesabatlar, DPIA/sertifikatlaşdırma, on-prem variantları, məhkəmə/tənzimləyici təcrübə, iGaming-dən referanslar.

11) KYB: B2B/partnyorlarla işləyərkən

Registrlər: Companies House, yerli ticarət reyestrləri, UBO zəncirləri.

Sənədlər: inkorporatasiya, statut, bank məktubları, direktorlar/etibarnamələr.

Skrininq: UBO və direktorlar üçün sanksiyalar/RER, marka/hüquqi şəxs üzrə Adverse Media.

Re-screen tetikləyiciləri: direktor/ünvan/benefisiarın dəyişdirilməsi, dövriyyənin kəskin artması.

12) UX və dönüşüm: necə «qırmaq» onbording deyil

Mobile-first: Avtomatik ipuçları ilə SDK (çərçivə, əyilmə, parlama qorunması).

İstifadəçi üçün bələdçi: əvvəlcədən nə hazırlamaq (sənəd, işıqlandırma), proses nə qədər vaxt aparacaq.

Tərəqqi-bar və aydın statuslar.

Graceful fallback: kamera/sensorlar mövcud deyilsə → alternativ axın (manual upload + sonrakı yoxlama).

13) Hadisələr və folbeklər

Fail-safe rejimi: provayder düşdükdə - ehtiyata keçid + minimum kifayət qədər qaydaların tətbiqi.

Degradation policy: Yoxlama başa çatana qədər yalnız kiçik limitli depozitlərə icazə veririk.

Gecikmiş yoxlama: etibarlılığın zəruriliyi qeyd olunan müvəqqəti limitlərin verilməsi.

14) Test və inteqrasiya sertifikatlaşdırma

Provayderlərin qum qutuları: «xoşbəxt «/« bədbəxt »yolların skriptləri, edge-keys (parıltı, kəsilmiş sənəd, əkizlər).

Contract testləri: Cavab sxeminin fiksasiyası, API versiyalarının miqrasiyası.

Yükləmə: ən yüksək buraxılışlar/promo (x5-x10 trafik), uzun vebhuk, hadisələrin reorder.

DR təlimləri: bir provayderin bağlanması, vebhukların düşməsi, rollback versiyası.

15) Standart qərar qaydaları

decision-table nümunəsi (sadələşdirilmiş):

Şərt	Fəaliyyət	Şərh
Sanctions=hit (strong match)	DENY	Komplayensdə eskalasiya, hesabat
PEP=possible + Adverse=negative	REVIEW/EDD	Dop. vəsait mənbələri
Liveness=fail или FaceMatch<0. 8	RETRY (1-2 dəfə) → REVIEW	UX ipuçları
Address=fail + High-risk country	HOLD	Proof of address təkrar
Clean KYC/AML + Low risk score	APPROVE	Siyasət limitləri

16) Tam case nümunəsi (qısaca)

Ssenari: Almaniyadan yeni oyunçu, €300 depozit, bonus tələbi.

1. Soft check (AML fast): clear.

2. IDV: pasport + selfie, liveness = pass, face_match=0. 93, doc=authentic.

3. Address: utility bill keçdi.

4. Decision: APPROVE, €2000-ə qədər çıxış limiti, gündəlik təkrar AML-re-screen.

5. Audit: mühərrikin, provayderin, qaydaların, fiçlərin və rationale versiyaları qeydə alınmışdır.

17) Giriş çek siyahısı

Failover və yurisdiksiya marşrutu ilə orkestrator.
Müqavilələr/SLA/qiymətlər, DPIA və hüquqi razılaşmalar.
Vebhuki, idempotentlik, retraj, treysinq.
Case-menecment və EDD playbukları.
Periodic re-screen (sanksiyalar/RER) və event-based triggers.
Keyfiyyət monitorinqi (hit-rate, FPR/FNR, keçid vaxtı).
Retention/silmə və giriş siyasəti (RBAC).
DR planı və deqradasiya təlimləri.

Xülasə

Güclü KYC/AML inteqrasiyası «bir provayderi birləşdirmək» deyil, qərarların risk əsaslı, şəffaf və tez qəbul edildiyi bir neçə mənbədən orkestr qurmaqdır. IDV, Liveness, sanksiyalar/RER və ünvanı birləşdirin, case-menecment və sərt audit tətbiq edin, folbek provayderlərini saxlayın və UX-i unutmayın - belə ki, tənzimləyicilərin tələblərini yerinə yetirəcəksiniz və onbordinqin yüksək dönüşümünü saxlayacaqsınız.