Тексеру провайдерлерімен KYC/AML интеграциясы

1) Бұл не үшін қажет және қандай KPI маңызды

Мақсаттары: реттеушілердің талаптарына сәйкес келу, алаяқтықты/жылыстауды болдырмау, ең аз үйкеліс кезінде чарджбэктерді және серіктестер/төлемақы тәуекелдерін төмендету.

Негізгі метриктер:

Approval rate (нарық сегменттері бойынша/төлемдер/VIP), FPR/FNR, онбординг уақыты (p95), бір ойыншыға тексеру құны.
Санкциялар бойынша Hit-rate/PEP/Adverse Media, қол істерінің үлесі, аяқталмаған тексерулердің пайызы.
Провайдердің SLA (аптайм, latency, p95 жауап), ретраи/интеграция қателері.

2) Интеграцияның базалық сәулеті

Қабаттар:

1. Orchestrator (сіздің risk-onboarding сервисіңіз): тексерудің ережелері/елдері/типтері бойынша провайдерлер арасындағы сұрауларды роутит етеді.

2. Providers SDK/API: KYC (ID + Liveness), AML (санкции/PEP/Adverse Media), Address, Age, Device.

3. Feature Store/Risk Engine: нәтижелерді, жалауларды, скоринг және антифрод үшін фичтерді сақтайды.

4. Case-менеджмент: қолмен тексеру, апелляция, second-line review.

5. Audit & Compliance: өзгермейтін шешімдер логтары, ережелерді/модельдерді нұсқалау, реттеушіге есеп беру.

Оқиға ағындары:

Registration → Age/ID (юрисдикция бойынша ең төменгі KYC).
First Deposit/Withdrawal → Enhanced Due Diligence (сома/тәуекел бойынша EDD).
Recurring AML Screening: кесте бойынша санкцияларды/РЕР қайта бастау (күн сайын/апта сайын).
Trigger-based: деректемелерді/құрылғыларды/гео → re-screen ауыстыру.

3) Тексерулердің түрлері және олар нені жасайды

Document Verification: төлқұжат/ID/су. куәлік/тұруға ықтиярхат; OCR + MRZ/Barcode, түпнұсқалық чек.

Liveness & Biometrics: белсенді/пассивті liveness, face-match (selfie document).

Address Verification: proof of address (utility bill/банктік үзінді), кейде - мекенжайлар тізілімі.

Sanctions/PEP/Watchlists: OFAC/UN/EU/UK HMT + жергілікті; саяси маңызы бар адамдар; жағымсыз БАҚ тізімдері/сот хроникалары (Adverse Media).

Age Verification: туған күні vs жергілікті табалдырықтар.

Device/Email/Phone: тәуекел сигналдары (бір реттік домендер, виртуалды нөмірлер, прокси/хостинг).

KYB (серіктестер/сатушылар үшін): жарғылық құжаттар, бенефициарлар (UBO), тіркеу тізілімдері, жағымсыз жаңалықтар.

4) Оркестрлеу және тәуекелге негізделген тәсіл

Маршруттау ережесі: құжаттың елі → провайдер А, егер жабын болмаса → провайдер В; VIP/жоғары сома → EDD-пакет.

Step-up логика: soft-чек (деректер көздері) → тәуекел кезінде селфи/құжаттарды сұратамыз.

Композиция: AML screening + IDV + Address комбинациясы юрисдикцияға (MGA/UKGC/Curacao және т.б.) және өмірлік цикл сатысына (onboarding vs payout) байланысты.

Re-screening: мерзімді (мысалы, санкциялар бойынша күн сайын) және оқиғалық (елдің/құжаттың өзгеруі).

5) API дизайны және интеграциялық үлгілер

Idempotency & retries: барлық шақырулар - теңсіздік кілтімен; экспоненциалдық ретрациялар, таймауттар, circuit-breaker.

Вебхактар: асинхронды мәртебелер (processing → completed → reviewed).

Енгізу валидациясы: форматты бақылау (MRZ, ISO country, құжат-тайпа).

Артефактілерді сақтау: шифрлау, юрисдикциялар бойынша TTL/retention, «ең аз қажетті» қағидаты бойынша қол жеткізу.

Сұрау үлгісі (жалған):

http
POST /kyc/start
{
"user_id": "u_123",  "flows": ["IDV","AML"],  "country_hint": "DE",  "document_types": ["PASSPORT","NATIONAL_ID"],  "webhook_url": "https://risk. example. com/webhooks/kyc"
}

Провайдердің жауабы:

json
{
"session_id": "sess_abc",  "status": "pending",  "redirect_url": "https://provider/flow/sess_abc"
}

Вебхук қорытындысы:

json
{
"session_id": "sess_abc",  "status": "approved",  "checks": {
"idv": {"liveness": "pass", "face_match": 0. 92, "doc_authenticity": "pass"},   "aml": {"sanctions": "clear", "pep": "clear", "adverse_media": "none"}
},  "risk_score": 18
}

6) Деректер сапасы: типтік проблемалар мен шешімдер

Аттардың транслитерациясы/вариативтілігі: фонотикалық алгоритмдерді, қалыпқа келтіруді, alias-кестелерді пайдаланыңыз.

Латын арифметикалық емес скрипттер: кириллица/араб жазуы/ханзи аттарын салыстыру → жергілікті салыстыру модульдері.

Туған күні/мекенжайы: пішімдеу, құжатпен және төлем мекенжайымен кросс-тексеру (BIN/AVS).

Санкциялардағы жалған сәйкес келулер/РЕР: fuzzy-score және эскалация ережелерін баптау (жас тектер, жиі тектер).

Фотосуреттер сапасы: UX (жарық, рама, бликтер), автоматты кескіндемені/бұрышты бақылау.

7) SLA, бақылау және аллергия

Latency мақсаттары: интерактивті онбординг ≤ каталогқа/скринингке сұранысқа 60-120 мс + асинхронды қадамдар ≤ 2-3 мин (құжаттар).

Аптайм: ≥ 99. күрделі эндпоинттерге 9%; қосарланған провайдер (active-active/active-standby).

Алерттар: 'error _ rate' өсуі, 'hit _ rate' деградациясы, 'review _ rate' секіруі, вебхуктардың «тыныш терезелері», OCR/Liveness кідірістері.

Логи/трейсинг: correlation-ID фронттан провайдерге дейін; masked payloads; шешімдер мен себептерді сақтау.

8) Оқиғаларды басқару (Case management)

Кейстердің кезегі: сомасы/тәуекелі/аймағы бойынша басымдық.

Плейбуктар: клиенттен не сұрауға болады (селфи, басқа құжат, proof address).

Қол кейстері бойынша SLA: p95 ≤ 24 сағ; high-value ≤ 2 ч.

Апелляция: қайта матч + тәуелсіз reviewer; бас тарту себептерін құжаттау (adverse action notice).

9) Комплаенс және құпиялылық

GDPR/жергілікті ұқсастықтары: purpose limitation, data minimization, қол жеткізу/жою құқығы (қолданылатын жерде).

PCI DSS: егер төлем деректері қозғалса.

PSD2/SCA: төлем қадамдарында күшті аутентификациямен корреляция.

Retention: талап етілетін артефактілерді ғана және заң/реттеуші талап еткенше ғана сақтау.

Explainability: «decision rationale» - жүйе неге сүйенгенін белгілеңіз (liveness fail, doc mismatch, PEP hit).

10) Сатып алу құны мен моделі

Pricing: per-check, пакеттік тарифтер, өңірлік коэффициенттер, EDD/Adverse Media үшін қосымша төлемдер.

Оңтайландыру: тәуекелге негізделген оркестрлеу (фолбэк кезінде арзан провайдер → қымбат), нәтижелерді TTL кэштеу, дельта бойынша re-screen.

RFP-чек парағы: құжаттар/елдер бойынша жабындылар, liveness/face-match дәлдігі, санкцияларды жаңарту жиілігі/PER, latency, webhook, SDK, есептер, DPIA/сертификаттау, on-prem нұсқалары, сот/реттеу практикасы, iGaming-тен референттер.

11) KYB: сіз B2B/серіктестермен жұмыс істегенде

Тіркелімдер: Companies House, жергілікті сауда тізілімдері, UBO тізбектері.

Құжаттар: инкорпорация, статут, банктік хаттар, директорлар/сенімхаттар.

Скрининг: UBO және директорлар үшін санкциялар/РЕР, бренд/заңды тұлға бойынша Adverse Media.

Re-screen триггерлері: директордың/мекенжайдың/бенефициардың ауысуы, айналымның күрт өсуі.

12) UX және конверсия: онбордингті қалай «сындырмау»

Mobile-first: SDK (рама, көлбеу, жарқылдау қорғанысы).

Пайдаланушы үшін гайд: алдын ала не дайындау керек (құжат, жарықтандыру), процесс қанша уақыт алады.

Прогресс-бар және нақты мәртебелері.

Graceful fallback: егер камера/сенсорлар қол жетімді болмаса → баламалы ағын (manual upload + келесі тексеру).

13) Оқиғалар мен фолбэктер

Fail-safe режимі: провайдер құлаған кезде - резервке ауысу + ең аз жеткілікті ережелерді қолдану.

Degradation policy: Тексеру аяқталғанға дейін шағын лимит депозиттеріне ғана рұқсат етеміз.

Кейінге қалдырылған верификация: сенімгерлендіру қажеттілігі туралы белгісі бар уақытша лимиттерді беру.

14) Интеграцияны тестілеу және сертификаттау

Провайдерлердің құмсалғыштары: «бақытты «/« бақытсыз »жолдардың скрипттері, edge-кейстер (жарықтар, кесілген құжат, егіздер).

Contract-тесттер: жауап беру схемасын белгілеу, API нұсқаларын көшіру.

Жүктемелік: ең жоғары релиздер/промо (x5-x10 трафик), ұзақ вебхактар, оқиғалар reorder.

DR-жаттығулар: бір провайдерді өшіру, вебхуктардың құлауы, rollback нұсқасы.

15) Шешім қабылдаудың үлгілік қағидалары

decision-table мысалы (жеңілдетілген):

Шарт	Әрекет	Түсініктеме
Sanctions=hit (strong match)	DENY	Комплаенс эскалациясы, есеп
PEP=possible + Adverse=negative	REVIEW/EDD	Қосымша. қаражат көздері
Liveness=fail или FaceMatch<0. 8	RETRY (1-2 рет) → REVIEW	UX кеңестер
Address=fail + High-risk country	HOLD	Proof of address қайта
Clean KYC/AML + Low risk score	APPROVE	Саясат бойынша лимиттер

16) Толық кейстің мысалы (қысқаша)

Сценарий: Германиядан жаңа ойыншы, депозит €300, бонус сұрауы.

1. Soft check (AML fast): clear.

2. IDV: паспорт + selfie, liveness = pass, face_match=0. 93, doc=authentic.

3. Address: utility bill өтті.

4. Decision: APPROVE, шығару лимиті €2 000 дейін, қайта AML-re-screen күн сайын.

5. Аудит: қозғалтқыштың, провайдердің, ережелердің, фичтер мен rationale нұсқалары жазылған.

17) Енгізу чек-парағы

Failover және юрисдикциялар бойынша роутингі бар оркестратор.
Шарттар/SLA/бағалар, DPIA және заңдық келісімдер.
Вебхактар, демпотенттік, ретраи, трейсинг.
Case-менеджмент және EDD ойнатқыштары.
Periodic re-screen (санкциялар/РЕР) және event-based триггерлері.
Сапа мониторингі (hit-rate, FPR/FNR, өту уақыты).
Retention/жою және қол жеткізу саясаты (RBAC).
DR жоспары және деградация бойынша жаттығулар.

Түйіндеме

Күшті KYC/AML-интеграция - бұл «бір провайдерді қосу» емес, бірнеше көздерден тұратын оркестрді құру, онда шешімдер тәуекелге негізделген, ашық және жылдам қабылданады. IDV, Liveness, санкциялар/PER және мекен-жайды біріктіріңіз, case-менеджмент пен қатаң аудитті енгізіңіз, фолбэк провайдерлерін ұстаңыз және UX туралы ұмытпаңыз - осылайша сіз реттеушілердің талаптарын орындайсыз және онбордингтің жоғары конверсиясын сақтайсыз.