Integracja KYC/AML z dostawcami walidacji

1) Dlaczego jest potrzebny i jakie KPI są ważne

Cele: zgodność, zapobieganie nadużyciom finansowym/praniu pieniędzy, zmniejszenie obciążeń zwrotnych i ryzyko partnerów/płatności przy minimalnym tarciu.

Kluczowe wskaźniki:

Wskaźnik zatwierdzenia (według segmentu rynku/płatności/VIP), FPR/FNR, czas wejścia na pokład (p95), koszt weryfikacji gracza.
Wskaźnik trafienia sankcjami/PEP/Adverse Media, udział przypadków ręcznych, odsetek niekompletnych kontroli.
Dostawca SLA (czas uptime, opóźnienie, odpowiedź p95), błędy retrai/integracja.

2) Podstawowa architektura integracji

Warstwy:

1. Orkiestrator (Twój serwis obejmujący ryzyko): żądania trasy między dostawcami zgodnie z zasadami/krajami/rodzajami weryfikacji.

2. Dostawcy SDK/API: KYC (ID + Livity), AML (санкий/PEP/Adverse Media), adres, wiek, urządzenie.

3. Funkcja Store/Risk Engine: przechowuje wyniki, flagi, funkcje do punktacji i zwalczania oszustw.

4. Zarządzanie sprawami: ręczne kontrole, odwołania, przegląd drugiej linii.

5. Audyt i zgodność: niezmienne dzienniki decyzji, weryfikacja zasad/modeli, sprawozdania dla regulatora.

Przepływy zdarzeń:

Rejestracja → Wiek/ID.
Pierwszy depozyt/w ramach → Zwiększona należyta staranność (EDD według kwoty/ryzyka).
Powtarzający się przegląd AML: Ponowne sprawdzenie sankcji/POP w harmonogramie (codziennie/co tydzień).
Trigger-based: zmiana szczegółów/urządzenia/geo → re-screen.

3) Rodzaje kontroli i co dokładnie robią

Weryfikacja dokumentu: paszport/identyfikator/woda. świadectwo/dokument pobytowy; OCR + MRZ/kod kreskowy, sprawdzenie autentyczności.

Livity & Biometria: aktywna/pasywna aktywność, matcha twarzy (dokument selfie ").

Weryfikacja adresu: dowód adresu (rachunek użytkowy/wyciąg bankowy), czasami rejestry adresowe.

Sankcje/PEP/Watchlists: OFAC/UN/EU/UK HMT + local; osoby narażone politycznie; niechciane listy mediów/kroniki sądowe (Adverse Media).

Weryfikacja wieku: data urodzenia vs progi lokalne.

Urządzenie/Email/Phone: sygnały ryzyka (domeny jednorazowe, numery wirtualne, serwer proxy/hosting).

KYB (dla partnerów/handlowców): dokumenty ustawowe, beneficjenci (UBO), rejestry rejestracyjne, wiadomości negatywne.

4) Podejście orkiestrowe i oparte na ryzyku

Zasady routingu: dokument kraj → dostawca A, jeśli nie ma zasięgu → dostawca B; Pakiet VIP/High → EDD.

Step-up logic: soft-check (źródła danych) → na ryzyko prosimy o selfie/dokumenty.

Skład: połączenie badania przesiewowego AML + IDV + Adres zależy od jurysdykcji (MGA/UKGC/Curacao, itp.) i etapu cyklu życia (na pokładzie vs wypłata).

Ponowne badanie przesiewowe: okresowe (na przykład codzienne sankcje) i zdarzenie (zmiana kraju/dokumentu).

5) Wzorce projektowania i integracji API

Idempotence & retries: wszystkie połączenia - z kluczem idempotencji; wykładnicze przekładnie, timeouts, wyłącznik.

Webhooks: przetwarzanie → zakończone → recenzowane.

Walidacja wejściowa: kontrola formatu (MRZ, kraj ISO, dokument typowania).

Przechowywanie artefaktów: szyfrowanie, TTL/przechowywanie według jurysdykcji, „minimalny niezbędny” dostęp.

Zapytanie próbki (pseudo):

http
POST/kyc/start
{
"user_id": "u_123," "przepływa": ["IDV "," AML"], "country_hint": "DE", "document_types": ["PASZPORT ", "NATIONAL _ ID"], "webhook_url": "https ://risk. przykład. com/webhooks/kyc'
}

Odpowiedź dostawcy:

json
{
„session_id": „sess_abc,” „status”: „oczekujący”, „redirect_url": „https://provider/flow/sess_abc”
}

Wynik Webhook:

json
{
"session_id": "sess_abc," "status": "zatwierdzony", "kontrole": {
„idv”: {„livity”: „pass',” face_match": 0. 92, "doc_authenticity":" pass "}," aml': {"sankcje": "clear", "pep": "clear", "adverse_media":" none "}
} ", risk_score": 18
}

6) Jakość danych: typowe problemy i rozwiązania

Transliteracja/zmienność nazw: używać algorytmów fonotycznych, normalizacji, tabel aliasów.

Skrypty niełacińskie: porównanie nazw w cyrylicy/arabskim/Hanzi → lokalnych modułach porównawczych.

Data urodzenia/adres: formatowanie, kontrola krzyżowa z dokumentem i adresem płatniczym (BIN/AVS).

Fałszywe mecze w sankcjach/REP: ustawianie mglistych punktów i zasad eskalacji (młode nazwiska, częste nazwiska).

Jakość zdjęcia: wiersze UX (światło, ramka, podświetlenia), automatyczna kontrola ostrości/kąta.

7) SLA, obserwowalność i wpisy

Cele opóźnienia: interaktywne wsiadanie na pokład ≤ 60-120 ms na żądanie katalogu/przesiewania + asynchroniczne kroki ≤ 2-3 min (dokumenty).

Czas uptime: ≥ 99. 9% dla krytycznych punktów końcowych; dostawca podwójny (aktywny/aktywny).

Wpisy: wzrost 'error _ rate', degradacja 'hit _ rate', skok 'review _ rate', 'ciche okna' webhooks, OCR/Livity delays.

Logs/odwzorowanie: korelacja-ID od przodu do dostawcy; maskowane ładunki użytkowe; przechowywanie rozwiązania i powodów.

8) Zarządzanie sprawami

Kolejka spraw: priorytet według kwoty/ryzyka/regionu.

Playbooks: czego żądać od klienta (ponownie selfie, inny dokument, dowód adresu).

SLA dla przypadków ręcznych: p95 ≤ 24 h; wysoka wartość ≤ 2 obr.

Odwołania: ponowny mecz + niezależny recenzent; dokumentacja przyczyn niepowodzenia (zawiadomienie o działaniu niepożądanym).

9) Zgodność i prywatność

RODO/lokalne odpowiedniki: ograniczenie celu, minimalizacja danych, prawo dostępu/usunięcia (w stosownych przypadkach).

PCI DSS: jeżeli dotyczy to informacji o płatności.

PSD2/SCA: korelacja z silnym uwierzytelnianiem przy krokach płatności.

Zachowanie: Przechowywać tylko wymagane artefakty i tylko tyle, ile wymaga prawo/regulator.

Możliwość wyjaśnienia: naprawić „uzasadnienie decyzji” - na czym polegał system (los fail, doc mismatch, PEP hit).

10) Model kosztów i zamówień

Ceny: za sprawdzian, stawki pakietów, kursy regionalne, dodatki EDD/Adverse Media.

Optymalizacja: orkiestra oparta na ryzyku (tani dostawca → drogie z folbacking), wyniki buforowania na TTL, ponowny ekran przez deltę.

Lista kontrolna RFP: dokument/zasięg kraju, los/dokładność dopasowania twarzy, sankcje/wskaźnik aktualizacji RAP, opóźnienia, haki internetowe, SDK, raporty, DPIA/certyfikacja, opcje on-prem, praktyka sądowa/regulacyjna, referencje z iGaming.

11) KYB: podczas pracy z B2B/partners

Rejestry: Dom Firm, lokalne rejestry handlowe, sieci UBO.

Dokumenty: rejestracja, statut, listy bankowe, dyrektorzy/pełnomocnicy.

Badanie przesiewowe: sankcje/PEP dla UBO i dyrektorów, negatywne media przez markę/podmiot.

Uruchamiacze reekranu: zmiana dyrektora/adresu/beneficjenta, gwałtowny wzrost obrotów.

12) UX i konwersja: jak nie „złamać” na pokładzie

Mobile-first: SDK z auto-prompts (ramka, przechylenie, ochrona przed blaskiem).

Przewodnik dla użytkownika: co przygotować z wyprzedzeniem (dokument, oświetlenie), jak długo proces potrwa.

Pasek postępu i wyraźne statusy.

Graceful fallback: jeśli kamera/czujniki nie są dostępne → alternatywny strumień (manualne przesyłanie + późniejsza weryfikacja).

13) Incydenty i faule

Tryb awaryjny: po upadku dostawcy przełączanie na ochronę + zastosowanie minimalnych wystarczających zasad.

Polityka degradacji: zezwalamy tylko na niewielkie depozyty limitowe bez wypłaty aż do zakończenia kontroli.

Odroczona weryfikacja: wydanie tymczasowych limitów z informacją o potrzebie zaufania.

14) Badania integracyjne i certyfikacja

Piaskownice dostawcy: skrypty na „szczęśliwe „/” nieszczęśliwe „ścieżki, przypadki krawędzi (najważniejsze, cropped document, bliźniaki).

Testy kontraktowe: ustalenie systemu odpowiedzi, migracyjne wersje API.

Ładunek: szczytowe wersje/promo (x5-x10 ruch), długie haki internetowe, wydarzenia reorder.

Ćwiczenia DR: odłączenie jednego dostawcy, upuszczanie haków webowych, wersje rollback.

15) Wzór zasad decyzji

Przykładowa tabela decyzji (uproszczona):

Warunek	Działanie	Komentarz
Sankcje = trafienie (silny mecz)	ODMOWA	Eskalacja zgodności, raport
PEP = możliwe + negatywne = ujemne	PRZEGLĄD/EDD	Add. źródła funduszy
Liness = fail илДMatch <0. 8	RETRY (1-2 razy) → PRZEGLĄD	Wskazówki UX
Adres = niepowodzenie + kraj wysokiego ryzyka	BLOKUJ	Dowód adresu ponownie
Czyste KYC/AML + Niski wynik ryzyka	ZATWIERDZENIE	Limity polityki

16) Przykład kompletnego przypadku (skrócony)

Scenariusz: nowy gracz z Niemiec, €300 depozyt, żądanie bonusu.

1. Miękka kontrola (AML szybko): przezroczysta.

2. IDV: paszport + selfie, livity = pass, face_match=0. 93, dok = autentyczny.

3. Adres: uchwalony rachunek za usługi użyteczności publicznej.

4. Decyzja: ZATWIERDŹ, limit wyjściowy do 2 000 EUR, powtarzający się ekran AML-re dziennie.

5. Audyt: zarejestrowane wersje silnika, dostawcy, zasady, cechy i uzasadnienie.

17) Lista kontrolna wdrażania

Orkiestra z awarią i trasą według jurysdykcji.
Umowy/SLA/tagi cenowe, DPIA i aprobaty prawne.
Webhaki, idempotencja, rekolekcje, śledzenie.
Zarządzanie przypadkami i odtwarzacze EDD.
Okresowy ponowny ekran i wyzwalacze oparte na zdarzeniach.
Monitorowanie jakości (szybkość trafień, FPR/FNR, czas tranzytu).
Polityka zatrzymywania/usuwania i dostępu (RBAC).
Plany DR i ćwiczenia degradacji.

Wznów streszczenie

Silna integracja KYC/AML nie polega na „łączeniu jednego dostawcy”, ale na budowaniu orkiestry z wielu źródeł, w których decyzje są oparte na ryzyku, przejrzyste i szybkie. Połączyć IDV, Livity, sankcje/REP i adres, wdrożyć zarządzanie sprawami i ciężki audyt, zachować dostawców folback i nie zapomnieć o UX - w ten sposób można spełnić wymagania regulatorów i utrzymać wysoką konwersję na pokładzie.