KYC-processen: Digital kundekendskab for finansielle virksomheder

KYC, Know Your Customer, er fundamentet i finansiel compliance. Det handler om at kende dine kunder, forstå deres forretning og vurdere risikoen ved at have dem som kunder. For finansielle virksomheder i Danmark er KYC ikke bare god praksis, det er lovkrav.

Denne guide giver dig et komplet overblik over KYC-processen, fra den første kundeidentifikation til løbende opdatering og overvågning.

Hvad er KYC?

KYC (Know Your Customer) er den proces, hvor finansielle virksomheder identificerer og verificerer deres kunders identitet, forstår kundens forretning og vurderer risikoen forbundet med kundeforholdet.

KYC-processen har tre hovedformål:

• Forebygge hvidvask: Sikre at virksomheden ikke bruges til at hvidvaske penge
• Forhindre terrorfinansiering: Opdage og stoppe finansiering af terroraktiviteter
• Overholde sanktioner: Sikre at der ikke handles med sanktionerede personer eller lande

KYC i dansk lovgivning

KYC-kravene følger af hvidvaskloven (Lov om forebyggende foranstaltninger mod hvidvask og finansiering af terrorisme) og implementerer EU's hvidvaskdirektiver. Finanstilsynet fører tilsyn med at reglerne overholdes.

De 4 trin i KYC-processen

1. Kundeidentifikation

Det første trin er at fastslå kundens identitet. Kravene varierer afhængigt af kundetypen:

Fysiske personer:

• Fulde navn
• CPR-nummer (eller fødselsdato og statsborgerskab for udlændinge)
• Bopælsadresse

Juridiske personer (selskaber):

• Navn og CVR-nummer
• Adresse
• Dokumentation for selskabets eksistens (fx udskrift fra CVR)
• Vedtægter eller stiftelsesdokument
• Oplysninger om tegningsberettigede personer

2. Identitetsverificering

Efter identifikation skal oplysningerne verificeres ved hjælp af pålidelige, uafhængige kilder:

For fysiske personer:

• MitID: Sikker digital identifikation (foretrukket i Danmark)
• Pas: Gyldigt rejsepas
• Kørekort: Accepteres som supplerende dokumentation
• Nationalt ID-kort: Fra EU/EØS-lande

For juridiske personer:

• CVR-register: Verificering af selskabsoplysninger
• Årsrapporter: Dokumentation for aktivitet og økonomi
• Tingbogsudskrift: For ejendomsrelaterede selskaber

3. Identifikation af reelle ejere

For juridiske personer skal du identificere de reelle ejere, de fysiske personer, der i sidste ende ejer eller kontrollerer kunden:

• Ejerskabstærskel: Personer der direkte eller indirekte ejer mere end 25% af kapitalen eller stemmerettighederne
• Kontrol: Personer der på anden måde udøver kontrol over ledelsen
• Komplekse strukturer: Ved holdingselskaber og truststrukturer skal du identificere ejerne hele vejen op gennem kæden

Hvis ingen reel ejer kan identificeres, skal du registrere den daglige ledelse som "reel ejer" og dokumentere dine undersøgelser.

4. Risikovurdering

Baseret på de indsamlede oplysninger skal du vurdere kundens risikoprofil:

Faktorer der øger risikoen:

• Kunden er PEP (Politisk Eksponeret Person) eller relateret til PEP
• Kunden er fra et højrisikoland
• Kompleks ejerstruktur uden åbenlys kommerciel begrundelse
• Usædvanlige transaktionsmønstre
• Kontantintensive brancher
• Manglende fysisk tilstedeværelse ved onboarding

Faktorer der reducerer risikoen:

• Børsnoterede selskaber (transparente ejerforhold)
• Offentlige myndigheder
• Kunder med langvarige, veletablerede kundeforhold
• Regulerede finansielle virksomheder

Tre niveauer af kundekendskab

Simpel kundekendskab

Anvendes ved lavrisikokunder, hvor der kan anvendes lempede procedurer:

• Verificering kan udskydes til efter kundeforholdets etablering
• Mindre hyppig opdatering af oplysninger
• Lavere detaljegrad i transaktionsovervågning

Standard kundekendskab

Normaltilfældet for de fleste kunder:

• Fuld identifikation og verificering før kundeforholdet etableres
• Regelmæssig opdatering af kundeoplysninger
• Løbende overvågning af transaktioner

Skærpet kundekendskab (EDD)

Enhanced Due Diligence kræves for højrisikokunder:

• Flere verificeringskilder
• Dokumentation af midlernes oprindelse
• Godkendelse fra ledelsen ved etablering af kundeforhold
• Hyppigere opdatering og overvågning
• Mere detaljeret transaktionsovervågning

Skærpet kundekendskab er obligatorisk for:

• PEP'er og deres nære relationer
• Kunder fra højrisikolande (EU's liste)
• Komplekse eller usædvanlige kundeforhold
• Korrespondentbankforhold

Digital KYC: Moderne onboarding

Digital KYC erstatter manuelle papirprocesser med automatiserede, digitale flows. Det giver både bedre kundeoplevelse og stærkere compliance.

Fordele ved digital KYC

• Hurtigere onboarding: Fra dage til minutter
• Bedre kundeoplevelse: Kunden kan gennemføre processen hjemmefra
• Konsistent kvalitet: Alle kunder gennemgår samme proces
• Automatisk dokumentation: Fuld audit trail uden manuel indsats
• Løbende screening: Automatisk overvågning mod PEP- og sanktionslister

Komponenter i digital KYC

Digital identifikation:

• MitID-integration til sikker dansk identifikation
• eID-løsninger fra andre EU-lande (eIDAS)
• Dokumentverificering med OCR og billedanalyse
• Biometrisk verificering (ansigtsgenkendelse)

Automatisk dataindsamling:

• Opslag i CVR-registeret
• PEP-screening mod internationale databaser
• Sanktionslistescreening (EU, FN, OFAC)
• Adverse media screening (negativ presseomtale)

Risikoberegning:

• Automatisk scoring baseret på definerede parametre
• Flagging af højrisikokunder til manuel gennemgang
• Regelbaseret tildeling af kundekendskabsniveau

Løbende kundekendskab

KYC er ikke en engangsøvelse. Du har pligt til løbende at holde kundeoplysninger opdateret og overvåge kundens aktivitet.

Hvornår skal du opdatere?

• Periodisk: Minimum hvert 1-3 år afhængigt af risikoniveau
• Ved ændringer: Når du bliver opmærksom på ændringer i kundens forhold
• Ved mistanke: Hvis transaktioner eller adfærd giver anledning til bekymring
• Ved betydelige transaktioner: Ved usædvanligt store eller komplekse transaktioner

Opdateringsfrekvens efter risiko

• Høj risiko: Årlig opdatering (eller hyppigere)
• Medium risiko: Opdatering hvert 2. år
• Lav risiko: Opdatering hvert 3. år

Dokumentation og opbevaring

Hvad skal dokumenteres?

• Identifikationsoplysninger og verificeringsdokumentation
• Oplysninger om reelle ejere og kontrolstruktur
• Formålet med kundeforholdet
• Risikovurdering og -klassificering
• Eventuelle undersøgelser af mistænkelige forhold
• Ændringer i kundeoplysninger over tid

Opbevaringskrav

Dokumentation skal opbevares i mindst 5 år efter kundeforholdets ophør. For visse oplysninger, herunder dokumentation for transaktioner, gælder ligeledes 5 års opbevaring efter transaktionens gennemførelse.

Almindelige KYC-fejl

Baseret på Finanstilsynets inspektioner er disse de hyppigste fejl:

1. Manglende verificering: Oplysninger indsamles men verificeres ikke
2. Ufuldstændig identifikation af reelle ejere: Særligt ved komplekse ejerstrukturer
3. Forældet dokumentation: KYC udføres ved onboarding men opdateres ikke
4. Manglende PEP-screening: Eller screening kun ved onboarding, ikke løbende
5. Utilstrækkelig risikovurdering: Standardiseret tilgang uden individuel vurdering
6. Manglende dokumentation: Processen er gennemført men ikke dokumenteret

Tjekliste: KYC-processen

Ved onboarding

• Kundens identitet er fastslået (navn, CPR/CVR, adresse)
• Identiteten er verificeret med pålidelig dokumentation
• Reelle ejere er identificeret og verificeret (for selskaber)
• Formålet med kundeforholdet er forstået og dokumenteret
• PEP-status er undersøgt
• Sanktionslistescreening er gennemført
• Risikovurdering er udført og dokumenteret
• Kundekendskabsniveau er fastsat (simpel/standard/skærpet)

Løbende

• Transaktioner overvåges for mistænkelige mønstre
• PEP- og sanktionsscreening køres regelmæssigt
• Kundeoplysninger opdateres ved ændringer
• Periodisk gennemgang af kundeforholdet
• Risikovurdering revurderes ved væsentlige ændringer

FAQ om KYC

Skal jeg gennemføre KYC på eksisterende kunder?

Ja. Alle kunder skal være omfattet af KYC-procedurer. For eksisterende kunder skal du gennemføre KYC senest ved næste naturlige kontaktpunkt eller når der sker ændringer i kundeforholdet.

Hvad hvis kunden ikke vil udlevere oplysninger?

Du må ikke etablere kundeforholdet eller gennemføre transaktioner, hvis du ikke kan opfylde KYC-kravene. For eksisterende kunder skal du overveje at afbryde kundeforholdet og eventuelt underrette Hvidvasksekretariatet.

Kan jeg stole på KYC udført af andre?

Du kan i visse tilfælde støtte dig på KYC udført af andre regulerede virksomheder inden for EU/EØS, men ansvaret forbliver hos dig. Du skal sikre dig, at den anden virksomhed har tilstrækkelige procedurer og kan udlevere dokumentationen på anmodning.

Hvornår kræves skærpet kundekendskab?

Ved højrisikokunder: PEP'er og deres relationer, kunder fra højrisikolande, komplekse ejerstrukturer, og situationer hvor der er øget risiko for hvidvask eller terrorfinansiering.

Hvor ofte skal jeg screene mod PEP- og sanktionslister?

Ved onboarding og derefter løbende. Best practice er daglig eller ugentlig screening, da listerne opdateres hyppigt. Ved manuelle processer minimum kvartalsvis.

Konklusion

En effektiv KYC-proces er fundamentet for compliance med hvidvaskloven. Ved at digitalisere processen kan du sikre konsistent kvalitet, reducere fejl og forbedre kundeoplevelsen samtidig.

Nøglen er at se KYC som en løbende proces, ikke en engangsøvelse ved kundens onboarding. Med de rette digitale værktøjer kan du automatisere store dele af arbejdet og frigøre tid til at fokusere på de kunder, der kræver ekstra opmærksomhed.