Requisiti e livelli di convalida KYC

1) Cosa è KYC e perché è necessario

KYC (Know Your Customer) è una serie di procedure di identificazione e verifica dei clienti per ridurre i rischi di riciclaggio di fondi (AML), finanziare il terrorismo (CFT), frode e violazioni dei regimi sanzionatori. In iGaming KYC è completato da controlli di età, geo-limiti, fonti di strumenti e gioco responsabile (limiti, afordability).

• Confermare l'identità e l'età del giocatore.
• Imposta residenza/indirizzo, controlla la geo-tollerabilità.
• Eliminare i rischi di sanzioni, terrorismo e PEP.
• Comprendere le fonti di fondi/ricchezza (SOF/SOW) a limiti elevati.
• Garantire un monitoraggio continuo e una riconfigurazione tempestiva.

2) Approccio orientato al rischio (RBA)

• Geografia: paese di registrazione/residenza, ingressi da giurisdizioni ad alto rischio.
• Pagamenti: metodo, canale (carta, A2A, cripto-onramps), depositi e conclusioni pattern.
• Comportamento: velocità di circolazione, scommesse, schemi di bonus, multi-accunting, anomalie IP/Device.
• Stato client: PEP, sanzioni, media avversi (Adverse Media).
• Rischio alimentare: casinò/scommesse, limiti elevati, traduzioni P2P.

RBA si riflette nei livelli KYC (vedere qui sotto), nei trigger di ingrandimento e nella frequenza di visualizzazione (CDD).

3) Livelli KYC (esempio per il iGaming)

L0 - Tolleranza di base (age & geo pre-check)

L'obiettivo è un vortice istantaneo con un minimo di attrito.
Dati: e-mail/telefono, FIO, data di nascita, paese, consenso.
Controlli: età (data-of-birth + base esterna/SDK), IP/GeoIP, dispositivo, watchlist base.
Limitazioni: limiti bassi di depositi/conclusioni, divieto di P2P, bonus limitati.
Reverse - Al raggiungimento della soglia di giro/output.

L1 - ID standard (CDD)

Documenti: 1 documento di identità (passaporto/ID/diritti d'acqua) + selfie-liveness, in paesi separati, verifica di età separata.
Indirizzo: dichiarazione di indirizzo + controllo «morbido» (phone match, banche aggregatori, file di credito, postal DB).
Controlli automatici: sanzioni/PEP/Adverse Media, duplicati dispositivi/pagamenti, biometria comportamentale.
Limiti: limiti medi di depositi/conclusioni; possibilità di partecipare a tornei/promo.

L2 - Convalida avanzata (EDD )/Sorgenti di risorse (SOF)

Documenti: prove di indirizzo (utility bill/estratto conto bancario), conferma del reddito (estratti conto, estratti conto, pagelle, contratto), se necessario - SOW (vendita asset, eredità).
Intervista/questionario di rischio: una forma breve sulle fonti di fondi, l'occupazione, il traffico previsto.
Controllo tecnico: trigger AML rinforzati, controllo delle sanzioni più frequente/RER.
Limiti: elevati; accesso ai programmi VIP/pagamenti ad alta quota.

L3 - Profilo ultra-rischioso/VIP High-Roller/Cross Border

Inoltre: report/convalida degli asset, e-mail bancari, dichiarazioni.
Compilazione manuale + principio dei quattro occhi (4-eyes).
Frequenza di monitoraggio: elevata, revisioni transazionali eventi, SOW dettagliato.

4) Controlli di identità: metodi e qualità

Verifica doc: OCR + MRZ + NFC (se disponibile), anti-tamponamento, confronto di ritratti.
Selfie-liveness: attivo (mimetica/movimento) o passivo; anti-spoofing (maschere, re-play).
Biometria: faccia-match, a volte voice/behaviorale.
Controlli non documentati: tramite banche/aggregatori (open-banking), uffici crediti, operatori mobili (SIM KYC).
Qualità: requisiti minimi di risoluzione, illuminazione; deviazioni - foglio grigio + lavorazione manuale.

5) Età, geografia e tollerabilità

Età: controllo automatico della data di nascita + registri esterni/SDK, controllo secondario su L1.
Geo: blocco di paesi/stati proibiti; scorrimento IP, GPS/telemetria del dispositivo, paese BIN della mappa, indirizzo del documento.
Sottilità regionali: diverse prove di indirizzo/formato ID (latino/cirillico, trasmissione dei nomi, diverse lingue ufficiali, cartelle).

6) Sanzioni, PEP e media avversi

Sanzioni: mappatura di elenchi (UN/EU/OFAC/HMT e locale), aggiornamento automatico, partita di fuzzy con soglia personalizzabile.
PEP classificazione (internazionali/nazionali/locali; PEP associati).
Adverse Media - Pubblicazioni negative su temi chiave (frode, corruzione).
Le procedure sono le partite positive, la convalida manuale, l'escalation, il rapporto della compilazione.

7) Source of Funds (SOF) и Source of Wealth (SOW)

Quando richiesto: superamento delle soglie di deposito/conclusione, stato VIP, transazioni di grandi dimensioni rare, flag di rischio.

• Estratti conto della banca per 3-6 mes, redditi, dichiarazione dei redditi.
• Prove di entrate singole: vendita di proprietà/azioni, eredità, dividendi, contratto di prestito.
• Conferma dello status (PE/società), contratto, lettera del datore di lavoro.

8) KYB (per merchant/partner/affiliati)

Documenti di registrazione, statuto, beneficiari (UBO), struttura di proprietà.
Direttore/UBO: KYC, sanzioni/RER.
Prove di indirizzo e attività (sito, contratti, conti).
Monitoraggio dei pagamenti e del traffico (per gli affiliati): anti-frod, qualità dei lidi, geo e fonte di traffico.

9) Trigger di ricontrollo (rev-KYC) e evento EDD

Raggiungimento dei limiti di circolazione/conclusione.
Cambio FIO/indirizzo/strumenti di pagamento, pattern sospetti (depositi ciclici/conclusioni rapide).
Media negativi, aggiornamenti nei listini delle sanzioni, nuovi dispositivi/cluster IP.
Inattività prolungata, attività improvvisa.
«Igiene» dei dati: rev-KYC ogni 1-3 anni (RBA-dipendente).

10) Storage, privacy e sicurezza

Minimizzazione e obiettivo: raccogli solo ciò di cui hai bisogno (onboarding, AML, età, regione).
Tempo di conservazione: in genere 5 anni dopo la chiusura del conto/ultima transazione (precisare il diritto locale).
Crittografia (at-rest) e transito (in-transit); segreti in HSM/vendor-vault.
Accesso: il principio dei privilegi minimi (RBAC/ABAC), il controllo, i registri di accesso.
Diritti del soggetto: accesso/correzione/rimozione (se applicabile), trasparenza di elaborazione.
Vendor: DPIA/UDPA, trasferimenti di dati interstatali, clausole contrattuali standard.

11) Architettura e integrazione KYC

1. Registrazione (L0): e-mail/telefono, età/geo pre-check risk pre-score.

2. L1: verifica doc + liveness sanzioni/RER indirizzo (morbido).

3. Apertura dei limiti/funzioni: monitoraggio transazionale (comportamento/pagamento).

4. Escalation a L2/L3 per trigger (soglie, anomalie, VIP).

5. Ruota periodica + evento EDD.

• Provider: ID-venditore, sanzioni/RER, database direzionali, device fingerprint, biometria comportamentale, open-banking/PSP.
• Gateway decisionale: Rule + ML (ridimensionamento dei rischi, comunicazioni grafiche, clustering dei dispositivi).
• Console di compilazione: code di valigette, SLA, quattro occhi, modelli SAR/TR, esportazione di report.
• Logi e verifiche: storage invariato (WORM), versioning dei profili, archiviazione dei documenti.
• Disponibilità/resilienza: risorse regionali, backoff/ripetizioni, degrado in modalità solo L0/L1 quando i vendor esterni non sono disponibili.

12) UX e conversione KYC

Progress Bar e gradualità (split-KYC): prima L0/L1, poi L2 quando i limiti aumentano.
Localizzazione: lingua, formato data/nome, suggerimenti sui documenti (esempio di foto, glare control).
Nuovo caricamento: «Salvare e continuare più tardi», promemoria, secure links.
Disponibilità: SDK mobile, modalità bozza offline, compressione delle immagini.
Fail-safe: errore morbido con spiegazione, canale per controllo manuale, SLA per valigetta.

13) Metriche di qualità KYC

Time-to-Verify (TTV) - Mediana/95 Percentile.
Auto-pass rate e Auto-fail rate, parte di lavorazione manuale.
First Pass Yield (FPY) per documenti.
False Positive rate sanzioni/RER, tempo medio di compensazione degli alert.
Conversion uplift dopo iterazioni UX.
Cost per Verifica e OPEX totale KYC.
SAR/STRR ratio e prestazioni delle escalation.
Re-KYC completion rate.

14) Criteri e modelli (moduli)

• L0: fino a X €/₴/$/₹ al mese, senza output o con microfiore.
• L1 a Y, conclusioni standard.
• L2: limiti elevati + requisito SOF.
• L3 - Limiti bonus + SOW e compilazione manuale.
• Trigger EDD: depositi unici di grandi dimensioni, cicli di depozit→vyvod accelerati, cambi di pagamento frequenti, VPN/proxy, discrepanze tra paesi su IP/BIN/documento.
• Sanzioni/RER: screening per onboording + per ogni pagamento; Le coincidenze di confine per 24 ore.
• Ribaltamento: evento + periodico (12-36 ms RBA).
• Scalate e SAR/STRR: script obbligatori e tempi di presentazione, disabilitazione della notifica del client (tipping-off).

15) Rischi frequenti e come chiuderli

Personalità sintetiche multi-file: documento + ipocrisia + device graph + open-banking.
Biometrica comportamentale, cookie-less device graph, indirizzo/cluster di pagamento.
Bonus abuse per limiti di livello KYC, regole velocity, parziale'bonus posticipato '.
Frod con documenti NFC lettura chip, liveness passivo, analisi texture.
File sottile (thin-file): sorgenti alternative (dati telco, open-banking), controllo manuale.
Trasmettitori/alias, normalizzazione FIO, alfabeti locali, partita di fuzzy.

16) Foglio di assegno mini

• Età, geo, IP/Device.
• Documento + selfie-liveness.
• Sanzioni/PEP/Adverse Media.
• Indirizzo (soft) quando il limite è (hard).
• Regole automatiche e stesura ML.
• Comunicazione trasparente, consenso.

• Rev-screening delle sanzioni/RER.
• SOF (se superata la soglia).
• Verifica della corrispondenza del proprietario dello strumento di pagamento.
• Monitoraggio comportamentale e di pagamento (anomalie).

• Completezza dei record e rilevanza dei documenti.
• Formazione del comando e registro di controllo.
• Test di roadmap (SLA, resilienza).
• DPIA/sicurezza e disponibilità.

17) FAQ (breve)

Puoi entrare in gioco prima della L1? Sì, con L0 con limiti rigidi e età/geo-controllo - ma output/limiti elevati solo dopo L1.
Quando richiedere SOF/SOW? Quando si superano le soglie di giro/output, stato VIP, pattern sospetti o su richiesta del regolatore.
È necessario uno screening a ogni pagamento? Si consiglia un breve recrining sanzionatorio e un monitoraggio comportamentale.
Come non «uccidere» la conversione? Suddivide KYC in fasi, migliora UX, applica fonti di dati alternative e guida automatica.

Totale

Un KYC efficiente è un equilibrio tra protezione aziendale e un UX fluido. Allineare i livelli L0-L3 al proprio profilo di rischio, automatizzare lo screening, implementare SOF/SOW per high-risk, misurare le metriche di qualità e fornire un controllo immutabile. Così resterete nella compilazione senza perdere la conversione e la LTV.