Wymagania KYC i poziomy kontroli

1) Czym jest KYC i dlaczego jest potrzebny

KYC (Know Your Customer) to zestaw procedur identyfikacji i weryfikacji klientów w celu zmniejszenia ryzyka prania pieniędzy (AML), finansowania terroryzmu (CFT), oszustw i naruszeń systemów sankcji. W iGaming KYC jest uzupełniona przez weryfikację wieku, ograniczenia geograficzne, źródła funduszy i odpowiedzialnej gry (limity, przystępność cenowa).

• Potwierdź tożsamość i wiek gracza.
• Ustalić miejsce zamieszkania/adres, sprawdzić dopuszczalność geograficzną.
• Wykluczenie sankcji, zagrożeń terrorystycznych i PEP.
• Rozumieć źródła funduszy/bogactwa (SOF/SOW) w wysokich granicach.
• Zapewnienie ciągłego monitorowania i terminowych cofnięć.

2) Podejście oparte na ryzyku (RBA)

• Geografia: kraj rejestracji/pobytu, wjazdy z jurysdykcji „wysokiego ryzyka”.
• Płatności: metoda, kanał (karta, A2A, crypto-onramps), schemat wpłaty/wypłaty.
• Zachowanie: prędkość obrotu, zakłady, schematy bonusowe, multiaccounting, anomalie IP/urządzenia.
• Status klienta: PEP, sankcje, negatywne media (Adverse Media).
• Ryzyko produktu: kasyno/zakłady, wysokie limity, transfery P2P.

RBA znajduje odzwierciedlenie w poziomach KYC (patrz poniżej), wyzwalaczach eskalacji i częstotliwości przeglądów (CDD i EDD).

3) Poziomy KYC (przykład dla iGaming)

L0 - Podstawowa tolerancja (wiek & geo kontrola wstępna)

Cel: Natychmiastowy lejek pokładowy z minimalnym tarciem.
Dane: e-mail/telefon, pełne imię i nazwisko, data urodzenia, kraj, zgoda.
Sprawdzenie: wiek (data urodzenia + zewnętrzna podstawa/SDK), IP/GeoIP, urządzenie, podstawowa lista obserwacyjna.
Ograniczenia: niskie limity wpłat/wypłat, brak P2P, ograniczone premie.
Odwrócenie: po osiągnięciu progu obrotu/wyjścia.

L1 - Identyfikacja standardowa (CDD)

Dokumenty: 1 dokument tożsamości (paszport/ID/licencja wodna) + selfie-los, w niektórych krajach - oddzielna weryfikacja wieku.
Adres: deklaracja adresu + miękka kontrola (mecz telefoniczny, banki agregatorów, pliki kredytowe, DB pocztowe).
Automatyczne kontrole: sankcje/PEP/Adverse Media, duplikaty urządzeń/płatności, biometria behawioralna.
Limity: średnie limity depozytów/wypłat; możliwość udziału w turniejach/promocjach.

L2 - Advanced Validation (EDD )/Sourcing (SOF)

Dokumenty: dowód adresu (rachunek użytkowy/rachunek bankowy ≤ 3 miesiące), potwierdzenie przychodu (wyciągi, zaświadczenia o dochodach, wypłaty, umowa), w razie potrzeby - SOW (sprzedaż składnika aktywów, dziedziczenie).
Kwestionariusz wywiadu/ryzyka: krótki formularz dotyczący źródeł funduszy, zatrudnienia, oczekiwanych obrotów.
Kontrola techniczna: wzmocnione wyzwalacze monitorowania AML, częstsza ponowna weryfikacja sankcji/RAP.
Granice: wysokie; dostęp do programów VIP/wysoce płynnych płatności.

L3 - Profil ultrafioletowy/VIP High-Roller/Cross-border

Dodatkowo: skontrolowane raporty/potwierdzenie aktywów, listy od banku, oświadczenia.
Ręczny przegląd zgodności + 4-oczy.
Częstotliwość monitorowania: wysoka, oceny zdarzeń transakcyjnych, szczegółowe SOW.

4) Kontrole tożsamości: metody i jakość

Weryfikacja doku: OCR + MRZ + NFC (jeśli dostępne), anty-manipulator, porównanie portretów.
Selfie-los: aktywny (wyraz twarzy/ruchy) lub pasywny; anti-spoofing (maski, re-play).
Biometria: dopasowanie twarzy, czasami głos/zachowanie.
Weryfikacja nieudokumentowana: za pośrednictwem banków/agregatorów (otwarta bankowość), biur kredytowych, operatorów telefonii komórkowej (SIM KYC).
Jakość: minimalne wymagania dotyczące rozdzielczości, oświetlenia; odchylenia - „szary arkusz” + ręczne przetwarzanie.

5) Wiek, geografia i dopuszczalność

Wiek: automatyczna kontrola daty urodzenia + rejestry zewnętrzne/SDK, kontrola wtórna na L1.
Geo: blokowanie zakazanych krajów/państw; Uzgodnienie IP, GPS/telemetria urządzenia, kraj BIN mapy, adres z dokumentu.
Regionalne subtelności: różne dowody adresowe/formaty ID (łacina/cyrylica, transliteracja nazw, wiele języków urzędowych, patronat).

6) Sankcje, PEP i negatywne media

Sankcje: dopasowanie listy (UN/EU/OFAC/HMT i lokalne), automatyczna aktualizacja, rozmyty mecz z progiem niestandardowym.
PEP: klasyfikacja (międzynarodowa/krajowa/lokalna; osoby związane z PEP).
Negatywne media: negatywne publikacje na kluczowe tematy (oszustwa, korupcja).
Procedury: pozytywne mecze → ręczne walidacja, eskalacja, raport zgodności.

7) Źródło funduszy (SOF) - Źródło majątku (SOW)

W razie potrzeby: przekroczenie progów depozytu/wypłaty, status VIP, rzadkie duże transakcje, flagi ryzyka.

• Wyciągi bankowe za 3-6 miesięcy, zestawienia dochodów, zeznania podatkowe.
• Dowód jednorazowych wpływów: sprzedaż nieruchomości/akcji, dziedziczenie, dywidendy, umowa pożyczki.
• Potwierdzenie statusu (PI/firma), umowa, list pracodawcy.

8) KYB (dla handlowców/partnerów/podmiotów powiązanych)

Dokumenty rejestracyjne, statut spółki, beneficjenci (UBO), struktura własności.
Dyrektorzy/UBO: KYC, sankcje/PEP.
Dowód adresu i działalności (teren, umowy, konta).
Monitorowanie płatności i ruchu (dla podmiotów powiązanych): zwalczanie oszustw, jakość ołowiu, geo i źródło ruchu.

9) Wyzwalacze przedłużenia ważności (rev-KYC) i EDD zdarzeń

Osiągnięcie limitów obrotu/produkcji.
Zmiana pełnej nazwy/adresu/instrumentów płatniczych, podejrzane wzory (cykliczne depozyty/szybkie wnioski).
Negatywne nośniki, aktualizacje list sankcji, nowe urządzenia/klastry IP.
Wydłużona bezczynność + nagła aktywność.
Dane „higiena”: rev-KYC raz na 1-3 lata (zależne od RBA).

10) Przechowywanie danych, prywatność i bezpieczeństwo

Minimalizacja i cel: zebrać tylko to, czego potrzebujesz do celu (na pokładzie, AML, wiek, region).
Okresy przechowywania: zwykle 5 lat po zamknięciu konta/ostatniej transakcji (sprawdź lokalnie).
Szyfrowanie: w stanie spoczynku i tranzytu; sekrety w HSM/sprzedawca-skarbiec.
Dostęp: zasada najmniejszych przywilejów (RBAC/ABAC), audyt, dzienniki dostępu.
Prawa przedmiotowe: dostęp/korekta/usunięcie (w stosownych przypadkach), przejrzystość przetwarzania.
Sprzedawcy: DPIA/UDPA, intercountry transmisji danych, standardowe postanowienia umowne.

11) Architektura i integracja KYC

1. Rejestracja (L0): e-mail/phone → age/geo pre-check → risk-score.

2. L1: doc-verification + livity → sankcje/POP → adres (miękki).

3. Limity/funkcje otwarcia → monitorowanie transakcji (zachowanie/płatność).

4. Eskalacja w celu wywołania L2/L3 (progi, anomalie, VIP).

5. Przegląd okresowy + EDD zdarzeń.

• Dostawcy: dostawca identyfikatorów, sankcje/POP, bazy danych adresowych, odcisk palca urządzenia, biometria behawioralna, otwarta bankowość/PSP.
• Brama decyzji: Zasady + ML (ocena ryzyka, połączenia wykresu, klastrowanie urządzeń).
• Konsola zgodności: kolejki spraw, SLA, cztery oczy, szablony SAR/STR, raporty eksportowe.
• Dzienniki i audyt: niezmienne przechowywanie (WORM), wersioning profilu, archiwum dokumentów.
• Dostępność/stabilność: aktywa regionalne, backoff/powtórzenia, degradacja do trybu „tylko L0/L1”, gdy zewnętrzni sprzedawcy są niedostępni.

12) Konwersja UX i KYC

Pasek postępu i podział-KYC: L0/L1 najpierw, a następnie L2 w miarę zwiększania limitów.
Lokalizacja: język, format daty/nazwy, wskazówki dokumentów (np. zdjęcie, kontrola blasku).
Przeładunek: „zapisz i kontynuuj później”, przypomnienia, bezpieczne linki.
Dostępność: mobilne SDK, tryb projektu offline, kompresja obrazu.
Fail-safe: miękka awaria z wyjaśnieniem, ręczny kanał kontroli, SLA dla przypadków.

13) Wskaźniki jakości KYC

Czas do zweryfikowania (TTV): mediana/95 percentyl.
Szybkość automatycznego przejazdu i szybkość automatycznego awarii, ręczne przetwarzanie akcji.
First Pass Yield (FPY) na dokumentach.
Fałszywy dodatni wskaźnik według sankcji/PEP, średni czas rozliczenia wpisów.
Wzrost konwersji po iteracjach UX.
Koszt na weryfikację i skumulowany KYC OPEX.
Stosunek SAR/STR i wydajność eskalacji.
Wskaźnik ukończenia re-KYC.

14) Zasady i szablony (przykładowy język)

• L0: do X €//$/ miesięcznie, bez wypłaty lub mikro-wypłaty.
• L1: do Y, standardowe wnioski.
• L2: Wysokie limity + wymóg SOF.
• L3: limity premii + SOW i ręczna zgodność.
• Wyzwalacze EDD: duże depozyty jednorazowe, przyspieszony depozit → cykle vyvod, częste zmiany środków płatniczych, VPN/proxy, niedopasowanie krajów zgodnie z IP/BIN/document.
• Sankcje/POP: kontrola pokładowa + przy każdej wypłacie; przegląd „borderline” meczów w ciągu 24 godzin.
• Weryfikacja: zdarzenie + okresowe (12-36 miesięcy wg RBA).
• Eskalacja i SAR/STR: obowiązkowe scenariusze i terminy składania wniosków, zakaz powiadamiania klientów (tipping-off).

15) Częste ryzyko i sposób ich pokrycia

Osobowości syntetyczne → multisignal: dokument + porównanie twarzy + wykres urządzenia + otwarta bankowość.
Mnożenie → biometria behawioralna, wykres urządzenia bez plików cookie, klastry adresowe/płatnicze.
Bonus → limity do poziomu KYC, zasady prędkości, częściowy „bonus odroczony”.
Oszustwo z dokumentami → NFC odczyt chipa, bierna żywotność, analiza tekstury.
Cienki plik (cienki plik) → alternatywne źródła (dane telco, otwarta bankowość), ręczna weryfikacja.
Transliteracja/pseudonimy → normalizacja pełnej nazwy, alfabetów lokalnych, mglisty mecz.

16) Listy kontrolne mini

• Wiek, Geo, IP/Device.
• Dokument + selfie-livity.
• Sankcje/PEP/Adverse Media.
• Adres (miękki) → limit: adres (twardy).
• Automatyczne reguły i punktacja ML.
• Przejrzysta komunikacja, zgoda.

• Rewizja sankcji/REP.
• SOF (w przypadku przekroczenia progu).
• Sprawdzenie, czy właściciel instrumentu płatniczego odpowiada.
• Monitorowanie zachowań i płatności (anomalie).

• Kompletność zapisów i znaczenie dokumentów.
• Szkolenie zespołu i ścieżka audytu.
• Plany testów sprzedawcy (SLA, tolerancja błędów).
• DPIA/bezpieczeństwo i dostęp.

17) FAQ (krótkie)

Mogę grać do L1? Tak, z L0 z twardymi limitami i wiekiem/kontrolą geograficzną - ale wycofanie/wysokie limity dopiero po L1.
Kiedy wymagać SOF/SOW? W przypadku przekroczenia progów obrotu/wyjścia status VIP, podejrzane wzory lub na żądanie regulatora.
Czy potrzebuję badań przesiewowych przy każdej wypłacie? Zaleca się krótką rekonwalescencję sankcji i monitorowanie zachowań.
Jak nie „zabić” nawrócenia? Podziel KYC na etapy, poprawić UX, użyć alternatywnych źródeł danych i auto-pass.

Razem

Skuteczny KYC to równowaga między ochroną biznesu a płynnym UX. Zbuduj poziomy L0-L3 do profilu ryzyka, zautomatyzuj badania przesiewowe, wdrażaj SOF/SOW w celu zapewnienia wysokiego ryzyka, mierz wskaźniki jakości i zapewniaj niezmienny audyt. W ten sposób można zachować zgodność bez utraty konwersji i LTV.