KYC er ikke ét tjek, men en procedure. Man skal finde ud af, hvem kunden er, kontrollere at oplysningerne passer, og derefter holde øje med om forholdet ændrer sig. I daglig tale bruges ordet løst om alt fra et pasopslag til en fuld gennemgang af et ejerskab.
Hvad loven kræver
Hvidvaskloven kalder det kundekendskabsprocedure. § 11 siger tre ting:
- Indhent identitetsoplysninger. For personer er det navn og CPR-nummer, eller fødselsdato hvis der ikke er et CPR-nummer. For virksomheder er det navn og CVR-nummer.
- Kontrollér oplysningerne "på grundlag af dokumenter, data eller oplysninger indhentet fra en pålidelig og uafhængig kilde". Loven nævner udtrykkeligt elektroniske identifikationsmidler. Det er hjemlen til at bruge et eID.
- Indhent oplysninger om de reelle ejere, og tag rimelige skridt til at kontrollere dem.
Der er en fjerde ting, som ofte bliver glemt. Efter § 11, stk. 4 skal man kunne godtgøre over for tilsynsmyndigheden, at kendskabet er tilstrækkeligt i forhold til risikoen. Det er ikke nok at have gjort det. Man skal kunne vise det bagefter.
Hvornår det skal gøres
§ 10 sætter tærsklerne. Etablerer man en forretningsforbindelse, skal kundekendskabet altid laves. For enkeltstående transaktioner er der beløbsgrænser. Hovedreglen er mindst 15.000 euro. Ved pengeoverførsel er grænsen over 1.000 euro, og ved valutaveksling er den 500 euro eller derover.
To af tilfældene har ingen beløbsgrænse. Ved mistanke skal der laves kundekendskab uanset hvor lille beløbet er. Det samme gælder, hvis man er i tvivl om oplysninger, man har indhentet tidligere.
Hvem er omfattet
Ikke alle. Loven peger på 22 kategorier, blandt andre pengeinstitutter, realkredit, betalingstjenester, valutaveksling, revisorer, advokater, ejendomsmæglere, spiludbydere, kunsthandlere ved handler på 50.000 kr. eller derover, og udbydere af kryptoaktivtjenester.
En almindelig webshop med tøj står ikke på listen. Der er fire forskellige tilsynsmyndigheder afhængigt af branchen: Finanstilsynet, Erhvervsstyrelsen, Advokatrådet og Spillemyndigheden.
KYC og aldersverifikation er ikke det samme
Det bliver blandet sammen. Et tjek af alderen giver kun svar på, om personen har den alder, der kræves. Se aldersverifikation for den side af sagen. KYC svarer på, hvem personen er, og hvorfor de er kunde.
Teknisk kan begge dele køre gennem det samme eID. Forskellen ligger i, hvor meget der bliver udleveret. Ved aldersverifikation kan svaret være et rent ja eller nej, og så er der ikke noget at opbevare. Ved KYC skal identiteten kendes, og så begynder reglerne om CPR-numre at gælde.