KYC (Know Your Customer) dækker over de procedurer, en virksomhed bruger til at kende og verificere sine kunder, før og mens et forretningsforhold løber. Med MitID og digital signering kan virksomheder gennemføre identifikation og indhente samtykke digitalt, så kundekendskabet er dokumenteret fra første kontakt. Denne guide gennemgår, hvad KYC indebærer, hvilke trin processen består af, og hvad du skal være opmærksom på.
De fire elementer i en KYC-proces
En KYC-proces består typisk af fire dele: identifikation af kunden, verifikation af identiteten, vurdering af risiko og formål samt løbende overvågning. Identifikation handler om at indsamle oplysninger som navn, CPR/CVR og adresse, mens verifikation bekræfter, at oplysningerne er ægte. Den løbende overvågning sikrer, at kundekendskabet holdes opdateret gennem hele forholdet. For erhvervskunder indgår desuden afdækning af ejerstruktur og reelle ejere, så du ved, hvem der i sidste ende kontrollerer virksomheden. De fire elementer hænger sammen som en kæde, hvor et svagt led – fx mangelfuld verifikation – svækker hele kundekendskabet.
Hvorfor lovgivningen kræver kundekendskab
KYC udspringer af hvidvask- og terrorfinansieringslovgivningen, der forpligter en række brancher til at kende deres kunder. Formålet er at forhindre, at virksomheder uforvarende medvirker til økonomisk kriminalitet. For finansielle aktører hænger kravene tæt sammen med øvrig Regulatory compliance, hvor manglende dokumentation kan føre til sanktioner og tab af tilladelser. Tilsynet stiller ikke kun krav om, at procedurerne findes på papir, men om at de faktisk efterleves og kan dokumenteres i hver enkelt sag. Derfor er det afgørende, at processen er ensartet og logges, så virksomheden kan fremvise et fuldstændigt spor, hvis der senere stilles spørgsmål.
Identifikation og verifikation med nordisk eID
Selve identifikationen kan ske digitalt med Sikker identifikation via eID, hvor kunden bekræfter sin identitet med MitID eller BankID. Det giver en langt højere sikkerhed end manuel kontrol af legitimation, fordi identiteten er knyttet til en statsanerkendt elektronisk identitet. Korrekt Autentificering af kunden er fundamentet for resten af processen.
Risikovurdering og kundekategorisering
Ikke alle kunder udgør samme risiko. En risikobaseret tilgang betyder, at du tilpasser omfanget af kundekendskab til den enkelte kundes profil, fx geografi, branche og transaktionsmønster. Højrisikokunder kræver skærpede procedurer og hyppigere opdatering, mens lavrisikokunder kan håndteres lettere. Kategoriseringen bør dokumenteres, så den kan fremvises ved tilsyn. I praksis kombinerer mange virksomheder objektive kriterier – fx om kunden er hjemmehørende i et højrisikoland – med konkrete observationer fra kundeforholdet. Når en kundes adfærd ændrer sig markant, fx ved usædvanligt store transaktioner, bør risikoklassifikationen revurderes og kundekendskabet eventuelt skærpes.
Dokumentation, samtykke og opbevaring
KYC kræver, at indsamlede oplysninger og samtykker opbevares forsvarligt og kan fremlægges. Med Digital underskrift med MitID kan kunden give samtykke og bekræfte oplysninger med en juridisk gyldig signatur, og hver handling logges i en audit trail. Det gør det muligt at vise, hvornår og hvordan kundekendskabet blev etableret. Opbevaringen skal samtidig balanceres mod GDPR, hvor data ikke må gemmes længere end nødvendigt, men hvor hvidvaskloven omvendt stiller krav om en fast opbevaringsperiode. En digital løsning gør det lettere at styre disse frister, fordi dokumenter og samtykker ligger samlet med korrekt tidsstempling i stedet for spredt i mapper og indbakker.
Trin for trin: sådan gennemfører du legitimation
Selve legitimationen kan brydes ned i konkrete trin, der gør processen ensartet for alle kunder. Først indsamles de grundlæggende oplysninger – for privatkunder typisk navn, adresse og CPR, og for erhvervskunder CVR, selskabsform og tegningsberettigede. Dernæst verificeres oplysningerne mod en pålidelig kilde, helst et statsanerkendt eID som MitID, så du ikke blot stoler på et indscannet kørekort. For virksomheder skal du afdække ejerstrukturen og identificere de reelle ejere, altså de fysiske personer, der i sidste ende ejer eller kontrollerer selskabet. Du bør også afklare formålet med kundeforholdet og den forventede aktivitet, så du har et sammenligningsgrundlag, hvis adfærden senere afviger. Til sidst gemmes al dokumentation samlet med tidsstempel, så hvert trin kan genfindes. Når trinnene følges i samme rækkefølge hver gang, bliver kundekendskabet både hurtigere at gennemføre og lettere at dokumentere over for tilsynet.
Løbende overvågning og opdatering af kundekendskab
Kundekendskab stopper ikke, når kunden er onboardet. Hvidvaskloven kræver løbende overvågning af kundeforholdet, så du opdager, hvis transaktioner pludselig ikke passer til det, du ved om kunden. I praksis betyder det, at du bør holde øje med usædvanlige mønstre – fx betalinger til eller fra højrisikolande, pludselige stigninger i beløb eller transaktioner uden klart forretningsmæssigt formål. Oplysningerne skal opdateres ved væsentlige ændringer, og højrisikokunder bør gennemgås hyppigere end lavrisikokunder. Når noget falder uden for det forventede, skal forholdet undersøges nærmere, og i nogle tilfælde indberettes. En digital løsning gør den løbende overvågning lettere, fordi historik, samtykker og dokumentation ligger samlet og kan fremvises uændret, hvis tilsynet beder om at se sporet.
KYC i praksis for finanssektoren
For banker, forsikrings- og investeringsvirksomheder er KYC en daglig disciplin, der skal balancere compliance med en smidig kundeoplevelse. Læs mere om Digital signering til finanssektoren, hvor identifikation, samtykke og dokumentation samles i ét digitalt flow. En digital proces reducerer manuelt arbejde og mindsker risikoen for huller i dokumentationen.
Sammenhængen mellem KYC og digital signering
KYC og digital signering hænger tæt sammen, fordi begge bygger på verificeret identitet. Hvor KYC handler om at kende kunden, sikrer signeringen, at de aftaler, kunden indgår, er juridisk bindende. Forskellen og samspillet er uddybet i vores artikel om Digital signering og KYC, der forklarer, hvornår din virksomhed har brug for begge dele.
