KYC: hvad det er, hvem der kan det, og hvad de tjener

KYC står for Know Your Customer. Som færdighed handler KYC om at kunne fastslå, hvem en kunde er, forstå kundens aktiviteter og risici og holde oplysningerne ajour gennem kundeforholdet.

I dansk hvidvasklovgivning bruges betegnelsen kundekendskabsprocedurer. KYC er den almindelige branchebetegnelse, mens Customer Due Diligence, CDD, ofte bruges om de konkrete undersøgelser og kontroller, der skaber kundekendskabet.

En person med stærke KYC-kompetencer kan identificere en fysisk eller juridisk kunde og kontrollere identitetsoplysninger ved hjælp af pålidelige og uafhængige kilder. Vedkommende forstår forskellen mellem at modtage en oplysning fra kunden og faktisk kontrollere den.

Ved virksomheder skal KYC-medarbejderen kunne forstå ejer- og kontrolstrukturen. Det indebærer at finde frem til de fysiske personer, der i sidste ende ejer eller kontrollerer kunden, og gennemføre relevante kontroller af deres identitet.

Komplekse ejerstrukturer er et centralt kompetenceområde. En erfaren KYC-analytiker kan følge ejerskab gennem holdingselskaber, udenlandske selskaber, fonde, trusts eller andre strukturer og opdage, når den formelle ejer ikke fortæller hele historien.

KYC handler også om kundens formål. Analytikeren skal forstå, hvorfor kunden ønsker relationen, hvilke produkter eller tjenester kunden forventes at bruge, og hvordan den forventede aktivitet ser ud. Det giver et grundlag for senere at vurdere, om kundens faktiske adfærd passer til det kendte billede.

Risikoklassifikation er derfor en vigtig del af færdigheden. Hvidvaskreglerne bygger på en risikobaseret tilgang. Kunden vurderes blandt andet ud fra kundetype, ejerforhold, produkter, geografi, leveringskanaler og forretningsforbindelsens karakter.

En stærk KYC-person kan skelne mellem almindelige, lempede og skærpede kundekendskabsforanstaltninger, når regelsættet giver mulighed eller kræver det. Mere dokumentation er ikke automatisk bedre KYC. Omfanget skal passe til den konkrete risiko og de gældende krav.

PEP-vurdering er et andet centralt område. PEP står for Politically Exposed Person. Analytikeren skal kunne fastlægge relevant PEP-status og forstå, hvornår nærtstående eller nære samarbejdspartnere bliver relevante. FATF understreger, at databaser kan hjælpe, men ikke alene erstatter virksomhedens egne kundekendskabsprocedurer og risikovurdering.

KYC hænger tæt sammen med sanktionsscreening, men er ikke det samme. KYC skaber det dokumenterede billede af kunden. Sanktionsscreening undersøger blandt andet, om relevante personer eller virksomheder matcher gældende sanktionslister. De to processer bruger ofte de samme identitets- og ejerdata.

Source of Funds og Source of Wealth kan også indgå. Det handler om henholdsvis oprindelsen af konkrete midler og den bredere oprindelse af en persons formue. Hvor omfattende undersøgelserne skal være, afhænger af risikoen og den konkrete situation.

KYC slutter ikke, når kunden er oprettet. Hvidvaskloven kræver kundekendskabsprocedurer, når relevante forhold ændrer sig og på passende tidspunkter gennem kundeforholdet. En erfaren person med KYC-kompetencer kan derfor arbejde med periodic reviews, event-driven reviews og opdatering af kundens risikoprofil.

Løbende overvågning hænger tæt sammen med KYC. Hvis kundens transaktioner eller adfærd afviger væsentligt fra det forventede billede, kan der være behov for at opdatere kundekendskabet eller undersøge forholdet nærmere.

Dokumentation er central. En stærk analytiker kan forklare, hvilke oplysninger der er indhentet, hvilke kilder der er brugt, hvordan ejerstrukturen er vurderet, hvilke risikofaktorer der er identificeret, og hvorfor sagen er godkendt eller eskaleret.

Den stærkeste KYC-kompetence er derfor ikke evnen til at indsamle flest dokumenter. Den viser sig ved at kunne skabe et sammenhængende, risikobaseret og dokumenteret billede af kunden og opdage, når oplysningerne ikke hænger sammen.

KYC-færdigheden er særlig vigtig i banker, betalingsvirksomheder, fintech, investering, forsikring og andre finansielle virksomheder, hvor kundekendskab er en central del af arbejdet mod hvidvask og terrorfinansiering.

Kompetencen bruges også i andre brancher, der er omfattet af hvidvaskregler eller arbejder med tilsvarende compliance-risici. Det kan blandt andet være revisions-, regnskabs-, juridiske og andre professionelle miljøer afhængigt af den konkrete aktivitet og regulering.

Typiske roller er KYC-analytiker, CDD-analytiker, AML-analytiker, Financial Crime-analytiker, KYC-person med særlige kompetencer, Client Onboarding-medarbejder og Compliance Officer. Mere erfarne profiler kan arbejde med quality assurance, komplekse kunder, policy, procesdesign eller ledelse af KYC-funktioner.

KYC er særlig vigtigt ved kundeonboarding. Virksomheden skal kunne forstå og kontrollere kunden, før den accepterer en relation, når reglerne kræver det. Her skal analytikeren balancere kundeoplevelse med kravene til dokumentation og risikovurdering.

Kompetencen gør en stor forskel ved erhvervskunder. En simpel dansk virksomhed kan være relativt overskuelig, mens en international koncern med flere ejerlag kræver analyse af ejerstruktur, reelle ejere, aktiviteter og geografiske forbindelser.

KYC er også vigtigt ved højrisikokunder. Her kan der være behov for yderligere oplysninger og skærpede kundekendskabsprocedurer. Analytikeren skal kunne forklare, hvilke forhold der øger risikoen, frem for blot at markere kunden som høj risiko i et system.

Periodic reviews kræver ligeledes stærke KYC-kompetencer. Her skal medarbejderen vurdere, om eksisterende information stadig er korrekt, og om kundens aktiviteter, ejerskab eller risikoprofil har ændret sig.

Event-driven reviews bliver relevante, når virksomheden opdager en væsentlig ændring. Det kan eksempelvis være ny ejerstruktur, ændret aktivitet, nye geografiske forbindelser eller ændringer i PEP-status. KYC-medarbejderen skal kunne afgøre, hvilke dele af kundekendskabet der skal undersøges igen.

Kompetencen er også vigtig, når automatiserede KYC-systemer bruges. Software kan hente registerdata, verificere identitet og generere alerts, men vanskelige sager kræver stadig menneskelig vurdering. En erfaren person med KYC-kompetencer kan udfordre systemets resultat og dokumentere sin egen konklusion.

På seniorniveau bliver KYC en proces- og kontrolkompetence. Her arbejder vedkommende måske med risikomodeller, procedurer, quality assurance, stikprøver, workflow-design og analyse af, hvorfor medarbejdere eller systemer træffer forkerte beslutninger.

KYC læres bedst gennem en kombination af regler, risikoforståelse og praktisk sagsbehandling. Det er relativt let at lære en tjekliste. Det er langt sværere at vurdere en kunde, hvor oplysningerne er ufuldstændige eller modsiger hinanden.

For danske profiler er hvidvaskloven og Finanstilsynets vejledning centrale udgangspunkter. Her beskrives blandt andet identifikation, kontrol af identitet, reelle ejere, formål med forretningsforbindelsen, risikobaseret kundekendskab og løbende opdatering.

EBA's Guidelines on ML/TF Risk Factors er en vigtig europæisk faglig reference for finansielle virksomheder. Retningslinjerne beskriver, hvordan virksomheder vurderer risikoen ved kunder og forretningsforbindelser og tilpasser Customer Due Diligence til den identificerede risiko.

FATF Recommendations er den internationale grundramme. Recommendation 10 om Customer Due Diligence er særlig central. FATF har også særskilt vejledning om reelle ejere og Politically Exposed Persons.

ACAMS tilbyder KYC Foundations som et målrettet introduktionsforløb. Det arbejder med Customer Due Diligence, indsamling af kundeoplysninger, risikoforståelse og praktisk KYC. ACAMS har også KYC Intermediate til personer med eksisterende erfaring.

International Compliance Association tilbyder ICA Certificate in KYC and CDD som en introducerende kvalifikation. For mere erfarne analytikere tilbyder ICA Advanced Certificate in Practical Customer Due Diligence, som går dybere i praktiske CDD-vurderinger og risikohåndtering.

Kurser giver et fagligt fundament, men gør ikke alene en person til stærk KYC-analytiker. Kompetencen udvikles gennem rigtige sager med uklare ejerstrukturer, forskellige dokumenttyper, udenlandske registre, PEP-problemstillinger og kunder, hvor oplysningerne ikke passer sammen.

En god praktisk træningsøvelse er at analysere en selskabsstruktur. Start med kunden og følg ejer- og kontrolkæden, indtil de relevante fysiske personer er identificeret. Dokumentér samtidig hvilke kilder der understøtter konklusionen.

Risikoklassifikation bør trænes særskilt. Vurder flere forskellige kunder og forklar, hvilke faktorer der øger eller reducerer risikoen. Det træner evnen til at begrunde risikovurderingen frem for blot at acceptere systemets score.

PEP-sager er også nyttige træningscases. Undersøg både personen, relevante relationer og den konkrete risiko. Målet er at forstå, at PEP-status kræver bestemte overvejelser, men at kundevurderingen stadig skal bygge på det gældende regelsæt og konkrete fakta.

KYC-medarbejdere bør også lære at skrive korte og præcise sagsnotater. En anden analytiker, QA-medarbejder eller tilsynsførende skal kunne forstå sagen uden at skulle rekonstruere hele undersøgelsen fra begyndelsen.

På mere avanceret niveau bør man lære quality assurance og root cause analysis på KYC-fejl. Hvis mange analytikere misforstår samme krav, kan problemet ligge i procedure, træning, systemdesign eller datakilder frem for hos den enkelte medarbejder.

En kort introduktion kan gøre en person klar til simple KYC-opgaver under supervision. Niveauet for mere avancerede opgaver kræver erfaring med risikovurdering, komplekse juridiske personer, internationale forhold og sager, hvor svaret ikke findes direkte i en tjekliste.

Bed personen beskrive en kompleks KYC-sag, vedkommende selv har håndteret. Et stærkt svar begynder med kunden, ejerstrukturen og risikofaktorerne frem for med en liste over dokumenter, der blev indsamlet.

Spørg forskellen mellem identifikation og verifikation. En erfaren kandidat kan forklare, at det ene handler om at fastslå identitetsoplysninger, mens det andet handler om at kontrollere oplysningerne gennem relevante og pålidelige kilder.

Bed kandidaten forklare, hvad en reel ejer er. Giv derefter en selskabsstruktur med flere ejerlag. En stærk KYC-profil forsøger at forstå, hvilke fysiske personer der i sidste ende ejer eller kontrollerer kunden, frem for at stoppe ved det første selskab i kæden.

Spørg, hvordan kunden risikoklassificeres. Kandidaten bør kunne tale om kundetype, ejerforhold, produkter, geografi, leveringskanaler og formålet med relationen og kunne forklare, hvorfor de konkrete faktorer betyder noget.

Et godt testspørgsmål er, om en PEP automatisk betyder, at kunden er kriminel eller skal afvises. En kompetent analytiker ved, at PEP-status er en risikofaktor med særlige krav og ikke i sig selv dokumentation for ulovlig aktivitet.

Spørg også om Source of Funds og Source of Wealth. En erfaren profil kan skelne oprindelsen af de konkrete midler fra den bredere forklaring på, hvordan en persons samlede formue er opbygget.

Bed kandidaten forklare, hvad vedkommende gør, hvis offentlige registeroplysninger og kundens egne oplysninger om ejerskab ikke stemmer overens. Et modent svar indeholder yderligere undersøgelse og eskalation efter virksomhedens procedure frem for automatisk at vælge den ene kilde.

Spørg, hvornår KYC skal opdateres. Kandidaten bør forstå, at kundekendskab ikke kun udføres ved onboarding, men også skal holdes ajour, blandt andet når relevante omstændigheder ændrer sig og på passende tidspunkter i kundeforholdet.

Dokumentation er også et godt testområde. Bed kandidaten vise, hvordan en kompleks sag kan opsummeres, så en reviewer kan forstå ejerstruktur, risici, kilder og konklusion uden at læse alle dokumenter fra bunden.

Ved seniorprofiler bør man spørge om KYC-kvalitet på procesniveau. Hvordan opdager man systematiske fejl? Hvordan vurderes kvaliteten af en risikomodel? Hvornår er et problem et træningsproblem, og hvornår skyldes det selve proceduren eller systemet?

Certifikater fra ACAMS eller ICA kan dokumentere struktureret KYC-uddannelse. Den stærkeste dokumentation er stadig konkrete sager, hvor personen kan forbinde identitet, ejerstruktur, formål, risiko, dokumentation og løbende kundekendskab til en begrundet beslutning.