Enligt uppgifter från verkställande tjänsten vid kommissionen för förebyggande av penningtvätt och penningbrott (SEPBLAC) från 2024 upptäcktes mer än 24 000 varningar om misstänkta transaktioner till följd av obligatoriska verifieringar av kundkännedom (KYC) i Spanien. Finansinstitut stod för majoriteten av varningarna (86 %), följt av icke-finansiella institut (11,6 %) och andra typer av enheter (2,6 %).

I Spanien har specifika företag en juridisk skyldighet att införa KYC-kontroller. Men alla företag som vill förbättra möjligheterna att upptäcka och förebygga bedrägerier kan också göra det frivilligt. Oavsett om KYC är obligatoriskt för ditt företag eller inte är det viktigt att veta hur du ska genomföra det. I den här artikeln förklarar vi KYC, inklusive dess syfte och rutiner.

Vad innehåller den här artikeln?

• Vad betyder kundkännedom (KYC)?
  
• Vilka är fördelarna med KYC?
  
• Vem är skyldig att implementera KYC-processer i Spanien?
  
• Juridiska krav för KYC-processer i Spanien
  
• Exempel på en KYC-process i Spanien
  
• Hur Stripe Identity förenklar KYC-processer
  
• Vanliga frågor om KYC i Spanien
  

Vad betyder kundkännedom (KYC)?

En KYC-process är utformad för att verifiera kundernas identitet innan de ingår avtal om tjänster eller slutför onlineköp. Syftet är att minska risken för bedrägerier och andra ekonomiska brott, till exempel penningtvätt.

För att verifiera kundernas identitet och minska säkerhetshoten – inklusive identitetsstöld och personuppgiftsstöld – kan företag använda mekanismer som tvåfaktorsautentisering och digitala signaturer.

Vilka är fördelarna med KYC?

Utöver att vara ett obligatoriskt krav i vissa branscher erbjuder implementeringen av KYC fördelar på operativ och strategisk nivå för företag som arbetar i digitala miljöer. Det här är de främsta fördelarna med att integrera KYC-processer:

• Skydd mot bedrägeri
  Genom att verifiera kundernas identitet blir det svårare för bedrägliga aktörer att få åtkomst. KYC är den inledande barriären som verifierar varje kund. Detta är särskilt viktigt i en digital miljö där identitetsstöld står för 14 % av ärendena till det nationella cybersäkerhetsinstitutet (INCIBE).
  
• Operativ stabilitet
  Strikt efterlevnad av lagen om förebyggande av penningtvätt är viktigt för att garantera företagets kontinuitet. Förutom ekonomiska påföljder kan ett bristfälligt system för kundkännedom leda till att företagets verksamhet avbryts eller att styrelseledamöter diskvalificeras.
  
• Automatisering och noggrannhet i databehandlingen
  De flesta moderna KYC-lösning använder optisk teckenigenkänning (OCR) och artificiell intelligens (AI) för att extrahera information från dokument med hög noggrannhet. Genom att eliminera behovet av att manuellt ange data minimerar dessa KYC-lösningar mänskliga fel. Detta kan resultera i tillförlitliga och standardiserade kundregister.
  
• Snabb onboarding
  En av de främsta orsakerna till att registreringen avbryts är långsam eller komplicerad onboarding. Genom att integrera ett flexibelt KYC-system kan man förändra den här upplevelsen. Nu kan man till exempel behandla ärenden som tidigare krävde fysisk dokumentation och långa väntetider på några sekunder. Dessutom är vissa KYC-lösningar kompatibla med identitetshandlingar från ett tiotal länder, vilket gör dem lättare att lansera på nya marknader.
  

Vem är skyldig att implementera kundkännedomsprocesser i Spanien?

I förordning (EU) 2024/1624 fastställs det regelverk som styr tillämpningen av policyer och förfaranden för KYC i EU. Varje medlemsstat har dock befogenhet att införa sina egna juridiska nyanser.

I Spanien styr lag 10/2010 om förhindrande av penningtvätt och finansiering av terrorism huvudsakligen KYC-system. Nedan tillhandahåller vi en lista över enheter som har en juridisk skyldighet att samla in och verifiera identifierande information när de etablerar eller upprätthåller en affärsrelation i Spanien.

Finansinstitut

Finansinstitut utsätts för en större risk för bedrägliga transaktioner eftersom de fokuserar på hanteringen av kundernas finansiella resurser. Detta återspeglas i data från SEPBLAC, som visar att banker, sparbanker, betalningsinstitut och andra kreditinstitut hade det största antalet indikationsbaserade rapporter under 2024. Här är en fullständig lista över finansinstitut som är skyldiga att implementera kundkännedomsprocesser:

• Kreditinstitut
  
• Liv- eller investeringsförsäkringsbolag
  
• Investeringstjänsteföretag
  
• Fondförvaltare och -bolag
  
• Förvaltare av pensionsfonder
  
• Venturekapitalförvaltare och -bolag
  
• Ömsesidiga garantibolag (dvs. ideella organisationer som finansierar spanska små och medelstora företag [SMF:er]\ och omfattas av lag 1/1994)
  
• Digitala penning- och betalningsinstitut
  
• Yrkesverksamma inom valutaväxling
  
• Leverantörer av kryptovalutatjänster
  

Icke-finansiella institut

Vissa enheter utanför finanssektorn är också involverade i högrisktransaktioner. Lotteriadministratörer, registratorer och notarier registrerade det största antalet indikationsbaserade rapporter under 2024, enligt SEPBLAC. Följande är icke-finansiella institut som måste införa kundkännedomsprocesser:

• Leverantörer av postanvisningar, så länge deras huvudsakliga verksamhet omfattar logistik och inte de som betalningsinstitut gör
  
• Kreditförmedlare och långivare som är verksamma utan banklicens och inte betraktas som kreditinstitut eller finansiella kreditinstitut
  
• Fastighetsutvecklare och mäklare med hyrestransaktioner som är lika med eller större än 10 000 EUR per månad eller 120 000 EUR per år
  
• Revisorer, externa revisorer och skatterådgivare
  
• Notarier och markförvaltare, registratorer för personlig egendom och företagsregistratorer
  
• Advokater och jurister i vissa transaktioner för kunders räkning, t.ex. finansiella transaktioner eller fastighetstransaktioner
  
• Yrkesverksamma som tillhandahåller tjänster till företag och truster
  
• Kasinon
  
• Smyckes-, ädelstens- eller ädelmetallhandlare
  
• Konst- eller antikhandlare eller mäklare
  
• Säljare av varor med återköpserbjudanden
  
• Lotteri- och speloperatörer om de betalar ut vinster
  
• Säljare av varor vars köp görs av personer som inte är bosatta i Spanien och som är värda mer än 10 000 EUR och betalas med betalningsmetoder med hög risk, t.ex. kontanter
  
• Stiftelser och föreningar när de bidrar med eller tar emot medel
  
• Systemförvaltare för avräkning och betalning av värdepapper
  

Även om ett företag inte är juridiskt skyldigt att införa ett KYC-system rekommenderas att man implementerar ett för att förbättra riskhanteringen för bedrägerier. Eftersom KYC innebär att kundernas identiteter och finansiella aktiviteter verifieras kan detta hjälpa till att minska hot som identitetsstöld.

Juridiska krav för KYC-processer i Spanien

Lag 10/2010 fastställer också de krav som alla enheter som är skyldiga att införa kundkännedomsprocesser måste uppfylla. Kraven klassificeras i due diligence och kontrollåtgärder. Vi beskriver de viktigaste av dessa krav nedan.

Due diligence

Due diligence innebär att man samlar in information om kundernas identitet och ekonomiska aktiviteter. Due diligence tillämpas i proportion till kundens risknivå, typ av produkt eller transaktionens art. Denna riskanalys måste formaliseras skriftligen i förväg för att fastställa riskprofilen och i slutändan de tillämpliga kraven.

Krav på due diligence för lågriskprofiler

I de fall där analysen visar att riskprofilen är låg tillåter reglerna tillämpning av förenklade åtgärder för due diligence. Detta förenklar förfarandena utan att äventyra efterlevnaden av gällande bestämmelser. De viktigaste kraven beskrivs nedan:

• Identifiera kunden
  Det första steget för företag eller yrkesverksamma som implementerar kundkännedomsprocesser är att formellt identifiera kunden. Om det är en juridisk enhet (t.ex. ett företag som vill köpa ett kontor) måste den verklig huvudmannen identifieras (dvs. den individ som äger mer än 25 % eller kontrollerar företag).
  
• Verifiera yrkesverksamheten eller företagets verksamhet
  Den enhet som ansvarar för KYC måste verifiera att kundens yrkes- eller företagsverksamhet är sanningsenlig (t.ex. genom löneutbetalningar eller företagsintäkter). Denna verifiering måste vara rimlig (dvs. stå i proportion till transaktionens risknivå).
  
• Bestäm syftet med transaktionen
  Därefter är det nödvändigt att ta reda på kundens syfte med den finansiella transaktionen. Detta måste stämma överens med den tidigare verifierade yrkesverksamheten eller företagets verksamhet. Om syftet med transaktionen till exempel är att allokera en del av företagets besparingar till att investera i kryptovalutor, kan ett köp på 500 000 EUR i Bitcoin vara rimligt om företaget har årliga intäkter på flera miljoner EUR. Det skulle dock inte vara rimligt för en privatperson med en månadslön på 1 500 EUR.
  
• Implementera kontinuerlig övervakning
  KYC-systemet är inte begränsat till början av affärsrelationen, utan omfattar kontinuerlig övervakning. Om en kund till exempel tjänade 2 900 EUR när de investerade i en fond, men nu är arbetslös och saknar inkomst, är det viktigt att finansinstitutet känner till den informationen. Därför är det viktigt att uppdatera kunddata när betydande förändringar sker i deras profiler.
  

Krav på due diligence för högriskprofiler

Om analysen visar att kundens profil, transaktion eller förvärvade tillgång har hög risk kommer åtgärder för utökad due diligence att implementeras. Dessa åtgärder gäller utöver kraven för lågriskprofiler. Nedan förklarar vi några av de vanligaste åtgärderna i Spanien:

• Hitta medlens ursprung
  Denna utökade åtgärd gäller till exempel när kunden har en offentlig ansvarsposition, till exempel en minister eller en högre partiledare med företrädare i parlamentet.
  
• Kräv en elektronisk signatur
  Om transaktionen sker elektroniskt måste företaget verifiera kundens identitet med en elektronisk signatur som uppfyller kraven i förordning (EU) nr 910/2014.
  
• Erhåll expressauktorisering
  I vissa gränsöverskridande betalningar från en spansk bank till en utländsk bank krävs expressauktorisering från den högsta ledningen innan du fortsätter att överföra medel.
  

Kontroll- och informationsåtgärder

Om resultaten av due diligence pekar på möjlig olaglig verksamhet måste företaget som ansvarar för KYC-processen vidta följande kontroll- och informationsåtgärder:

• Särskild prövning
  Företaget måste implementera sina interna kontrollprotokoll för att utreda det specifika fallet och utarbeta en rapport som beskriver orsakerna till misstanken och de slutsatser som dragits.
  
• Indikationsbaserad eller systematisk rapportering
  Om slutsatsen av den särskilda granskningen bekräftar eller stärker den ursprungliga misstanken måste företaget skicka en rapport till SEPBLAC med uppgifter om kundens identitet, aktivitet och misstänkta transaktion. Även om det inte finns några bevis för misstanke är det obligatoriskt att skicka en systematisk rapport om dessa transaktioner med ursprung eller destination i länder med hög risk för penningtvätt.
  
• Avbruten transaktion
  Företaget måste avstå från att genomföra transaktionen, såvida inte detta är omöjligt eller skulle kunna hindra utredningen.
  
• Förbud mot utlämnande
  Företaget får inte informera kunden eller tredje part om rapporten till SEPBLAC, oavsett om rapporten är indikationsbaserad eller systematisk.
  
• Samarbete med myndigheter
  Om de berörda myndigheterna begär ytterligare information måste företaget tillhandahålla den snabbt och korrekt för att underlätta utredningen.
  
• Dokumentretention
  Företaget måste spara all dokumentation i 10 år som styrker efterlevnad av de juridiska kraven för kundkännedomsprocesser i Spanien.
  

Exempel på en KYC-process i Spanien

Även om due diligence för kunder varierar beroende på riskprofil och verksamhetsform är de grundläggande stegen i de flesta fall likartade. Här är ett exempel på ett förfarande för kundkännedom i Spanien:

• Öppna formuläret
  Booking.com är det mest använda bokningssystemet för boende i B2C-miljön i Spanien, som till och med överträffar direktbokningar med hotell. Ledningen för ett traditionellt hotell bestämmer sig för att inleda en affärsrelation med denna onlineresebyrå som en del av sin strategi för digital omvandling. För att bedriva verksamhet på plattformen måste man först fylla i Booking.coms KYC-formulär.
  
• Bestäm typ av enhet
  Booking.com tillämpar olika krav beroende på typ av enhet. Egenföretagare behöver till exempel bara ange sina personuppgifter och bankkontouppgifter. Hotellet är dock registrerat i handelsregistret som ett företag med begränsat ansvar (SL), så hotellcheferna väljer alternativet ”Företagsenhet”.
  
• Fyll i formuläret
  Representanten fyller i formuläret för SL:s räkning. För att kunna verka som ett partnerföretag ber Booking.com om information om företagets namn, bolagsbildningsdatum och internationellt kontobankkontonummer (IBAN) för företagets bankkonto.
  
• Verifiera informationen och analysera risken
  När Booking.com har tagit emot formuläret behandlas verifieringen i flera steg, bland annat genom att identifiera SL:s ägare och kontrollera att uppgifterna stämmer överens med dem i handelsregistret. Därefter görs en riskanalys, och om resultatet blir positivt inleds en affärsrelation med hotellet.
  
• Implementera ett förfarande för KYC för bokning
  Det är vanligt att plattformar som Booking.com utvidgar denna procedur till att omfatta kunder som gör hotellbokningar för att stärka sina KYC-protokoll. I den här videon visar vi identitetsverifieringsprocessen med Stripe Identity och vilka steg kunderna behöver slutföra under bokningsprocessen.
  

Så förenklar Stripe Identity kundkännedomsprocesser

Om du enligt lag är skyldig att implementera ett KYC-system i Spanien måste du se till att förfarandena för insamling av information efterlevs i enlighet med den allmänna dataskyddsförordningen (GDPR). Stripe Identity underlättar denna uppgift genom att förenkla identitetsverifieringen under onboardingen och följa spanska bestämmelser om KYC.

Med Identity kan du verifiera dina kunders identiteter och minska risken för läckage av konfidentiella data. Det förenklar också bedrägeriteamens arbetsbörda genom att minska manuella uppgifter, samtidigt som legitima kunder kan dra nytta av snabbare och enklare verifieringsprocesser.

Genom att kombinera Stripe Payments – Stripes onlinebaserade betalplattform – med Stripe Radar – dess verktyg för bedrägerier – kan man dessutom förhindra bedrägliga attacker. Detta beror på systemens säkerhetsåtgärder och förebyggande av falska positiva resultat som kan påverka konverteringen.

För plattformar och marknadsplatser kan Stripe Connect förenkla kundkännedomsprocesser vid betalningar till flera parter. Det integrerar KYC-verifieringar för kunder, utöver verifiering för företag och yrkesverksamma som erbjuder sina produkter och tjänster på din webbplats.

Vanliga frågor om KYC i Spanien

Är det obligatoriskt att genomföra KYC-processer för alla transaktioner?

Huruvida KYC-processer är obligatoriska eller inte beror på typen av enhet de berör. Finansinstitut (t.ex. kreditinstitut och leverantörer av kryptovalutatjänster) måste tillämpa KYC-processer på alla transaktioner. Vissa icke-finansiella enheter är dock endast skyldiga att utföra dessa verifieringar i specifika fall. Butiker och yrkesverksamma måste till exempel genomföra KYC-processen med transaktioner till utländska medborgare för belopp som överstiger 10 000 EUR som betalas med betalningsmetoder med hög risk.

Vad händer om KYC-processen inte genomförs trots att det är obligatoriskt?

Om ett företag inte uppfyller skyldigheten att införa KYC-processer måste det acceptera tillämpliga påföljder. Mindre förseelser – som att inte identifiera en kund i en enda transaktion – kan leda till privata tillrättavisningar eller böter på upp till 60 000 EUR. Vid allvarliga förseelser – som att inte identifiera kunden när det finns tecken på det eller övertygelse om penningtvätt eller finansiering av terrorism – är minimibötesbeloppet 60 000 EUR. För mycket allvarliga förseelser – inklusive upprepade förseelser – är minimistraffet 150 000 EUR. Utöver böter kan allvarliga och mycket allvarliga förseelser leda till andra konsekvenser, till exempel tillfällig indragning av den administrativa auktoriseringen att bedriva verksamhet och diskvalificering av chefer.

Är det lämpligt att införa KYC-processer i ett företag inom e-handel?

Även om e-handelsföretag inte är skyldiga enligt lag att införa ett system för kundkännedom rekommenderas det för att upptäcka och förhindra bedrägerier inom e-handel. Genom att samla in information om kunder och deras ekonomiska verksamhet kan du fastställa risknivån i företagets relationer och vid behov vidta extra försiktighetsåtgärder för att undvika hot som identitetsstöld. Att tillämpa förfarandet för kundkännedom utan att behöva göra det rekommenderas särskilt för företag som accepterar mer riskfyllda betalningsmetoder, t.ex. e-handelsföretag som accepterar kryptobetalningar eller delbetalningar.