قد تتضمن إجراءات «اعرف عميلك» والتحقق من العمر فحوصات متشابهة، لكنها تجيب عن أسئلة مختلفة. إليك كيف يمكن للمنصات تحديد ما تحتاج فعلاً إلى التحقق منه.
يرفع المستخدم وثيقة هوية. يتم تأكيد اسمه، ويظهر تاريخ ميلاده، وتنجح عملية التحقق.
فهل أكملت المنصة إجراءات «اعرف عميلك» (KYC)؟ وهل تحققت من عمر المستخدم؟ أم أنها تحققت من هويته فحسب؟
قد تبدو هذه الأسئلة متشابهة، لكنها ليست الشيء نفسه.
هذا التمييز مهم لأن المنصات الرقمية تحتاج بشكل متزايد إلى تحديد من يمكنه إنشاء حساب، أو الوصول إلى محتوى معين، أو بيع الخدمات، أو تلقي المدفوعات، أو استخدام ميزات مقيّدة بحسب العمر. إن التعامل مع كل عملية تحقق على أنها «اعرف عميلك» قد يؤدي إلى فحوصات غير ضرورية. وفي المقابل، فإن التعامل مع فحص العمر على أنه تحقق كامل من الهوية يخلق مشكلة مختلفة.
نقطة البداية الأفضل بسيطة: ما الذي تحتاج المنصة فعلاً إلى إثباته بشأن هذا الشخص؟
يرتبط مفهوم «اعرف عميلك» (KYC) ارتباطاً وثيقاً بالعناية الواجبة تجاه العملاء. والهدف منه هو تحديد هوية العميل، وعندما ينطبق الإطار التنظيمي ذي الصلة، دعم تقييم المخاطر المرتبطة بذلك العميل أو بعلاقة العمل معه.
في المتطلبات المعتادة للعناية الواجبة تجاه العملاء، قد تشمل عملية تحديد هوية العميل والتحقق منها الاسم الكامل وتاريخ الميلاد وعنوان السكن. وبحسب الظروف، قد تتطلب العناية الواجبة أيضاً فهم الغرض من العلاقة وطبيعتها المقصودة، وتحديد المستفيدين الحقيقيين، وتطبيق تدابير إضافية عندما تكون المخاطر أعلى.
ولهذا لا ينبغي اختزال اختيار منصة للتحقق وفق إجراءات اعرف عميلك في سؤال واحد: «هل تستطيع التحقق من وثيقة الهوية؟» بل يجب على المنصة أولاً أن تفهم ما الفحوصات المطلوبة فعلياً لنشاطها ولماذا.
ليس كل موقع إلكتروني أو سوق رقمي أو منصة للمبدعين أو خدمة SaaS ملزماً قانونياً تلقائياً بإجراء KYC لمجرد وجود مستخدمين لديه. تعتمد الالتزامات الرسمية المتعلقة بالعناية الواجبة تجاه العملاء على النشاط الذي تتم ممارسته، والإطار التنظيمي المطبق، وطبيعة علاقة العمل.
يهدف ضمان العمر إلى إثبات عمر المستخدم أو تقديره، أو تحديد ما إذا كان يستوفي حداً عمرياً معيناً. ويُعد التحقق من العمر أحد الأساليب المستخدمة ضمن هذه العملية الأوسع.
قد تحتاج خدمة ما فقط إلى تحديد ما إذا كان المستخدم بالغاً قبل السماح له بالوصول إلى محتوى أو وظيفة معينة. وفي هذه الحالة، قد تكون المعلومة المطلوبة محددة للغاية: «هل يبلغ هذا الشخص 18 عاماً أو أكثر؟»
ولا يعني ذلك بالضرورة أن الخدمة تحتاج إلى معرفة الهوية الكاملة للشخص.
تعترف الإرشادات الحالية المتعلقة بضمان العمر بعدة أساليب يمكن استخدامها لتحديد ما إذا كان المستخدم بالغاً أم طفلاً. وقد تشمل هذه الأساليب خدمات الهوية الرقمية، وتقدير العمر من خلال الوجه، ومطابقة وثائق الهوية المصورة، وفحوصات بطاقات الائتمان، والتحقق من العمر عبر شبكات الهاتف المحمول، والخدمات المصرفية المفتوحة. أما مجرد مطالبة المستخدم بإدخال تاريخ ميلاده فلا يُعد كافياً في الحالات التي تتطلب ضماناً فعالاً للغاية للعمر.
وهذا تمييز مهم لفرق تطوير المنتجات. فضمان العمر يتعلق بالنتيجة المطلوب إثباتها، ولا يعني بالضرورة مطالبة المستخدم بتقديم جواز سفر.
تخيل أن منصة ما تلقت نتيجة موثوقة من عملية لضمان العمر:
«المستخدم أكبر من 18 عاماً: نعم.»
قد تكون هذه النتيجة كافية لإثبات ما تحتاجه المنصة بشأن ميزة مقيّدة بحسب العمر. لكنها، بمفردها، لا تخبر المنصة بالضرورة بالاسم القانوني الموثق للمستخدم أو عنوان سكنه أو معلومات هويته الأخرى.
تشجع مبادئ حماية البيانات المؤسسات التي تستخدم ضمان العمر على مراعاة التناسب وتقليل البيانات. لذلك ينبغي للمنصة أن تفكر بعناية فيما إذا كانت تحتاج فعلاً إلى الهوية الكاملة للشخص عندما يكون هدفها الحقيقي مجرد إثبات استيفائه حداً عمرياً معيناً.
ولهذا ينبغي تقييم منصة التحقق من المستخدمين المصممة جيداً وفق السؤال الذي تحاول الشركة الإجابة عنه. ولا ينبغي أن تتحول عملية التحقق إلى مبرر لجمع معلومات شخصية إضافية دون غرض محدد.
وسوء الفهم المعاكس شائع بالقدر نفسه.
لنفترض أن منصة SaaS أكدت أن وثيقة الهوية أصلية وأن الشخص الذي يقدمها هو صاحب الوثيقة بالفعل. قد تكون لدى المنصة الآن أدلة قوية بشأن هوية ذلك الشخص.
لكن هذا لا يعني تلقائياً أنها استكملت كل عناصر العناية الواجبة تجاه العملاء التي قد تنطبق على علاقة خاضعة للتنظيم.
يمكن أن تتجاوز إجراءات «اعرف عميلك» مجرد إثبات الهوية. فبحسب المتطلبات المطبقة ومستوى المخاطر، قد تشمل العناية الواجبة فهم الغرض من العلاقة، وتحديد الملكية المستفيدة، وإجراء المراقبة المستمرة أو تطبيق فحوصات معززة.
وبالتالي، يمكن أن يكون التحقق من الهوية جزءاً من إجراءات «اعرف عميلك» من دون أن يكون مرادفاً لها.
يصبح هذا التمييز مهماً بشكل خاص عند النظر في التحقق من الهوية لمنصات SaaS. فقد يكون لدى خدمة برمجية سبب مشروع للتحقق من بعض المستخدمين من أجل سلامة الحساب، أو منع الاحتيال، أو التحكم في الوصول، أو غرض تجاري محدد آخر، من دون أن يتحول هذا الفحص تلقائياً إلى إجراءات KYC تنظيمية.
ابدأ بالخدمة نفسها.
هل يعتمد الوصول إلى محتوى أو وظيفة أو تفاعل معين على بلوغ المستخدم سناً محددة؟ هل تخضع الخدمة لقواعد تتطلب طريقة فعالة للتمييز بين البالغين والأطفال؟ هل تحتاج المنصة إلى توفير تجارب أو وسائل حماية مختلفة للفئات العمرية المختلفة؟
إذا كان السؤال الأساسي هو ما إذا كان المستخدم يستوفي حداً عمرياً معيناً، فإن ضمان العمر هو المفهوم المناسب.
وتظل الطريقة المطلوبة مرتبطة بالسياق. فالخدمة منخفضة المخاطر والخدمة التي تعرض المستخدمين لمحتوى مقيّد بحسب العمر لا تحتاجان بالضرورة إلى المستوى نفسه من اليقين.
بالنسبة إلى الخدمات الخاضعة لواجبات السلامة على الإنترنت المتعلقة بأنواع معينة من المحتوى الضار أو الإباحي، يجب أن يكون ضمان العمر الفعال للغاية قادراً على تحديد ما إذا كان المستخدم بالغاً أم طفلاً بصورة صحيحة. وتقيّم الإرشادات التنظيمية هذه الأساليب وفق عوامل تشمل الدقة التقنية والمتانة والموثوقية والإنصاف.
وهذا يختلف اختلافاً كبيراً عن مجرد وضع مربع اختيار يقول «عمري 18 عاماً أو أكثر» في صفحة التسجيل.
يجب أن يكون السؤال الأول هو ما إذا كانت الشركة أو النشاط يقع ضمن إطار تنظيمي يتطلب العناية الواجبة تجاه العملاء.
عندما تنطبق هذه الالتزامات، يصبح تحديد هوية العميل والتحقق منها جزءاً من عملية أوسع. وقد تختلف الفحوصات المطلوبة وفقاً للعميل والمعاملة وعلاقة العمل ومستوى المخاطر.
ويمكن للتحقق الرقمي أن يؤدي دوراً في هذه العملية. فقد تتمكن الشركات الخاضعة للتنظيم، وفقاً للمتطلبات ذات الصلة، من استخدام خدمات تحقق رقمية مؤهلة لإجراء فحوصات الهوية ضمن العناية الواجبة تجاه العملاء. لكن استخدام مثل هذه الخدمة لا يحل محل التزامات العناية الواجبة الأوسع التي قد تنطبق.
ولا ينبغي للمنصة أن تبدأ بافتراض أن كل مستخدم يجب أن يخضع لإجراءات KYC. فالبائع في سوق إلكتروني، والمشترك الذي يقرأ المحتوى، والعميل الذي يدخل في علاقة مالية خاضعة للتنظيم قد يطرح كل منهم متطلبات تحقق مختلفة تماماً.
في بعض الحالات، تلتقي المتطلبات.
لنفترض أن منصة ما توفر وظائف مقيّدة بحسب العمر، وفي الوقت نفسه تمارس نشاطاً خاضعاً للتنظيم تنطبق عليه متطلبات العناية الواجبة تجاه العملاء. عندها قد تتضمن رحلة المستخدم نفسها متطلباً لضمان العمر ومتطلباً منفصلاً لإجراءات «اعرف عميلك» أو العناية الواجبة تجاه العملاء.
وقد تحتاج المنصة إلى الإجابة عن سؤالين منفصلين:
قد تسهم المعلومات التي يتم جمعها خلال إحدى العمليتين أحياناً في العملية الأخرى. ووثيقة الهوية الموثقة التي تحتوي على تاريخ الميلاد مثال واضح على ذلك. لكن تداخل الأدلة لا يجعل الغرضين متطابقين.
هذا التمييز مهم عند تصميم رحلة التحقق. فبدلاً من مطالبة كل مستخدم بأكبر قدر ممكن من المعلومات، تستطيع المنصة تحديد ما يجب إثباته في كل مرحلة واختيار طريقة متناسبة مع ذلك.
قبل اختيار التقنية أو إضافة خطوة أخرى إلى التسجيل، يمكن لفرق المنتجات والامتثال طرح أربعة أسئلة عملية:
يمكن أن تساعد الإجابة عن هذه الأسئلة قبل اختيار طريقة التحقق في تجنب خطأ شائع في التصميم: بناء العملية الأكثر تدخلاً أولاً، ثم تحديد الغرض منها لاحقاً.
يمكن أن تظهر إجراءات «اعرف عميلك» والتحقق من الهوية والتحقق من العمر جنباً إلى جنب في رحلة تسجيل واحدة. بل قد تعتمد على بعض الأدلة نفسها. لكن هذا لا يجعلها عمليات متطابقة.
قد تحتاج المنصة إلى إحدى هذه العمليات، أو إلى عدة عمليات، أو إلى فحوصات مختلفة لمجموعات مختلفة من المستخدمين.
السؤال المنطقي الذي يجب البدء به ليس: «ما أكبر قدر يمكننا التحقق منه؟»
بل: «ما الذي نحتاج إلى معرفته، ولماذا نحتاج إلى معرفته، وما الطريقة المتناسبة لإثباته؟»