西班牙远程视频身份识别：如何搭建并经得起监管检查

最近更新：2026年8月4日

视频非面对面身份识别：框架、方式与证据

不与客户见面就为其开户，如今已是数字银行、支付机构、CASP和保险领域的常规操作，但它仍然是一项受4月28日第10/2010号法律（《反洗钱和反恐怖融资法》，Ley 10/2010）及其实施条例第304/2014号皇家法令约束的客户尽职调查行为。在西班牙，远程视频身份识别方法由5月6日第ETD/465/2021号部长令规范。对许多产品团队来说，由此带来的现实后果并不轻松：被审查的不是您的应用程序，而是支撑它的程序，以及您有能力留存的证据。

录制视频与实时视频：真正的区别在哪里

ETD/465/2021号部长令规定了通过实时视频和录制视频进行身份识别，而选择哪种并非技术细节：它会重组您的机构。采用实时视频时，操作员与客户实时连线，并在视频通话期间完成核验。这意味着在您获客的时段内要有人员待命，要有统一的脚本以免两名操作员适用不同标准，要有经认证的培训，并且要留存录像。这种方式对人员要求高，但相对容易说明：有一个人在看，也由这个人来决定。

采用录制视频时，客户拍摄并提交材料，审核随后进行，可以由人工介入、在监督下的自动化控制或两者结合来完成。它的扩展性要好得多，也是几分钟完成开户的基础，但会把全部要求转移到书面文件上：如何审核、依据什么标准、存疑案件由谁决定、系统返回模糊结果时怎么办，以及如何记录拒绝。每种方式的具体要求由该部长令本身规定，这里没有自由发挥的空间。我们与您共同决定的，是哪一种适合您的业务量、客户类型和实际审核能力，因为选错方式的代价，每天都体现在积压的待处理开户队列中。您可以在完整的AML与KYC流程中看到这一环节如何衔接。

程序是文件，而不是工具

这一领域最常见的错误，是把技术方案与合规混为一谈。机构聘用一家实力雄厚的身份验证供应商，完成对接，开始获客，就以为问题已经解决。几个月后检查到来，对方索要“非面对面身份识别程序”，交出的却是厂商的商业资料。那份文件描述的是一款产品；没有人问过产品。

您的程序必须描述您的实际操作：该渠道允许的范围和客户类型、所选视频方式、接受的证件、对证件和本人进行的核验、接受标准、拒绝标准、上报情形、谁来介入以及有多大的决定自主权、异常情况的处理、证据留存政策、相关人员的培训和定期复核。它必须经过批准、注明日期并带有版本号，还必须与体系的其他部分相衔接：与反洗钱手册、机构的风险自评估，以及内部控制机构的职能相衔接。与机构实际做法不符的程序，比没有程序更糟：它以书面形式证明，您知道应该怎么做，却做了别的。

证据：数月之后还原一次具体的开户

贯穿这项工作的问题很简单：如果明天有人要求调取很久以前开户的某位客户的档案，您能否在不再联系客户的情况下还原完整的识别过程？如果答案是否定的，无论您的技术多么出色，都存在问题。

一份完整的远程识别档案包括：所采集的视频或图像材料、所出示证件的复印件、每项核验的结果、执行核验的人员或系统的身份、日期和时间、最终决定及其理由，以及同一申请人此前失败的尝试、重试和拒绝的记录。所有这些均须按反洗钱法规规定的期限留存，并保证完整性（任何人都无法在不留痕迹的情况下改动）和以可读格式调取的能力。建议在被要求提供之前先演练交付：提取一份样本档案，计算耗时，并检查供应商交付的是否与其承诺相符。还要记住，身份识别并不等于完成了客户尽职调查：业务关系的目的、资金来源和风险画像同属同一份档案，详见我们的反洗钱客户尽职调查。

供应商：外包的是任务，不是责任

几乎没有机构会在内部自行开发生物特征采集和证件验证功能，也没有必要。无法外包的是责任：根据第10/2010号法律，反洗钱义务主体仍是贵机构，第三方的过失将算在您头上。因此，与技术供应商的合同是合规档案的一部分，不能只由采购部门和技术团队自行敲定。

我们始终审查的要点：随时调取证据的权利，包括关系终止后；有效的审计权；对链条上转包的管控；数据的存储地点和处理方式（涉及生物特征数据，也就涉及数据保护方面的要求）；服务水平；事件通报；以及一套退出策略，确保您更换供应商时不会丢失历史记录。还有一个总被遗忘的细节：当您解除合同时，已完成识别的客户的证据如何处理，因为您的留存义务不会随着与第三方的商业关系结束而终止。如果贵机构属于DORA（欧盟第2022/2554号条例，自2025年1月起适用）的适用范围，该合同还须纳入强制性条款，供应商也必须列入ICT供应商信息登记册：我们在DORA服务和反洗钱外包中对此有专门论述。

开户之后：风险不会静止不动

搭建良好的远程识别程序解决的是入口问题，但与客户的关系会持续多年，风险也会变化。描述如何识别的同一份文件，必须与此后发生的事情相衔接：将客户划入某一风险等级、对每一等级适用的措施、对制裁名单的筛查，以及对交易的持续跟踪。一家识别无可挑剔、事后却什么都不复查的机构，面临同样的问题，只是发现得更晚，而且客户更多。

有三种情形，最好从第一天起就以书面方式处理好。第一，客户本身是政治公众人物（PEP），或其身边的人是：此时标准开户不够。第二，客户代第三方行事，这就要求同时识别该第三方。第三，触发强化措施的客户画像和司法辖区，程序须说明额外要求什么，以及由谁批准这一关系。此外还有欧洲层面的前景：欧盟反洗钱一揽子立法——欧盟第2024/1624号条例、欧盟第2024/1640号指令和新设立的反洗钱管理局（AMLA）——正在分阶段适用，并将统一客户尽职调查，包括远程身份识别。如果您现在正在重新设计客户开户流程，请把这一前景考虑在内。

本文内容仅供参考，不构成法律意见。所引法规在所示更新日期之后可能已被修订：请务必核实现行版本，或联系我们，分析您的具体情况。