متطلبات AMLR في لمحة موجزة
المسار الشامل
ينشئ النظام الخلفي الخاص بك جلسة، ويكمل المستخدم سير العمل، ثم تخطرك Didit، وتقوم أنت باسترداد القرار الكامل. يظل قرار التسجيل من اختصاص فريقك. وتستمر المراقبة بعد التسجيل.متى تُطبَّق العناية الواجبة
تحدد المادة 19 متى يتعين عليك تطبيق العناية الواجبة تجاه العملاء: عند إنشاء علاقة عمل؛ وللمعاملات العارضة التي لا تقل عن 10,000 يورو، سواء في عملية واحدة أو في معاملات مرتبطة؛ وعند وجود اشتباه في غسل الأموال أو تمويل الإرهاب، بغض النظر عن المبلغ؛ وعند الشك في صحة بيانات تحديد الهوية التي تحتفظ بها بالفعل. وتُطبَّق حدود تفعيل أدنى في بعض القطاعات: 1,000 يورو للتحويلات العارضة للأموال وللمعاملات العارضة لدى مزودي CASP، و3,000 يورو للمعاملات النقدية العارضة (تحديد الهوية والتحقق منها على الأقل)، و2,000 يورو في ألعاب القمار. ويجب على مزود CASP تحديد هوية العميل والتحقق منها على الأقل للمعاملات العارضة التي تقل عن 1,000 يورو. لا تقرر Didit ما إذا كان المُشغِّل منطبقًا أم لا. بل تقوم أنت بالتوجيه وفقاً لنوع المعاملة ومبلغها في الكود البرمجي الخاص بك، ثم تبدأ سير العمل المتوافق معها.تحديد هوية الأشخاص والتحقق منها
تسرد المادة 22(1) البيانات التي يجب عليك الاحتفاظ بها عن الشخص الطبيعي: جميع الأسماء وأسماء العائلة، ومكان وتاريخ الميلاد الكامل، والجنسيات، ورقم الهوية الوطنية حيثما ينطبق ذلك، ومحل الإقامة المعتاد، والرقم الضريبي حيثما كان متاحاً. ثم تحدد المادة 22(6) وسيلتين للتحقق من الهوية: مستند إثبات الهوية، أو جواز السفر أو ما يعادله، أو تحديد الهوية الإلكتروني (eID) الذي يلبي مستويات الضمان “كبير” أو “عالي” وفقاً لـ eIDAS، إلى جانب خدمات الثقة المؤهلة ذات الصلة.نقاط البيانات مقابل القرار
يحمل القرار الذي يعود بهGET /v3/session/{sessionId}/decision/ إدخالاً واحداً لكل فحص هوية في id_verifications[].
المساران
ما تنص عليه مسودة المعايير الفنية بشأن التحقق عن بعد
تتولى هيئة مكافحة غسل الأموال (AMLA) إعداد المعايير الفنية التنظيمية (RTS) بشأن العناية الواجبة تجاه العملاء بموجب المادة 28(1). يحمل التقرير النهائي الصادر عن AMLA تاريخ 30 سبتمبر 2026 وتم الإعلان عنه في 1 أكتوبر 2026. إنها مسودة نهائية مقدمة إلى المفوضية الأوروبية. ولم تُعتمد وليست قانوناً. قد تُجري المفوضية تغييرات عليها، وتقترح المسودة تطبيقها بعد ستة أشهر من دخولها حيز التنفيذ. تتعامل تلك المسودة مع الوسيلتين الواردتين في المادة 22(6) كخيار افتراضي. ويُعد التحقق عن بعد باستخدام مستند حلاً بديلاً للحالات التي لا يمكن، بشكل معقول، توقّع أن يقدّم الشخص المستند وجهاً لوجه ولا تتوفر لديه إمكانية الوصول إلى eID المؤهل (مسودة المادة 7(1)). وإذا استخدمت الحل البديل، تطلب منك المسودة أن تكون قادراً على تبرير السبب، وأن تُثبت للمشرف عليك أن الحل يتضمن ضمانات وقائية (مسودة المادتين 7(2) و7(3)). تتسم المسودة بالحياد التكنولوجي: فهي لا تحدد تقنية بعينها. كيف تتوافق الضمانات الوقائية الواردة في المسودة مع ما تسجله جلسة Didit:metadata عند إنشائها.
التحقق من الشركات والمستفيدين الحقيقيين
بالنسبة للكيان القانوني، تطلب المادة 22(1)(b) الشكل والاسم القانونيين، وعنوان المقر المسجل، والممثلين القانونيين، وحيثما كان متاحاً، رقم التسجيل والرقم الضريبي ومُعرّف الكيان القانوني (LEI). يجب عليك أيضاً تحديد المستفيدين الحقيقيين واتخاذ تدابير معقولة للتحقق منهم، حتى تفهم هيكل الملكية والسيطرة (المادة 20(1)(b)). المستفيد الحقيقي هو شخص طبيعي يمتلك ملكية مباشرة أو غير مباشرة لنسبة “25 % أو أكثر” من الأسهم أو حقوق التصويت أو غيرها من حصص الملكية (المادة 52(1))، أو يسيطر على الكيان من خلال الملكية أو وسائل أخرى (المادتان 51 و53). يتم تقييم السيطرة بالتوازي مع الملكية.- الحد متروك لتحدده بنفسك. النسبة المذكورة في AMLR هي “25 % أو أكثر”، وليست “أكثر من 25 %”. حد UBO في سير العمل قابل للضبط، لذا عيّنه بما يطابق ذلك وقم بمراجعته إذا كانت سياستك أكثر صرامة.
- السجل ليس كافياً بمفرده. تتطلب المادة 22(7) استشارة السجلات المركزية بالإضافة إلى التحقق من المستفيدين الحقيقيين. إبلاغ السجل عن أي تعارض خلال 14 يوماً تقويمياً (المادة 24) هو خطوتك أنت.
- خلو نتيجة السجل ليس دليلاً على أن الشركة ليس لها مالكون. قد لا يحتوي السجل على أي سجل ملكية لشركة أو دولة معينة. إذا لم تحدد أي مستفيد حقيقي، تطلب منك المادة 22(2) تسجيل ذلك وتحديد مسؤولي الإدارة العليا والتحقق منهم بدلاً من ذلك.
- مراقبة السجلات قادمة قريباً. المراقبة المستمرة لتغييرات السجلات غير متاحة بعد. وإلى أن تتوفر، أعِد تشغيل التحقق من الشركات وفق جدول التحديث الخاص بك.
فحص العقوبات والأشخاص المعرضين سياسياً (PEPs)
يجب عليك التحقق مما إذا كان العميل أو مستفيدوه الحقيقيون خاضعين لعقوبات مالية مستهدفة، وما إذا كان الأشخاص الخاضعون للعقوبات يسيطرون على عميل من الكيانات القانونية أو يمتلكون أكثر من 50 % منه (المادة 20(1)(d)). في AMLR، تعني العقوبات المالية المستهدفة عقوبات الاتحاد الأوروبي. يجب عليك أيضاً تحديد ما إذا كان العميل أو المستفيد الحقيقي شخصاً معرضاً سياسياً (PEP)، أو أحد أفراد عائلته، أو شخصاً مقرباً منه (المادة 20(1)(g)). وبالنسبة للأشخاص المعرضين سياسياً، تضيف المادة 42 موافقة الإدارة العليا، وتدابير لتحديد مصدر الثروة ومصدر الأموال، ومراقبة مستمرة معززة.Confirmed Match أو False Positive يؤدي إلى إطلاق webhook من نوع data.updated ولا يغير قرار الجلسة بمفرده. الحصول على موافقة الإدارة العليا لعلاقة عمل مع شخص معرض سياسياً هو إجراء خاص بك: وجّه الجلسة إلى المراجعة وسجّل من وافق عليها.
المراقبة المستمرة والتحديث
تتطلب المادة 26 مراقبة مستمرة لعلاقة العمل والحفاظ على معلومات حديثة عن العميل. يجب ألا تتجاوز الفترة الفاصلة بين التحديثات سنة واحدة للعملاء ذوي المخاطر الأعلى و5 سنوات لجميع العملاء الآخرين (المادة 26(2))، ويجب عليك أيضًا التحديث عند تغير ظروف العميل أو عند معرفتك بحقيقة ذات صلة (المادة 26(3)). يجب تكرار فحوصات العقوبات بانتظام، وبالنسبة لمؤسسات الائتمان والمؤسسات المالية عند أي إدراج جديد (المادة 26(4)).status.updated وdata.updated المعتادة.
جدولة التحديث كل سنة وكل 5 سنوات في نظامك الخاص
يعتمد جدول التحديث الزمني على فئة المخاطر التي تحددها، ولا يمكن إسناد هذا القرار لمصادر خارجية. لا تحتفظ Didit بفئة المخاطر الخاصة بك ولا تجدول التحديث الدوري نيابةً عنك.تخزين فئة المخاطر وتاريخ آخر تحديث
vendor_data التي ترسلها إلى Didit.تشغيل مهمة مجدولة
إنشاء جلسة جديدة
POST /v3/session/ بنفس قيمة vendor_data وسير عمل التحديث الخاص بك، ثم أرسل url إلى العميل.التفاعل مع الأحداث أيضًا
"Kyc Expired"، وwebhook المراقبة الذي ينقل الجلسة إلى "In Review"، والتغيير الذي يبلّغ عنه العميل كمُشغِّلات لتحديث مبكر.الغرض ومصدر الأموال
قبل الدخول في علاقة عمل أو تنفيذ معاملة عرضية، تطلب منك المادة 25 فهم غرضها وطبيعتها المقصودة. عند الضرورة، تحصل على معلومات حول الغرض والمبرر الاقتصادي، والحجم التقديري للنشاط، ومصدر الأموال، ووجهة الأموال، والنشاط التجاري للعميل أو مهنته. تعني عبارة “عند الضرورة” أن النطاق يعتمد على المخاطر. يمكن أن تضيف العناية الواجبة المشددة مصدر الثروة (المادة 34(4)).مراقبة المعاملات والإبلاغ عنها
تغطي المراقبة المستمرة المعاملات المنفذة خلال فترة العلاقة، لضمان استمرار توافقها مع ما تعرفه عن العميل (المادة 26(1)). عندما تعلم أو تشتبه أو يكون لديك أسباب معقولة للاشتباه في أن الأموال هي عائدات نشاط إجرامي أو مرتبطة بتمويل الإرهاب، فإنك تبلّغ وحدة المعلومات المالية (FIU) الخاصة بك بموجب المادة 69.- أنت من يوافق على معايير الكشف. لا يمكن إسناد الموافقة على معايير كشف المعاملات المشبوهة أو غير المعتادة إلى جهة خارجية (المادة 18(3)(f)). راجع كل قاعدة تطبّقها وسجّل تلك الموافقة في سياساتك الخاصة.
- أنت من يرفع التقرير. تُعِد Didit ملفات التقرير من الحالة. ولا ترسل أي شيء إلى وحدة المعلومات المالية. يتم تقديم التقرير بواسطة مسؤول الامتثال لديك عبر قناة وحدة المعلومات المالية الخاصة بك.
الاحتفاظ بالسجلات، ثم حذفها
المادة 77 تحدد واجبك في الاحتفاظ بالسجلات. تحتفظ بالمستندات والمعلومات التي تم الحصول عليها لإجراءات العناية الواجبة تجاه العملاء، وسجلات تقييمات الشبهات لديك، وسجلات المعاملات لمدة 5 سنوات. تبدأ الفترة عند انتهاء علاقة العمل، أو عند تنفيذ المعاملة العارضة، أو عند رفضك بدء العلاقة (المادة 77(3)). وعند انتهاء السنوات الخمس، تقوم بحذف البيانات الشخصية، ما لم ينطبق قانون آخر أو تطلب منك إحدى السلطات الاحتفاظ بسجلات محددة لفترة أطول. يبدأ احتساب الوقت من حدث في نظامك: انتهاء العلاقة. لا تعرف Didit هذا التاريخ، لذا فإن مدة الاحتفاظ التي تقوم بتهيئتها وعمليات الحذف التي تطلبها هي قرارات تعود إليك.اختر نافذة احتفاظ لا يمكن أن تنتهي مبكراً
سجّل تاريخ انتهاء العلاقة
احذف عند انتهاء الفترة
DELETE /v3/session/{sessionId}/delete/ لكل جلسة تابعة لذلك العميل. الحذف لا يمكن التراجع عنه وتتوقف عناوين URL للوسائط عن العمل.المراجعة البشرية للقرارات الآلية
تتيح لك المادة 76(5) اتخاذ قرارات ناتجة عن عمليات مؤتمتة، بما في ذلك أنظمة التنميط وأنظمة الذكاء الاصطناعي، وفقاً لثلاثة شروط. تقتصر البيانات على بيانات العناية الواجبة. يخضع أي قرار لبدء علاقة عمل أو رفضها أو الحفاظ عليها، أو لتنفيذ معاملة عارضة أو رفضها، أو لتغيير نطاق العناية الواجبة لتدخل بشري هادف. ويمكن للعميل الحصول على تفسير للقرار والطعن فيه."Approved" أو "Declined" هي نتيجة الفحوصات التي قمت بتهيئتها. وهو مدخل لقرارك بالتسجيل، وهو قرار تتركه المادة 18(3) لك. حدد مع مستشارك القانوني المواضع التي يتعين فيها على شخص أن يتدخل، ثم قم بتضمين تلك الخطوة في سير العمل وفي نظامك الإداري الداخلي.
الاستعانة بمصادر خارجية
تتيح لك المادة 18 إسناد المهام الناتجة عن AMLR إلى مزوّد خدمة خارجي. وتحدد شروطاً لذلك: إخطار جهتك الرقابية قبل أن يبدأ المزوّد بالعمل (المادة 18(1))، وبقاؤك مسؤولاً بالكامل عن المهام المسندة لمصادر خارجية (المادة 18(2))، وتحديد الشروط في اتفاقية مكتوبة وإجراء ضوابط منتظمة على المزوّد (المادة 18(4)). كما تنص اللائحة على أن استخدام برمجيات تابعة لجهات خارجية، أو الوصول إلى قواعد البيانات أو خدمات الفحص، حيث تنفّذ المتطلب بنفسك، لا يُعد استعانة بمصادر خارجية (الحيثية 47). ويعتمد تحديد ما إذا كان استخدامك لـ Didit يندرج ضمن الاستعانة بمصادر خارجية على طريقة استخدامك لها. ومن المقرر صدور إرشادات AMLA بشأن الاستعانة بمصادر خارجية بحلول 10 يوليو 2027. لا يمكن الاستعانة بمصادر خارجية لتنفيذ ست مهام تحت أي ظرف من الظروف (المادة 18(3)). وتبقى مسؤوليتها عليك:- اقتراح واعتماد تقييم المخاطر على مستوى شركتك بالكامل.
- اعتماد السياسات والإجراءات والضوابط الداخلية الخاصة بك.
- اتخاذ القرار بشأن ملف المخاطر الذي يُنسب إلى العميل.
- اتخاذ القرار بشأن بدء علاقة عمل أو إجراء معاملة عارضة.
- الإبلاغ عن الأنشطة المشبوهة والتقارير القائمة على الحدود إلى وحدة التحريات المالية (FIU).
- اعتماد معايير رصد المعاملات والأنشطة المشبوهة أو غير المعتادة.
سير العمل المرجعي
نقطة انطلاق لسير عمل تسجيل الأشخاص الطبيعيين. كيّفه وفقاً لتقييم المخاطر الخاص بك.إنشاء سير العمل
اختيار طرق التحقق من الهوية حسب الدولة
ربط المستند بالشخص
تغطية العنوان
الفحص والمراقبة
طلب الغرض ومصدر الأموال
الاشتراك في أحداث webhook
status.updated وdata.updated. راجع webhook.النشر ونسخ معرّف سير العمل
workflow_id الخاص به عند إنشاء الجلسات.201 Created):
url. وعندما تصل الجلسة إلى قرار، ترسل Didit حدث webhook من نوع status.updated. إليك مقتطفاً منه:
event_id مفتاح idempotency الخاص بك، وطابق status كنص دقيق حساس لحالة الأحرف. القيم مدرجة في حالات التحقق. ثم اقرأ القرار بالكامل عبر GET /v3/session/{sessionId}/decision/ ومرره إلى الشخص أو العملية التي تتخذ قرار التسجيل لديك.
الجدول الزمني
الأسئلة الشائعة
متى تنطبق لائحة AMLR؟
متى تنطبق لائحة AMLR؟
ما الفرق بين AMLR وAMLD6 وAMLA؟
ما الفرق بين AMLR وAMLD6 وAMLA؟
هل لا يزال التحقق عن بُعد باستخدام مستند الهوية مسموحاً به؟
هل لا يزال التحقق عن بُعد باستخدام مستند الهوية مسموحاً به؟
هل المعايير الفنية نهائية؟
هل المعايير الفنية نهائية؟
هل يتعين عليّ قبول محفظة EUDI Wallet، وهل تدعمها Didit؟
هل يتعين عليّ قبول محفظة EUDI Wallet، وهل تدعمها Didit؟
هل الحد الأدنى لملكية المستفيد الحقيقي هو 25% أم 15%؟
هل الحد الأدنى لملكية المستفيد الحقيقي هو 25% أم 15%؟
كيف أقوم بتنفيذ التحديث الدوري كل سنة أو 5 سنوات؟
كيف أقوم بتنفيذ التحديث الدوري كل سنة أو 5 سنوات؟
POST /v3/session/ مع نفس الـ vendor_data. أضف مُشغِّلات للأحداث: حالة "Kyc Expired"، أو webhook الخاص بالمراقبة، أو أي تغيير يبلغ عنه العميل. وتُعد فترات السنة والـ 5 سنوات في المادة 26(2) أقصى مدد زمنية مسموح بها.ما الذي يمكنني إسناده لجهات خارجية؟
ما الذي يمكنني إسناده لجهات خارجية؟
كيف يمكنني ضبط مدة الاحتفاظ بقاعدة الـ 5 سنوات؟
كيف يمكنني ضبط مدة الاحتفاظ بقاعدة الـ 5 سنوات؟
DELETE /v3/session/{sessionId}/delete/ عند انتهاء فترتك. وقم بتصدير سجلات التدقيق وسجل الفحص إذا كانت سياسة السجلات لديك تعتمد عليها.هل استخدام Didit يجعلني ممتثلاً للائحة AMLR؟
هل استخدام Didit يجعلني ممتثلاً للائحة AMLR؟