Sekilas tentang persyaratan AMLR
Alur menyeluruh
Backend Anda membuat sesi, pengguna menyelesaikan alur kerja, Didit memberi tahu Anda, dan Anda mengambil hasil keputusan lengkapnya. Keputusan onboarding tetap berada di tangan tim Anda. Pemantauan berlanjut setelah onboarding.Kapan uji tuntas berlaku
Pasal 19 menetapkan kapan Anda harus menerapkan uji tuntas pelanggan: saat Anda menjalin hubungan bisnis; untuk transaksi insidental sekurang-kurangnya EUR 10.000, dalam satu operasi atau dalam transaksi yang saling terkait; ketika ada kecurigaan tindak pidana pencucian uang atau pendanaan terorisme, berapa pun jumlahnya; dan ketika Anda meragukan data identifikasi yang telah Anda miliki. Pemicu yang lebih rendah berlaku di beberapa sektor: EUR 1.000 untuk transfer dana insidental dan untuk CASP, EUR 3.000 untuk transaksi tunai insidental (sekurang-kurangnya identifikasi dan verifikasi), dan EUR 2.000 dalam perjudian. CASP sekurang-kurangnya harus mengidentifikasi dan memverifikasi pelanggan untuk transaksi insidental di bawah EUR 1.000. Didit tidak memutuskan apakah suatu pemicu berlaku. Anda merutekan berdasarkan jenis dan nilai transaksi dalam kode Anda sendiri, lalu memulai alur kerja yang cocok.Mengidentifikasi dan memverifikasi individu
Pasal 22(1) merinci data yang wajib Anda simpan mengenai orang perseorangan: semua nama dan nama keluarga, tempat dan tanggal lahir lengkap, kewarganegaraan, nomor identifikasi nasional jika berlaku, tempat tinggal biasa, dan jika tersedia, nomor identifikasi pajak. Pasal 22(6) selanjutnya menyebutkan dua cara untuk memverifikasi identitas: dokumen identitas, paspor atau yang setara, atau identifikasi elektronik (eID) yang memenuhi tingkat jaminan eIDAS “substantial” atau “high”, bersama dengan layanan tepercaya berkualifikasi yang relevan.Poin data dalam keputusan
Keputusan yang dikembalikan olehGET /v3/session/{sessionId}/decision/ memuat satu entri per pemeriksaan identitas di id_verifications[].
Dua jalur verifikasi
Hal yang dinyatakan draf standar teknis mengenai verifikasi jarak jauh
Standar teknis regulasi (RTS) tentang uji tuntas pelanggan berdasarkan Pasal 28(1) disusun oleh Anti-Money Laundering Authority (AMLA). Laporan akhir AMLA bertanggal 30 September 2026 dan diumumkan pada 1 Oktober 2026. Ini adalah draf akhir yang diajukan ke Komisi Eropa. Draf ini belum diadopsi dan bukan merupakan undang-undang. Komisi Eropa masih dapat mengubahnya, dan draf tersebut mengusulkan pemberlakuan enam bulan setelah mulai berlaku secara sah. Draf tersebut memperlakukan dua cara dalam Pasal 22(6) sebagai opsi default. Verifikasi jarak jauh dengan dokumen adalah solusi alternatif ketika seseorang secara wajar tidak dapat diharapkan untuk menunjukkan dokumen secara tatap muka dan tidak memiliki akses ke eID yang memenuhi syarat (draf Pasal 7(1)). Jika Anda menggunakan alternatif ini, draf meminta Anda untuk dapat menjelaskan alasannya dan menunjukkan kepada pengawas Anda bahwa solusi tersebut memiliki mekanisme perlindungan (draf Pasal 7(2) dan 7(3)). Draf ini bersifat netral teknologi: tidak ada teknik tertentu yang disebutkan. Kesesuaian mekanisme perlindungan dalam draf dengan hal yang dicatat oleh sesi Didit:metadata saat Anda membuatnya.
Verifikasi bisnis dan pemilik manfaat
Untuk entitas hukum, Pasal 22(1)(b) mewajibkan bentuk hukum dan nama, alamat kantor terdaftar, perwakilan hukum dan, jika tersedia, nomor registrasi, nomor identifikasi pajak, serta Pengenal Entitas Hukum (Legal Entity Identifier). Anda juga harus mengidentifikasi pemilik manfaat dan mengambil langkah-langkah yang wajar untuk memverifikasi mereka, sehingga Anda memahami struktur kepemilikan dan pengendalian (Pasal 20(1)(b)). Pemilik manfaat adalah orang perseorangan dengan kepemilikan langsung atau tidak langsung sebesar “25 % atau lebih” dari saham, hak suara, atau kepentingan kepemilikan lainnya (Pasal 52(1)), atau yang mengendalikan entitas tersebut melalui kepemilikan atau cara lain (Pasal 51 dan 53). Pengendalian dinilai secara paralel dengan kepemilikan.- Ambang batas ditentukan oleh Anda. Angka AMLR adalah “25 % atau lebih”, bukan “lebih dari 25 %”. Ambang batas UBO pada alur kerja dapat dikonfigurasi, jadi atur agar sesuai dan tinjau kembali jika kebijakan Anda lebih ketat.
- Registri saja tidak cukup. Pasal 22(7) mewajibkan Anda untuk berkonsultasi dengan registri pusat selain memverifikasi pemilik manfaat. Melaporkan ketidaksesuaian ke registri dalam waktu 14 hari kalender (Pasal 24) adalah langkah Anda.
- Hasil registri yang kosong bukan bukti bahwa perusahaan tidak memiliki pemilik. Suatu registri mungkin tidak menyimpan catatan kepemilikan untuk suatu perusahaan atau negara. Jika Anda tidak menemukan pemilik manfaat, Pasal 22(2) mewajibkan Anda untuk mencatat hal tersebut serta mengidentifikasi dan memverifikasi pejabat pengelola senior sebagai gantinya.
- Pemantauan registri akan segera hadir. Pemantauan berkelanjutan terhadap perubahan registri belum tersedia. Hingga fitur ini tersedia, jalankan kembali Verifikasi Bisnis sesuai jadwal pembaruan berkala Anda.
Skrining sanksi dan PEP
Anda harus memverifikasi apakah pelanggan atau pemilik manfaatnya tunduk pada sanksi keuangan yang ditargetkan, dan apakah orang yang terkena sanksi mengendalikan pelanggan yang merupakan entitas hukum atau memiliki lebih dari 50 % kepemilikan atasnya (Pasal 20(1)(d)). Dalam AMLR, sanksi keuangan yang ditargetkan berarti sanksi UE. Anda juga harus menentukan apakah pelanggan atau pemilik manfaat adalah Politically Exposed Person (PEP), anggota keluarga, atau rekan dekat (Pasal 20(1)(g)). Untuk PEP, Pasal 42 menambahkan persetujuan manajemen senior, langkah-langkah untuk menetapkan sumber kekayaan dan sumber dana, serta pemantauan berkelanjutan yang ditingkatkan.Confirmed Match atau False Positive memicu webhook data.updated dan tidak mengubah keputusan sesi secara otomatis. Persetujuan manajemen senior untuk hubungan PEP adalah proses Anda: arahkan sesi ke peninjauan dan catat siapa yang menyetujuinya.
Pantau secara berkelanjutan dan perbarui
Pasal 26 mewajibkan pemantauan berkelanjutan atas hubungan bisnis dan pembaruan informasi pelanggan secara berkala. Periode antar pembaruan tidak boleh melebihi 1 tahun untuk pelanggan berisiko lebih tinggi dan 5 tahun untuk semua pelanggan lainnya (Pasal 26(2)), dan Anda juga harus memperbarui data ketika keadaan pelanggan berubah atau Anda mengetahui fakta yang relevan (Pasal 26(3)). Pemeriksaan sanksi harus diulang secara berkala, dan untuk lembaga kredit serta lembaga keuangan, dilakukan pada setiap penetapan baru (Pasal 26(4)).status.updated dan data.updated seperti biasa.
Jadwalkan pembaruan 1 tahun dan 5 tahun di sistem Anda sendiri
Waktu pembaruan bergantung pada kelas risiko yang Anda tetapkan, dan keputusan tersebut tidak dapat dialihdayakan. Didit tidak menyimpan kelas risiko Anda dan tidak menjadwalkan pembaruan berkala untuk Anda.Simpan kelas risiko dan tanggal pembaruan terakhir
vendor_data yang Anda kirimkan ke Didit.Jalankan tugas terjadwal
Buat sesi baru
POST /v3/session/ dengan vendor_data yang sama dan alur kerja pembaruan Anda, lalu kirimkan url kepada pelanggan.Tanggapi juga peristiwa
"Kyc Expired", webhook pemantauan yang memindahkan sesi ke "In Review", dan perubahan yang dilaporkan pelanggan sebagai pemicu untuk pembaruan lebih awal.Tujuan dan sumber dana
Sebelum Anda memulai hubungan bisnis atau melakukan transaksi sesekali, Pasal 25 mewajibkan Anda untuk memahami tujuan dan sifat yang dimaksudkan. Jika diperlukan, Anda harus memperoleh informasi tentang tujuan dan dasar pemikiran ekonomi, perkiraan jumlah aktivitas, sumber dana, tujuan dana, serta aktivitas bisnis atau pekerjaan pelanggan. “Jika diperlukan” berarti cakupannya berbasis risiko. Uji tuntas yang ditingkatkan dapat menambahkan sumber kekayaan (Pasal 34(4)).Pantau transaksi dan laporkan
Pemantauan berkelanjutan mencakup transaksi yang dilakukan selama hubungan bisnis berlangsung, sehingga tetap konsisten dengan apa yang Anda ketahui tentang pelanggan (Pasal 26(1)). Ketika Anda mengetahui, mencurigai, atau memiliki alasan yang wajar untuk mencurigai bahwa dana tersebut merupakan hasil tindak pidana atau terkait dengan pendanaan terorisme, Anda harus melaporkannya kepada Unit Intelijen Keuangan (FIU) Anda berdasarkan Pasal 69.- Anda menyetujui kriteria deteksi. Menyetujui kriteria untuk mendeteksi transaksi yang mencurigakan atau tidak biasa tidak dapat dialihdayakan (Pasal 18(3)(f)). Tinjau setiap aturan yang Anda pasang dan catat persetujuan tersebut dalam kebijakan internal Anda.
- Anda yang mengajukan laporan. Didit menyiapkan file laporan dari data kasus. Didit tidak mengirimkan apa pun ke FIU. Pengajuan laporan dilakukan oleh petugas kepatuhan Anda melalui saluran FIU Anda.
Simpan catatan, lalu hapus
Pasal 77 adalah kewajiban penyimpanan catatan Anda. Anda menyimpan dokumen dan informasi yang diperoleh untuk uji tuntas pelanggan, catatan penilaian kecurigaan Anda, serta catatan transaksi selama 5 tahun. Periode tersebut dimulai saat hubungan bisnis berakhir, saat transaksi insidental dilakukan, atau saat Anda menolak untuk menjalin hubungan (Pasal 77(3)). Ketika jangka waktu 5 tahun tersebut kedaluwarsa, Anda menghapus data pribadi tersebut, kecuali jika berlaku undang-undang lain atau pihak berwenang meminta Anda untuk menyimpan catatan tertentu lebih lama. Penghitungan waktu dimulai dari suatu peristiwa di sistem Anda: berakhirnya hubungan. Didit tidak mengetahui tanggal tersebut, sehingga retensi yang Anda konfigurasikan dan penghapusan yang Anda minta adalah keputusan Anda.Pilih rentang retensi yang tidak dapat berakhir lebih awal
Catat akhir dari hubungan
Hapus saat periode kedaluwarsa
DELETE /v3/session/{sessionId}/delete/ untuk setiap sesi milik pelanggan tersebut. Penghapusan tidak dapat dibatalkan dan URL media tidak lagi dapat diakses.Peninjauan oleh manusia atas keputusan otomatis
Pasal 76(5) mengizinkan Anda mengambil keputusan yang dihasilkan dari proses otomatis, termasuk pembuatan profil dan sistem AI, dengan tiga syarat. Data dibatasi hanya pada data uji tuntas. Setiap keputusan untuk memulai, menolak, atau mempertahankan hubungan bisnis, untuk melakukan atau menolak transaksi insidental, atau untuk mengubah cakupan uji tuntas harus tunduk pada intervensi manusia yang berarti. Dan pelanggan dapat memperoleh penjelasan mengenai keputusan tersebut serta mengajukan sanggahan."Approved" atau "Declined" adalah hasil dari pemeriksaan yang Anda konfigurasikan. Ini merupakan masukan untuk keputusan onboarding Anda, yang tetap menjadi tanggung jawab Anda berdasarkan Pasal 18(3). Putuskan bersama penasihat hukum Anda di bagian mana seseorang harus melakukan intervensi, lalu masukkan langkah tersebut ke dalam alur kerja dan sistem operasional internal Anda sendiri.
Alih daya
Pasal 18 mengizinkan Anda mengalihdayakan tugas-tugas yang timbul dari AMLR kepada penyedia layanan. Pasal ini menetapkan ketentuan: Anda memberi tahu pengawas Anda sebelum penyedia memulai (Pasal 18(1)), Anda tetap bertanggung jawab penuh atas tugas-tugas yang dialihdayakan (Pasal 18(2)), serta Anda menetapkan persyaratan dalam perjanjian tertulis dan menjalankan kontrol rutin terhadap penyedia (Pasal 18(4)). Regulasi ini juga menyatakan bahwa penggunaan perangkat lunak pihak ketiga, atau pengaksesan database maupun layanan penyaringan, di mana Anda sendiri yang menjalankan kewajiban tersebut, bukanlah alih daya (konsiderans 47). Kategori yang berlaku untuk penggunaan Didit oleh Anda bergantung pada cara Anda menggunakannya. Panduan AMLA mengenai alih daya dijadwalkan terbit paling lambat 10 Juli 2027. Enam tugas tidak dapat dialihdayakan dalam keadaan apa pun (Pasal 18(3)). Tugas-tugas ini tetap menjadi tanggung jawab Anda:- Pengusulan dan persetujuan penilaian risiko di seluruh bisnis Anda.
- Persetujuan kebijakan, prosedur, dan kontrol internal Anda.
- Keputusan mengenai profil risiko yang ditetapkan untuk pelanggan.
- Keputusan untuk menjalin hubungan bisnis atau melakukan transaksi sesekali.
- Pelaporan aktivitas mencurigakan dan laporan berbasis ambang batas kepada FIU.
- Persetujuan kriteria untuk mendeteksi transaksi dan aktivitas yang mencurigakan atau tidak biasa.
Alur kerja referensi
Titik awal untuk alur kerja onboarding bagi perorangan. Sesuaikan dengan penilaian risiko Anda.Buat alur kerja
Pilih metode identitas per negara
Tautkan dokumen ke orang tersebut
Sertakan alamat
Lakukan penyaringan dan pemantauan
Tanyakan tujuan dan sumber dana
Berlangganan webhook
status.updated dan data.updated. Lihat Webhook.Publikasikan dan salin ID alur kerja
workflow_id miliknya saat Anda membuat sesi.201 Created):
url. Saat sesi mencapai sebuah keputusan, Didit akan mengirimkan webhook status.updated. Cuplikan:
event_id sebagai kunci idempotensi Anda, dan cocokkan status sebagai string yang sama persis dan peka huruf besar/kecil. Nilai-nilainya tercantum di Status verifikasi. Kemudian baca keputusan lengkap dengan GET /v3/session/{sessionId}/decision/ dan serahkan kepada orang atau proses yang membuat keputusan onboarding Anda.
Lini masa
FAQ
Kapan AMLR mulai berlaku?
Kapan AMLR mulai berlaku?
Apa perbedaan antara AMLR, AMLD6, dan AMLA?
Apa perbedaan antara AMLR, AMLD6, dan AMLA?
Apakah verifikasi jarak jauh dengan dokumen identitas masih diizinkan?
Apakah verifikasi jarak jauh dengan dokumen identitas masih diizinkan?
Apakah standar teknis tersebut sudah final?
Apakah standar teknis tersebut sudah final?
Apakah saya harus menerima EUDI Wallet, dan apakah Didit mendukungnya?
Apakah saya harus menerima EUDI Wallet, dan apakah Didit mendukungnya?
Apakah ambang batas kepemilikan manfaat 25% atau 15%?
Apakah ambang batas kepemilikan manfaat 25% atau 15%?
Bagaimana cara menerapkan pembaruan 1 tahun dan 5 tahun?
Bagaimana cara menerapkan pembaruan 1 tahun dan 5 tahun?
POST /v3/session/ menggunakan vendor_data yang sama. Tambahkan pemicu peristiwa: status "Kyc Expired", webhook pemantauan, atau perubahan yang dilaporkan pelanggan. Angka 1 tahun dan 5 tahun dalam Pasal 26(2) adalah periode maksimum.Apa saja yang dapat saya alihdayakan?
Apa saja yang dapat saya alihdayakan?
Bagaimana cara mengatur retensi untuk aturan 5 tahun?
Bagaimana cara mengatur retensi untuk aturan 5 tahun?
DELETE /v3/session/{sessionId}/delete/ saat periode Anda berakhir. Ekspor log audit dan riwayat skrining jika kebijakan pencatatan Anda mengandalkannya.Apakah menggunakan Didit membuat saya patuh terhadap AMLR?
Apakah menggunakan Didit membuat saya patuh terhadap AMLR?