浅议数字身份发展对反洗钱工作的影响

符凤洁 中国人民银行湘西土家族苗族自治州中心支行

一、数字身份反洗钱监管的突出需求

(一)数字化成为经济社会发展趋势

当前,数字化全面融入国民经济和社会发展的各领域，数字化生产加速推进、数字化服务日益普及、数字化创新日新月异，这些深刻改变着经济社会的发展动力和发展方式，重塑着产业社会发展和国际竞争新格局。数字身份是数字化时代的基础设施，各国都在积极建立数字身份体系。欧盟多个国家已经颁发了eID来替代传统的身份证件，新加坡2017年8月宣布建立国家数字身份系统(NDI)，解决公民使用政府网上公共服务的隐私保护和身份认证问题；2021年2月，英国政府发布了关于数字身份未来使用的管理的规则草案。我国由公安部第三研究所建设并运营的“公安部公民网络身份识别系统”于2011年4月建成并使用，我国公民可自愿申领和使用eID。

(二)传统身份认证的弊端突出

我国金融机构主要依靠由公安机关发放的公民身份证开展身份认证，传统身份认证的难以核实是否出于本人意愿。近年关于冒名开户的负面新闻报道屡见不鲜，商业银行也多次发生冒名开立个人账户而引发投诉纠纷事件。传统身份认证往往侧重于证件或者提供的信息是否与公安机关系统中预留信息是否一致，难以核实申请服务的行为是否出于本人意愿。另外，传统线下身份认证存在误差。洗钱和上游犯罪活动存在专业化、有组织性的团伙作案的特征，为规避金融机构的审查，犯罪分子通过乔装打扮或安排与身份证照片容貌相似的人到银行网点申请服务。金融机构的工作人员为客户办理开户业务时，仅通过人工比对申请人与身份证件的照片、身份证识别仪核实证件真伪或者进入联网核查系统核查身份信息等一些常规的审查手段来识别客户身份。金融机构在比对申请人与身份证照片的时候往往凭借个人经验并且带有主观因素，身份认证存在误差。

(三)数字身份助力普惠金融

可靠、独立的数字身份系统对推动普惠金融作用明显，数字身份系统和数字金融服务已成为普惠金融的核心驱动力。可靠的、独立的数字身份系统可以使原本被金融排斥的、无法获得传统官方身份证件的人，在风险可控的情况下利用数字身份证获得金融服务。数字身份系统可以覆盖偏远地区的人群完善非面对面业务的身份认证。居住在偏远地区的人们或者是行动不便的老人都可以使用数字身份完成非面对面身份认证，从而获得更广泛、更大程度的金融服务。

二、数字身份的运用与反洗钱监管探索

(一)国际上数字身份的发展

目前，已经有德国、法国、西班牙、意大利等超过20个欧盟国家发行了数字身份(eID)，其中，德国、西班牙、意大利、比利时、爱沙尼亚和奥地利已经普及，广泛用于电子政务、电子商务、社交网络等各个领域。2018年的 9月29日，欧盟在2014年颁布的eIDAS条例正式生效。在eIDAS的加持下，欧盟的公民能利用电子身份证(eID)进行远程使用欧盟成员国内的在线完成纳税申报、在线交易签署电子合同、在线银行开卡和借贷等一系列的跨国界的在线活动。欧盟eIDAS条例对于身份认证的保证水平性规定了低、中高三个等级，以适用不同场景的需求，通过授权欧明委员会来制定实施办法以确定三个等级相适应的最低技术规格、标准和程序。2018年9月，加拿大推出移动数字身份认证应用“Verified.Me”。通过该项应用，政府和企业无需要求用户提交身份证明文件即可认证用户身份。用户可以选择信任的银行或电信运营商为其创建数字身份，之后可以运用在包括银行开户、申请车贷、公寓租赁等服务场景。

(二)国际上数字身份的反洗钱工作探索

反洗钱金融行动特别工作组(FATF)是目前世界上最具有影响力的国际反洗钱和反恐怖融资领域最具权威性的国际组织之一。2020年3月，FATF发布《数字身份指引》，以帮助政府机构和私营部门更清楚地了解数字身份系统的工作原理，阐明在数字金融和数字身份背景下，如何有效开展自然人客户身份识别，以满足反洗钱和反恐怖融资国际标准的要求。该指引指出，使用可靠、独立的数字身份系统对非面对面客户开展身份和交易识别时，可将其洗钱风险降至中等水平或较低水平，因而数字身份系统可以为普惠金融提供支持。

三、我国数字身份在反洗钱领域运用的困难与风险

(一)我国数字身份的反洗钱监管要求不明确

数字身份对反洗钱工作影响主要在其如何适用于FATF建议书建议10客户尽职调查上。目前我国的反洗钱法律规范主要有《反洗钱法》《金融机构反洗钱规定》《金融机构客户身份识别和客户身份资料及交易记录保存管理办法》、《金融机构大额交易和可疑交易报告管理办法》等，规定了金融机构客户身份识别、客户身份资料及交易记录保存、大额和可疑交易报告等反洗钱义务。客户使用数字身份获得金融服务相比传统证明文件，认证方式可能存在差别，但对于客户身份的识别要求、可疑行为的判断、金融机构的内部管理等各个方面仍然适用，独立、可靠的数字身份系统认证能够满足反洗钱的要求。但是，目前我国没有统一的数字身份操作标准和指引，也没有出台专门针对数字身份反洗钱监管的规范性文件，数字身份的身份认证、登记要素、客户身份资料保存内容等方面都没有明确规定。

(二)尚需建立可靠的、独立的数字身份系统

FATF建议的建议10要求金融机构采取客户尽职调查措施需“使用可靠的且来源独立的文件、数据或信息核实客户身份”，则数字身份系统能否提供“可靠”、“来源独立”的信息成为数字身份对金融机构客户尽职调查意义的关键。我国数字身份发展还处于初步阶段，存在多个应用系统相互孤立互不关联，存在身份认证体验较差，重复开发成本高昂、身份信息泄露频发、数据权属界定不清、身份应用发展缓慢等问题。按照数据行业“谁采集谁拥有”的潜规则,每个应用系统都需要收集客户信息，并且每个应用系统都有一套独立的身份认证流程。在采集客户信息的阶段，难以做到每个应用系统都能够采集到准确的信息、验证客户身份的真实性、确认是客户本人的申请的反洗钱要求。

(三)存在个人信息泄露的风险

生活中身份信息泄露案件屡见不鲜，网络电信诈骗等犯罪行为造成了大额财产损失，骚扰电话、垃圾短息给人们生活带来了许多困扰。目前国内大部分应用系统采集用户的个人信息以中心化方式存储个人身份信息，这种将个人身份信息长期存放在中心化机构的方式存在个人信息泄露的风险。中心化机构数据库若被黑客攻击或人为泄露用户身份信息，将给用户造成严重损失。另外，人脸识别等认证方式采集的是用户的生物数据，如果发生泄露将无法通过重置方式挽回。

四、反洗钱领域数字身份监管的应用及政策建议

(一)推动数字身份制度建设和数字身份系统建设

一是建立符合我国情况的数字身份系统。我国数字身份发展还处于初步阶段，存在多个应用系统，相关法规对这些应用系统的信息采集的规定大多是从个人信息保护的角度限制信息采集的范围，在所采集的信息“可靠、来源独立”方面没有同一标准。建议加快我国数字身份系统的建设，建立以eID 数字身份为核心，在客户的各种数字身份之间保持关联关系的数字身份管理体系。可以借鉴欧盟eIDAS条例的做法，将身份认证分为不同的等级，不同认证等级对应不同的法律效力和使用范围，这样既能够更大程度保护个人信息又能满足身份认证的要求。二是制定数字身份认证规范。人脸识别、活体检测技术已经在金融领域广泛运用，但是相关的认证标准还没有统一，建议推动制定统一的政策指导和技术规范。三是完善个人信息保护制度并加强落实。明确收集信息前需要获得客户同意，坚持“最小必要”的原则收集个人信息，还有对个人信息的使用、保管等作出明确要求。

(二)将数字身份内容纳入反洗钱监管政策

数字身份在反洗钱方面如何运用尚没有统一的标准，建议将金融机构运用数字身份开展客户尽职调查纳入反洗钱监管政策。监管机构制定指引指导金融机构在风险可控的前提下运用数字身份开展客户尽职调查，制定与数字身份有关的客户尽职调查、客户身份资料和交易记录保存、依托第三方的尽职调查方面的监管政策。金融机构应当加强对数字身份的了解和学习，根据风险为本的原则使用数字身份系统。应评估本机构运用数字身份的客户和业务洗钱风险，根据洗钱风险的高低合理选择数字身份的身份认证方式。在洗钱风险较低的情况下，可以采取较低等级的认证方式开展简化的尽职调查措施，在洗钱风险较高的情况下，使用较高等级的身份认证方式和交叉认证方式开展强化的尽职调查措施。

(三)加强制度建设防范非面对面业务的风险

一是重新评估非面对面业务的风险。为了防范非面对面开户存在的风险，大部分银行机构通过网上开户为客户开立账户之后还需要客户本人前往营业网点激活才可以正常使用，其主要目的核实客户身份的真实性和客户意愿的真实性。但通过数字身份办理非面对面业务能够运用技术手段核实客户身份真实性以及是否出自本人意愿，能够回答“你是谁”以及“你就是你说的谁”的问题。数字身份的使用可能会降低非面对面业务风险，应该重新评估非面对面业务的风险。二是根据评估情况制定相关法律规范。相关责任部门应该重新评估非面对面业务的风险，并根据技术的发展情况，结合实际业务的操作流程更新反洗钱法律规范。

(四)加强数字身份相关组织之间的合作

一是加强国内各部门间合作。虽然反洗钱是使用数字身份的重要领域，但还有许多其他领域可以使用数字身份，反洗钱有关部门应该加强与其他部门的合作，及时发现数字身份运用中的各类风险，完善法律规范、建立相关机制以防范洗钱风险。二是加强与国外组织交流。随着全球化的到来，国内外经济金融交流加深，跨境使用数字身份成为趋势。相关部门应该加强与国际组织的交流合作，建立数字身份法律框架和制定较高标准的数字身份技术标准和数字身份反洗钱机制，以适用于数字身份的跨境使用。■