每个钱包在上线第一天都会面对同一个看似无解的矛盾。把开户流程做得足够严格以满足监管机构，大多数人还没完成就放弃了——您想服务的无银行账户客户既没有水电账单可以上传，也没有耐心跑一趟网点。把它做得足够宽松以便快速增长，您又会沦为洗钱通道，给您发牌照的中央银行会把牌照收回。如果把这个问题看作“开放”与“管控”之间的一个旋钮，那它根本没有好的档位。
解决之道不是在这个旋钮上找到完美的位置，而是意识到旋钮本身就是错误的模型。正确的模型是基于风险的分级 KYC：准入随验证程度提升，限额由账本强制执行，而不是由应用承诺。这样设计之后，开放准入与严格管控就不再对立。
为什么“基于风险”是关键词
移动货币的监管框架——以及大多数框架所源自的 FATF 建议——并不要求每个人都跨过同一道身份门槛。它们要求管控措施与风险相称。一个只能存几美元、每天只能转几美元的钱包是低风险工具；要求出示护照才能开户是糟糕的商业做法，在以普惠为重点的监管中往往被明确劝阻。一个可以跨境转移大额资金的钱包是高风险工具，理应进行完整验证。基于风险的 KYC 只是让所要求的验证与所授予的能力相匹配。
这种思路的转变是一种解放。您不再寻找一个既友好又安全的单一门槛，而是在搭建一座楼梯：第一级很容易迈上去，每往上一级都要求更多，也开放更多。
三个等级示例
一种常见且受监管机构欢迎的结构如下。具体数字按市场与当地监管机构商定；可以照搬的是这个结构。
- 第 1 级——基础。仅凭手机号码开立钱包，通过短信验证。单笔、单日和余额限额都较低。这是普惠等级：任何有 SIM 卡的人都能在一分钟内开始使用，正是严格的限额让监管机构能够接受最低程度的验证。
- 第 2 级——已验证。添加政府签发的身份证件——证件号码和证件照片——把限额提高到日常生活所需的水平。大多数活跃客户处于这一级。
- 第 3 级——完整。身份证件加上与证件比对的自拍照，在应用内审核，开放全部限额和更高价值的服务。这一级支持大额业务，配以监管机构对大额业务所期望的验证。
由此带来的客户体验正是您想要的：起步没有阻碍，而验证恰好在客户自身的行为——想转更多钱——产生需求的那一刻才提出。没有人需要出示护照才能收到第一笔十美元。
让这一切成真的原则：限额存在于账本之中
大多数 KYC 设计正是在这里悄无声息地失败。它们正确定义了等级，却把限额放在了错误的地方执行——放在应用里，变成一个被禁用的按钮或客户端检查。那不是强制执行，只是建议。任何能直接调用 API 或使用改装客户端的人都可以绕过它。
客户能够突破的限额不是限额，只是一个标签。
在构建良好的系统中，等级上限是由账本强制执行的不变量，在记账该笔交易的同一个原子操作中检查。试图超出每日限额的第 1 级客户不会在界面上收到礼貌的拒绝——资金变动会在它即将发生的那一刻、在所有渠道上被拒绝，因为规则就存在于资金所在之处。应用的职责是让规则清晰可见、友好易懂；账本的职责是让规则成为事实。KYC 等级成为核心系统在每笔交易时都会查询的账户属性，而不是客户曾经走过一次的某个界面。
等级之上：反洗钱层
等级决定已验证客户能做多少。但仅靠等级本身，无法发现一个行为像洗钱者的已验证客户。这是等级之上的反洗钱层的职责，监管机构会就以下所有内容向您提问：
- 制裁与政治公众人物筛查。新老客户都要与制裁名单和政治公众人物名单进行比对，并提供在名单变更时重新筛查的接入点。命中结果会被标记以待审核，既不会被悄悄拦截，也不会被悄悄放行。
- 频率与阈值规则。模式与金额同样重要。一连串略低于限额的交易、突然的行为变化、在多个账户之间拆分——这些都由持续观察资金流动的规则揭示，而不只是看眼前这一笔交易。
- 可疑活动处理。当某事触发规则时，它必须有去处——一个队列、一名审核员、一项决定，并在需要时向金融情报机构报告。没有流程支撑的警报是负担，而不是管控。
等级限额的实际示例
以下数字仅作说明。实际限额与监管机构商定，并因市场而异，但比例是典型的。
| 等级 | 验证 | 单笔交易 | 每日累计 | 最高余额 |
|---|---|---|---|---|
| 第 1 级——基础 | 手机号码、姓名 | 低（如 10,000） | 低（如 20,000） | 低（如 50,000） |
| 第 2 级——已验证 | 政府签发的身份证件 | 中（如 70,000） | 中（如 150,000） | 中（如 300,000） |
| 第 3 级——完整 | 身份证件加经比对和审核的自拍照 | 高（如 150,000） | 高（如 500,000） | 高（如 1,000,000） |
每笔交易都会进行三项检查：单笔金额对照单笔限额，当日累计对照每日限额，交易后余额对照最高余额。每项检查都在核心系统中、在资金即将变动的那一刻、在所有渠道上执行。
设计升级流程
只有升级容易，分级才能奏效。要求更多验证的最佳时机是客户触及限额的时候，因为那时他们才明白为什么这很重要。一个好的升级流程应当：
- 在触及限额的那一刻用通俗的语言解释限额，并说明下一级能开放什么；
- 允许在应用内立即开始升级，或指引客户前往最近的代理点；
- 说明审核需要多长时间，并在完成后通知客户；
- 如需重做某一步，保留已提交的内容，而不是从头开始；
- 记录谁审核了升级、依据什么证据，以备审计追踪。
代理协助开户
在许多市场，大多数钱包是在代理点而不是在应用中开立的。代理可以采集身份信息和照片，在某些框架下还可以代表服务商进行验证。这让代理开户既强大又有风险。行之有效的管控措施包括：每次开户都记录代理身份；服务商集中抽查或全部审核开户记录；对异常模式进行标记，例如大量资料相似的开户或开户后立即出现的大额活动；登记欺诈账户的代理将失去佣金，必要时失去代理资格。
常见的 KYC 设计错误
- 一开始就要求所有材料。客户放弃开户，而您最想纳入的人最先离开。
- 在应用中执行限额。限额必须存在于核心系统中，否则只是建议。
- 从不重新验证。证件会过期，情况会变化。要为高等级客户安排定期复核。
- 把筛查命中当作定论。大多数制裁和政治公众人物命中都是误报。它们需要审核，而不是自动拒绝。
- 丢失证据。无法向监管机构出示的验证，在他们看来就等于没有发生。
审计追踪才是真正的交付物
监管机构检查您时，真正检验的不是您是否有规则，而是您能否证明发生过什么——谁在何时、凭什么证据被验证到哪一级；哪些交易经过了筛查；什么被标记、做出了什么决定。这就是为什么工程文献中讨论的不可篡改、只追加的账本同时也是一项合规资产。由于历史永远不会被改写，每一次验证、每一次限额检查、每一次冲正都会留下永久、有序、可查询的记录。面向监管机构的报告由此成为对这份记录的一个视图，而不是事后匆忙拼凑出的一个故事。
数据驻留与客户关系归属
还有一个维度越来越受监管机构关注：客户数据存放在哪里、由谁控制。把所有运营商的客户汇集到一个共享数据库的平台，一旦监管机构索取数据，就会产生数据主权问题。更干净的模式——也是监管机构更放心的模式——是按运营商部署：每家机构运行自己的实例和数据库，让客户数据留在拥有该客户关系并为之负责的持牌机构手中。合规不只是管控措施，更是管辖权问题，而架构决定了管辖权。
合规是助推器，而不是刹车
人们的本能是把 KYC 和反洗钱视为增长的税负——需要尽量减少的阻力。如果设计成一道严格的大门，它们确实就是如此。如果设计成基于风险、由账本强制执行的分级，并在其上配备真正的反洗钱层和审计追踪，它们就会变成相反的东西：让您能在一分钟内为无银行账户人群开户，并且在增长过程中保住牌照。两个目标不再相互冲突，因为每一级都赢得了下一级所需要的信任。
做好远程验证
在规则允许应用内开户的地方，远程检查的质量决定了客户无需前往代理点就能走多远。良好做法包括：清晰的证件拍摄指引、提交前自动检查模糊和反光、采用实时自拍而非上传照片、将自拍与证件照片比对，以及对自动检查无法判定的情况进行人工审核。每一步都应告诉客户正在发生什么、需要多长时间。拒绝时应说明需要修正什么，让真实客户在第二次尝试时就能成功。
保护身份证件
KYC 会产生企业所能持有的最敏感的数据之一：身份证号码、证件照片和人脸。非洲各国的数据保护法律对这些数据的采集、存储和共享方式规定得越来越多。证件应加密存储，访问权限仅限于确有需要的员工，每次查看都要记录，证件仅保存法律要求的期限，并确保客户知道您持有什么以及原因。身份数据泄露会伤害客户多年，因为与密码不同，人脸和身份证号码是无法更换的。
衡量开户效果
| 指标 | 它告诉您什么 |
|---|---|
| 各步骤完成率 | 客户在注册过程中的哪一步放弃 |
| 升级所需时间 | 从第 1 级升到第 2 级或第 3 级需要多久 |
| 各等级客户占比 | 限额是否符合人们实际使用钱包的方式 |
| 拒绝率及原因 | 指引是否清晰，以及欺诈尝试是否在增加 |
| 筛查警报及处理结果 | 有多少命中是真实的，以及处理速度有多快 |
这些数字在与监管机构沟通时也很有帮助。证明分级按设计运行、升级经过审核、警报按时关闭，是基于风险的方法得到负责任执行的最好证据。
企业与代理的 KYC
商户、代理和企业客户要经过各自的验证，通常称为“了解您的企业”。其逻辑是同一座基于风险的楼梯：市场摊贩可以凭个人身份证件和较低限额起步，注册店铺补充营业登记，而为数百名员工发薪的公司则提供注册文件、董事和最终受益所有人信息。代理负有额外义务，因为他们为客户开户并经手现金，所以对代理的检查通常包括营业场所、经营记录和签署的代理协议。每个企业等级的限额和权限都存在于核心系统中，与个人客户完全一样。
与监管机构一起设计等级，而不是为他们设计
最好的等级设计是早早与监管机构商定的，而不是最后才拿出来。分享拟定的等级、限额、每一级所需的证据以及其上的监控措施，并在构建开户流程之前征求意见。展示限额如何在核心系统中执行、例外情况如何审核。理解设计的监管机构更有可能批准它，也更可能支持日后的调整，例如在数据表明风险较低时提高第 1 级限额。
常见问题
客户可以在没有任何身份证件的情况下开立钱包吗？
在许多框架下可以，处于最低等级、限额严格，并通过手机号码验证。是否允许以及限额多少，由监管机构决定。
客户的身份证件被拒绝会怎样？
客户保持在当前等级，会被告知原因并可以重试。拒绝记录、原因和审核人都会被记录下来。
等级是否适用于代理和商户？
是的，方式类似。企业账户通常根据所提供的文件分级，从小微商户的个人身份证件，到较大企业的公司注册信息和最终受益所有人。
客户应多久重新验证一次？
低等级、低风险客户很少需要。较高等级通常定期复核，或在证件到期、行为发生明显变化时复核。复核周期是与监管机构商定的基于风险方法的一部分。
不同渠道的限额可以不同吗？
可以，但很少是明智之举。如果 USSD 或代理渠道的限额比应用更宽松，欺诈就会转移到最宽松的渠道。每个等级只保留一套限额，在核心系统中对所有渠道统一执行，更容易解释，也更容易站得住脚。
PesaBridge 将合规构建在核心系统之中——可配置的等级与由账本强制执行的限额、筛查与频率监控的接入点、不可篡改的审计追踪，以及按运营商的数据驻留——让增长与管控一起设计，而不是此消彼长。