"Doğrulama" tek bir adımmış gibi kullanılıyor. En az üç adım, farklı şeyleri ortaya koyuyorlar ve farklı biçimlerde başarısız oluyorlar.
Bunları birbirine karıştırmak, kapsamlı hissettiren ama sandığınızdan azını kanıtlayan bir sürece nasıl varıldığının hikâyesidir.
Kimlik doğrulama: bu kişi iddia ettiği kişi mi?
Üçünün en dar kapsamlısı ve en iyi anlaşılanı. Genellikle şunları birleştirir:
- Belge gerçekliği — bu gerçek bir pasaport ya da kimlik mi, yoksa üzerinde oynanmış bir görüntü mü?
- Belge geçerliliği — süresi dolmuş mu ve doğru okunuyor mu?
- Biyometrik eşleşme — belgeyi sunan kişi fotoğraftaki kişiyle eşleşiyor mu?
- Canlılık — karşıda gerçek bir insan mı var, yoksa bir insanın fotoğrafı mı?
Nerede tökezler: belge kapsamı. Sağlayıcılar, yatırım yaptıkları belge türlerini destekler; bu da sattıkları pazarlarla ilişkilidir. O kümenin dışında bir pasaport taşıyan girişimci, belgesini işleyemeyen bir kontrole çarpar — ve verilen yanıt genellikle "bu belgeyi desteklemiyoruz" değil, genel bir hatadır; bu da kişiye üzerine gidebileceği hiçbir şey bırakmaz.
Şirket doğrulama: bu tüzel kişilik tarif edildiği gibi var mı?
Bu soru, tüzel kişiliğin gerçek olup olmadığını ve hakkında verilen bilgilerin resmî kayıtla örtüşüp örtüşmediğini sorar.
Açık sicili olan ülkelerde kontrol basittir. Bir Birleşik Krallık şirketi için numarayı, unvanı, durumu, tescil tarihini, kayıtlı merkezi ve mevcut yöneticileri doğrudan Companies House üzerinden teyit edebilirsiniz. Estonya'nın e-Ticaret Sicili de benzerini sunar.
Nerede tökezler: bayatlık ve ülkeler arası farklılık.
Sicil kaydı bir anlık görüntüdür. Belge üretildiğinde faal olan bir şirket bugün faal olmayabilir. Yöneticiler değişir. Adresler değişir. Doğru soru "bu belge şirketin faal olduğunu söylüyor mu" değil, "şirket bugün faal mi" sorusudur; bunu yanıtlamak da belgeye güvenmek yerine kaynağa geri dönmek demektir.
Farklılık daha büyük sorundur. Her ülkenin kamuya açık sicili yok; olanlar arasında da ayrıntı düzeyi, güncelleme sıklığı ve erişim modeli muazzam ölçüde değişiyor. Birleşik Krallık kalitesinde veri varsayan bir doğrulama süreci, bazı ülkelerde kendinden emin sonuçlar, bazılarında ise sessiz boşluklar üretir.
Gerçek faydalanıcı doğrulaması: burayı gerçekte kim kontrol ediyor?
Üçünün en zoru ve en çok önem taşıyanı.
Kimlik doğrulama size bir kişinin gerçek olduğunu söyler. Şirket doğrulama bir tüzel kişiliğin gerçek olduğunu söyler. Hiçbiri size tüzel kişiliği nihai olarak kimin kontrol ettiğini söylemez — ki kara para aklamayla mücadele rejimlerinin asıl önemsediği soru budur.
Birleşik Krallık'ta bu, Önemli Kontrol Sahibi Kişiler (PSC) olarak çerçevelenir. Genel hatlarıyla: payların veya oy haklarının %25'inden fazlasını elinde tutan, yönetim kurulunun çoğunluğunu atayabilen veya görevden alabilen ya da başka bir yolla önemli etki uygulayan kişi.
Neden zor:
Sahiplik katmanlı olabilir. Yabancı bir şirkete ait bir holdinge ait bir Birleşik Krallık şirketi, gerçek kişilere ulaşana kadar zinciri yürümenizi gerektirir. Her sıçrama, farklı açıklama kuralları olan bir ülkeye geçebilir.
Siciller çoğu zaman beyana dayanır. PSC sicili, şirketin sicile ne bildirdiğini kaydeder. Bu bir beyan yükümlülüğüdür, bağımsız bir doğrulama değil. Onu doğrulanmış bir gerçek gibi görmek yaygın ve sonuçları ağır bir hatadır.
Kontrol yalnızca pay sahipliği değildir. Küçük bir payı olan biri, hiçbir sicilde görünmeyen sözleşmeler yoluyla kontrolü elinde tutabilir.
Zincirin doğal bir sonu yoktur. Bir durma kuralına ihtiyacınız var ve bu yazılı olmalı: kaç katman takip edeceğiniz, şeffaf olmayan bir ülkeye çarptığınızda ne yapacağınız ve zincir çözülemediğinde ne olacağı.
Üçü bir arada
Sırayla işletildiğinde her kontrol bir sonrakini sınırlar:
- Kimlik, kişilerin gerçek olduğunu ortaya koyar.
- Şirket doğrulama, tüzel kişiliğin gerçek ve güncel olduğunu ortaya koyar.
- Gerçek faydalanıcı doğrulaması ikisini bağlar — bu gerçek kişilerden hangileri bu gerçek tüzel kişiliği kontrol ediyor.
Önemli olan boşluk 2. ve 3. adım arasındadır. Bir şirketi resmî sicile karşı doğrulamak, kaydolan her bireyi doğrulamak ve yine de kontrolü kimin elinde tuttuğunu bilmemek tümüyle mümkündür — çünkü kontrol, kimsenin bakmadığı bir tüzel kişilikte bir katman yukarıdadır.
İnsan incelemesi neden bunun parçası olmayı sürdürüyor
Her kontrol bir kanıt üretir, bir hüküm değil. Hüküm, kanıtın yeterli olup olmadığına dair bir yargıdır ve bu yargının sonuçları vardır.
İnsan gerektiren durumlar öngörülebilir:
- Çıkarılan veri kendi içinde tutarsızdır.
- Sahiplik zinciri tam olarak çözülemez.
- Sicil verisi sunulan belgelerle çelişir.
- Bir şey teknik olarak geçerli ama makul değildir.
Bunları otomatik olarak çözen bir sistem daha gelişmiş değildir. Vermek için yeterli bilgiye sahip olmadığı bir kararı vermekte ve sahipmiş gibi kayda geçirmektedir.
Pratik notlar
Yapmaya değer bulduğumuz birkaç şey:
- Neyi, neye karşı ve ne zaman kontrol ettiğinizi kaydedin. Doğru/yanlış biçiminde bir "doğrulandı", altı ay sonra savunulabilir değildir. Kanıt ve tarihi savunulabilirdir.
- Belirli aralıklarla yeniden doğrulayın. Sahiplik ve yöneticiler değişir. İki yıl önceki bir kontrol, artık o biçimde var olmayabilecek bir şirketi tarif eder.
- "Doğrulanamadı" ile "doğrulama başarısız" ayrımını koruyun. Farklı şeyler ifade ederler ve farklı yanıtlar gerektirirler. Tek bir duruma indirgemek, ayrımı tam da önemli olduğu yerde kaybeder.
- Kaynağı saklayın. Bir karar sonradan sorgulandığında, veritabanındaki bir alanı değil, belgeyi ve sayfayı istersiniz.
Bunun Dorsko'daki yeri
Doğrulama iş akışları, Dorsko'nun inşa ettiği altyapının parçası; buna geliştirme aşamasında olan ve müşterilere sunulmayan DorskoVerify de dâhil.
Baştan sona tasarım ilkesi, bu yazının savunduğu ilke: okumayı otomatikleştir, kararı insanda bırak ve her ikisinin de sonradan denetlenebileceği kadarını kaydet.