KYC czy KYB? Dwa warianty weryfikacji w Autenti eID Studio

Zatrudniasz zdalnie pracownika z innego kraju UE. Podpisujesz umowę z nowym dostawcą, którego nigdy nie widziałeś na oczy. Onboardujesz klienta, który zakłada konto przez telefon. W każdej z tych sytuacji pojawia się to samo pytanie: kto naprawdę jest po drugiej stronie ekranu i czy jesteś w stanie to udowodnić, gdy przyjdzie kontrola, audyt albo spór sądowy.  Odpowiedź na to pytanie dzieli się na dwa procesy - KYC i KYB. Dobór właściwego z nich zależy od jednej rzeczy: czy weryfikujesz osobę, czy organizację.

Kluczowe informacje

• KYC (Know Your Customer) weryfikuje tożsamość osoby fizycznej - klienta, pracownika lub reprezentanta firmy. KYB (Know Your Business) weryfikuje organizację - jej strukturę, status prawny i powiązania.
• Terminy KYC i KYB nie mają odrębnej definicji w polskim prawie ani w prawie unijnym. Ustawa o przeciwdziałaniu praniu pieniędzy posługuje się pojęciem środków bezpieczeństwa finansowego (customer due diligence).
• Próby oszustw z użyciem deepfake wzrosły w 2024 roku o ponad 1300% - z jednej próby miesięcznie do siedmiu dziennie (Pindrop, Voice Intelligence and Security Report 2025).
• Autenti eID prowadzi KYC i KYB jako dwa osobne procesy, ale w jednym miejscu i z jednej integracji, bez przełączania się między systemami.
• Proces KYB w Autenti przeszukuje ponad 100 rejestrów i baz danych - od KRS i CEIDG po listy sankcyjne i rejestr beneficjentów rzeczywistych.
• Każda weryfikacja kończy się raportem PDF zabezpieczonym kwalifikowaną pieczęcią elektroniczną - dokumentem, który stanowi dowód dochowania należytej staranności.

Co to jest KYC, a co KYB?

KYC (Know Your Customer) to proces weryfikacji tożsamości osoby fizycznej - klienta indywidualnego, pracownika, reprezentanta kontrahenta lub użytkownika usługi. KYB (Know Your Business) to proces weryfikacji podmiotu - spółki, fundacji, stowarzyszenia lub jednostki organizacyjnej, jej struktury właścicielskiej, statusu prawnego i potencjalnych zagrożeń.

Warto wiedzieć, że żaden z tych terminów nie jest zdefiniowany wprost ani w polskiej ustawie, ani w prawie unijnym. To określenia branżowe, wywodzące się z praktyki sektora finansowego. Prawo mówi o środkach bezpieczeństwa finansowego (po angielsku: customer due diligence) - obowiązku nałożonym na tzw. instytucje obowiązane przez ustawę z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, która transponuje unijną dyrektywę AML (2015/849). W 2024 roku Unia Europejska przyjęła rozporządzenie AML, które w kolejnych latach zastąpi dyrektywę bezpośrednio stosowalnym aktem prawnym - bez potrzeby osobnej implementacji krajowej, co oznacza większą jednolitość standardów w całej UE.

Kluczowa różnica jest prosta: KYC odpowiada na pytanie "kim jest ta osoba", a KYB na pytanie "z jakim podmiotem mam do czynienia i kto go faktycznie kontroluje". W praktyce biznesowej oba procesy często się przenikają - żeby podpisać umowę z nową firmą, musisz sprawdzić zarówno samą organizację (KYB), jak i osobę, która ma prawo ją reprezentować (KYC).

KYC - kiedy musisz zweryfikować osobę

Obowiązek weryfikacji tożsamości od dawna nie dotyczy wyłącznie banków. W 2025 roku te same wymogi mają giełdy kryptowalut, platformy gamingowe, agencje nieruchomości, a nawet handlarze dobrami luksusowymi. Unijna dyrektywa AML wymienia jako podmioty zobowiązane nawet kluby sportowe przekraczające określony próg obrotów.

Skala problemu, który KYC ma rozwiązywać, rośnie szybciej niż większość firm nadąża go monitorować. Według raportu Pindrop Voice Intelligence and Security Report 2025, liczba prób oszustw z użyciem deepfake wzrosła w 2024 roku o ponad 1300% - z jednej próby miesięcznie do siedmiu dziennie. W lutym 2024 roku pracownik działu finansowego międzynarodowej firmy w Hongkongu wziął udział w wideokonferencji, na której "widział" kilku dyrektorów swojej firmy. Żaden z nich nie był prawdziwą osobą - wszyscy zostali wygenerowani przez AI na bazie wcześniejszych nagrań. Pracownik przelał 25,6 mln dolarów (ok. 103 mln zł) zanim oszustwo wyszło na jaw.

To skrajny przykład, ale pokazuje mechanizm, który dotyczy też znacznie mniejszych organizacji: cyfrowy onboarding klienta czy pracownika bez realnej weryfikacji tożsamości to otwarte drzwi dla oszustwa, którego koszt poznajesz dopiero po fakcie. Firmy zatrudniające zdalnie - szczególnie z kilku krajów UE naraz - regularnie odkrywają ten problem dopiero przy onboardingu pracownika zdalnego, kiedy dane w dokumencie tożsamości nie zgadzają się z osobą po drugiej stronie ekranu.

Kolejna trudność to fragmentacja metod. Klient z Niemiec nie ma polskiego profilu zaufanego. Klient z Czech używa czeskiego dowodu. Jeden użytkownik zweryfikuje się przez bankowość online, inny będzie wymagał wideoweryfikacji, bo jego poziom ryzyka jest wyższy. Firma, która chce obsłużyć wszystkie te scenariusze, kończy zwykle z kilkoma osobnymi integracjami od różnych dostawców tożsamości - i koniecznością utrzymywania ich wszystkich.

Autenti eID rozwiązuje to jedną integracją obejmującą metody takie jak mObywatel, profil zaufany, bankID, e-dowód czy wideoweryfikacja łącząca OCR dokumentu, analizę biometryczną i weryfikację liveness. Zmiana metody weryfikacji albo dodanie nowego dostawcy to konfiguracja w panelu, nie kolejny projekt wdrożeniowy z udziałem działu IT. Jeśli dopiero ustalasz, jakie kryteria powinny decydować o wyborze systemu do weryfikacji tożsamości, ten materiał porządkuje ten proces krok po kroku. Pełny opis funkcji KYC w Autenti znajdziesz na stronie weryfikacji tożsamości klienta online.

KYB - kiedy musisz zweryfikować firmę

Po drugiej stronie procesu KYB nie stoi osoba, tylko podmiot - spółka, fundacja, stowarzyszenie lub jednostka organizacyjna. Proces analizuje strukturę firmy, jej status prawny i finansowy oraz potencjalne zagrożenia, w tym powiązania z listami sankcyjnymi i osobami eksponowanymi politycznie (PEP).

Konsekwencje pominięcia tego kroku bywają poważniejsze, niż wielu firmom się wydaje. W Polsce toczyła się sprawa spółki WSK Poznań, która oficjalnie sprzedawała pompy paliwowe irańskiemu producentowi ciągników rolniczych. Śledztwo Agencji Bezpieczeństwa Wewnętrznego wykazało, że komponenty trafiały ostatecznie do produkcji dronów bojowych Shahed 136, wykorzystywanych przez Rosję w wojnie przeciwko Ukrainie. Byłej prezes spółki postawiono zarzuty obrotu z zagranicą towarami o znaczeniu strategicznym dla bezpieczeństwa państwa - sąd skazał ją na rok pozbawienia wolności w zawieszeniu oraz grzywnę. Za naruszenie polskiej ustawy sankcyjnej grozi odpowiedzialność karna, a minimalna ustawowa kara pozbawienia wolności wynosi 3 lata.

Podobne mechanizmy pojawiają się regularnie przy imporcie drewna, sklejki czy wyrobów stalowych, gdzie towary z Rosji lub Białorusi bywają deklarowane jako pochodzące z Kazachstanu lub innych państw pośredniczących. Wspólny mianownik tych spraw jest jeden: brak realnej wiedzy o tym, kto naprawdę stoi za kontrahentem i dokąd trafia produkt lub usługa.

Podstawą prawną obowiązku KYB w Polsce jest wspomniana ustawa AML z 2018 roku, która nakłada na instytucje obowiązane - banki, firmy ubezpieczeniowe, biura maklerskie, ale też np. pośredników w obrocie nieruchomościami czy podmioty przyjmujące płatności gotówkowe powyżej 10 000 euro - obowiązek stosowania środków bezpieczeństwa finansowego opartych na ryzyku (risk based approach). Im wyższe ryzyko relacji biznesowej, tym intensywniejsze powinny być stosowane środki weryfikacji.

W praktyce KYB w Autenti eID oznacza automatyczne przeszukanie i analizę w czasie rzeczywistym ponad 100 rejestrów krajowych i międzynarodowych - m.in. KRS, CEIDG, REGON, białej listy VAT, statusu VAT UE (VIES), rejestru beneficjentów rzeczywistych (CRBR), list sankcyjnych UE i ONZ, bazy PEP, rejestrów dłużników (KRD, BIG InfoMonitor), baz KNF i UOKiK oraz Krajowego Rejestru Zadłużonych. Wynikiem jest raport PDF z danymi rejestrowymi, historią wpisów, a nawet zdjęciem geolokalizacyjnym siedziby firmy - zabezpieczony kwalifikowaną pieczęcią elektroniczną, co czyni go dowodem, a nie tylko notatką z researchu. Cały proces zajmuje zwykle kilkanaście minut, a często kilkadziesiąt sekund od wpisania numeru NIP.

Weryfikacja organizacji ma szczególne znaczenie tam, gdzie w łańcuchu dostaw pojawiają się podwykonawcy - na przykład w budownictwie, gdzie kluczowe jest potwierdzenie, kto faktycznie ma prawo reprezentować firmę podpisującą umowę na danym etapie inwestycji. Jeśli Twoja organizacja regularnie weryfikuje podwykonawców, ten materiał pokazuje, co dokładnie warto sprawdzić przed podpisem. Szczegóły procesu i pełną listę źródeł danych znajdziesz na stronie weryfikacji organizacji KYB.

KYC i KYB razem - dlaczego warto połączyć oba procesy

KYC i KYB to procesy odrębne, ale rzadko działają w oderwaniu od siebie. Klasyczny scenariusz: podpisujesz umowę z nowym kontrahentem. Najpierw weryfikujesz samą organizację w ramach KYB - sprawdzasz jej status prawny, strukturę właścicielską i ewentualne powiązania z listami sankcyjnymi. Na podstawie tego, jakie osoby raport KYB wskaże jako uprawnione do reprezentacji, przechodzisz do weryfikacji tożsamości tej konkretnej osoby w ramach KYC.

Firmy, które nie mają tych procesów połączonych w jednym miejscu, w praktyce radzą sobie tak: ręcznie pobierają odpisy z KRS, sprawdzają listy sankcyjne w osobnych systemach, zbierają skany dokumentów tożsamości mailem - mimo że przesyłanie skanów dokumentów jest już niezgodne z prawem.

Powstaje coś, co można nazwać syndromem dwudziestu otwartych zakładek: dane rozproszone między kilkoma narzędziami, bez jednego miejsca, w którym ktoś mógłby prześledzić cały proces od NIP-u kontrahenta po tożsamość jego reprezentanta. Zespoły administracyjne, które przechodziły z takiego modelu na proces zautomatyzowany, wskazują, że manualne sprawdzenie kontrahenta zajmowało wcześniej od trzech do sześciu dni - przy jednoczesnym ryzyku błędu ludzkiego, którego przy ręcznym przełączaniu się między dziesiątkami kart przeglądarki praktycznie nie da się wyeliminować.

Połączenie obu procesów w jednym ekosystemie ma też twardy wymiar biznesowy. Cyfrowe procesy onboardingowe zwiększają konwersję o około 11 punktów procentowych w porównaniu z procesami tradycyjnymi wymagającymi fizycznej wizyty lub przesyłania skanów. To nie jest już wyłącznie temat compliance - to również efektywność sprzedaży i operacji.

Zanim zdecydujesz się na pełne wdrożenie, wiele organizacji testuje rozwiązanie na wybranym procesie lub dziale. Jeśli chcesz zweryfikować, jak KYC i KYB sprawdzą się w Twojej organizacji, zanim zaangażujesz w to cały zespół, tak wygląda pilotaż wdrożenia systemu KYC krok po kroku.

Jak KYC i KYB działają razem w Autenti eID Studio

Autenti to European Digital Trust Platform obejmująca cały cykl życia dokumentu i relacji biznesowej - od weryfikacji, przez podpis, po doręczenie i archiwizację. eID to filar odpowiedzialny za weryfikację tożsamości osób i organizacji, a w praktyce zautomatyzowany proces w Autenti eID Studio przebiega w czterech krokach:

1. Weryfikacja organizacji (KYB). Wpisujesz NIP kontrahenta. System automatycznie przeszukuje ponad 100 rejestrów - krajowych baz, list sankcyjnych i rejestru beneficjentów rzeczywistych.
2. Weryfikacja tożsamości reprezentanta lub klienta (KYC). Na podstawie danych z raportu KYB potwierdzasz tożsamość osoby uprawnionej do reprezentacji - wybierając kanał weryfikacji dopasowany do jej lokalizacji i poziomu ryzyka.
3. Analiza ryzyka i powiązań (AML). Równolegle system sprawdza powiązania kapitałowe, status PEP i zgodność z listami sankcyjnymi.
4. Podpisanie kontraktu. Bez opuszczania ekosystemu Autenti dokument trafia do podpisu - prostego, zaawansowanego lub kwalifikowanego, w zależności od wymogów danego dokumentu.
   
   

KYC i KYB pozostają dwoma osobnymi procesami - nie łączy ich jeden wspólny formularz - ale oba dostępne są z poziomu tego samego panelu, bez przełączania się między systemami i bez osobnych integracji dla każdego z nich. Dla organizacji, które już korzystają z innego dostawcy weryfikacji tożsamości i rozważają zmianę, migracja zwykle sprowadza się do konfiguracji, a nie budowy procesu od zera - tutaj opisujemy, jak zaplanować taką zmianę bez ryzyka dla ciągłości weryfikacji.

Kiedy wybrać KYC, kiedy KYB, a kiedy oba procesy

Kiedy warto skorzystać ze wsparcia wdrożeniowego

Jeśli Twoja firma weryfikuje pojedynczych klientów okazjonalnie, samodzielna konfiguracja jednej metody KYC bywa wystarczająca. Sytuacja zmienia się, gdy w grę wchodzi kilka scenariuzy jednocześnie: klienci z różnych krajów UE, zróżnicowany poziom ryzyka wymagający różnych metod weryfikacji, integracja z istniejącym CRM lub ERP przez API, albo konieczność jednoczesnego prowadzenia KYC i KYB dla tych samych relacji biznesowych.

W takich przypadkach warto skonsultować konfigurację procesu z zespołem, który widział już podobne wdrożenia w Twoim sektorze - czy to w finansach, ubezpieczeniach, nieruchomościach, czy HR. Dotyczy to zwłaszcza organizacji regulowanych, dla których raport z weryfikacji musi wytrzymać kontrolę audytora lub spór sądowy, a nie tylko "wyglądać" na kompletny.

Od weryfikacji do podpisania umowy

Weryfikacja rzadko jest celem samym w sobie - to pierwszy krok w szerszym procesie, który zwykle kończy się podpisem, czasem doręczeniem dokumentu, a czasem jego długoterminową archiwizacją. Dlatego KYC i KYB w Autenti eID nie są oddzielnym narzędziem obok platformy do podpisów, tylko elementem tego samego ekosystemu - weryfikujesz kontrahenta i jego reprezentanta, a następnie bez zmiany systemu przechodzisz do podpisania kontraktu z odpowiednim poziomem podpisu elektronicznego.

FAQ: KYC i KYB w Autenti eID

Czym różni się KYC od KYB? KYC weryfikuje tożsamość osoby fizycznej - klienta, pracownika lub reprezentanta firmy. KYB weryfikuje organizację - jej status prawny, strukturę właścicielską i powiązania. To dwa odrębne procesy, które w relacjach B2B często są stosowane razem.

Czy każda firma musi wdrożyć procesy KYC i KYB? Obowiązek ustawowy dotyczy tzw. instytucji obowiązanych wskazanych w ustawie AML - m.in. banków, firm ubezpieczeniowych, biur maklerskich, pośredników w obrocie nieruchomościami czy doradców podatkowych. Poza tym katalogiem KYC i KYB pozostają dobrowolnym, ale skutecznym narzędziem ograniczania ryzyka prawnego, finansowego i reputacyjnego dla każdej organizacji zawierającej umowy z nowymi kontrahentami.

Czy weryfikacja tożsamości i podpisanie dokumentu to dla klienta jeden wspólny krok? Nie muszą nimi być. Weryfikacja tożsamości i wysłanie dokumentu do podpisu mogą przebiegać jako osobne kroki, ale oba są dostępne z tego samego panelu, co pozwala płynnie połączyć je w spójny proces dokumentowy.

Ile trwa pełna weryfikacja kontrahenta w KYB? W praktyce od kilkunastu sekund do kilku minut od wpisania numeru NIP - system przeszukuje rejestry i generuje raport PDF w czasie rzeczywistym, bez ręcznego researchu.

Czy KYC w Autenti obejmuje też weryfikację kontrahentów B2B i spółek? Nie. KYC służy wyłącznie do zdalnej weryfikacji tożsamości osób fizycznych - klientów indywidualnych, pracowników i reprezentantów. Weryfikację samych podmiotów biznesowych realizuje osobny proces KYB, dostępny w ramach tego samego rozwiązania Autenti eID.

Czy wdrożenie nowych metod identyfikacji wymaga wielomiesięcznych prac działu IT? Nie w modelu, w którym KYC i KYB działają jako zintegrowany hub metod weryfikacji. Dodanie lub zmiana metody weryfikacji to zwykle konfiguracja w panelu, a nie osobny projekt integracyjny wymagający zaangażowania programistów.

Jaka jest podstawa prawna obowiązku weryfikacji kontrahentów w Polsce? Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, transponująca unijną dyrektywę AML (2015/849). Od 2024 roku obowiązuje też unijne rozporządzenie AML, które stopniowo ujednolica standardy weryfikacji w całej Unii Europejskiej.

Jeśli Twoja organizacja regularnie weryfikuje klientów, kontrahentów lub podwykonawców i chcesz sprawdzić, jak KYC i KYB będą wyglądać w Twoim konkretnym procesie, umów bezpłatną konsultację z zespołem Autenti.