Teater Kepatuhan: Mengapa Semua Orang Menyimpan Berkas KYC Anda

Saya bekerja di bidang kepatuhan. Eesti Firma adalah penyedia layanan perwalian dan perusahaan berlisensi, yang menjadikan kami entitas wajib: salah satu bisnis yang menurut hukum anti pencucian uang (AML), yang diterapkan dalam bentuk yang kurang lebih sama di seluruh EU, wajib memeriksa pelanggan dan melaporkan hal yang tampak mencurigakan. Setiap klien yang mendaftarkan perusahaan melalui kami diidentifikasi, disaring, dan ditanya asal uangnya, dan saya percaya hal itu harus dilakukan dengan benar. Mengidentifikasi pendiri yang sederhana dan menyaringnya terhadap daftar sanksi serta politically exposed persons membutuhkan sekitar 15 hingga 20 menit oleh orang terlatih. Sisa proses onboarding adalah dokumen yang dibangun di sekitar seperempat jam tersebut, dan dokumen yang sama kemudian dibuat ulang, dari awal, oleh setiap entitas wajib lain yang ditemui klien.

Ini bukan argumen menentang pemeriksaan know-your-customer (KYC). Ini adalah argumen tentang menjadi apa pemeriksaan tersebut sekarang. Semua pihak dalam rantai bekerja dengan cermat, karena semua takut akan akibat jika tidak melakukannya, dan di suatu titik ketakutan itu menjadi tujuan. Saya semakin berpikir bahwa berkas itu lebih sedikit bertujuan menghentikan pencucian uang daripada membuktikan, ketika pemeriksa datang, bahwa organisasi yang menyimpannya telah mengajukan pertanyaan yang tepat.

Satu Klien, Tiga atau Empat Putaran Pemeriksaan

Berikut gambaran beberapa bulan pertama bagi klien tipikal kami, seorang pendiri dari Jerman, Spanyol, atau Turki yang menginginkan perseroan terbatas Estonia dan rekening yang berfungsi. Urutannya kurang lebih sama di Dublin atau Lisbon, karena aturannya berasal dari arahan EU yang sama; Estonia menambahkan tahapnya sendiri bagi e-residents.

1. Negara, untuk e-residents. Pendiri yang menginginkan ID digital Estonia mengajukan e-Residency, dan Police and Border Guard Board menjalankan pemeriksaan latar belakang sebelum kartu diterbitkan. Ini bukan pemeriksaan AML dalam pengertian hukum, melainkan pemeriksaan berdasarkan undang-undang lain, tetapi meminta paspor yang sama dan penjelasan tujuan yang sama, dan pemohon membayar biaya negara untuk itu.
2. Penyedia layanan. Kami memverifikasi identitas pendiri, menetapkan pemilik manfaat, menyaringnya terhadap daftar sanksi dan PEP (PEP adalah politically exposed person, seseorang yang jabatan publiknya membuat penyuapan menjadi risiko), menanyakan kegiatan bisnis dan asal modal awal, lalu menetapkan tingkat risiko. Hal itu berupa kuesioner, seperangkat dokumen, dan biasanya panggilan video.
3. Notaris. Pendiri tanpa ID digital Estonia mendirikan perusahaan melalui notaris, dan notaris adalah entitas wajib terpisah dengan kewajiban yang sama. Berkas kami tidak memiliki bobot di kantor mereka; mereka mengidentifikasi klien dan memeriksa pemiliknya sendiri.
4. Bank atau institusi pembayaran. Pihak yang membuka rekening, bank atau fintech, menjalankan formulirnya sendiri, daftar dokumennya sendiri, dan wawancaranya sendiri: rencana bisnis, volume yang diharapkan, pihak lawan utama, serta sumber dana, lagi. Rekening kedua, yang dibutuhkan banyak klien kami, berarti putaran yang sama sekali lagi.

Tergantung jalurnya, seorang pendiri menjalani tiga atau empat di antaranya, dan pemeriksaan tidak berhenti di sana. Ketika klien membayar faktur kami, bank kami sendiri dapat bertanya siapa pembayarnya dan untuk apa uang tersebut. Akuntan yang kemudian menangani perusahaan itu juga merupakan entitas wajib. Dan setiap organisasi ini harus menyimpan berkasnya setidaknya selama lima tahun setelah hubungan berakhir, memutakhirkannya, melindunginya sebagai data pribadi, dan memantaunya, karena masing-masing bertanggung jawab secara terpisah atas apa yang disimpannya.

Setiap putaran dibayar secara terpisah. Penyedia seperti kami mempekerjakan orang untuk membaca kuesioner, mengejar dokumen, menyaring nama, menulis penilaian risiko, lalu memelihara berkas selama bertahun-tahun, dan pekerjaan itu ditanggung oleh biaya. Notaris menagih waktu. Bank sejauh ini adalah pembelanja terbesar; satu survei industri memperkirakan biaya kepatuhan kejahatan finansial di seluruh sektor keuangan global lebih dari $270 miliar pada 2022. Tidak ada yang menjumlahkan angka-angka ini, karena masing-masing berada dalam anggaran berbeda, tetapi klien membayar semuanya, dalam biaya dan biaya negara, dan staf kepatuhan di setiap tahap tidak pernah melihat temuan tahap sebelumnya. Dan seperti bagian lain dari buku aturan EU, ini adalah biaya tetap: bank dapat menyerapnya, penyedia dengan belasan staf merasakannya sepenuhnya.

Bagaimana Formulir Menjadi Berkas

Sepuluh tahun lalu pemeriksaan sudah ada, tetapi berupa formulir, bukan berkas. Membuka rekening berarti paspor, tanda tangan, dan beberapa pertanyaan, sementara penyedia seperti kami menyimpan berkas tipis. Lalu datang skandal. EU menulis ulang arahan anti pencucian uangnya pada 2015 dan lagi pada 2018, setiap kali menambahkan entitas wajib dan kewajiban. Estonia mendapat undang-undang nasional baru pada 2017, dan pada 2018 laporan Danske Bank mencantumkan angka sekitar €200 miliar untuk uang nonresiden yang telah melewati satu cabang Tallinn, yang sebagian besar kemudian dinilai mencurigakan. Negara kecil menjadi sinonim pencucian uang.

Danske bukanlah kekurangan formulir. Bank itu memiliki berkas tentang klien nonresidennya dan mengabaikan apa yang ditunjukkan pemantauannya sendiri, sementara pengawas tidak cukup cermat terhadap satu institusi. Namun, responsnya adalah lebih banyak formulir untuk semua orang. Setiap bank dan setiap pengawas melakukan apa yang dilakukan organisasi mana pun setelah dipermalukan di depan umum: bertanya lebih banyak, menyimpan lebih banyak, dan tidak mempercayai siapa pun. Menurut pengalaman saya, siklus ini hanya berjalan satu arah. Pengawas disalahkan atas skandal yang gagal dicegahnya, bukan atas kuesioner yang dibuatnya diisi oleh sepuluh ribu klien jujur. Entitas wajib didenda atas kolom yang dibiarkannya kosong, bukan kolom yang ditambahkannya. Program penyederhanaan ada, di Brussels dan Tallinn, tetapi tidak ada pemeriksaan siapa pun yang bergantung padanya, sehingga pertanyaan menumpuk lebih cepat daripada dihapus.

Hukum Mengizinkan Berbagi. Dalam Praktik Tidak Ada yang Berbagi

Identitas, secara adil, sudah dibagikan. Ketika seorang e-resident atau penduduk Estonia masuk dengan ID digital, setiap bank dan penyedia mengandalkan identitas yang telah diverifikasi negara. Yang tidak dibagikan adalah segala hal lain dalam berkas: siapa pemiliknya, apa kegiatan usahanya, dari mana uangnya berasal. Hukum juga mengizinkan hal itu. Baik arahan EU saat ini maupun EU Anti-Money Laundering Regulation yang baru, yang berlaku mulai Juli 2027, mengizinkan entitas wajib mengandalkan pemeriksaan pelanggan yang sudah dilakukan oleh entitas wajib lain, dan otoritas EU yang baru, AMLA, akan menerbitkan pedoman tentang caranya. Jadi, mengapa bank meminta klien kami memulai dari nol?

Karena tanggung jawab tetap berada pada pihak yang mengandalkan. Jika berkas kami ternyata salah, denda dikenakan kepada bank, dan pengawas bank akan bertanya kepada bank, bukan kepada kami, mengapa bank memercayai perusahaan yang tidak dikendalikannya. Menilai prosedur perusahaan lain lebih mahal daripada mengirim formulir baru kepada klien, sehingga setiap institusi membuat pilihan rasional yang sama. Hukum mengizinkan pengandalan di atas kertas dan menghukumnya dalam praktik, dan jumlah seluruh pilihan individu yang masuk akal itu adalah teater dalam judul. Berkas telah berhenti menjadi alat dan menjadi produk: tugasnya adalah ada, lengkap, dan dapat diserahkan saat diminta, agar pihak yang memegangnya terlindungi.

Pendirian perusahaan adalah contoh saya karena itulah pekerjaan saya, tetapi pola ini melintasi perekonomian. Sebuah apartemen yang dijual di kota mana pun di EU menghasilkan berkas pada agen properti, berkas lain pada notaris, berkas ketiga pada bank pemberi pinjaman, dan terkadang berkas keempat pada bank yang mentransfer tabungan pembeli, empat berkas tentang dua orang yang sama untuk satu transaksi, tanpa satu pun menggunakan berkas sebelumnya. Tukarkan lebih dari €1.000 secara tunai di penukaran mata uang Estonia dan Anda akan diidentifikasi serta dicatat, dan penukaran itu akan menyimpan catatan tersebut selama bertahun-tahun bersama ribuan catatan sejenis. Akuntan, auditor, pengacara, dan pedagang barang berharga menyimpan berkas dengan jenis yang sama.

Apa yang dalam Berkas Mengurangi Risiko

Berkas standar yang dikumpulkan bank dan penyedia di seluruh pasar dari perusahaan baru, menurut pembacaan saya, terbagi menjadi tiga kelompok: bagian yang mempersulit penyalahgunaan perusahaan, bagian yang terutama ada agar pemegangnya dapat memuaskan pemeriksa, dan bagian yang murni ritual. Tabel ini adalah klasifikasi saya sendiri, bukan klasifikasi hukum, dan ujiannya dalam setiap baris sederhana: apakah ada yang pernah bertindak berdasarkan informasi ini?

Dua hal mengikuti dari tabel. Pertama, berkas hanya bernilai jika seseorang memantau berdasarkannya sesudahnya, yang dalam rantai di atas berarti bank, dan hanya bank. Kedua, panjangnya berasal dari kelompok tengah. Pemeriksa tidak dapat melihat apakah kami memahami klien, tetapi dapat melihat apakah kolom 14 diisi, sehingga kolom ditambahkan dan jarang dihapus.

Apa Kata Perhitungannya

Saya menggunakan angka Estonia karena itulah yang paling saya pahami dan karena Financial Intelligence Unit menerbitkan buku tahunan. Pada 2024, unit tersebut menerima 14.185 laporan dari entitas wajib. Unit tersebut membuat 133 penyampaian hasil analisis kepada penyidik dan sekitar 1.700 transfer informasi tambahan, dan penyidik menyita aset senilai €5,7 juta yang telah dibekukan unit tersebut. Menurut penilaian risiko nasional, penyampaian hasil analisis unit tersebut menghasilkan sepuluh proses pidana baru pada 2024, dan selama lima tahun hingga 2024 pengadilan Estonia menjatuhkan 32 putusan dalam perkara pencucian uang.

Sekarang sisi lainnya. Lebih dari 25.000 perseroan terbatas baru didaftarkan di Estonia setiap tahun, daftar tersebut memuat sekitar 370.000 badan hukum dari segala jenis, dan program e-Residency mencatat lebih dari 134.000 e-residents. Setiap perusahaan baru, setiap rekening, dan setiap ID digital berarti setidaknya satu berkas KYC lengkap, biasanya beberapa. Perkiraan kasar saya, dan saya menegaskan ini milik saya, adalah entitas wajib di Estonia menghasilkan jauh lebih dari seratus ribu berkas KYC setahun, dan seluruh sistem mengubahnya menjadi sepuluh proses pidana serta beberapa juta euro yang disita. Anggap satu klien dari sepuluh ribu memiliki niat kriminal. Sebanyak 9.999 lainnya menjalani tiga atau empat putaran pemeriksaan agar orang itu dapat ditemukan, dan angka di atas menunjukkan bahwa biasanya ia tidak ditemukan.

Ada dua keberatan yang wajar, dan saya ingin menyatakannya. Pertama adalah efek pencegahan: pelaku kriminal yang tidak pernah mengajukan permohonan karena tahu mereka akan ditanya tidak muncul dalam statistik mana pun. Itu benar, dan itu juga alasan mengapa tidak ada yang pernah harus membuktikannya. Yang kedua adalah skala: satu skema pencucian uang dapat memindahkan lebih banyak uang daripada yang diperoleh seribu perusahaan jujur, dan jika berkas tersebut telah menghentikan Danske, biayanya akan tertutup berkali-kali lipat. Namun, berkas tersebut tidak menghentikan Danske, dan vonis yang dijelaskan FIU dalam buku tahunannya berawal dari laporan transaksi mencurigakan, bukan dari kuesioner. Berkas onboarding adalah tempat uang dibelanjakan; pemantauan adalah sumber hasilnya. Bukti internasional menunjukkan arah yang sama. Europol memperkirakan pada 2016 bahwa hanya sekitar 1% hasil kejahatan di EU yang pernah disita, dan peneliti Ronald Pol, yang berupaya membandingkan biaya dan pemulihan, menyimpulkan bahwa biaya kepatuhan melebihi dana yang dipulihkan lebih dari seratus kali lipat. Tidak ada pengawas di Estonia yang menerbitkan perbandingan semacam itu untuk sistem yang dijalankannya.

Saya tidak berharap keseimbangan membaik. Buku aturan EU baru menambahkan pengawas Eropa, batas seluruh EU sebesar €10.000 untuk pembayaran tunai, serta beberapa kategori entitas wajib baru, dari platform crowdfunding hingga klub sepak bola. Setiap kategori baru berarti laci lain. Setiap skandal di masa depan akan menambahkan kolom, karena menambahkan kolom adalah cara institusi menunjukkan bahwa ia telah belajar. Dan satu buku aturan Eropa membuat setiap pengurangan lebih sulit, karena pertanyaan yang tertulis dalam regulasi tidak dapat dihapus oleh parlemen nasional yang menyadari pertanyaan itu tidak berguna.

Mengapa Tidak Ada yang Mengatakannya Terang-terangan

Menimbang hal ini tidak populer. Di ruang publik, satu-satunya posisi aman mengenai pencucian uang adalah lebih banyak: lebih banyak pemeriksaan, lebih banyak pelaporan, lebih banyak semangat. Siapa pun yang bertanya apakah putaran aturan terakhir menghasilkan sesuatu berisiko dianggap sebagai orang yang menginginkan lebih sedikit aturan bagi pelaku kriminal, sehingga petugas kepatuhan dan pengacara yang, menurut pengalaman saya, memiliki banyak keraguan ini secara pribadi menyimpannya di sana. Pemberantasan pencucian uang telah menjadi gerakan lebih daripada kebijakan, dan gerakan jarang diminta angka biaya-manfaatnya.

Hal itu patut dikatakan dengan jelas, karena ke sanalah arah jalannya jika tidak ada yang menimbangnya. Eropa yang telah menulis hukum privasi paling ketat di dunia, dengan tangan lainnya telah mewajibkan jutaan bisnis swasta menyimpan berkas tentang pelanggan mereka selama bertahun-tahun, melaporkannya kepada negara atas kecurigaan, dan bertanggung jawab jika berkasnya tipis. Setiap berkas itu dibuka dengan itikad baik untuk menghentikan kejahatan. Secara bersama-sama, berkas tersebut menjadi catatan tetap tentang siapa memiliki apa dan siapa membayar siapa, disimpan dalam laci yang pertama-tama menjawab kepada pemeriksa. Saya tidak berpikir siapa pun merancang itu. Saya juga tidak berpikir ini seharusnya terus berkembang tanpa seseorang menanyakan untuk apa semua itu.

Apa yang Akan Saya Ubah

Sebagian besar hal ini tidak memerlukan hukum baru, hanya keputusan berbeda tentang cara menerapkan hukum yang ada. Poin pertama memerlukannya.

1. Satu berkas terverifikasi, dibawa oleh klien. Seseorang memverifikasi orang tersebut sekali dan memikul tanggung jawab atas verifikasi itu, didukung lisensi, asuransi, dan audit, sehingga institusi yang mengandalkannya bukan pihak yang dihukum jika verifikasi itu salah. Pihak pemverifikasi dapat berupa bank, notaris, penyedia berlisensi, atau layanan negara yang dibangun di atas ID digital; yang penting adalah tempat tanggung jawab berada. Aturan saat ini, baik nasional maupun EU, menempatkannya pada pihak yang mengandalkan, dan itulah sebabnya tidak ada yang mengandalkan. Mengubahnya memerlukan pembuat undang-undang, dan panduan pengandalan AMLA yang akan datang adalah tempat alami untuk memulai pembahasan.
2. Awasi hasil, bukan formulir. Pemeriksaan seharusnya menanyakan apa yang dihasilkan pemantauan suatu perusahaan dan ke mana laporannya disampaikan, bukan apakah setiap kolom pada setiap formulir telah diisi.
3. Formulir yang sesuai dengan perusahaan. Perusahaan baru dengan satu pendiri dan tanpa omzet membutuhkan dua halaman, bukan dua puluh. Pertanyaan yang ditingkatkan, pemeriksaan lebih mendalam yang disediakan hukum bagi klien berisiko lebih tinggi, seharusnya dilakukan saat kegiatan dimulai dan ada sesuatu yang dapat diperiksa.
4. KYC ulang saat ada perubahan, bukan berdasarkan kalender. Pemilik baru, negara baru, atau lini bisnis baru adalah alasan untuk memeriksa lagi. Berlalunya dua tahun bukan.
5. Gunakan data yang sudah dimiliki negara. Untuk perusahaan yang sudah ada, Daftar Komersial memuat pemilik, dewan, dan laporan tahunan. Entitas wajib seharusnya mengambilnya dari daftar alih-alih meminta klien mengetiknya ulang. Mahkamah Agung Estonia menerapkan logika yang sama kepada pengawas itu sendiri pada Januari 2026, ketika memutuskan tidak sah formulir 44 pertanyaan yang dikirim Financial Intelligence Unit kepada semua penyedia layanan berlisensi, sebagian karena negara seharusnya terlebih dahulu menggunakan data yang sudah dimilikinya.

Melewati Pemeriksaan Tanpa Teater

Di Eesti Firma kami meminta hal yang diwajibkan hukum dan penilaian risiko kami sendiri, serta menjelaskan mengapa setiap dokumen penting. Kami juga membantu klien menyiapkan satu set dokumen dan jawaban pada awal yang dapat diberikan kepada bank dan institusi pembayaran tanpa ditulis ulang, karena menurut pengalaman saya yang membuat onboarding tetap singkat bukanlah kuesioner yang lebih pendek, melainkan bisnis yang dijelaskan dengan cara sama kepada setiap pihak yang bertanya. Bagi perusahaan yang kemudian menjadi entitas wajib sendiri, kami menyusun kebijakan dan prosedur yang diwajibkan hukum, yang saya akui merupakan bagian dari teater yang sama; perbedaan yang dapat kami buat adalah menulisnya agar dapat digunakan, bukan sekadar lengkap. Jika Anda mendirikan perusahaan dan ingin bagian kepatuhan ditangani oleh orang yang membaca apa yang Anda kirim, kami dapat membantu dengan pendirian perusahaan dan segala hal setelahnya.

Kirim Permintaan