Идентификация: что это, виды и отличие от верификации

Идентификация — это установление личности человека или тождества объекта по уникальным признакам: имени, номеру документа, отпечатку пальца, логину. Она отвечает на вопрос «кто это?», но ещё не подтверждает, что человек действительно тот, кем назвался. Подтверждением занимается следующий этап — верификация.

Понятие используется в четырёх разных областях: в финансовом и правовом регулировании, в информационных технологиях, в психологии и в криминалистике. Смысл в них отличается, поэтому ниже разобрана каждая область отдельно — и подробно та, что имеет практические последствия для бизнеса и его руководителей.

Что означает слово «идентификация»

Термин происходит от латинского identifico — «отождествляю». В общем смысле идентификация — это сопоставление предъявленных признаков с уже известными, чтобы установить: перед нами именно этот объект, а не какой-то другой. Ближайшие по смыслу слова — отождествление, опознание, распознавание; в правовом контексте близко по смыслу «установление личности».

Ключевое: идентификация всегда работает с уникальным признаком — таким, который не повторяется у других объектов внутри системы. Фамилия сама по себе плохой идентификатор, номер паспорта — хороший.

Идентификация, верификация, аутентификация и авторизация: в чём разница

Эти четыре понятия постоянно путают, хотя они описывают последовательные и разные по смыслу шаги.

Этап	Отвечает на вопрос	Пример
Идентификация	Кто это?	Клиент называет ФИО и номер паспорта
Верификация	Данные подлинные?	Сотрудник сверяет паспорт с лицом человека и проверяет документ на подлинность
Аутентификация	Это действительно он?	Ввод пароля, кода из СМС, отпечаток пальца
Авторизация	Что ему разрешено?	Клиенту открыт доступ к счёту, но не к операциям от лица компании

Практическая разница: идентификация — заявление о личности, аутентификация — доказательство этого заявления. Когда вы вводите логин, происходит идентификация; когда вводите пароль — аутентификация; когда система решает, какие разделы вам открыть — авторизация. Верификация в этой цепочке проверяет подлинность самих сведений и документов.

Идентификация клиента в финансовом секторе

Это область, где термин имеет прямое юридическое наполнение. Обязанность идентифицировать клиента установлена Федеральным законом от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма».

Организации, осуществляющие операции с денежными средствами (банки, страховые компании, профессиональные участники рынка ценных бумаг, некоторые категории посредников), обязаны до приёма клиента на обслуживание установить в отношении него определённый набор сведений.

Что устанавливается для физического лица: фамилия, имя, отчество; гражданство; дата рождения; реквизиты документа, удостоверяющего личность; данные миграционной карты или документа о праве пребывания в России — для иностранных граждан; адрес места жительства или регистрации; ИНН при наличии.

Что устанавливается для юридического лица: наименование; организационно-правовая форма; ИНН; ОГРН; адрес; сведения о лицах, имеющих право действовать от имени организации; структура собственности и — отдельно — сведения о конечных бенефициарных владельцах.

Международное обозначение этой процедуры — KYC, от английского Know Your Customer. В российской практике она включает не только сбор сведений, но и проверку клиента по перечням: перечню лиц, причастных к экстремистской деятельности или терроризму, решениям о применении мер по замораживанию, а также по коммерческим базам данных о репутационных и санкционных рисках.

Отдельно закон предусматривает упрощённую идентификацию — сокращённый набор сведений для ограниченного круга операций, и углублённую проверку для клиентов с повышенным уровнем риска. К последней категории относятся, в частности, публично значимые лица.

Публично значимые лица: почему для руководителей процедура строже

Если клиент относится к категории публично значимых лиц — иностранных публичных должностных лиц, должностных лиц публичных международных организаций, лиц, занимающих государственные должности в России, — закон предписывает применять повышенные меры. Для таких клиентов организация принимает решение о приёме на обслуживание на уровне руководителя, устанавливает источники происхождения средств и ведёт обслуживание в режиме повышенного внимания.

Тот же режим распространяется на родственников и близких таких лиц. Международное обозначение категории — PEP, от Politically Exposed Person.

На практике это означает: сведения о крупном руководителе или собственнике проверяются глубже и по большему числу источников, включая коммерческие базы данных о рисках. Именно поэтому для этой категории людей содержание публичной информации о них перестаёт быть вопросом имиджа и становится вопросом доступа к финансовой инфраструктуре — открытию счетов, проведению сделок, работе с иностранными контрагентами.

Что происходит, когда идентификация даёт негативный результат

Идентификация — это не только сбор сведений, но и сопоставление их с базами данных. Если проверка выявляет совпадение с санкционным перечнем, записью в коммерческой базе рисков или заметным негативным упоминанием в СМИ, последствия наступают быстро: отказ в приёме на обслуживание, приостановка операции, запрос дополнительных документов, а в отношении компании — пересмотр условий работы контрагентами.

При этом источником проблемы часто оказывается не факт, а запись о факте: устаревшая публикация, ошибочное упоминание в базе, однофамилец, судебное разбирательство, завершившееся в пользу человека, но описанное в интернете только на стадии претензии. Формально проверка отработала корректно — совпадение есть; фактически решение принято на основе недостоверных данных.

Работа с такими записями — отдельная задача: установить, в каких источниках и базах присутствуют сведения, оценить их достоверность и добиваться исправления или удаления там, где сведения не соответствуют действительности. Это направление называется управлением цифровым профилем; см. цифровая репутация и выявление комплаенс-рисков.

Как проходит идентификация на практике: порядок шагов

Последовательность одинакова для большинства регулируемых организаций, различается только глубина проверки.

Сбор сведений. Клиент представляет документы, организация фиксирует предусмотренный законом набор данных.
Проверка достоверности. Сведения сверяются с государственными реестрами и информационными системами.
Проверка по перечням. Сопоставление с перечнями уполномоченного органа, решениями о замораживании, а также с коммерческими базами данных о рисках.
Оценка уровня риска. Клиенту присваивается степень риска; от неё зависит, достаточно ли базового набора сведений или требуется углублённая проверка.
Углублённая проверка при повышенном риске. Установление источников происхождения средств, структуры собственности, связей с публично значимыми лицами.
Обновление сведений. Данные о клиенте подлежат периодическому обновлению — идентификация не разовое действие, а постоянный процесс на всё время обслуживания.

Важный для понимания нюанс: на шаге 3 организация обращается не только к официальным перечням, но и к коммерческим базам данных, которые агрегируют судебные дела, публикации в СМИ, санкционные сведения и связи между лицами. Содержание таких баз не проверяется государством и формируется из открытых источников — именно поэтому ошибки и устаревшие сведения в них встречаются регулярно.

Идентификация контрагента и должная осмотрительность

Помимо требований 115-ФЗ, которые адресованы финансовым организациям, существует более широкая практика — установление сведений о контрагенте перед заключением сделки. В налоговых спорах это обозначается как должная осмотрительность: налогоплательщик должен быть готов показать, что перед работой с партнёром проверил его правоспособность, полномочия подписанта и реальность ведения деятельности.

Базовый набор проверок: выписка из ЕГРЮЛ или ЕГРИП, сведения о дисквалифицированных лицах, арбитражная картотека, исполнительные производства, реестр сведений о банкротстве, сведения о массовом адресе регистрации. Для сделок с иностранными контрагентами добавляется проверка по санкционным спискам и по международным базам репутационных рисков.

С точки зрения руководителя это значит следующее: его собственную компанию тоже регулярно идентифицируют — партнёры, банки, крупные заказчики. И если при такой проверке в первых строках поиска или в коммерческой базе обнаруживается негативная или недостоверная запись, решение против сделки может быть принято без объяснений — контрагент не обязан сообщать причину отказа. Именно поэтому регулярный мониторинг упоминаний и проверка того, что видят о вас проверяющие, входит в стандартный набор задач крупного бизнеса.

Идентификация в информационных технологиях

В ИТ идентификация — это первый шаг доступа к системе: пользователь сообщает уникальный идентификатор (логин, адрес электронной почты, номер телефона, идентификатор устройства). Система находит соответствующую запись, но доступ ещё не открывает — сначала требуется аутентификация.

Идентификаторами могут быть: логин или имя пользователя, адрес электронной почты, номер телефона, номер банковской карты, MAC- или IP-адрес устройства, номер сессии, биометрический шаблон.

Отдельная категория — биометрическая идентификация, где признаком выступают отпечаток пальца, геометрия лица, рисунок вены, голос. Её особенность в том, что биометрический признак нельзя заменить, как пароль: при утечке шаблона последствия необратимы. Поэтому обработка биометрических персональных данных в России регулируется отдельно — статьёй 11 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и законодательством о едином биометрическом реестре.

Идентификация в психологии

В психологии идентификация означает отождествление себя с другим человеком или группой: человек перенимает поведение, ценности, манеру, ощущая внутреннюю общность. Понятие введено в психоаналитической традиции и описывается как один из механизмов психологической защиты и одновременно как механизм социализации — через идентификацию с окружающими ребёнок усваивает нормы поведения.

К этой же области относится профессиональная и корпоративная идентификация — отождествление себя с профессией или организацией.

Идентификация в криминалистике

Криминалистическая идентификация — установление тождества объекта по совокупности признаков: сопоставление отпечатков пальцев, профилей ДНК, следов орудия, почерка, изображений. Принцип тот же, что и в других областях: сравнение предъявленного признака с известным образцом, но с существенно более высокими требованиями к достоверности вывода, поскольку результат имеет доказательное значение.

Частые вопросы

Что такое идентификация простыми словами?

Это установление того, кто перед нами, по уникальному признаку — номеру документа, логину, отпечатку пальца. Проще говоря: система или человек отвечают на вопрос «кто это?», сопоставляя предъявленные данные с уже известными.

Чем идентификация отличается от верификации?

Идентификация устанавливает, кем человек себя называет; верификация проверяет, что предъявленные сведения подлинные. Назвать номер паспорта — идентификация, сверить паспорт с лицом человека и проверить документ на подлинность — верификация.

Обязательна ли идентификация клиента в банке?

Да. Для организаций, осуществляющих операции с денежными средствами, обязанность установлена 115-ФЗ. Без установления предусмотренных законом сведений клиент не может быть принят на обслуживание, за исключением случаев, для которых предусмотрена упрощённая идентификация.

Почему для руководителей и собственников проверка проходит сложнее?

Если человек относится к категории публично значимых лиц или связан с ней родственными отношениями, закон предписывает применять повышенные меры: решение о приёме на обслуживание принимается на уровне руководителя организации, устанавливаются источники происхождения средств, обслуживание ведётся в режиме повышенного внимания.

Что делать, если проверка выявила недостоверные сведения о человеке?

Порядок действий предусматривает установление источника сведений — публикации, записи в базе данных, судебного документа — и обращение к оператору источника с требованием об исправлении или удалении недостоверных данных. Основания зависят от характера сведений: недостоверная информация о персональных данных, сведения, порочащие деловую репутацию, либо данные, утратившие актуальность.

Каким словом можно заменить слово «идентификация»?

В общем смысле — отождествление, распознавание, опознание. В правовом контексте точнее всего — установление личности; в информационных системах — распознавание пользователя. Полными синонимами не являются слова «верификация» и «аутентификация» — это другие этапы.

Можно ли отказаться от биометрической идентификации?

Обработка биометрических персональных данных по общему правилу требует согласия субъекта, за исключением случаев, прямо предусмотренных законом. Согласие может быть отозвано в порядке, установленном 152-ФЗ.

Источники

Федеральный закон от 07.08.2001 № 115-ФЗ «О противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма» — статьи 3, 6, 7, 7.2

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» — статьи 5, 9, 11

Положение Банка России об идентификации клиентов и выгодоприобретателей

Перечни, формируемые уполномоченным органом в сфере противодействия отмыванию доходов

Идентификация: что это, виды и чем отличается от верификации