KYC Adalah: Arti, Proses, dan Aturannya di Indonesia
KYC adalah singkatan dari Know Your Customer, yaitu proses lembaga keuangan mengenali dan memverifikasi identitas nasabah sebelum dan selama hubungan usaha. Di Indonesia, OJK mewajibkan KYC lewat prosedur customer due diligence (CDD) dalam POJK Nomor 8 Tahun 2023. Intinya ada tiga: identifikasi, verifikasi, dan pemantauan.
Apa Itu KYC?
KYC artinya “kenali nasabah Anda”. Lewat proses ini, bank, fintech, atau perusahaan asuransi memastikan nasabahnya memang orang yang ia akui, lalu memahami profil dan tujuan transaksinya. Pengucapannya “kei-wai-si”, sehingga sebagian orang mencarinya dengan ejaan “kiwaisi”.
Istilah ini bahkan sudah lama ada di regulasi Indonesia. Bank Indonesia memperkenalkan Prinsip Mengenal Nasabah lewat PBI Nomor 3/10/PBI/2001. Sementara itu, POJK 8/2023 kini memakai istilah CDD, yaitu kegiatan identifikasi, verifikasi, dan pemantauan untuk memastikan transaksi sesuai profil nasabah. Jadi, dalam praktik kepatuhan, KYC dan CDD merujuk pada pekerjaan yang sama.
Mengapa KYC Penting?
KYC adalah gerbang pertama program anti pencucian uang. Jika identitas nasabah palsu, pemantauan transaksi dan laporan ke PPATK akan berangkat dari profil yang keliru. Karena itu, UU Nomor 8 Tahun 2010 Pasal 18 mewajibkan setiap pihak pelapor menerapkan prinsip mengenali pengguna jasa.
Skala pengawasannya juga terus membesar. Menurut data PPATK, sebanyak 43,7 juta laporan transaksi masuk sepanjang 2025, naik dari 35,7 juta laporan pada 2024. Setiap laporan itu juga bergantung pada data nasabah yang benar sejak pendaftaran.
Ancaman di sisi onboarding juga berubah. Pelaku kini memakai KTP hasil edit, foto dari layar, sampai wajah buatan AI untuk membuka rekening atas nama orang lain. Akibatnya, KYC modern tidak cukup hanya memeriksa dokumen.
Dasar Hukum KYC di Indonesia
Aturan KYC berbeda menurut pengawasnya, terutama antara OJK dan Bank Indonesia. Tabel berikut merangkum regulasi utama yang berlaku per Oktober 2026:
| Aturan | Isi Pokok | Berlaku untuk |
|---|---|---|
| UU Nomor 8 Tahun 2010 | Kewajiban mengenali pengguna jasa dan melapor ke PPATK | Semua pihak pelapor |
| PP Nomor 43 Tahun 2015 jo. PP Nomor 61 Tahun 2021 | Daftar pihak pelapor, termasuk fintech dan profesi tertentu | Penyedia jasa keuangan, penyedia barang dan jasa lain, profesi |
| POJK Nomor 8 Tahun 2023 | Prosedur CDD, EDD, dan verifikasi elektronik | Penyedia jasa keuangan di bawah OJK |
| PBI Nomor 10 Tahun 2024 | Program APU PPT untuk pihak yang diatur BI | Penyelenggara sistem pembayaran, termasuk dompet elektronik |
| UU Nomor 27 Tahun 2022 | Pelindungan data pribadi, termasuk biometrik | Semua pengendali data |
Sementara itu, di tingkat global, standar KYC mengacu pada Rekomendasi FATF. Indonesia sudah keluar dari daftar pemantauan FATF sejak Juni 2015, lalu menjadi anggota penuh pada Oktober 2023. Rincian tiap aturan ada di artikel dasar hukum KYC.
Sanksi jika Tidak Menjalankan KYC
Menurut Pasal 7 ayat (1) POJK 8/2023, penyedia jasa keuangan (PJK) yang melanggar kewajiban program APU PPT terkena sanksi administratif. Bentuknya mulai dari teguran tertulis, denda, dan pembatasan kegiatan usaha, sampai pembekuan kegiatan usaha tertentu dan larangan sebagai pihak utama. OJK juga dapat mengumumkan sanksi itu kepada publik.
Namun, ancaman penjara bukan untuk lembaga yang lalai. Pidana pencucian uang berlaku bagi pelakunya, dan sejak 2 Januari 2026 pasal pidananya pindah ke Pasal 607 KUHP baru.
Proses KYC: 4 Tahap Menurut POJK 8/2023
Pasal 19 POJK 8/2023 mewajibkan CDD saat PJK membuka hubungan usaha, menerima transaksi minimal Rp100 juta, memproses transfer dana, menemukan indikasi transaksi mencurigakan, atau meragukan data nasabah. Selanjutnya, prosesnya berjalan dalam empat tahap.
1. Identifikasi Nasabah
Pertama, PJK meminta data, informasi, dan dokumen pendukung untuk mengetahui profil calon nasabah. Untuk nasabah perorangan, Pasal 25 menyebut, antara lain, nama lengkap, nomor dokumen identitas, alamat, tempat dan tanggal lahir, pekerjaan, sumber dana, serta nama gadis ibu kandung. Di tahap ini, teknologi OCR KTP membantu mengisi data otomatis dari foto dokumen.
2. Verifikasi Identitas
Verifikasi punya dua sisi menurut Pasal 21 ayat (1). Pertama, PJK memeriksa kebenaran data dan dokumen. Kedua, PJK memastikan orang yang menyerahkan data memang calon nasabah yang bersangkutan. Sisi kedua inilah yang sering bocor, misalnya saat pelaku memakai KTP asli milik orang lain.
3. Penilaian Risiko
Pasal 20 mewajibkan PJK mengelompokkan nasabah menurut tingkat risikonya. Dasarnya antara lain identitas, profil, frekuensi transaksi, kegiatan usaha, struktur kepemilikan, serta produk dan jalur distribusi yang nasabah pakai. Hasilnya menentukan kedalaman pemeriksaan:
| Tingkat | Kapan Dipakai | Dasar |
|---|---|---|
| CDD sederhana | Nasabah atau transaksi berisiko rendah berdasarkan analisis risiko | POJK 8/2023 Pasal 45 |
| CDD | Standar untuk semua nasabah | POJK 8/2023 Pasal 19 dan 21 |
| EDD | Nasabah berisiko tinggi, termasuk PEP dan pihak dari negara berisiko tinggi | POJK 8/2023 Pasal 35 dan seterusnya |
Perbedaan lengkapnya kami uraikan dalam panduan CDD dan EDD. Pejabat publik juga punya aturan khusus yang kami jelaskan di artikel nasabah PEP.
4. Pemantauan dan Pelaporan
Namun, KYC tidak selesai saat rekening aktif. PJK wajib memantau transaksi, memperbarui data nasabah, dan melapor ke PPATK paling lama 3 hari kerja sejak mengetahui unsur transaksi mencurigakan, sesuai Pasal 25 ayat (1) UU 8/2010. Selain itu, Pasal 63 POJK 8/2023 mewajibkan PJK menyimpan dokumen data nasabah paling singkat 5 tahun sejak hubungan usaha berakhir.
KYC Manual, Video KYC, dan e-KYC
Pasal 21 ayat (2) POJK 8/2023 mengakui tiga mekanisme verifikasi. Ketiganya sah, sehingga PJK bebas memilih sesuai profil risiko dan saluran layanannya.
| Mekanisme | Cara Kerja | Contoh |
|---|---|---|
| Tatap muka langsung | Pegawai PJK bertemu fisik dengan calon nasabah | Pembukaan rekening di kantor cabang |
| Tatap muka elektronik | Pegawai PJK bertemu calon nasabah secara real-time dan online | Video KYC |
| Tidak tatap muka elektronik | Verifikasi otomatis memakai data kependudukan dan minimal dua faktor keaslian | e-KYC di aplikasi |
Namun, mekanisme ketiga punya syarat yang lebih tegas. Menurut Pasal 21 ayat (5), PJK wajib memanfaatkan data kependudukan dan menerapkan paling sedikit dua faktor keaslian, yaitu sesuatu yang menjadi ciri khas calon nasabah (something you are) dan sesuatu yang ia miliki (something you have). Dalam praktik, faktor pertama biasanya berupa biometrik wajah.
Jika PJK memakai perangkat lunak pihak ketiga, Pasal 22 juga mewajibkan perjanjian kerja sama tertulis. Pihak ketiga itu harus berbentuk perseroan terbatas atau koperasi yang tercatat, terdaftar, atau berizin di OJK, serta punya perjanjian kerja sama dengan instansi kependudukan. Perbandingan detailnya ada di artikel video KYC dan e-KYC.
Siapa Saja yang Wajib Menjalankan KYC?
Kewajiban KYC tidak hanya berlaku untuk bank. Berikut pembagiannya menurut pengawas:
- Sektor di bawah OJK: bank, perusahaan efek, manajer investasi, asuransi, perusahaan pembiayaan, pergadaian, urun dana, dan pinjaman daring, sesuai daftar Pasal 2 ayat (1) POJK 8/2023.
- Aset kripto: sejak 10 Januari 2025, pengawasannya pindah dari Bappebti ke OJK dengan POJK Nomor 27 Tahun 2024 sebagai dasarnya.
- Sistem pembayaran: penyelenggara dompet elektronik dan transfer dana nonbank mengikuti PBI Nomor 10 Tahun 2024 dari Bank Indonesia.
- Sektor nonkeuangan: PP 43/2015 jo. PP 61/2021 juga menjadikan, antara lain, agen properti, pedagang kendaraan bermotor, pedagang perhiasan, balai lelang, notaris, dan advokat sebagai pihak pelapor.
Untuk nasabah badan usaha, prosesnya sedikit berbeda karena PJK juga harus menelusuri pemilik manfaat. Bedanya kami bahas di artikel KYC vs KYB.
Tantangan KYC di Era Digital
Onboarding digital memangkas waktu pendaftaran, tetapi juga membuka celah baru. Tiga masalah paling sering muncul:
- Dokumen palsu atau hasil edit. KTP asli bisa terlihat meyakinkan meski datanya tidak cocok dengan data kependudukan.
- Pemalsuan wajah. Pelaku memakai foto cetak, video ulang, atau wajah buatan AI. Karena itu, liveness detection menjadi lapisan penting.
- Perlindungan data. Foto wajah termasuk data biometrik, yang UU PDP Pasal 4 golongkan sebagai data pribadi spesifik, jadi penyimpanannya butuh perlindungan lebih ketat.
Di sisi lain, proses yang terlalu panjang membuat banyak calon nasabah batal mendaftar. Jadi, tantangannya adalah menjaga verifikasi tetap ketat tanpa menambah langkah yang tidak perlu.
Solusi e-KYC dari Verihubs
Verihubs menyediakan beberapa komponen yang bisa PJK susun menjadi alur e-KYC:
- Verifikasi identitas: memeriksa kecocokan NIK, nama, dan tanggal lahir ke mitra data otoritatif, dengan hasil benar atau salah untuk setiap data.
- Liveness detection: memeriksa bahwa selfie berasal dari orang yang hadir, lewat API pasif satu gambar atau Web SDK dengan gerakan aktif.
- Pencocokan wajah: membandingkan selfie dengan foto pada dokumen identitas.
- Watchlist screening: memeriksa nama nasabah terhadap profil PEP, sanksi, dan catatan kriminal untuk kebutuhan EDD.
Meski begitu, teknologi hanya menjalankan bagian verifikasi. Kebijakan risiko, keputusan menerima nasabah, dan pelaporan ke PPATK tetap berada di tangan PJK.
Pertanyaan Umum tentang KYC
KYC singkatan dari apa?
- KYC adalah singkatan dari Know Your Customer, yang artinya kenali nasabah Anda. Istilah ini merujuk pada proses lembaga keuangan mengenali dan memverifikasi identitas nasabahnya.
Apa saja proses KYC?
- Menurut POJK 8/2023, proses KYC mencakup identifikasi data nasabah, verifikasi kebenaran data dan pemiliknya, penilaian tingkat risiko, serta pemantauan transaksi dan pelaporan ke PPATK bila ada transaksi mencurigakan.
Apa perbedaan KYC dan e-KYC?
- KYC adalah prosesnya, sedangkan e-KYC adalah cara menjalankannya secara elektronik tanpa tatap muka. POJK 8/2023 mensyaratkan e-KYC memakai data kependudukan dan minimal dua faktor keaslian, misalnya biometrik wajah dan perangkat milik nasabah.
Apa perbedaan KYC dan AML?
- AML adalah program anti pencucian uang secara keseluruhan, dari penilaian risiko hingga laporan ke PPATK. KYC adalah bagian dari program itu, khusus untuk mengenali dan memverifikasi nasabah.
Apakah data KYC aman?
- Data KYC berada di bawah UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Foto wajah termasuk data pribadi spesifik, jadi pengendali data wajib melindunginya lebih ketat. POJK 8/2023 juga mewajibkan PJK menyimpan dokumen nasabah paling singkat 5 tahun setelah hubungan usaha berakhir.
Apa sanksi jika lembaga keuangan tidak menerapkan KYC?
- Menurut Pasal 7 ayat (1) POJK 8/2023, PJK yang melanggar menghadapi sanksi administratif berupa teguran tertulis, denda, pembatasan atau pembekuan kegiatan usaha tertentu, hingga larangan sebagai pihak utama. Ancaman penjara hanya menyasar orang yang mencuci uang, sedangkan lembaga yang lalai menghadapi sanksi administratif.
Apakah platform kripto wajib KYC?
- Ya. Sejak 10 Januari 2025, pengawasan aset kripto berada di OJK dengan POJK Nomor 27 Tahun 2024 sebagai dasarnya, termasuk kewajiban pencegahan pencucian uang bagi penyelenggaranya.
KYC yang Kuat Dimulai dari Verifikasi yang Tepat
Jadi, KYC bukan sekadar formulir pendaftaran. Prosesnya menentukan apakah seluruh program anti pencucian uang bekerja dengan data yang benar.
Karena itu, mulailah dari pertanyaan sederhana: mekanisme verifikasi mana yang paling cocok dengan profil risiko dan saluran layanan Anda? Diskusikan alur e-KYC Anda bersama tim Verihubs.
