Mitä KYC tarkoittaa ja miksi asiakkaan tietoja kysytään?

Olet varmasti törmännyt siihen, että pankki, tilitoimisto, sijoituspalveluyritys tai muu palveluntarjoaja vaatii sinulta henkilöllisyytesi todistamista. Jos taas olet asioinut yrityksen puolesta, on sinulta saatettu tiedustella yrityksen omistajia, liiketoiminnan tarkoitusta tai varojen alkuperää.

Näissä ei ole kyse pelkästä hallinnollisesta muodollisuudesta. Taustalla on rahanpesun ja terrorismin rahoittamisen estämistä koskeva sääntely.

KYC eli asiakkaan tunteminen on rahanpesun estämisen ydinprosessi. Suomessa tehtiin vuonna 2025 yli 36 000 ilmoitusta epäilyttävistä liiketoimista, mikä antaa jonkinlaisen käsityksen asiakkaan tuntemisen merkityksestä.

KYC:in tarkoitus on varmistaa, että palveluntarjoaja tietää kenen kanssa asioi, kuka asiakkaan taustalla tosiasiallisesti toimii, millaista asiakkaan normaali toiminta on ja milloin toiminta poikkeaa siitä tavalla, joka voi viitata rahanpesuun tai terrorismin rahoittamiseen.

KYC ja rahanpesulaki eivät ole sama asia

KYC (eng. Know Your Customer) ei ole oma erillinen lakinsa. Se on kansainvälinen, alalla vakiintunut termi sille, mitä Suomen rahanpesulaki (444/2017) kutsuu asiakkaan tuntemiseksi.

Rahanpesulaki on sääntelykehys, joka koostuu useasta rinnakkaisesta osasta:

• Riskiarviosta. Ilmoitusvelvollisen oma arvio siitä, mitä rahanpesun ja terrorismin rahoittamisen riskejä sen toimintaan liittyy.

• Asiakkaan tuntemisesta (KYC). Kenet pitää tunnistaa, mitä tietoja pitää kerätä ja milloin pitää kysyä tarkemmin.

• Selonotto- ja ilmoitusvelvollisuudesta. Velvollisuus selvittää poikkeavia liiketoimia ja ilmoittaa epäilyttävistä tapauksista Rahanpesun selvittelykeskukselle.

• Tietojen säilyttämisestä. Asiakkaan tuntemista koskevien tietojen säilyttäminen määräajan.

• Valvonnasta ja seuraamuksista. Viranomaisten suorittama valvonta ja mahdolliset laiminlyönneistä koituvat sanktiot.

KYC on siis tästä kokonaisuudesta yleensä konkreettisimmin asiakastyössä näkyvä osa. Kenet pitää tunnistaa, mitä tietoja pitää kerätä ja milloin pitää kysyä tarkemmin.

Rahanpesulain ja KYC:in ero kannattaa pitää mielessä, koska ne sekoittuvat helposti keskenään. Rahanpesulaki on koko laki, KYC on sen yksi osa.

Miksi asiakkaan tunteminen on tärkeää?

Rahanpesun selvittelykeskus vastaanotti vuonna 2025 yhteensä 36 020 ilmoitusta epäilyttävästä liiketoimesta, lähes 50 % enemmän kuin kaksi vuotta aiemmin (24 745 vuonna 2023).

Ilmoitukset eivät kuitenkaan jakaudu tasaisesti eri toimialoille. Esimerkiksi kirjanpitäjien osuus koko määrästä oli vain 104, vaikka Suomessa toimii tuhansia tilitoimistoja. Tämä ero kertoo yhtä paljon siitä, missä epäilyttäviä liiketoimia todella tunnistetaan ja ilmoitetaan, kuin siitä, missä KYC-prosessi vasta hakee muotoaan.

Rahanpesussa rikoksella hankittuja varoja pyritään siirtämään, muuntamaan tai käyttämään tavalla, joka saa ne näyttämään laillisilta. Terrorismin rahoittamisessa huomio kohdistuu puolestaan varojen käyttötarkoitukseen, sillä myös sinänsä laillista alkuperää olevia varoja voidaan ohjata terroristiseen tarkoitukseen.

Ilman asiakkaan tuntemista poikkeamia on vaikea tunnistaa. Jos palveluntarjoaja ei tiedä, mitä asiakas tavallisesti tekee, se ei voi luotettavasti arvioida, mikä on epätavallista.

Sama maksutapahtuma voi olla yhdelle asiakkaalle täysin normaali ja toiselle selvästi poikkeava. Esimerkiksi kansainväliset maksut, suuret käteistapahtumat tai monimutkaiset omistusjärjestelyt eivät yksinään tarkoita väärinkäytöstä, mutta ne voivat vaatia lisäselvityksiä, jos ne eivät sovi asiakkaasta aiemmin saatuun kuvaan.

KYC auttaa siis erottamaan normaalin liiketoiminnan tilanteista, joissa palveluntarjoajan on pysähdyttävä kysymään lisää, jotta laiton toiminta saadaan kiinni.

Kuka valvoo KYC:n noudattamista?

Rahanpesulaki ei osoita yhtä ainoaa valvojaa kaikille toimijoille. Sen sijaan laki jakaa ilmoitusvelvolliset toimialoittain eri viranomaisten valvontaan.

• Lupa- ja valvontavirasto (LVV) valvoo suurinta osaa laissa mainituista toimialoista: Tilitoimistoja ja kirjanpitäjiä, kiinteistönvälitysliikkeitä, oikeudellisten palvelujen tarjoajia (pois lukien asianajajat), veroneuvojia, panttilainauslaitoksia, perintätoimistoja, valuutanvaihtajia sekä sellaisia rahoituspalvelujen tarjoajia, jotka eivät kuulu Finanssivalvonnan piiriin.

• Finanssivalvonta valvoo varsinaista finanssialaa: Pankkeja, maksulaitoksia, vakuutusyhtiöitä, sijoituspalveluyrityksiä ja virtuaalivaluuttapalvelujen tarjoajia.

• Patentti- ja rekisterihallitus (PRH) valvoo tilintarkastajia osana laajempaa tilintarkastajien auktorisointia ja laadunvalvontaa.

• Suomen Asianajajat valvoo asianajajia ja asianajotoimistoja oman ammattikuntansa itsesääntelynä. LVV taas valvoo tätä itsesääntelyä.

Tämä jako on hyvä pitää mielessä, koska KYC ei ole vain pankkien tai finanssialan asia. Suuri osa rahanpesulain koskettamista toimijoista on tavallisia B2B-palveluyrityksiä, kuten tilitoimistoja, isännöintitoimistoja, lakitoimistoja ja muita, joilla ei usein ole minkäänlaista finanssialan sääntelykokemusta ennestään.

Esimerkiksi isännöintiyritys on itse ilmoitusvelvollinen silloin, kun se tarjoaa rahanpesulain piiriin kuuluvia palveluja, käytännössä useimmiten kirjanpitopalvelua taloyhtiölle, jolloin sitä valvoo LVV samalla tavalla kuin tilitoimistoa.

Valvonta ei myöskään ole pelkkää paperityötä. Puutteista voidaan määrätä hallinnollinen seuraamus, joka voi olla julkinen varoitus, rikemaksu (1 000–100 000 euroa yritykselle, 500–10 000 euroa yksityishenkilölle) tai vakavimmissa tapauksissa seuraamusmaksu, joka voi nousta jopa miljoonaan euroon tai kaksinkertaiseksi saatuun hyötyyn nähden. Rahoituspalvelun tarjoajalle seuraamusmaksu voi olla jopa 10 % edellisen vuoden liikevaihdosta.

Nämä eivät ole teoreettisia lukuja vaan LVV:n todellisia toimenpiteitä. Esimerkiksi joulukuussa 2025 LVV määräsi 49 000 euron seuraamusmaksun panttilainauslaitokselle ja 8 500 euron seuraamusmaksun tilitoimistolle, jonka riskiarvio puuttui kokonaan.

Riskiarvio mahdollistaa asiakkaan tuntemisen

KYC ei synny tyhjästä. Ennen kuin ilmoitusvelvollinen voi tietää, mitä asiakkaalta kannattaa kysyä, sen on ensin kartoitettava omat riskinsä. Tätä kartoitusta kutsutaan riskiarvioksi.

Riskiarviolla on siis yrityksen itse laatima selvitys siitä, millaisia rahanpesuun ja terrorismin rahoittamiseen liittyviä uhkia sen toimintaan liittyy. Tavoitteena ei ole osoittaa, että yritys on täysin riskitön. Sen sijaan pyritään tunnistamaan ne toimet, joissa riskejä voi esiintyä ja rakentaa ymmärryksen pohjalta järkevät menettelyt.

Riskiarviolle ei ole laissa asetettu tiukkoja muotovaatimuksia. Sen pitää olla kirjallinen ja sisällön on vastattava yrityksen omaa toimintaa riittävän tarkasti. Sivumäärä ei myöskään kerro mitään laadusta. Ratkaisevaa on, löytyykö tekstistä aidosti tunnistettuja ja huolella perusteltuja riskejä.

LVV:n sivustolta löytyy riskiarviota varten ladattava mallipohja, jota voi käyttää apuna, mutta se pitää aina täydentää ja muokata oman yrityksen toiminnan mukaiseksi.

Rahanpesulaki ei lähde siitä, että jokaista asiakasta kohdellaan automaattisesti samalla tavalla. Sen sijaan asiakkaan tuntemisen laajuus mitoitetaan riskin mukaan. Riskiarvio ratkaisee, kumpaa linjaa noudatetaan:

• Vähäisen riskin asiakassuhteessa voidaan soveltaa yksinkertaistettua menettelyä.

• Tavanomaista suuremman riskin tilanteessa on sovellettava tehostettua tuntemismenettelyä.

Tätä jakoa kutsutaan riskiperusteisuudeksi. Ilman kunnollista riskiarviota jakoa on mahdotonta tehdä perustellusti. Silloin moni ilmoitusvelvollinen päätyy käytännössä kohtelemaan kaikkia asiakkaitaan samalla, usein tarpeettoman raskaalla tavalla, mikä vaikeuttaa arkea turhaan.

Riskiarviota kannattaa tarkastella vähintään kerran vuodessa ja aina silloin kun toiminnassa, asiakaskunnassa tai lainsäädännössä tapahtuu merkittäviä muutoksia.

Mitä KYC tarkoittaa käytännössä?

Asiakkaan tunteminen alkaa peruskysymyksestä: Kuka asiakas oikeasti on?

Luonnollisen henkilön kohdalla vastaus löytyy henkilöllisyyden selvittämisestä ja todentamisesta. Yritysasiakkaan kohdalla pelkkä yrityksen nimi ei riitä, vaan palveluntarjoajan on ymmärrettävä myös, kuka yritystä edustaa, kuka käyttää yrityksessä määräysvaltaa ja keitä ovat yrityksen tosiasialliset edunsaajat.

Finanssivalvonta jakaa asiakkaan tuntemista koskevat velvoitteet seitsemään osa-alueeseen:

• Asiakkaan tunnistaminen ja henkilöllisyyden todentaminen.

• Tosiasiallisten edunsaajien tunnistaminen.

• Asiakkaan edustajan tunnistaminen (mukaan lukien sen selvittäminen, onko asiakas, tosiasiallinen edunsaaja tai asiakkaan edustaja poliittisesti vaikutusvaltainen henkilö eli PEP).

• Tietojen hankkiminen asiakkaan toiminnasta sekä liiketoiminnan laadusta ja laajuudesta.

• Tuntemistietojen säilyttäminen (vähintään 5 vuotta asiakassuhteen päättymisestä).

• Selonotto- ja ilmoitusvelvollisuus.

• Jatkuvan seurannan menetelmät (sisältäen asiakkaiden ja tosiasiallisten edunsaajien säännöllinen vertailu kansainvälisiin pakote- ja jäädytyslistoihin).

KYC:n perusajatus tiivistyy tähän: Palveluntarjoajan on muodostettava riittävä kuva asiakkaastaan, jotta se pystyy erottamaan normaalin toiminnan poikkeavasta tai epäilyttävästä.

KYC kulkee mukana koko asiakassuhteen ajan

KYC ei ole yksittäinen tarkastus, joka tehdään kerran ja unohdetaan. Se on prosessi, joka alkaa ennen asiakassuhteen solmimista ja jatkuu niin kauan kuin yhteistyö kestää.

Ennen asiakkuuden alkua palveluntarjoajan on varmistuttava, että se pystyy tunnistamaan asiakkaan luotettavasti. Jos tämä ei onnistu, laki ei jätä vaihtoehtoja: Palveluntarjoaja ei saa perustaa asiakassuhdetta, suorittaa liiketoimia eikä ylläpitää liikesuhdetta. Tämä on yksi harvoista kohdista laissa, jossa mitään harkinnanvaraa ei jätetä.

Asiakassuhteen aikana tuntemisen velvoite jatkuu, sillä todellisuudessa asiakasta tulee seurata koko asiakkuuden ajan. Käytännössä tämä voi näkyä vaikkapa pyyntönä päivittää tietoja tai pyyntönä toimittaa asiakirjoja jonkin yksittäisen maksun taustalta. Jatkuvaan seurantaan kuuluu myös asiakkaiden ja heidän edunsaajiensa säännöllinen vertailu pakote- ja jäädytyslistoihin (Koho KYC tekee tämän automaattisesti). Sitä on tehtävä koko asiakassuhteen ajan, koska pakotelistat päivittyvät jatkuvasti kansainvälisen tilanteen mukana.

Jos jokin liiketoimi poikkeaa tavanomaisesta, palveluntarjoajan on selvitettävä sen peruste. Ja jos liiketoimi vaikuttaa selvityksenkin jälkeen epäilyttävältä, tai riittävää selvitystä ei saada, siitä on tehtävä ilmoitus Rahanpesun selvittelykeskukselle.

Tuntemistietojen säilyttäminen jatkuu myös asiakassuhteen päättymisen jälkeen. Lain mukaan tietoja on säilytettävä vähintään 5 vuotta, jotta valvova viranomainen voi tarvittaessa tarkistaa jälkikäteen, että tuntemisvelvoitteet on hoidettu asianmukaisesti.

Juuri tämä kaari tunnistamisesta jatkuvaan seurantaan ja tarvittaessa ilmoitukseen, on KYC:in arkea kuormittavin osa. Se ei pääty koskaan, ja siksi sitä varten on hyvä olla käytössä mahdollisimman automaatisoidut prosessit.

Yksi markkinoiden edullisimmista ja helpoimmista KYC-ratkaisuista: Tutustu Koho KYC:iin täältä.

Miten KYC muuttuu tulevaisuudessa (EU:n rahanpesuasetus 2027)

Suurin tuleva muutos on EU:n rahanpesuasetus (AMLR). Se tuli voimaan jo vuonna 2024, mutta sen soveltaminen alkaa 10.7.2027.

Kyseessä on suoraan sovellettava EU-asetus eli sitä ei tarvitse erikseen saattaa osaksi kansallista lakia. Se sisältää käytännössä kaikki asiakkaan tuntemista koskevat konkreettiset velvoitteet, jotka tähän asti ovat olleet kansallisessa rahanpesulaissa.

Samaan aikaan Suomessa uudistetaan rahanpesulakia niin, että se kulkee jatkossa rinnakkain suoraan sovellettavan asetuksen kanssa. Kansallinen laki keskittyy jatkossa etenkin riskiarvioihin, valvontaan ja seuraamuksiin. Uusi EU:n rahanpesuntorjuntaviranomainen AMLA antaa lisäksi tarkentavia ohjeita ja teknisiä sääntelystandardeja vuosina 2026–2027.

Yrityksen näkökulmasta muutos vaikuttaa lähinnä siihen, mistä asiakkaan tuntemisen yksityiskohdat tulevaisuudessa löytyvät. Sisällöltään KYC-velvoitteet pysyvät pitkälti samoina, tosin valvonnan intensiteetti tulee todennäköisesti kasvamaan.

Miten KYC-velvoitteet hoidetaan teillä?

Jos et ole varma hoidetaanko KYC-velvoitteet teillä fiksusti, varaa maksuton Koho KYC -etäesittely. Käydään yhdessä läpi, miten yksi markkinoiden edullisimmista ja helpoimmista ratkaisuista toimii.

Asiakkaan tuntemisen UKK

Onko KYC pakollinen kaikille yrityksille?

Ei. Velvoite koskee vain rahanpesulaissa erikseen nimettyjä ilmoitusvelvollisia. Suuri osa tavallisista yrityksistä ei ole ilmoitusvelvollisia.

Mitä eroa on yksinkertaistetulla ja tehostetulla tuntemismenettelyllä?

Yksinkertaistettua menettelyä voidaan soveltaa, kun riskiarvion perusteella asiakassuhteeseen liittyy vähäinen riski. Tehostettua menettelyä on sovellettava, kun riski on tavanomaista suurempi, esimerkiksi asiakkaan ollessa poliittisesti vaikutusvaltainen henkilö.

Mitä tapahtuu, jos KYC-velvoitteita laiminlyödään?

Seurauksena voi olla julkinen varoitus, rikemaksu tai vakavimmissa tapauksissa seuraamusmaksu, joka voi nousta aina miljoonaan euroon asti. Vuonna 2025 LVV määräsi useita kymmenientuhansien eurojen seuraamusmaksuja puutteellisista riskiarvioista ja asiakkaan tuntemisesta.

Onko KYC sama kaikilla toimialoilla?

Ei täysin. Perusvelvoitteet (tunnistaminen, riskiarvio, selonotto- ja ilmoitusvelvollisuus) ovat samat, mutta toteutumisen valvoja ja käytännön painotukset vaihtelevat toimialan mukaan.

Milloin KYC-tiedot pitää päivittää?

Laki ei aseta tarkkaa määräaikaa. Päivitys tehdään riskiperusteisesti eli mitä suurempi riski asiakkaaseen liittyy, sitä useammin tiedot on syytä tarkistaa.

Koho KYC hoitaa vaatimukset helposti ja edullisesti

Parhaimmillaan KYC on osa vastuullista ja luotettavaa liiketoimintaa. Se suojaa finanssijärjestelmää, yrityksiä, asiakkaita ja yhteiskuntaa.

Siksi lisäsimme palveluihimme Koho KYC:in, jonka avulla yrityksesi voi täyttää asiakkaidensa tuntemisen vaatimukset helposti ja edullisesti.

Koho KYC on yksi markkinoiden edullisimmista ratkaisuista asiakkaan tuntemiseen. Kiinteä kuukausihinta, ei yllätyskuluja.

Kun palvelu on otettu ensimmäisen kerran käyttöön, se jatkaa asiakkuuksien vaatimusten mukaista seurantaa automatisoidusti.

Haluatko hoitaa yrityksenne KYC-vaatimukset kuntoon helposti?

Tutustu Koho KYC:iin tarkemmin ja varaa maksuton esittely!

_{Tämä artikkeli perustuu Lupa- ja valvontaviraston (aiemmin aluehallintoviraston) julkaisemaan koulutusaineistoon ja ohjeisiin sekä mm. poliisin Rahanpesun selvittelykeskuksen ja Finanssivalvonnan julkaisemaan tilasto- ja indikaattorimateriaaliin. Koho ei ole itse laatinut näitä aineistoja, vaan haluaa jakaa niistä tietoa asiakkailleen. Tiedot pitävät paikkansa artikkelin julkaisuhetkellä. Ajantasaiset ja lopulliset tiedot kannattaa aina tarkistaa suoraan viranomaisten sivuilta.}