KYC adalah CDD: 6 Langkah Onboarding, Wajib atau Pilihan Produk

KYC adalah kewajiban lembaga keuangan untuk mengidentifikasi, memverifikasi, dan memantau nasabahnya. Peraturan OJK yang berlaku menamainya customer due diligence (CDD): POJK Nomor 8 Tahun 2023, ditetapkan dan diundangkan 14 Juni 2023. Kata "KYC" tidak muncul sekali pun dalam 117 halaman peraturan itu. Untuk onboarding digital, Pasal 21 membuka tiga jalur verifikasi, dan hanya jalur tanpa tatap muka yang mewajibkan data kependudukan ditambah dua faktor keaslian. Kata liveness, OCR, dan e-KYC juga tidak ada di sana.

Tulisan ini untuk Head of Digital atau CIO yang memegang funnel onboarding di bank, asuransi, sekuritas, dan multifinance, juga untuk tim kepatuhan dan SKAI yang harus mempertahankan tiap layarnya di depan pemeriksa OJK. WEBARQ tidak menjual layanan verifikasi identitas. Kami membangun website dan aplikasi tempat layanan itu dipasang, jadi tidak ada produk e-KYC yang kami bela di sini.

Nama hukumnya CDD, dan 6 dari 14 halaman masih mengutip aturan yang dicabut

UU Nomor 8 Tahun 2010 (22 Oktober 2010) Pasal 18 menyebut kewajiban ini "prinsip mengenali Pengguna Jasa". Penjelasannya menyamakan prinsip itu dengan CDD dan enhanced due diligence (EDD) dalam Rekomendasi 5 FATF. POJK 8/2023 Pasal 1 angka 12 merumuskan CDD sebagai identifikasi, verifikasi, dan pemantauan. Satu-satunya "know your" di POJK itu adalah know your employee.

Pada 7 Oktober 2026 kami membaca 14 halaman berbahasa Indonesia yang Google tampilkan untuk "kyc adalah". Sembilan termasuk dalam 11 halaman web yang dikutip AI Overview-nya selama kami menarik halaman hasil itu 25 kali, dari 6 Oktober pukul 23.55 sampai 7 Oktober pukul 00.33 WIB. Lima lainnya artikel berbahasa Indonesia di antara hasil organik tarikan pertama. Yang kami hitung hanya badan artikel, tanpa menu dan footer.

• 7 dari 14 halaman menyebut nomor peraturan OJK, Bank Indonesia, atau Menteri Keuangan. Enam di antaranya merujuk POJK 12/POJK.01/2017, yang dicabut Pasal 89 POJK 8/2023 pada 14 Juni 2023. Satu, halaman sebuah perusahaan asuransi, merujuk POJK 8/2023.
• Tidak ada yang mengutip pasal dari peraturan mana pun, dan tidak ada yang memuat angka rupiah. Satu menyebut Dukcapil.
• 4 halaman milik vendor verifikasi identitas. Tidak satu pun menyebut peraturan Indonesia. Satu menyebut GDPR, ISO 27001, dan PDPA sebagai regulasi yang mewajibkan KYC.

Hitungan berhenti di 14 halaman itu karena hasil organiknya tidak mau diam. Dari 24 tarikan sesudah yang pertama, hanya satu yang mengulang susunan organik pertama. Enam belas memunculkan susunan tipis berisi delapan hasil dan tujuh memunculkan susunan ketiga; keduanya tidak berbagi satu URL pun dengan tarikan pertama. Yang tidak kami hitung: satu halaman PPATK yang tidak bisa dibuka, satu halaman glosarium LoanPro yang dikutip AI Overview lewat Google Translate, satu PDF jurnal, tiga halaman asing terjemahan mesin, serta hasil Instagram dan YouTube. Tiap badan artikel kami telusuri dengan pola teks, dan "mengutip pasal" berarti kata Pasal yang diikuti angka.

AI Overview muncul di semua tarikan. Teksnya kami simpan pada 18 tarikan: tidak sekali pun memuat nomor peraturan, dan pada 14 di antaranya liveness detection masuk daftar tahapan KYC.

Tiga jalur verifikasi di Pasal 21

Pasal 21 ayat (2) mewajibkan verifikasi lewat setidaknya satu dari tiga mekanisme.

1. Tatap muka langsung. Pegawai bertemu fisik dengan calon nasabah (ayat (3)).
2. Tatap muka secara elektronik. Pegawai bertemu calon nasabah secara real-time dan online; penjelasannya mencontohkan video call (ayat (4)). Ayat ini tidak menyebut data kependudukan atau biometrik.
3. Tanpa tatap muka secara elektronik. Aplikasi atau website tanpa video call, jalur yang biasa dijual sebagai e-KYC. Ayat (5) huruf c mewajibkan pemanfaatan data kependudukan dan paling sedikit dua faktor keaslian: something you are (wajah, sidik jari, atau retina/iris) dan something you have. Untuk faktor kedua, penjelasannya menyebut KTP yang "wajib disertai pula dengan hal lainnya" seperti OTP atau tanda tangan digital. KTP saja tidak cukup. Kata sandi atau PIN hanya faktor ketiga yang boleh ditambahkan (ayat (6)).

Bank umum terikat aturan yang lebih ketat. POJK Nomor 21 Tahun 2023 tentang layanan digital bank umum (ditetapkan 19 Desember 2023, diundangkan 22 Desember 2023) mewajibkan paling sedikit dua faktor autentikasi dalam verifikasi (Pasal 5 ayat (6)), dan something you are harus menjadi salah satunya di kedua jalur elektronik, termasuk video call (ayat (7)). Sekuritas punya pedoman sendiri, SEOJK 6/SEOJK.04/2019 (20 Maret 2019), yang masih merujuk POJK 12/POJK.01/2017. Konfirmasikan penerapannya ke OJK.

Enam langkah funnel onboarding: dasar hukum, status, titik gagal

Pasal tanpa nama peraturan merujuk POJK 8/2023. Urutan layar adalah keputusan produk. Yang diatur: verifikasi selesai sebelum hubungan usaha dibuka (Pasal 30 ayat (5)).

No	Langkah	Yang terjadi	Dasar hukum	Wajib atau pilihan produk	Di mana calon nasabah gagal
1	Dokumen identitas dan isian data	Calon nasabah memotret KTP-el atau memakai Identitas Kependudukan Digital, lalu mengisi 10 butir identitas, sumber dana, penghasilan atau kekayaan, dan tujuan hubungan usaha.	Pasal 25 ayat (1) huruf a; Pasal 26 ayat (1) dan (2)	Wajib. OCR pilihan produk. CDD sederhana untuk risiko rendah memangkas isian identitas menjadi empat atau lima butir (Pasal 45 ayat (4)) dan wajib diberitahukan ke OJK (ayat (6)). Pasal 21 tidak termasuk pasal yang disederhanakan.	Foto dokumen tidak terbaca.
2	Cek NIK ke Dukcapil	Institusi mengirim NIK, nama, tempat dan tanggal lahir yang diketik calon nasabah. Pada hak akses verifikasi, jawabannya sesuai atau tidak sesuai, bukan data.	Pasal 21 ayat (5) huruf c; Pasal 30 ayat (1); Permendagri 102/2019 Pasal 29	Pemanfaatan data kependudukan wajib di jalur tanpa tatap muka; bentuk ceknya tidak dirinci. Di jalur lain boleh sumber lain yang dapat dipercaya dan independen.	Nama diketik berbeda dari data kependudukan, walau NIK dan tanggal lahir benar.
3	Pencocokan wajah dan liveness	Swafoto dicocokkan dengan foto acuan; lolos bila skor melewati ambang.	Pasal 21 ayat (5) huruf c angka 1; POJK 21/2023 Pasal 5 ayat (7)	Faktor biometrik wajib di jalur tanpa tatap muka; bagi bank juga di video call. Liveness tidak disebut di kedua POJK. Soal harapan pengawas, lihat bagian akhir.	Swafoto tidak terbaca; KTP-el belum direkam; skor di bawah ambang.
4	Peringkat risiko CDD	Calon nasabah dikelompokkan menurut tingkat risiko dari delapan faktor, termasuk jaringan distribusi yang dipakai.	Pasal 20 ayat (1) dan (2); Pasal 35 ayat (3); Pasal 37 ayat (1) huruf c	Wajib. EDD wajib untuk risiko tinggi. PEP butuh persetujuan pejabat senior sebelum hubungan usaha dibuka.	Bukan gagal, tetapi keluar dari alur otomatis.
5	Tanda tangan	Calon nasabah menandatangani di layar atau memakai tanda tangan elektronik.	Pasal 26 ayat (1) dan (3); POJK 21/2023 Pasal 22 ayat (1)	Spesimen tanda tangan wajib. Tanda tangan elektronik "dapat" menggantikannya: pilihan produk.	Tidak ada angka publik.
6	Pembukaan rekening	Hubungan usaha dibuka setelah verifikasi selesai, atau lebih dulu dengan prosedur manajemen risiko lalu verifikasi dituntaskan.	Pasal 30 ayat (4) sampai (7); Pasal 49 ayat (1) dan (4)	Wajib. Penolakan wajib bila syarat Pasal 21, 25, atau 26 tidak terpenuhi, dan harus didokumentasikan.	Identitas diragukan: wajib diminta lebih dari satu dokumen identitas, boleh disertai wawancara.

Tabel ini mengikuti calon nasabah perorangan WNI. WNA memakai paspor disertai dokumen keimigrasian (Pasal 26 ayat (2) huruf b), dan korporasi punya daftar dokumen sendiri (Pasal 27).

Dua catatan untuk baris 5. Penjelasan Pasal 26 ayat (1) menghitung tanda tangan yang dituangkan langsung di layar perangkat sebagai spesimen. Sebaliknya, Pasal 17 ayat (2a) UU ITE, yang disisipkan UU Nomor 1 Tahun 2024 (2 Januari 2024), meminta tanda tangan elektronik yang diamankan dengan sertifikat elektronik untuk transaksi elektronik berisiko tinggi. Penjelasannya mencontohkan transaksi keuangan tanpa tatap muka fisik. Kepatuhan perlu memutuskan posisi institusi atas ayat itu sebelum jenis tanda tangan dipilih.

Cek NIK ke Dukcapil: jawabannya sesuai atau tidak sesuai

Menurut Ditjen Dukcapil sendiri, hak akses verifikasi tidak menyerahkan data penduduk. Siaran pers 15 Juni 2020 menjelaskan bahwa lembaga pengguna mengirim NIK, nama, tempat dan tanggal lahir yang diisi calon nasabah, lalu menerima notifikasi "SESUAI" atau "TIDAK SESUAI". Contohnya di sana: NIK dan tanggal lahir sama, nama berbeda, hasilnya "Data Tidak ditemukan". Itu penjelasan tahun 2020, bukan spesifikasi API hari ini. Minta kontrak antarmuka terbaru dari Dukcapil atau vendor Anda.

Aksesnya diatur Permendagri 102/2019 (ditetapkan 6 Desember 2019) sebagaimana diubah Permendagri 17/2023 (ditetapkan 20 Oktober 2023). Pasal 29 ayat (4) membatasi badan hukum Indonesia yang mayoritas dimiliki asing pada akses verifikasi dengan konfirmasi sesuai atau tidak sesuai. Jadi institusi yang mayoritas sahamnya dipegang asing tidak bisa meminta lebih dari jawaban itu. Pasal 38A melarang pengguna data kependudukan memungut biaya kepada masyarakat. Bacaan kami, ongkos cek tidak bisa ditagihkan ke calon nasabah.

Ongkosnya tertulis di lampiran PP Nomor 10 Tahun 2023 (diundangkan 27 Februari 2023):

• verifikasi lewat web service NIK: Rp1.000 per NIK;
• biometrik face recognition: Rp3.000 per biometrik;
• biometrik sidik jari: Rp2.000 per biometrik.

Angka itu batas tarif tertinggi (penjelasan Pasal 1 ayat (2)) dan belum termasuk biaya vendor. Pasal 4 menolkan tarif bagi instansi pemerintah, badan penyelenggara jaminan sosial, koperasi, serta usaha mikro dan kecil. Bank, asuransi, sekuritas, dan multifinance tidak disebut di daftar itu. Bila cek NIK dan wajah ditagih terpisah, plafonnya Rp4.000 per percobaan, atau Rp400 juta untuk 100.000 percobaan. Apakah panggilan wajah sudah mencakup cek NIK tidak kami temukan di sumber resmi.

Data administrasi Dukcapil per September 2022, dimuat dokumen penilaian proyek Bank Dunia (PAD5112, 21 April 2023), mencatat 26 lembaga sektor keuangan di antara 50 pengguna institusional terbesar menjalankan 2.588.689.049 autentikasi demografis dan 41.018.797 autentikasi biometrik. Porsi biometrik, kami hitung: 1,56%. Dokumen yang sama menyebut pencocokan demografis rawan salah. Angka itu dari masa sebelum tarif PP 10/2023 berlaku. Hitungan Dukcapil yang lebih baru: layanan face recognition-nya diakses 667.348.734 kali hingga 30 Juni 2026, 299.642.054 di antaranya oleh perbankan (Ditjen Dukcapil, 7 Agustus 2026). Dua hitungan itu tidak sebanding, jadi porsinya tidak kami hitung ulang.

Kenapa verifikasi KYC gagal?

Dari sisi institusi, kegagalan datang dari empat sumber yang bisa ditunjuk pasal atau angkanya.

• Isian tidak cocok. Cek demografis menjawab ya atau tidak atas ketikan calon nasabah. Nama yang berbeda sudah cukup untuk gagal.
• Foto tidak terbaca. PAD5112 paragraf 18 mencatat laporan penyedia fintech: hingga 60% nasabah mengirim swafoto sambil memegang e-KTP yang tidak terbaca atau butuh penanganan manual seperti video call. Ukuran sampelnya tidak disebut. Perlakukan sebagai batas atas kasar.
• Belum ada rekaman biometrik. Data Kependudukan Bersih Semester I 2026, yang dirilis Dirjen Dukcapil pada 3 Agustus 2026 (rilis Ditjen Dukcapil, 4 Agustus 2026): 208,53 juta dari 214,35 juta penduduk wajib KTP-el sudah merekam biometrik, atau 97,28%. Selisihnya 5,82 juta orang. Pada capaian 2025 selisihnya 5,36 juta (206,46 juta dari 211,82 juta, 97,47%). Kedua selisih itu pengurangan kami sendiri. Angka itu catatan administrasi, bukan antrean calon nasabah: saat melaporkan angka serupa pada Februari 2022, Dirjen Dukcapil waktu itu menyebut yang belum merekam bisa jadi sudah meninggal, pindah kewarganegaraan, atau terdata dengan identitas lain.
• Peraturan sendiri yang menghentikan. Identitas yang diragukan memicu permintaan dokumen kedua seperti paspor atau SIM (Pasal 30 ayat (4)). Risiko tinggi memicu EDD. Syarat yang tidak terpenuhi memicu penolakan wajib (Pasal 49 ayat (1)).

Kami tidak menemukan regulator yang menerbitkan angka drop-off per langkah, dan kami tidak punya angka sendiri untuk dibagikan. Ukur funnel Anda per baris tabel di atas. Catatannya sudah wajib ada: Pasal 49 ayat (4) mewajibkan dokumentasi atas calon nasabah yang ditolak.

Berapa lama verifikasi KYC?

POJK 8/2023 hanya mengenal satu batas waktu untuk verifikasi calon nasabah: 3 hari kerja. Pasal 30 ayat (5) meminta verifikasi selesai sebelum hubungan usaha dibuka. Bila institusi membukanya lebih dulu dengan prosedur manajemen risiko, verifikasi wajib tuntas sesegera mungkin dan paling lama 3 hari kerja (ayat (6) dan (7)). Contoh di penjelasannya: transaksi efek di bursa yang tidak bisa menunggu. Tidak ada durasi dalam menit. Bagi pihak yang diawasi Bank Indonesia, PBI Nomor 10 Tahun 2024 (ditetapkan 30 Desember 2024) Pasal 22 ayat (5) memuat batas 3 hari kerja yang sama.

Empat dari 14 halaman yang kami baca menjanjikan selesai dalam hitungan detik atau menit. Tidak satu pun menyebut 3 hari kerja. Hitungan menit adalah janji produk, bukan angka peraturan. PEP, yang butuh persetujuan pejabat senior, dan calon nasabah yang identitasnya diragukan tidak bisa selesai otomatis.

Vendor boleh memverifikasi, tanggung jawab tetap di institusi

Pasal 22 mewajibkan perjanjian kerja sama tertulis bila perangkat lunak atau keras pihak ketiga dipakai di kedua jalur elektronik (ayat (1)). Vendornya harus perseroan terbatas atau koperasi yang tercatat, terdaftar, berizin, atau disetujui OJK, dan punya perjanjian kerja sama sendiri dengan kementerian atau lembaga yang mengurus kependudukan dan pencatatan sipil (ayat (2)). Isi perjanjian paling sedikit sepuluh butir. Tiga yang perlu dijaga: data pelaksanaan verifikasi sepenuhnya milik institusi (ayat (3) huruf d), berbagi data berjalan tanpa perpindahan aplikasi atau perangkat (huruf f dan penjelasannya), dan subkontrak hanya dengan persetujuan tertulis institusi (huruf g). Penjelasan huruf b menambah satu kewajiban vendor: menyerahkan catatan dan data paling lambat 3 hari kerja sejak diminta OJK. Ayat (4) menutupnya. Institusi tetap bertanggung jawab atas hasil verifikasi.

Bacaan kami atas huruf f: alur yang memindahkan calon nasabah ke aplikasi lain untuk verifikasi perlu diuji terhadap huruf itu sebelum kontrak diteken.

Satu proyek kami yang studi kasusnya terbit menyentuh alur ini: sistem pendaftaran online untuk CGS International, perusahaan sekuritas. Studi kasus itu menyebut formulir web dengan teknologi OCR, ditambah video call dan verifikasi mandiri, serta sambungan ke bank, CGS-CIMB, KSEI, dan Dukcapil. Hanya itu yang kami klaim. Halaman itu tidak memakai kata KYC dan tidak menyebut liveness, pencocokan wajah, atau tanda tangan elektronik.

Artinya bagi Head of Digital, kepatuhan, dan SKAI

• Head of Digital atau CIO: tetapkan jalur per produk dan tingkat risiko. Jalur tanpa tatap muka menuntut empat hal sekaligus: KTP, pendampingnya seperti OTP, biometrik, dan data kependudukan. Calon nasabah yang gagal di salah satunya butuh jalur lain, jadi rancang video call atau cabang sebagai bagian funnel.
• Bank: ambang pencocokan wajah adalah angka Anda sendiri. Lampiran I POJK 21/2023 meminta detail spesifikasi faktor autentikasi dalam permohonan izin layanan digital, dan contoh yang diberikan untuk face recognition adalah confidence threshold. Kedua POJK tidak menetapkan angkanya.
• Kepatuhan dan SKAI: penilaian risiko wajib selesai sebelum kanal atau teknologi baru diluncurkan (Pasal 18 ayat (2)). Foto wajah adalah data biometrik, data pribadi spesifik menurut Pasal 4 ayat (2) UU Nomor 27 Tahun 2022 (17 Oktober 2022), sehingga pemrosesannya memicu penilaian dampak Pasal 34 UU PDP. Pasal 49 ayat (5) POJK 8/2023, dibaca harfiah, mewajibkan calon nasabah yang ditolak dilaporkan ke PPATK sebagai transaksi keuangan mencurigakan. Penerapannya pada calon nasabah yang sekadar gagal swafoto tidak kami temukan tertulis. Tanyakan ke pengawas Anda.

Pendapat kami: memilih vendor liveness sebelum memilih jalur adalah urutan yang terbalik. Jalur yang menentukan apa yang wajib. Dan dua titik gagal yang punya sumber tertulis, nama yang diketik berbeda dan foto yang tidak terbaca, adalah urusan kolom nama dan panduan kamera. Liveness tetap kontrol yang masuk akal terhadap serangan foto dan deepfake. Ia hanya bukan jawaban atas dua kegagalan itu.

Jangan pula membaca diamnya kedua POJK soal liveness sebagai izin untuk melewatkannya. Pada 12 Mei 2026 Kepala Departemen Pengaturan dan Pengembangan Perbankan OJK menyatakan OJK mengharapkan lembaga jasa keuangan menerapkan verifikasi liveness yang kuat sebagai kebutuhan operasional utama, dan berkomitmen menyusun panduan regulasi bersama industri (dilaporkan Katadata, 13 Mei 2026). Itu harapan pengawas, disampaikan lewat keterangan tertulis di forum yang digelar Aftech bersama sebuah vendor verifikasi identitas. Itu belum bunyi peraturan.

Kalau funnel onboarding Anda sedang dirancang ulang lewat pengembangan aplikasi mobile atau pengembangan website, mulailah dari tabel di atas: satu baris, satu pemilik, satu angka.

Artikel ini disusun WEBARQ dengan bantuan AI dari naskah primer yang diambil pada 7 Oktober 2026. Status berlaku undang-undang, PP, Permendagri, dan kedua POJK kami periksa di basis data peraturan BPK pada hari yang sama. Ini bukan nasihat hukum.