Ofte stilte spørsmål

Alle bedrifter kan benytte BankID til sikker identifisering av kundene på nett, til elektronisk signering av avtaler mellom bedrifter eller med kunder, og til å gjøre nødvendig kundekontroll. Vi har forhandlere som selger BankID. Start med å velge tjeneste og se hvordan du kommer i gang.

BankID-app erstatter BankID-brukernes kodebrikke dersom kunden har BankID fra en bank som tilbyr vår app. Brukeren velger vanlig BankID i metodevelgeren, godkjenner innlogging i appen og taster deretter inn personlig passord. Appen er en såkalt “Silent-OTP” der brukeren kan godkjenne en pålogging eller signering på telefonen istedenfor å taste inn en kode fra en fysisk kodebrikke. Brukersteder med BankID trenger ikke gjøre noe for å åpne for BankID-app dersom man benytter BankID på nettstedet i dag.

Ja. På samme måte som du signerer en avtale med penn på vegne av bedriften i dag, kan du benytte din personlige BankID når du signerer elektronisk. Elektronisk signering er likestilt med fysisk signatur. Har du signaturrett i bedriften kan du signere elektronisk med egen BankID på vegne av bedriften.

Det er enkelt å sjekke at et BankID-signert dokument er gyldig og hvem som har signert det i Adobe Acrobat.

Ja. Legitimering ved bruk av BankID er likestilt med personlig fremmøte og fremvisning av gyldig legitimasjonsdokument.

Rapporteringspliktige skal som utgangspunkt innhente og bekrefte kundens identitet ved personlig fremmøte og fremvisning av gyldig legitimasjon. Elektronisk legitimasjon, som angitt i hvitvaskingsforskriften § 4-3 fjerde ledd, anses likestilt med personlig fremmøte og fremvisning av gyldig legitimasjon i original ved etablering av kundeforhold.

"Pr. 1. juni 2019 er det kun BankID som oppfyller kravene i hvitvaskingsforskriften § 4-3" ref Finanstilsynet 31.05.2019.

BankID tilfredsstiller kravene som er satt for Elektronisk signatur som gyldig legitimasjon. Kravene er gitt i forskrift av 21. november 2005 nr. 1296 om frivillige selvdeklarasjonsordninger for sertifikatutstedere § 3, og krav om oppføring på publisert liste i henhold til § 11 første ledd.

Nei. BankID AML leverer data og tilgang til lister for bruk i kundetiltak og data som kan benyttes som et supplement til å bestemme risikoprofil på kundenivå.

Kunder av BankID AML har likevel tilgang på de relevante nasjonale og bransjemessige risikoanalyser som tilsynene forventer at man kjenner og refererer til i sitt interne arbeid med overordnet risikoanalyse.

Ja. I tillegg til respons levert som JSON vil dere kunne be om å få en PDF-rapport som viser hvem som har utført søket, når søket ble gjennomført og hvilke data som ble benyttet til å gjennomføre søket. Rapporten viser hvilke data som ble hentet ut, samt hvilke lister det ble screenet mot og resultatet av disse screeningene.

Dersom det ikke gjøres treff mot noen lister vil rapporten dokumentere hvilke lister det ble screenet mot på det gitte tidspunkt. Rapporten vil være "stemplet" av BankID og kan f.eks. benyttes til å bevise utførte screeninger og resultatet av disse.

Norge, Sverige, Finland og Danmark. Det jobbes med å inkludere internasjonale PEP-lister i tillegg.

Når man screener et selskap (org. nummer) så utføres ikke PEP-screening av personer som har en rolle i selskapet automatisk, hvorfor ikke?

Dette er et produktvalg fra vår side, for å ikke oppmuntre til en praksis der man rått godtar data fra kilder som ikke er oppdatert til enhver tid.

Aksjonærregisteret, som beregningene gjøres ut fra, oppdateres ikke daglig og endringer i eierstrukturer og roller er vesentlig i denne sammenhengen.

Det kan være kommet nye eiere etter siste oppdatering av aksjonærregisteret, og dette er svært vesentlig dersom den den nye eieren f.eks. er sanksjonert eller PEP.

Det kan også være slik at personer som fortsatt står i aksjonærregisteret i realiteten har solgt eierandelen sin. I disse tilfellene har man ikke behandlingsgrunnlag for å innhente opplysninger om dem / screene dem.

Det er også slik at det finnes ulike fortolkninger av hvilke rolleinnehavere i en bedrift som bør screenes.

Den enkelte rapporteringspliktige må derfor ha et aktivt og selvstendig bilde av egen risikoprofil og regelsett for kundetiltak og skal derfor selv velge hvilke personer som skal screenes og ta stilling til usikkerheten i kildene.

Mange kunder bruker oppslagene på reelle rettighetshavere til å forhåndsutfylle et egenerklæringsskjema som kunden korrigerer før screeningen av personer blir foretatt.

Tjenesten viser direkte eiere (både bedrifter og personer) samt datterselskaper. Et ledd opp og et ledd ned.

Det jobbes med å kunne vise mer komplette eierstrukturer (ev. kunne fortelle om en struktur er kompleks; da f. eks. bestående av mange noder/eiere og mange ledd, samt sirkulære eierforhold mm).

Nei. Brønnøysund tillater ikke deling av fødselsnummer på disse rollene til kundene våre (i utgangspunktet er det kun offentlige aktører og kredittforetak som får dette), og Datatilsynet er svært skeptisk til fnr.-bruk i "tide og utide".

Det som er gjengs som "tilstrekkelig identifisering av "RRH" er; Navn, f.dato og adresse (dette er data som leveres i tjenesten).

Hvor mange ledd bakover i eierstrukturen går tjenesten, for å finne en RRH?
Hvorfor får vi presentert en Reell rettighetshaver med "percentageControl" = 100% uten at det presenteres noen aksjeeiere (shareholders)?

Ja. Som en del av Org.-søket vil man kunne hente ut firmaattest.

Ethvert søk i BankID AML krever treff på navn for å gi en match. Fuzzy søk er derfor en innstilling som kan velges for å ta høyde for ev. skrivefeil, eller manglende kunnskap om hvordan navnet til personen staves korrekt.

BankID AML leverer alle "treff" hvor navnelikhetsverdien er >0.6 (på en skala fra 0 - 1,0). Verdiene 0.6-0.7 slipper igjennom navn med betydelige ulikheter fra navnet benyttet i søket, spesielt dersom navnet kun består av to navn (man bør ikke benytte fuzzysøk om man kun har et navn). Funksjonaliteten bør alltid benyttes sammen med vurdering av treff på f.dato og man må selv vurdere hvor man setter en "cut off" på navnelikhetsverdiene. Se forøvrig eget veiledingsdokument om hvordan tolke matchverdiene som leveres i tjenesten.

Behandling av personopplysninger er nødvendig for at rapporteringspliktige skal kunne oppfylle sine plikter etter Hvitvaskingsregelverket.

Hvitvaskingsloven gir enkelte særskilte, utvidede og presiserende regler om behandling av personopplysninger. F.eks. gir loven det juridiske grunnlaget for å behandle personopplysninger, også særlige kategorier av personopplysninger. Den gir også grunnlag for å oppbevare informasjon om kunder og transaksjoner i fem år etter at transaksjonen har funnet sted. Loven gir også pålegg om å «ha systemer som muliggjør raske og fullstendige svar på forespørsler fra Økokrim, tilsynsmyndighetene..."

MERK at Hvitvaskingsloven ikke innebærer noe generelt unntak fra personvernforordningen (GDPR). Det vil fremdeles stilles strenge krav til dataminimering og at opplysninger som oppbevares skal være nødvendige for formålet som virksomheten har som ledd i oppfyllelse av Hvitvaskingslovens krav.

Husk også personopplysningsregelverkets krav om at opplysningene som benyttes og lagres skal være relevante, oppdaterte og korrekte. 

Se gjerne kapittel 6 i Hvitvaskingsloven om behandling av personopplysninger.

"Control" handler ikke kun om hvor mange aksjer man eier. F.eks. vil det i et ENKeltmannsforetak ikke finnes aksjer, og da ingen som formelt eier aksjer i selskapet.

Derfor er det ingen «shareholders» som vises, men det vil allikevel kunne finnes en RRH som kontrollerer selskapet (typisk innehaveren av ENK).

Husk at definisjonen av en RRH er en fysisk person som i siste instans eier eller kontrollerer kunden.

Det er ingen begrensning i antall ledd bakover og tjenesten leter helt til ev. første utenlandske selskap (og stopper der).

Husk at tjenesten pr. november 2019 regner prosent av prosent bakover i kjeden og vil da ikke vise en person som i en slik beregning kontrollerer mindre enn 25 % av aksjene.

Tjenesten viser Direkte eiere under "shareholders" (aksjonærer).

Dersom den RRH som er presentert under "ownership" / "beneficial" ikke står oppført i "shareholders"-listen, så er personen en Indirekte eier i selskapet og den prosentvise kontrollen som vises er da den beregnede kontrollen bakover i kjeden.

Tjenesten gjør en beregning på informasjon som ligger i aksjonærregisteret, rolleregisteret, noter fra regnskap etc.

Flere av hovedkildene er i seg selv ikke daglig oppdatert og det vil være situasjoner der eierskapsforholdet har endret seg siden siste innrapportering. Vi anbefaler derfor alltid at kunden er hovedkilde til identifisering av RRH.

Mange av kundene våre velger ulike strategier for å møte denne risikoen. Det vanligste er å ikke akseptere informasjonen «rått», men å spørre kunden, gjerne i form av et forhåndsutfylt skjema med data fra BankID AML, hvor kunden kan korrigere RRH.

Dette tar ned friksjonen for kunden, sammenlignet med et «statisk» tomt skjema. 

RRH-tjenesten bruker blant annet Aksjonærregisteret for å beregne hvem som er RRH. Dette registeret oppdateres kun årlig og selv om personen f. eks. er fjernet fra Foretak/enhetsregisteret (om personen har roller i det forespurte selskapet), vil personen kunne fremkomme som RRH.

Dersom dere har tilgang til DSF-data (Det sentrale folkeregister) i tjenesten, vil dere få med opplysning om at personen er død samt også hvilken dato personen døde dersom det benyttes onlineoppslag mot DSF (1:1 søk).

Rapporten bygger på Aksjonærlisten som er hentet fra årsregnskapet (som er det bedriften rapporterer inn til aksjonærregisteret).

Ved utarbeidelse av årsregnskap skal selskapet som hovedregel opplyse om selskapets 20 største aksjonærer, men aksjonærer som har mindre enn 1 % eierandel kan utelates – det har f.eks. Equinor gjort og det er da veldig få aksjonærer med mer enn 1 % eierandel -og derfor er listen over aksjonærer kort i det eksemplet.

I andre tilfeller vil også aksjonærer med mindre enn 1 % eierskap vises om de er blant de 20 største og bedriften har rapportert inn disse (dvs. tjenesten viser det bedriften har rapportert).

Da Norge er forpliktet til å gjennomføre sanksjoner vedtatt av FN og restriktive tiltak fra EU er disse to Sanksjonslister valgt «by default». Ønsker man OFAC kan denne listen velges som et tillegg. Se teknisk dokumentasjon for tilgang, ev. ta kontakt med oss.

EU og FN listen er "by default" inkludert i tjenesten. OFAC kan velges som tillegg.
HM treasury er også tilgjengelig på forespørsel - ta kontakt med oss.

Dette kommer an på hvilken innstilling dere bruker.

Det er to moduser for søk på navn; "Exact" og "fuzzy".

I Exact-modus må alle navn som benyttes i søket være eksakt likt slik personens navn er oppført i listen. "Ola Nordman" vil allikevel treffe mot "Per Ola Nordman" da begge navn benyttet i søket treffer med oppførte navn i listen. Rekkefølgen av navnene i søket er heller ikke av betydning. "Ola Norman" vil derimot IKKE treffe da "Norman" og Nordman" er forskjellig skrevet.

Dersom man bruker "fuzzy"-modus i dette søket vil det allikevel genereres et treff. Inngående veiledning om hvordan bruke disse modusene og tolke verdiene finnes tilgjengelig. Bruk av fuzzy-modus vil føre til flere falske positiver.

OFAC-listen er en sanksjonsliste som ikke er "tatt inn" i norsk lov, men listen er ofte et forretningsmessig krav for selskaper som gjør handel med/i USA. OFAC listen inneholder selskaper og personer som ikke får gjøre business med USA. Dersom man skal kjøpe Bolig i USA og bruker en Norsk megler til dette så vil denne megleren kunne ha et forretningsmessig krav om å screene mot OFAC. Dette er så klart mer vanlig for Banker som bistår med pengetransaksjoner til/fra USA.

Det er tilnærmet 100% dekning. De roller som er definert som PEP i lovverket er tilnærmet 100 % dekket med fødselsdato og/eller SSN (Sverige). Merk likevel at det ved større endringer (som ved stortingsvalg o.l.) kan gå noe tid før listene er oppdaterte da disse oppdateres manuelt av en egen administrasjon.

Meget god. Listene oppdateres daglig og for at Trapets skal oppføre familiemedlemmer i listen kreves etablerte og bekreftede linker mellom PEP-en og den aktuelle personen. Til dette benytter man offentlig tilgjengelige kilder, men Trapets har ikke tilgang til DSF (folkeregisteret) for å kunne utføre denne oppgaven. For å unngå for mange falske treff oppføres med andre ord kun de personer som Trapets bedømmer at de har nok informasjon om til å kunne bekrefte en familiær sammenheng ihht. Hvitvaskingsloven.

Meget sikker!

Siden PEP-listen vi benyttet i BankID AML har tilnærmet 100 % dekning med personenes fødselsdato (og SSN for Svenske PEP) vil man, ved å inkludere personens fødselsdato i søket, være ganske sikker på at samsvar som oppstår er riktig. Ytterligere info i tjenesten, som f. eks. adresseinformasjon o.l. vil avhjelpe å avgjøre evt. tvilstilfeller.

Ja, denne listen er inkludert.

I tillegg har Trapets tatt inn utenlandske ambassadører i Danmark og man tar inn danske familiemedlemmer og nære medarbeidere (som Finanstilsynet i DK ikke har satt som krav i den offentlige listen). 

I 20 år. Datoen for når personen fratrådte rollen som definerte han/hun som en PEP vil også fremkomme som "expired"-dato i tjenesten.

Man vil således kunne endre risikoprofil på kunden 12 måneder etter expired-dato dersom den overordnede risikovurdering tillater dette (Ref Finanstilsynets veileder).

Når en person fratrer den rolle som definerte personen til å være en PEP vil denne fratredelsesdato (angitt som "expired dato") fremkomme av responsen i feltet "comment" (både i JSON- og i PDF-rapporten).

Det må være opp til kunden å lage logikk på hvordan man benytter denne datoen.

Merk at det kan være personer som f.eks. var PEP i perioden 2010-2012, som ikke er lagt inn i listen, mens alle som var/er reg som PEP (etter 15.10.2018 - ny Hvitvaskingslov) og som ligger i listen i dag vil bli liggende i 20 år etter en evt. expired dato.

Nei. Finans Norge har utfordret Finanstilsynet for å se på mulighetene for å etablere en slik liste.

EU`s 5. direktiv pålegger medlemsstatene å etablere nasjonale PEP-registere, men Norge har enn så lenge ikke avgjort om man også skal gjøre dette.

Nei.

Vi har enn så lenge vært forsiktige med å etablere dataleveranser med flagging da den enkelte rapporteringspliktige må ha et aktivt og selvstendig bilde av egen risikoproifil og regelsett for kundetiltak. Kunder av BankID AML har tilgang til produktlitteratur hvor vi har linket til de relevant lister over risikoland, korrupsjonsindiaktorer og skatteparadis som referert til i lov og av Finanstilsynet.

Gyldig legitimasjon for juridiske personer er etter hvitvaskingsforskriften § 7 blant annet;
Firmaattest som ikke er eldre enn 3 måneder.
BankID AML tilbyr firmaattest som en del av org.søket.
Identiteten til et selskap under stiftelse skjer når firmaattest foreligger. 

Enkelte kilder har kun tekst på norsk. F. eks. vil "Vedtektfestet formål", som hentes fra Brønnøysundsregisteret kun levers i det språk som ble benyttet da selskapet la inn denne friteksten ved registrering. Vi har valgt å ikke oversette disse tekstene slik at vi gjengir dataene slik de forekommer i hovedkilden.

De angir styrken av treffet. Mer inngående informasjon om disse tallverdiene kan dere få om dere velger "add attachment to report" Da vil dere få med et vedlegg til PDF-rapporten som beskriver disse tallverdiene mer inngående.

Norsk og engelsk.

 Firmaattesten er inkludert i Org. søket (ingen ekstra kostnader).

Firmaattesten i BankID AML dekker lovpålagt informasjon til firmaattest i tillegg til noe annen relevant data og er en standardisert utskrift fra Foretaksregisterets database. 

BankID med biometri bruker innebygd biometri i telefon eller datamaskin, også kalt WebAuthn. BankID har aldri tilgang til biometriske data, men får signert bekreftelse fra Apple og Google om at brukeren har identifisert seg med biometri.

BankID med biometri er tilsvarer tillitsnivå Betydelig (på engelsk «Substantial»). Enkelte bedrifter vil ha krav til å benytte tillitsnivå Høy, for eksempel ved behandling av helseopplysninger. Tillitsnivå Høy anbefales til transaksjoner med høy verdi, som ved bekreftelse av avtaler eller ved betaling av store beløp.

Dersom man skal signere et dokument elektronisk, kan man ikke bruke BankID med biometri.

Hvis man har valgt signering for å vise informasjon om f.eks. beløp og mottaker for en betaling, men har behov for tillitsnivå Betydelig, er BankID med biometri et godt valg.

Våren 2023 rulles dette ut til «Ola Nordmann», tidspunktet avhenger av når banken til sluttbrukeren skrur på mulighet for biometri for kundene sine.

Ulike bedrifter som bruker BankID på sine kundeflater vil allerede i dag være klare.

Ta kontakt med den forhandleren dere kjøper BankID via eller ta kontakt med oss via kontaktskjema.

Sluttbrukeren må ha vanlig BankID med passord, og ha akseptert vilkårene for å bruke  (onboardet) biometrien sin gjennom en BankID-app. For banker som ikke tilbyr BankID-appen må brukerne aktivere BankID med biometri gjennom bankens egen app. 

BankID  med biometri er godkjent for betaling og tilfredsstiller kravene til sikker kundeidentifisering (SCA) ihht. PSD2 og 3Dsecure. Tjenesten er på nivå Betydelig (på engelsk “Substantial”) etter eIDAS-standarden. Dette innebærer at tjenesten kan brukes til det aller meste.

Prisen på BankID-autentisering er 1,20 kr og BankID med biometri vil være fra 0,85 kr og nedover (volumrabatt). Merk at dette er priser mellom BankID BankAxept AS og våre forhandlere. Prisen vil derfor være høyere for bedrifter som kjøper BankID via forhandler.

Pris for BankID med biometri vil skje uavhengig av om sluttbruker har aktivert biometri eller ikke. Har ikke sluttbruker aktivert biometri, blir det en vanlig BankID-innlogging, men til samme pris som en biometri-innlogging.

Her finner dere teknisk dokumentasjon til BankID med biometri.

Utrulling starter i første halvår 2023, først til en gruppe tilfeldig utvalgte betabrukere. Etter en periode med justeringer etter tilbakemeldinger fra de første brukerne, vi løsningen åpnes for alle i løpet av våren 2023.

BankID med biometri er på tillitsnivå Betydelig (på engelsk «Substantial»). Enkelte bedrifter vil ha krav til å benytte tillitsnivå Høy, for eksempel ved tilgang til sensitive personopplysninger som helseopplysninger. Tillitsnivå Høy anbefales for overføring av transaksjoner med høy verdi, som ved bekreftelse av avtaler eller ved betaling av store beløp. Høy må også brukes ved BankID-signering.

Ut over det er vår anbefaling:

• Høy brukes ved endring av viktig personlig informasjon (som folkeregistrert adresse, o.l)
• Høy brukes i transaksjoner som for brukerstedet eller brukeren involverer unormalt høy risiko (f.eks. ved overføring av unormalt store beløp)
• Biometri brukes ved øvrige innlogginger og i "normale" betalingssituasjoner.

BankID med biometri støtter ikke å vises i iFrame. Grunnen til dette er at  det er vanskeligere å garantere for sikkerheten inne i en iFrame og at biometri-tjenesten vi bruker i mange tilfeller ikke støtter iFrames av sikkerhetsgrunner. BankID OIDC faser også ut iFrame-støtte. Vi anbefaler å åpne oss vha. redirects eller ved å åpne et nytt vindu. 

BankID med biometri er enklere og raskere enn vanlig BankID. Det er også litt lavere sikkerhetsnivå. Brukersteder bør benytte tradisjonell BankID for tjenester som innebærer overføring av store pengebeløp, tilgang til svært sensitive opplysninger eller som krever compliance-nivå “Høyt” (etter eidas-regelverket). For det meste annet kan du bruke BankID med biometri.

Sluttbrukere som kan benytte BankID med biometri (ansikt, finger eller PIN) har aktivert dette valget inne i appen. Det er kun sluttbrukere med BankID-appen som kan benytte BankID med biometri foreløpig.

Biometri er en rask og sikker eID med tillitsnivå tilpasset daglige oppgaver. Høy har i tillegg passord og er selvdeklarert på det høyeste tillitsnivået.

Du kan bestille via dette kontaktskjemaet.

Ja, retningslinjene er like som for BankID Høy.

De kan bruke BankID med passord eller BankID på mobil som før. BankID på mobil fases gradvis ut, og ingen nye kunder kan nå få BankID på mobil.

Gå til BankID.no/privat. Der kommer det mer info etter hvert. Se landingsiden for betabrukere.

Den nye BankIDen baserer seg på den åpne teknologien kalt WebAuthn (The Web Authentication API) som er utviklet av FIDO og W3C, med deltagere fra flere av de største tech-selskapene i verden. Passordet blir overflødig, og erstattes av «noe du er», sammen med «noe du har», telefonen eller nettbrettet.

WebAuthn er en sikker teknologi som beskytter brukerne godt uten å dele unødvendig data. BankID (og WebAuthn) med biometri/PIN består av et «nøkkel-par» (credentials) bestående av en privat nøkkel som er sikkert lagret på din telefon, og en offentlig nøkkel sammen med en tilfeldig generert nøkkel-ID som benyttes på stedet du vil logge inn. Din biometri eller PIN forlater aldri telefonen, og teknologien er godt sikret mot phishing på falske nettsider/apper, blant annet fordi bare legitime nettsteder/apper er registrert hos WebAuthn.