KYC akışı tasarımı: uzaktan kimlik doğrulama nasıl kolaylaşır?

Kısaca

KYC, "know your customer" yani müşteri tanıma demektir. Uzaktan yapılan haline e-KYC denir. Kullanıcı için bu, hesap açarken kimlik kartını ve yüzünü kameraya göstermek, bazen de bir temsilciyle görüntülü konuşmak anlamına gelir.

Müşteri tanıma UX'inin zor yanı şudur: kullanıcı ürünü henüz hiç kullanmamıştır ama en hassas bilgisini o anda verir. Tek bir kötü hata ekranı, güveni daha ilk gün bozabilir.

Fintech UX rehberinde KYC'yi kısa bir listeyle anlattım. Bu sayfa o listeyi adım adım açıyor: her adım nerede bozulur, bozulunca ekranda ne yazmalı?

KYC akışının dört adımı

Her ürün dört adımın hepsini kullanmaz. Bankacılıkta ise bu dördü çoğu zaman birlikte gelir. Her adım başka bir yerden kırılır.

1. Belge fotoğrafı

Kullanıcı kimlik kartının ön ve arka yüzünü çeker. Sorun çoğu zaman bulanıklık, parlama ya da kartın çerçeveden taşmasıdır.

Çekimi kullanıcıya bırakmayın. Kart çerçeveye oturunca kamera kendiliğinden çeksin. Deklanşöre basmak, tam o anda telefonu sarsar.

2. NFC ile çip okuma

Yeni kimlik kartlarında bir çip vardır. Telefon bu çipi NFC (yakın alan iletişimi) ile okur ve kartın bilgisini oradan alır. Kullanıcıya en yabancı gelen adım budur, çünkü ekranda hiçbir şey görünmez.

Kartın telefonun neresine yaslanacağını bir çizimle gösterin. Antenin yeri telefon modeline göre değişir. Okuma sürerken bir ilerleme çubuğu ve "kıpırdatmayın" uyarısı, kartın erken çekilmesini önler.

3. Canlılık testi

Canlılık testi, kameranın karşısında gerçek bir insanın olduğunu kontrol eder. Bir fotoğrafın ya da videonun kameraya tutulmasını engeller. Kullanıcıdan başını çevirmesi ya da gözlerini kırpması istenir.

Komutu tek tek verin ve her birini anında onaylayın. "Başınızı sağa çevirin" dedikten sonra hareket algılanınca bir işaret gösterin. Kullanıcı neyin doğru gittiğini görmezse hareketi abartır ya da durur.

4. Görüntülü görüşme

Bazı akışlarda son adım bir müşteri temsilcisiyle görüntülü görüşmedir. Temsilci kartı ve yüzü canlı olarak kontrol eder, birkaç soru sorar.

Bu adımın UX sorunu beklemedir. Sırada kaçıncı olduğunu ve yaklaşık ne kadar bekleyeceğini gösterin. Görüşmeden önce kartın yanında olması gerektiğini de hatırlatın.

Kullanıcı nerede vazgeçer

KYC akışlarını denetlerken aynı terk noktalarına tekrar tekrar rastlıyorum. Bunların arkasında genelde ekranın söylemediği bir şey vardır.

• Başlamadan önce. Kullanıcı neye ihtiyacı olduğunu bilmiyorsa kartını aramaya gider ve geri dönmez. İlk ekranda kimlik kartının ve aydınlık bir yerin gerektiğini yazın. Kaç dakika süreceğini de söyleyin.
• Kamera izninde. İzni neden istediğinizi söylemeden sistem penceresini açmayın. Kullanıcı reddederse, izni ayarlardan nasıl açacağını gösteren bir ekran hazır olsun.
• Çip adımında. Kullanıcı ne yapacağını görmediği için birkaç denemeden sonra vazgeçer. Okunmayan çip için çipsiz bir yol varsa bunu saklamayın.
• Tekrarlanan hatada. Aynı hata iki kez üst üste çıktıysa kullanıcıya aynı şeyi üçüncü kez yaptırmayın. İkinci hatadan sonra yöntemi değiştirin ya da yardım önerin.
• Görüşme kuyruğunda. Belirsiz bekleme, kullanıcıyı uygulamayı kapatmaya iter. Kapatırsa, geri döndüğünde kaldığı yerden devam edebilmelidir.

Son madde en pahalısıdır. Akış ilerlemeyi kaydetmiyorsa, kopan her bağlantı kullanıcıyı en başa atar. Bunu yaşayan kullanıcının ikinci kez denemesini beklemeyin.

Hata kurtarma: kötü ve iyi ekran

KYC'de hata kaçınılmazdır. Odadaki ışığı da kullanıcının internet bağlantısını da siz seçemezsiniz. Asıl soru, hatadan sonra ekranın ne söylediğidir.

NN/g'nin hata mesajı rehberi burada iyi bir ölçüttür. Tim Neusesser ve Evan Sunwall 2023'te şunları önerir:

• Mesaj teknik jargon yerine kullanıcının bildiği dille konuşur. Hata kodu yalnızca teknik teşhis içindir.
• Sorunun nasıl düzeleceğini önerir.
• Kullanıcı baştan başlamadan ilk işlemini düzeltebilir.
• Kullanıcıyı suçlamaz. "Geçersiz" ya da "yanlış" gibi kelimelerden kaçınır.

WCAG 2.2'nin 3.3.3 maddesi (AA) de buna yakın bir şey ister. Sistem hatayı otomatik algılıyor ve düzeltmeyi biliyorsa, bu öneriyi kullanıcıya göstermelidir. İstisna, önerinin içeriğin güvenliğini ya da amacını tehlikeye attığı durumdur.

KYC'de bu istisna önemlidir. Sahte bir belgeyi tespit eden sistem, kullanıcıya nedenini ayrıntısıyla anlatmaz. Ama bulanık bir fotoğrafın nedenini söylemek kimsenin güvenliğini azaltmaz.

Aşağıdaki simülasyonda dört adımın her birinde bir sorun çıkarabilirsiniz. Her sorunda kötü ve iyi kurtarma ekranı birlikte açılır.

KYC akışı simülasyonu

Dört adım alt alta. Her adımda aynı hatanın kötü ve iyi kurtarma ekranı birlikte duruyor.

Adım 1 / 4 · Kimlik kartının fotoğrafı

Kimlik kartı · ön yüz1 / 4

Kartın ön yüzünü çerçeveye yerleştirin. Çekim kendiliğinden yapılır.

Kötü kurtarma

Doğrulama başarısız (E-104).

Lütfen tekrar deneyin.

Tekrar dene

Neyin yanlış gittiğini ve neyi değiştirmek gerektiğini söylemiyor. Kullanıcı aynı fotoğrafı aynı ışıkta yeniden çeker.

İyi kurtarma

Fotoğraf bulanık çıktı, kartın üstündeki yazılar okunmuyor.

• Kartı düz ve koyu renk bir zemine koyun.
• Telefonu kartın üstünde sabit tutun, çekim kendiliğinden olsun.
• Lamba kartta parlıyorsa telefonu biraz eğin.
• Arka yüz fotoğrafınız kayıtlı. Yalnızca ön yüzü yeniden çekeceğiz.

Adım 2 / 4 · Çip okuma (NFC)

Kimlik kartı · çip2 / 4

Kartı telefonun arkasına yaslayın

Okuma bitene kadar kartı ve telefonu kıpırdatmayın.

Kötü kurtarma

NFC hatası. İşlem sonlandırıldı.

Ana sayfaya yönlendiriliyorsunuz.

Tamam

Teknik bir terim kullanıyor ve kullanıcıyı akıştan atıyor. Belge fotoğrafı dahil her şey kayboluyor.

İyi kurtarma

Çip okunamadı. Kart, okuma bitmeden telefondan ayrılmış olabilir.

• Telefon kılıfını çıkarın.
• Kartı ekranda gösterilen yere yaslayın ve birkaç saniye bekleyin.
• Telefonunuzda NFC kapalıysa ayarlardan açın.
• Telefonunuzda NFC yoksa çipsiz devam edebilirsiniz. Bu yolun koşullarını bir sonraki ekranda yazıyoruz.

Adım 3 / 4 · Canlılık testi

Yüz doğrulama3 / 4

Yüzünüzü ovale yerleştirin ve başınızı yavaşça sağa çevirin.

Kötü kurtarma

Canlılık testi başarısız.

2 deneme hakkınız kaldı.

Tekrar dene

Kalan hakkı sayıyor ama nedeni söylemiyor. Kullanıcı ne yapacağını bilmeden son hakkına doğru ilerler.

İyi kurtarma

Yüzünüzü net göremedik. Arkanızdaki ışık yüzünüzü karanlıkta bırakıyor.

• Işığı arkanıza değil önünüze alın.
• Gözlüğünüz parlıyorsa çıkarın.
• Telefonu göz hizasında tutun.
• Bu adımı yapamıyorsanız görüntülü görüşmede temsilciyle birlikte yapabilirsiniz.

Adım 4 / 4 · Görüntülü görüşme

Müşteri temsilcisi4 / 4

Temsilciye bağlanıyorsunuz

Sessiz ve aydınlık bir yerde olun. Kimlik kartınız yanınızda dursun.

Kötü kurtarma

Bağlantı kesildi.

Başvurunuza en baştan başlayın.

Baştan başla

Kullanıcı üç adımı yeniden yapmak zorunda kalıyor. Bu ekran, uygulamayı kapatmak için en kolay an olur.

İyi kurtarma

Bağlantı koptu. Belge, çip ve yüz adımlarınız kayıtlı.

• Görüşme kesintisiz olmalı. Bu yüzden yalnızca görüşmeyi yeniden başlatıyoruz.
• Mümkünse kablosuz ağa geçin.
• Sırada yeriniz korunuyor.

Ekranlar ve hata kodları uydurmadır, gerçek bir uygulamadan alınmadı. Bir adım seçin, sorun çıkarın, iki kurtarma ekranını karşılaştırın. İyi ekrandaki düğme adımı tamamlar.

Kötü ekranlar hatayı kullanıcının sırtına yükler. İyi ekran nedeni söyler ve biten adımları saklar. Kullanıcı yalnızca bozulan parçayı yeniden yapar.

Işık ve kamera ipuçları

Kamera adımlarında ışık sorunu, önceden önlenmesi en kolay sorundur. İpuçlarını hata çıktıktan sonra değil, kamera açılmadan önce verin.

• Işık kullanıcının önünde olsun. Arkasındaki bir pencere yüzü karanlıkta bırakır.
• Kartı koyu ve düz bir zemine koydurun. Açık renk zeminde kartın kenarı kaybolur.
• Parlama varsa telefonu biraz eğmesini söyleyin. Tavan lambası kartın plastiğinde parlak bir leke bırakır.
• Canlı geri bildirim verin: "Biraz yaklaşın", "Işık yetersiz", "Sabit tutun".
• Arka kamera kart için, ön kamera yüz için açılsın. Kullanıcıya kamera değiştirtmeyin.

Canlı geri bildirim, sonradan çıkan hata ekranından iyidir. Kullanıcı sorunu o anda düzeltir, hata ekranına hiç düşmez.

Bankalarda ışık ayrıca bir uyum konusudur. Mevzuat bölümündeki yönetmelik, zayıf ışığı görüşmeyi sonlandıran nedenler arasında sayar.

Erişilebilirlik

Kamera ve harekete dayanan bir akış, bazı kullanıcıları baştan dışarıda bırakabilir. Görme engelli biri kartı çerçeveye oturtmakta, titreme yaşayan biri telefonu sabit tutmakta zorlanır.

• Durum mesajları okunsun. "Kart algılandı" gibi canlı mesajlar ekran okuyucuya iletilmelidir. WCAG 2.2'nin 4.1.3 maddesi (AA), durum mesajlarının odak taşınmadan yardımcı teknolojiye bildirilebilmesini ister.
• Yönlendirme sesli de olsun. "Kartı biraz sola kaydırın" gibi komutlar yalnızca çerçeve rengiyle verilmesin.
• Süre baskısı olmasın. WCAG 2.2'nin 2.2.1 maddesi (A), süre sınırını kapatma, ayarlama ya da uzatma yolu ister. Uzatma için kullanıcı önceden uyarılır ve ona en az 20 saniye tanınır. Süre, gerçek zamanlı bir olayın gerekli parçasıysa ve başka bir yol yoksa bu kural uygulanmaz.
• Kod yazdırmayın. WCAG 2.2'nin 3.3.8 maddesine (AA) göre kimlik doğrulama, alternatifi olmayan bir bilişsel teste dayanmamalıdır. Şifre hatırlamak buna bir örnektir. W3C'nin açıklamasına göre doğrulama kodu en azından yapıştırılabilmelidir. Bunu fintech rehberinde de anlattım.
• İnsana giden yol saklanmasın. Kamerayı kullanamayan biri için görüntülü görüşme ya da şube gibi başka bir yol olmalı. Bu yol ilk ekranda görünsün, üç hatadan sonra değil.

Mobil uygulamalarda bu kontrollerin geri kalanını mobil uygulama erişilebilirliği sayfasında topladım.

Güven mesajları

KYC adımında kullanıcı, yüzünün ve kimliğinin nereye gittiğini merak eder. Bu soruyu sormasını beklemeyin, ekranda cevaplayın.

• Her belgenin neden istendiğini bir cümleyle yazın: "Kimliğinizi yasa gereği doğruluyoruz."
• Kayıt yapılıyorsa söyleyin. Görüşmenin kaydedildiğini sonradan öğrenen kullanıcı kendini kandırılmış hisseder.
• Açık rıza metnini akışın içinde, kısa ve okunur bir özet halinde verin. Tam metin bir bağlantıda dursun.
• Ne kadar süreceğini ve sonunda ne olacağını yazın: "Onay gelince hesabınız açılır, bildirim alırsınız."
• Başvuru reddedilirse nedenini söyleyebildiğiniz kadar söyleyin ve bir sonraki adımı gösterin.

Güven mesajları kısa olmalı. Kamera ekranındaki uzun bir metin, kullanıcının çerçeveye bakmasını engeller. Uzun açıklama kamera açılmadan önceki ekrana aittir.

Hata metinlerinin genel kuralları için hata mesajları kalıbına, akışın bütünü için onboarding kalıbına bakın.

Türkiye'de mevzuat ne diyor

Bankalarda bu süreci BDDK'nın uzaktan kimlik tespiti yönetmeliği düzenler. Yönetmelik 1 Nisan 2021 tarihli Resmî Gazete'de (sayı 31441) yayımlandı.

Görüntülü görüşme gerçek zamanlı ve kesintisiz yapılır (madde 6). Çip herhangi bir nedenle okunamazsa kartın en az dört görsel güvenlik öğesi kontrol edilir (madde 7). Zayıf ışık ya da düşük görüntü kalitesi görüşmeyi sonlandırır (madde 9).

Bu not hukuki danışmanlık değildir. Güncel metni uyum ekibinizle birlikte kontrol edin.

Benim notum

KYC akışlarında en sık gördüğüm hata, akışın bir güvenlik formu gibi tasarlanmasıdır. Ekranlar uyum ekibinin diliyle konuşur. Kullanıcıya ne yapacağını söyleyen tek bir cümle bile bulunmaz.

Ben ilk olarak hata ekranlarına bakarım. Her şeyin yolunda gittiği senaryoyu herkes test eder. Kopan bir bağlantıyı ise neredeyse kimse denemez.

Bir KYC akışını denetlerken kendi telefonumla, loş bir odada, kılıfı çıkarmadan başlarım. Akış bu koşullarda bile kaldığım yerden devam etmeme izin veriyorsa, sağlam bir temele oturmuş demektir.