KYC og dokumentkontroll hos Zimpler-sider

Tre KYC-runder, tre ulike datasett

Ofte ser jeg norske spillere bli irriterte over at de «blir bedt om legitimasjon flere ganger» når de bruker Zimpler. Forklaringen er ikke at ingen kommuniserer – den er at en typisk Zimpler-betting-økt går igjennom tre separate KYC-prosesser, hver av dem med ulike juridiske grunnlag, og hver av dem ber om noe litt annet.

Etter åtte år med betalingsanalyse er konklusjonen min at norske spillere håndterer KYC bedre enn snittet i Europa, fordi BankID allerede dekker store deler av identitetskontrollen automatisk. Men de tre prosessene – banken, Zimpler, operatøren – krever fortsatt sin egen dokumentasjon, og forskjellen mellom dem er ikke alltid intuitiv.

I denne artikkelen går jeg gjennom hvordan AML5-grunnlaget setter rammene, hva BankID dekker automatisk, hvilke tilleggsdokumenter som kan kreves, og hva som typisk går galt – slik at du kan unngå å bli stoppet midt i en utbetalingskø.

AML5-grunnlaget – der reglene kommer fra

EUs femte hvitvaskingsdirektiv (AML5) er det juridiske fundamentet for KYC i hele europeisk betalingsindustri, inkludert Zimpler-betting. Norge har implementert direktivet via hvitvaskingsloven, og den loven gjelder både banken din, Zimpler og operatøren – selv om sistnevnte ofte holder til på Malta.

AML5 krever fire ting av enhver finansiell aktør: identifisering av kunden, verifisering av identitet via uavhengige kilder, monitoring av transaksjoner over tid, og rapportering av mistenkelig aktivitet til relevante myndigheter. Det er hele juridiske strukturen som forklarer hvorfor du må svare på dokumentforespørsler – det er ikke en operatør som er paranoid, men en lovbestemt prosess.

For en Zimpler-betting-spiller får dette praktiske konsekvenser på terskelnivå. Identifisering kreves for hver eneste kontoåpning. Verifisering ved sterk autentisering kreves for første betaling. Monitoring blir aktiv så snart du gjør jevnlige overføringer. Rapportering trigges typisk over 5 000 EUR i samlet aktivitet eller ved spesifikke risikomønstre.

Som Tore Bell, avdelingsdirektør i Lotteritilsynet, har formulert det: «Målet er at vi får færre selskaper som retter seg mot Norge, og færre problemspill i Norge.» En del av det målet oppnås nettopp gjennom strenge KYC-krav som disiplinerer både banker og operatører.

BankID dekker 80 prosent av baselinen

Den enkeltstående største fordelen ved Pay-by-Bank fremfor kortbetaling i Norge er at BankID dekker rundt 80 prosent av baseline-KYC automatisk. Når BankID-en din er godkjent av en norsk bank, har banken allerede:

Verifisert identiteten din mot Folkeregisteret. Bekreftet bostedsadressen. Sjekket deg mot internasjonale sanksjonslister. Identifisert deg på en måte som tilfredsstiller PSD2 sin SCA-krav.

Når Zimpler bruker BankID, arver de dette nivået av kontroll fra banken. Ergo er Zimplers egen baseline-KYC mye lettere enn for en kortbasert tjeneste, og operatøren får en KYC-pakke som overstiger minimumskravet før spilleren har lastet opp et eneste dokument.

Dette er hvorfor 1,3 millioner nordmenn som bruker nettbank daglig er en så naturlig brukermasse for Zimpler – verktøyet de allerede bruker er tilstrekkelig for det meste av AML5. Det er også grunnen til at norske operatører kan tilby Pay N Play-modellen lovlig, fordi BankID-pakken som strømmer gjennom Zimpler er omfattende nok til å oppfylle førstegangs-KYC.

Tilleggsdokumenter – når og hvorfor

Selv om BankID dekker baselinen, finnes det situasjoner der operatøren eller Zimpler ber om mer.

Pass eller nasjonalt ID-kort. Vanligvis ved første store uttak – typisk over 5 000 til 10 000 kroner. Operatøren vil bekrefte at navnet i BankID-pakken matcher fysisk legitimasjon. Last opp en skarp skannet kopi, gjerne i farger; mobilbilder fra dårlige vinkler avvises ofte.

Adressebekreftelse. Utility bill, kontoutskrift fra banken, eller offentlig dokument med navn og adresse. Maks tre måneder gammel. Kreves for full KYC ved store uttak eller ved revisjon av eksisterende konto.

Source of Funds. Ved enkeltuttak over 25 000 til 50 000 kroner ber MGA-operatører ofte om bekreftelse på hvor pengene som ble satt inn, kommer fra. Lønnsslipp, salgsdokument, gevinst fra annen lisensiert operatør – alt som dokumenterer at innsatsen ikke kommer fra ukjent eller potensielt vasket kilde. Er Zimpler trygt for betting går mer overordnet inn på sikkerheten i hele kjeden.

Selfie eller liveness-test. Mer og mer vanlig hos MGA-operatører, særlig ved første store gevinst. Du tar et bilde av deg selv mens du holder pass og en lapp med dato og operatørnavn. Det skal forhindre identitetstyveri.

PEP-sjekk og sanksjonsscreening

Politically Exposed Persons-sjekk er en ekstra del av AML5 som de fleste spillere aldri legger merke til, fordi den skjer i bakgrunnen. PEP-er er personer i offentlige posisjoner – politikere, dommere, militære ledere – der midler kan ha politisk korrupsjonsrisiko.

Hvis en spiller er definert som PEP, eller har et kjent forhold til en PEP, kreves Enhanced Due Diligence ved første transaksjon. Det betyr ekstra dokumentasjon på inntektskilder, en formell godkjenning fra en compliance-leder hos operatøren, og kontinuerlig monitoring av alle senere transaksjoner.

For sanksjonsscreening sammenlignes navnet ditt mot internasjonale sanksjonslister fra EU, FN og OFAC. Hvis du blir feil-flagget på grunn av navn-likhet med en sanksjonert person, må du dokumentere via pass at du ikke er den personen. Det skjer sjelden, men det skjer.

Konteksten her: Norsk Tipping hadde over 2,3 millioner unike kunder i 2024 – omtrent halve den voksne befolkningen i landet. Det betyr at PEP-screening er et reelt og statistisk synlig fenomen, fordi norske politiske og offentlige aktører er en vanlig del av spillermassen, og deres aktivitet må behandles særskilt.

Tidsbruk og vanlige feil

I de KYC-prosessene jeg har observert, ligger normal tidsbruk på 4 til 24 timer fra opplasting til godkjenning hos MGA-operatører – forutsatt at dokumentene er korrekte. Det er der det går galt for mange.

De vanligste feilene jeg ser:

Bilde av dokument tatt med dårlig lys. Operatørens automatiske OCR kan ikke lese tallene, og dokumentet havner i manuell kø. Resultat: 24 til 72 timer ekstra ventetid.

Adressebekreftelse i navnet på familiemedlem. En strømregning på din samboers navn fungerer ikke. Det må være ditt navn på dokumentet – ellers kan ikke operatøren bekrefte at du faktisk bor på adressen.

Pass som er utgått. Selv om pass var gyldig da BankID-en ble utstedt, sjekker operatøren ofte ny gyldighet ved KYC-runder. Et utgått pass må fornyes før dokumentkontroll kan godkjennes.

Skattefri lønnsslipp som SoF. Hvis du leverer en lønnsslipp i bytte mot Source of Funds-bekreftelse, må den være fra hovedinntektskilden din og inkludere arbeidsgiverens navn, ditt navn, månedlig nettolønn, og helst flere måneder. Bare én månedlig sirkulær er ofte ikke nok.

Spørsmål om dokumentkontrollen