KYB în România: ce date oficiale despre firme verifici automat

Un onboarding de firmă poate dura trei zile sau trei minute. Diferența nu stă în cât de strict ești, ci în cât din verificare o face un om cu copy-paste și cât o face aplicația. În România, o bună parte din datele de care ai nevoie pentru KYB stau în registre publice și se pot citi automat.

KYB vine de la Know Your Business. E procesul prin care o bancă, un IFN, o platformă de plăți sau un marketplace verifică o firmă înainte s-o accepte drept client, adică varianta pentru persoane juridice a lui KYC. Întrebările sunt simple. Firma există? E activă? Cine o reprezintă? Ce face? E stabilă financiar? Are probleme cu statul sau cu justiția?

Partea de lege, fără pretenții

Entitățile raportoare din legislația privind prevenirea spălării banilor, cum ar fi băncile, IFN-urile, instituțiile de plată și alte categorii, trebuie să-și cunoască clienții, inclusiv pe cei persoane juridice, și să identifice beneficiarul real. Cât de adânc verifici depinde de risc. Ce documente se cer și cum se păstrează stabilesc legea și reglementările autorităților de supraveghere, iar pentru asta vorbești cu ofițerul de conformitate. Tehnologia îți adună repede și corect datele oficiale pe care se sprijină analiza lui.

Ce verifici automat, în ordinea în care aș face-o eu

Cine e firma

Încep cu profilul fiscal, GET /api/v1/registru/firme/{cui}. Primești denumirea oficială, numărul de la registrul comerțului (numar_registru), forma juridică, sediul social și domiciliul fiscal, cu codurile SIRUTA. Le compari cu ce a scris clientul în formular. O denumire diferită sau un sediu în alt județ nu înseamnă fraudă, dar înseamnă o întrebare.

Din același răspuns afli starea din registru și stare_juridica, cu indicatorii in_insolventa, in_lichidare și in_dizolvare, plus inactivitatea fiscală, din fiscal.inactiv.activ. O firmă inactivă fiscal sau în dizolvare cere de regulă o analiză în plus înainte s-o accepți.

Cine o reprezintă

API-ul Date de contact, la GET /api/v1/registru/firme/{cui}/contact, aduce în câmpul reprezentanti administratorii și asociații, cu calitatea lor, tipul (persoană fizică sau juridică) și puterile. Îi compari cu omul care deschide contul. Are dreptul să reprezinte firma? E administrator sau doar un angajat trimis să completeze formularul?

Aici se face des o confuzie, așa că o spun direct: lista asta nu e registrul beneficiarilor reali. Beneficiarul real se identifică separat, prin declarația clientului și prin sursele oficiale dedicate. Datele despre asociați te ajută doar să verifici dacă declarația e consecventă.

Ce face

Codul CAEN principal e în profil. Toate activitățile autorizate le iei de la GET /api/v1/caen/{cui}/activitati, pentru un credit. Te interesează când activitatea declarată pentru cont nu apare printre cele autorizate, sau când firma are activități pe care politica ta internă le consideră mai riscante.

Cât de mare e, de fapt

Pentru firmele cu cel puțin un exercițiu încheiat, bilanțul îți arată mărimea reală. Sumarul, GET /api/v1/bilant/{cui}/sumar, aduce cifrele principale din ultimul an pentru un credit, în data.sumar: cifra_afaceri, angajati, capitaluri, rezultat_net, cu semn, și anul bilanțului în an.

Să zicem că un client declară rulaje lunare de milioane de lei, iar cifra lui de afaceri anuală e de câteva zeci de mii. Nu dovedește nimic singură, dar e exact genul de nepotrivire care trebuie să ajungă în profilul de risc.

Statul, instanțele și autorizațiile

Restanțele la stat, GET /api/v1/fiscal/{cui}/restante, și dosarele de instanță, GET /api/v1/dosare/{cui}, completează imaginea. Rareori sunt motive de refuz în sine, dar intră în evaluarea riscului, mai ales când produsul tău presupune credit.

Dacă clientul e într-un domeniu reglementat, verifici și licențele: ARR pentru transport, la GET /api/v1/transport/{cui}/licente, sau ANRE pentru energie, la GET /api/v1/energie/{cui}/autorizatii.

Fluxul, cap-coadă

Clientul scrie CUI-ul și formularul se completează din profilul fiscal. Sistemul verifică starea, situația juridică și inactivitatea, iar dacă ceva nu e în regulă, dosarul merge la analiză manuală. Reprezentantul nu se scrie de mână: clientul îl alege dintr-o listă construită din reprezentanti. În fundal se cer bilanțul, restanțele și, pentru clienții cu risc mai mare, dosarele. Un scor sau un set de reguli decide între acceptare automată, analiză manuală și refuz. Toate răspunsurile se salvează cu data lor, ca dovadă a verificării.

Pașii din fundal nu depind unul de altul, deci îi poți rula în paralel. Mai jos e un exemplu în Python, pe sandbox, cu CUI-ul de test 90000010. Sandbox-ul cere o cheie API, deci un cont gratuit, fără card, iar cererile de acolo nu consumă credite și primesc date fictive.

import os, requests
from concurrent.futures import ThreadPoolExecutor

BAZA = "https://www.bilantapi.ro/api/sandbox/v1"
ANTETE = {"X-API-KEY": os.environ["BILANTAPI_KEY"]}
RUTE = {
    "profil": "/registru/firme/{cui}",
    "contact": "/registru/firme/{cui}/contact",
    "caen": "/caen/{cui}/activitati",
    "bilant": "/bilant/{cui}/sumar",
    "restante": "/fiscal/{cui}/restante",
}

def dosar_kyb(cui):
    def cere(ruta):
        r = requests.get(BAZA + ruta.format(cui=cui), headers=ANTETE, timeout=15)
        return r.json().get("data")
    with ThreadPoolExecutor(max_workers=5) as ex:
        rezultate = ex.map(cere, RUTE.values())
    return dict(zip(RUTE.keys(), rezultate))

Dosarul care iese îl salvezi întreg, cu data, lângă cererea clientului. Peste un an, când te întreabă un auditor pe ce bază ai acceptat firma, îl deschizi și ai răspunsul.

Costul

Verificarea de bază înseamnă profil fiscal (1 credit), date de contact cu reprezentanți (10), activități CAEN (1), sumar de bilanț (1) și restanțe (3), adică 16 credite. Cu dosarele de instanță (8), ajungi la 24. La clienții cu risc scăzut poți renunța la unele surse. La cei cu risc ridicat adaugi scorul de risc sau dosarele întregi.

Ce nu poate face automatizarea

Beneficiarul real și structura completă de proprietate, pe mai multe niveluri, rămân în sarcina ta. La fel documentele de identitate ale reprezentanților și verificarea lor, sursa fondurilor și scopul relației de afaceri. Listele de sancțiuni și persoanele expuse politic cer furnizori și verificări separate.

Datele despre firmă, adunate automat, nu rezolvă nimic din toate astea. Îi eliberează însă pe oamenii de la conformitate de copy-paste, ca să-și petreacă timpul exact pe punctele unde judecata lor contează.

Primii pași sunt descriși pe paginile API Informații firmă și API Date de contact, iar toate rutele, cu schema OpenAPI, sunt în documentație. Ca să testezi fluxul pe clienți reali, îți faci un cont și primești 250 de credite gratuite, fără card. La 16 credite pe verificarea de bază, ajung pentru vreo 15 firme.