Vaatimustenmukaisuuden todisteet tulisi syntyä luontevasti, ei erillisenä auditointiprojektina

Yritys voi hoitaa asiakassuhteitaan hyvin vuosien ajan huomaamatta koskaan, että sen vaatimustenmukaisuustodisteet ovat puutteellisia. Asiakkaat otetaan vastaan, riskiarviot tehdään, seulonnat suoritetaan ja katselmukset toteutetaan aikataulussa. Mikään asiakassuhteessa ei viittaa ongelmiin, koska ongelmia ei ole – työ tehdään aidosti asianmukaisesti.

Heikkous, jos sellainen on olemassa, pysyy yleensä näkymättömissä, kunnes joku esittää tietyn kysymyksen: ei "toimitko oikein", vaan "näytä minulle tarkalleen, mitä teit, mitä tiesit ja miksi". Tämä kysymys voi tulla viranomaiselta, tilintarkastajalta, vanhan asiakaskannan läpikäyvältä uudelta rahanpesun torjunnan vastuuhenkilöltä tai sisäiseltä tarkastukselta. Vastaus riippuu jostain, mitä useimmat yritykset eivät ole koskaan käytännössä testanneet: siitä, onko asiakassuhteen historia palautettavissa ja johdonmukainen, vai onko se hajallaan kaikkien niiden kesken, jotka ovat sattuneet käsittelemään sitä.

Vaatimustenmukaisuustyön tekeminen asianmukaisesti ja sen todistaminen useita vuosia myöhemmin ovat kaksi eri asiaa. Yritys voi olla vahva ensimmäisessä ja heikko toisessa – ja tämä toinen heikkous kantaa omaa riskiään riippumatta siitä, onko mitään tehty väärin.

Kaupallinen elinkaaren hallinta ei ole sama kuin vaatimustenmukaisuuden elinkaaren hallinta

Useimmat yritykset hallitsevat asiakassuhteensa kaupallista puolta CRM-järjestelmällä, käyttöönottotyökalulla tai laajemmalla asiakkaan elinkaarialustalla – jotka ovat usein erittäin hyviä siinä, mihin ne on rakennettu: siirtämään potentiaalinen asiakas tehokkaasti aktiiviseksi, tuottoa tuovaksi asiakkuudeksi. Tämä ei ole kritiikkiä kyseistä kategoriaa kohtaan; se heijastaa sitä, mihin nämä järjestelmät on suunniteltu, eikä säännelty todistusaineistotietue välttämättä ole ollut ensisijainen suunnittelutavoite.

Tämän seurauksena vaatimustenmukaisuustyö tapahtuu usein kaupallisen työnkulun rinnalla eikä sisällä: rekisterihaku täällä, pakotelistojen ja poliittisesti vaikutusvaltaisten henkilöiden seulonta tuolla, avoimien asioiden taulukkolaskentatiedosto, myöhemmin tärkeäksi osoittautuva kuvakaappaus, asiakirja SharePointissa, tilannepäätös selitettynä siellä, missä se tuntui luontevimmalta.

Tunnollinen henkilö voi saada tämän toimimaan, mutta tulos riippuu vahvasti kyseisen henkilön omasta arkistointikäytännöstä ja siitä, ettei kukaan muu koskaan joudu rekonstruoimaan sitä ilman häntä. Kyseinen henkilö jää lomalle, vaihtaa tehtävää tai lähtee; joku toinen ottaa vastuun erilaisilla tavoilla ja erilaisella käsityksellä siitä, mikä on tärkeää. Tämä ei näy kaupallisesti – asiakassuhde jatkuu keskeytymättä. Se tulee näkyväksi vasta kun jonkun täytyy rekonstruoida mitä tapahtui, ja huomaa tarinan elävän useampien ihmisten päissä ja kansioissa yhtenäisen tietueen sijaan.

Todellinen tilintarkastuskysymys ei ole "mitä tiedät tänään"

Kuvittele tilintarkastaja, joka valitsee sattumanvaraisesti yhden asiakassuhteen useita vuosia käyttöönoton jälkeen ja pyytää yritystä rekonstruoimaan sen kokonaisuudessaan.

Sovellettavasta kehyksestä ja asiakkaasta riippuen yrityksen on ehkä osoitettava: kuka asiakas oli ja asiaankuuluvat yritystiedot; toimialue ja liiketoiminta; omistus- ja hallintarakenne, mukaan lukien omistusketju sen olemassaollessa; tunnistetut tosiasialliset edunsaajat; arvioidut maantieteelliset ja muut riskitekijät; suoritettu seulonta ja sen tulokset; hankittu dokumentaatio; mitä todella tiedettiin riskiarvioinnin tekohetkellä; siitä seurannut luokittelu ja miksi se oli asianmukainen tuolloin; kuka päätti ja milloin; miksi yritys hyväksyi, hylkäsi tai jatkoi suhdetta; mitä muuttui sen jälkeen; käynnistikö se lisätarkastelun; mitä tehtiin ja kenen toimesta; sekä lopputulos.

Tämä ei ole universaali tarkistuslista, jota sovelletaan identtisesti kaikkialla – vaatimukset vaihtelevat kehyksen ja asiakastyypin mukaan. Taustalla oleva periaate on johdonmukainen: yrityksen on pystyttävä osoittamaan päätös siinä asiayhteydessä, jossa se todella tehtiin, eikä jälkikäteen rekonstruoida uskottavaa versiota siitä. EU:n rahanpesun torjuntaa koskeva asetus (asetus (EU) 2024/1624, "AMLR"), jota sovelletaan suoraan 10. heinäkuuta 2027 alkaen, tekee tämän nimenomaiseksi. Artikla 20 edellyttää velvoitettujen yhteisöjen pystyvän osoittamaan valvontaviranomaisille milloin tahansa, että toteutetut due diligence -toimenpiteet ovat asianmukaisia tunnistettuihin riskeihin nähden – ei pelkästään, että toimenpide on toteutettu, vaan että sen riittävyys voidaan osoittaa. Artikla 21(3) menee pidemmälle: se edellyttää velvoitettujen yhteisöjen pitävän kirjaa due diligencen noudattamiseksi toteutetuista toimista, mukaan lukien tehdyistä päätöksistä, asiaankuuluvista tukiasiakirjoista ja niiden perusteluista. Se edellyttää myös, että velvoitetun yhteisön hallussa olevat asiakirjat, tiedot ja informaatio päivitetään aina, kun asiakkaan due diligence tarkistetaan artiklan 26 mukaisesti. Vaatimustenmukaisuustodisteet ovat tämän tulkinnan mukaan muutakin kuin taustalla olevat tosiasiat – ne ovat päätökset ja niiden perustelut, jotka säilytetään näiden tosiasioiden rinnalla.

Nykyinen tietue ei ole historiallinen tietue

Yksi vaatimustenmukaisuusjärjestelmän vakavimmista virheistä on hiljainen ja helppo ohittaa: eilisen tietojen korvaaminen tämän päivän tiedoilla.

Oletetaan, että yritysasiakkaan omistusrakenne muuttuu. Jos järjestelmä yksinkertaisesti korvaa vanhan rakenteen uudella, se kertoo yritykselle oikein, kuka omistaa asiakkaan tänään. Se ei kerro tilintarkastajalle kahden vuoden kuluttua, miksi käyttöönoton yhteydessä tehty arviointi oli perusteltu sen perusteella, mitä silloin tiedettiin – koska kyseinen aikaisempi tila ei enää ole alkuperäisessä muodossaan.

Tämä ulottuu asiakastietoja pidemmälle: sääntelyympäristö itsessään muuttuu, kun riskitekijät kehittyvät, ohjeistusta päivitetään ja yrityksen oma metodologia ja riskinsietokyky kehittyvät. Pointti ei ole, että jokainen historiallinen sääntö on reprodusoitava jokaisen tiedoston sisällä – ainoastaan, että historiallisen päätöksen ympärillä olevan todistusaineiston on säilytettävä tarpeeksi alkuperäisestä asiayhteydestään, jotta se voidaan ymmärtää omilla ehdoillaan, eikä arvioida sellaista tietoa vasten, jota ei vielä ollut olemassa. AMLR:n artikla 26 edellyttää jatkuvaa seurantaa: velvoitettujen yhteisöjen on pidettävä asiakastiedot ajan tasalla riskiperustaisesti ja tarkistettava ne erityisesti, kun asiakkaan olennaiset olosuhteet muuttuvat tai yritys saa tietää olennaisesta seikasta. Asetus ei itse määrää, miten tuo historia on säilytettävä. Operatiivisesta ja todistusaineistollisesta näkökulmasta järjestelmä, joka säilyttää aiemman tilan uuden rinnalla sen sijaan, että korvaisi sen, on kuitenkin se, mikä käytännössä mahdollistaa sen osoittamisen, mitä muuttui ja miksi siitä seurannut toimenpide oli asianmukainen.

Todistusaineistotietueen tulisi seurata asiakassuhteen sykettä

Oikea ajattelumalli ei ole yksi käyttöönoton yhteydessä laadittu ja hiljaa ylläpidetty asiakirja. Se on lähempänä kronologista sarjaa hetken tilanteen kuvaavia tilannekuvia, jotka on otettu jokaisella merkityksellisellä hetkellä: saatavilla oleva tieto, sen taustalla oleva todistusaineisto, mitä muuttui, mitä se edellytti, kuka arvioi sen, ja mitä päätettiin ja milloin. Uuden tiedon tulisi lisääntyä tähän historiaan, ei korvata sitä.

IQONissa ajattelemme tätä asiakassuhteen sykkeenä – alusta, käyttöonoton kautta, jokaisen myöhemmän muutoksen, katselmuksen ja päätöksen läpi, aina suhteen päättymiseen saakka, jokaisen merkittävän tapahtuman lisätessä uuden lyönnin tietueeseen. Metafora on vähemmän tärkeä kuin vaatimus, jonka se kuvaa: missä tahansa suhteen elinkaaren vaiheessa yrityksen tulisi pystyä näkemään, miltä se näytti silloin ja mitä tapahtui seuraavaksi.

Otetaan konkreettinen esimerkki. Yritysasiakas käy läpi merkittävän omistusrakenteen muutoksen, ja uusi tosiasiallinen edunsaaja ilmestyy toisesta lainkäyttöalueesta. Olosuhteista riippuen tämä saattaa tai ei välttämättä käynnistä tehostettua due diligencea – kyseessä on riskiperustainen harkintapäätös, ei automaattinen sääntö. Tietueen on osoitettava paitsi uusi rakenne myös se, että muutos tapahtui, mitä muuttui, mitä harkittiin, mitä lisäselvityksiä tarvittiin, kuka tarkasteli asiaa ja mitä päätettiin ja milloin. Säännelty asiakassuhde muuttuu, ja muutos voi luoda velvoitteen; hyvä järjestelmä auttaa havaitsemaan sen, varmistaa, että oikea työnkulku seuraa, ja säilyttää mitä tapahtui sen sijaan, että esittäisi ainoastaan nykyisen tilan ikään kuin se olisi ainoa, joka on koskaan ollut olemassa.

Teknologian tulisi poistaa dokumentointityö, ei harkinta

Yritysasiakkaan osalta suuri osa asiaankuuluvasta tosiasiallisesta ympäristöstä – yritystiedot, lainkäyttöalue, toimiala, omistus ja omistusketjut, tosiasiallinen omistajuus, seulonta, asiaankuuluvat riskitekijät, tukiasiakirjat ja kaikki se, miten nämä muuttuvat ajan myötä – voidaan koota ja ylläpitää järjestelmällisesti. Vaatimustenmukaisuuden ammattilaisen ei pidä joutua manuaalisesti rekonstruoimaan tarkastuspolkua tiedoista, jotka järjestelmä jo sisältää. Teknologian tehtävä on kerätä, jäsentää, säilyttää, seurata, tuoda esiin, tiivistää, koordinoida ja aikaleimata; ihmisen tehtävä on tosiasioiden informoima harkinta.

IQON ottaa parhaillaan käyttöön tekoälyavusteista toiminnallisuutta, joka tiivistää riskiarvioinnin yhteydessä kootun todistusaineiston – ei sen päättämiseksi, onko asiakas hyväksyttävä, vaan selvästikin inhimillisen, hallinnollisen ongelman ratkaisemiseksi. Asiakasasiakirja voi kerätä nopeasti runsaasti tietoa, ja sen kokoaminen päätöksentekijän omaksuttavaan muotoon vie aikaa ja sisältää riskin, että jokin olennainen jää huomaamatta. Tekoäly auttaa kokoamaan ja tiivistämään kyseistä tietoa sekä tuomaan asiaankuuluvat seikat päätöksentekijän tietoon, mikä auttaa vähentämään tätä riskiä – se ei takaa, ettei mitään jää koskaan huomaamatta. Tiivistelmä on syöte päätöksentekoon, ei itse päätös; vastuuhenkilö tarkastelee sen ja päättää, ja tietue säilyttää sen, mitä oli saatavilla, mitä esitettiin, mitä päätettiin ja tarvittaessa miksi.

Tämä sopii hyvin yhteen sen kanssa, mihin AMLR vetää rajan. Artikla 76(5) sallii automatisoidut prosessit, mukaan lukien profilointi ja tekoälyjärjestelmät, asiakkaan due diligencen kautta saatuja tietoja koskien – mutta jokainen päätös, joka koskee suhteen aloittamista, hylkäämistä, jatkamista tai sovellettavan due diligencen mukauttamista, edellyttää merkityksellistä ihmisen väliintuloa, ja asiakkaalla säilyy oikeus selitykseen ja mahdollisuus riitauttaa se. Artikla 18 käsittelee ulkoistamisen rinnakkaiskysymystä: se sallii velvoitettujen yhteisöjen siirtää AML/CFT-tehtäviä palveluntarjoajille, mukaan lukien teknologiatoimittajat, mutta velvoitettu yhteisö on täysin vastuussa kaikesta siinä yhteydessä tehdystä tai tekemättä jätetystä, ja tiettyjä päätöksiä – muun muassa asiakkaan riskiprofiilia ja päätöstä suhteen aloittamisesta – ei yleensä voida siirtää kolmannelle osapuolelle lainkaan, jollei asetus itsessään sisällä tiettyjä poikkeuksia. Yhdessä luettuina molemmat säännökset osoittavat samaan suuntaan: merkittävä osa AML-työstä, hallinnosta ja erikoistuneesta toiminnasta voidaan siirtää tai tukea teknologialla, mutta vastuu kehyksen velvoitetulle yhteisölle osoittamista päätöksistä ei siirry sen mukana.

Tarkastettavuuden on säilyttävä tiedoston luoneiden henkilöiden jälkeen

Manuaalisen kirjanpidon syvempi ongelma ei ole se, että asiakirja saattaa kadota. Se on se, että tietojen tarkka tila ja asiayhteys on vaikea säilyttää, kun se riippuu yhden henkilön tavasta kopioida, ottaa kuvakaappauksia, tiivistää ja arkistoida – mikä toimii vain niin kauan kuin kyseinen henkilö vastaa tiedostoa koskeviin kysymyksiin.

Siihen mennessä kun tilintarkastaja kysyy, tiedot kerännyt henkilö on saattanut siirtyä eteenpäin, kuten myös päätöksen tehnyt henkilö; tarkastuksen hoitavalla henkilöllä ei välttämättä ole ollut mitään tietoa asiakassuhteen olemassaolosta. Hyödyllinen testi mille tahansa todistusaineistojärjestelmälle on se, voiko joku, jolla ei ole ennakkotietoa asiakassuhteesta, hakea ja ymmärtää sen täyden vaatimustenmukaisuushistorian vuosia myöhemmin – ilman, että hän on riippuvainen kenenkään muistista, asemasta tai tiedosta siitä, miten tiedosto on järjestetty.

Kojelautakamera-ongelma

Kuvittele, että joku ajaa autollasi. Saatat olla täysin varma, että ajoit oikein, mutta siinä on silti merkittävä ero, sanoa "niin kävi" ja esittää asiasta samanaikainen todistusaineisto. Kojelautakamera ei tee sinusta parempaa kuljettajaa, eikä se tee päätöstä puolestasi. Se antaa sinulle riippumattoman, aikaleimalla varustetun tietueen, joka kykenee osoittamaan, mitä tapahtui, vaadittaessa jollekin, joka ei ollut paikalla.

Vaatimustenmukaisuustodisteet palvelevat samaa tehtävää. Yritys on saattanut toimia täysin oikein koko asiakassuhteen ajan, mutta jos se ei vuosia myöhemmin pysty osoittamaan, mitä se tiesi, mitä se harkitsi, mitä se päätti ja mitä tapahtui sen jälkeen, sen kyky puolustaa asemaansa on paljon heikompi kuin sen taustalla olevan työn laatu ansaitsee. Riski ei ole ainoastaan se, että yritys teki jotain väärin; se on, että yritys teki kaiken oikein eikä enää pysty todistamaan sitä – ja AMLR:n kaltaisen sääntelyn alla sillä on hintansa. Artikla 77 edellyttää taustalla olevan due diligence -dokumentaation ja transaktiotietueiden säilyttämistä yleensä viiden vuoden ajan suhteen päättymisestä; silloin kun yritys säilyttää viittauksia kopioiden sijaan, asetus sallii tämän vain, jos tieto on edelleen välittömästi toimitettavissa toimivaltaiselle viranomaiselle eikä sitä voida muokata tai muuttaa. Tietue, joka teknisesti on olemassa jossakin, on vain rajallisen arvoinen, jos sitä ei voida löytää alkuperäisessä muodossaan ja toimittaa pyydettäessä. Artikla 78 lisää siihen liittyvän mutta suppeamman velvollisuuden: yrityksillä on oltava järjestelmät, jotka kykenevät vastaamaan täysin ja nopeasti toimivaltaisen viranomaisen tiedusteluun siitä, onko niillä tai oliko niillä asiakassuhde määriteltyyn henkilöön ja mikä sen luonne on.

Rakenna todistusaineisto suhteen ollessa käynnissä

IQON rakennettiin lähtökohtana säännelty asiakassuhde eikä kaupallinen työnkulku, tarkastettavuus käsiteltynä arkkitehtuurin osana eikä jälkikäteen lisättynä. Tarkoituksena ei ole pakottaa vaatimustenmukaisuuden ammattilaisia erilliseen järjestelmään muiden työskennellessä kaupallisessa järjestelmässä – vaan tukea asiakkaan elinkaaren työnkulkua siten, että vaatimustenmukaisuustodisteet syntyvät luonnollisena seurauksena tehdystä työstä, eivätkä erillisenä lisätyönä sen päälle. IQONia ei ole suunniteltu auttamaan yritystä rekonstruoimaan tarkastuspolkuaan jälkikäteen; se on suunniteltu niin, että tarkastuspolku on jo olemassa, koska alusta tallentaa hetken tilanteen tosiasiat, päätökset ja niiden perustelut niiden tapahtuessa ja säilyttää historian sen sijaan, että ylikirjoittaisi sen. Hyvän tarkastettavuuden tulisi olla seurausta työn tekemisestä hyvin – ei lisätyö, joka kilpailee saman vaatimustenmukaisuustiimin ajasta.

Vaatimustenmukaisuustiimin ei pitäisi selvittää, kestääkö sen todistusaineisto tarkastelua vasta tilintarkastajan saapuessa. Siihen mennessä päätökset saattavat olla vuosia vanhoja, taustalla olevat tosiasiat ovat saattaneet muuttua, ja ne henkilöt, jotka tekivät päätökset, eivät ehkä enää ole paikalla selittämässä perustelujaan. Todistusaineiston tulisi jo olla olemassa, koska se luotiin osana asiakassuhteen hoitamista. Jos yrityksen on rekonstruoitava vaatimustenmukaisuustodisteet ennen kuin se voi kestää tarkastuksen, todistusaineistojärjestelmä on jo epäonnistunut.