Hvorfor er KYC fortsatt så manuelt?

Spør nesten hvilken som helst compliance-leder om det finnes KYC-teknologi som kan redusere manuelt arbeid, og svaret kommer uten nøling: ja. Screeningverktøy, identitetsverifisering, registeroppslag, e-signering, dokumentlagring – ingen av disse er nye eller ukjente konsepter. Likevel er det slik at KYC i mange regulerte virksomheter fremdeles i stor grad kjøres på e-posttråder, delte stasjoner, regneark og hukommelsen til én eller to erfarne medarbeidere.

Dette skyldes ikke at virksomhetene er uvitende om hva som finnes. Det skyldes at beslutningen om å automatisere KYC sjelden tas én gang, ryddig, på rett tidspunkt. Den tas – eller utsettes – gradvis, under kommersielt press, i virksomheter som er travelt opptatt med arbeidet de faktisk får betalt for. Å forstå hvorfor manuell KYC vedvarer, forteller deg mer om hvordan compliance-teknologi bør utformes enn noen funksjonsliste noensinne kan gjøre.

Virksomheter vokser inn i problemet før de merker det

I en liten eller tidligfase-regulert virksomhet er det vanlig at én eller to seniorer håndterer nesten alt: strategi, klientrelasjoner, kommersielle vilkår, drift – og, ofte som en ettertanke, KYC og compliance-administrasjon. På det stadiet er anskaffelse av et dedikert system en reell kostnad, både økonomisk og i form av tiden implementeringen krever. Å håndtere KYC manuelt for en håndfull klienter er ingen dom over manglende skjønnsevne. Det er ofte det økonomisk rasjonelle valget.

Vanskeligheten er at virksomheter sjelden opplever ett enkelt øyeblikk der de krysser fra «manuelt er greit» til «vi trenger et system». Klienttallet vokser gradvis. Jurisdiksjoner multipliserer seg. Eierstrukturer blir mer komplekse. Hver ny klient ser, isolert sett, ut som noe den eksisterende prosessen kan absorbere. Resultatet er at manuelle prosesser rutinemessig overlever lenge etter at de har sluttet å være effektive – rett og slett fordi ingen enkelt dag gjorde ineffektiviteten åpenbar.

Den første skaleringsresponsen er som regel et nytt menneske

Når arbeidsmengden endelig blir synlig, er den vanligste responsen ikke å kjøpe programvare – det er å ansette, eller omplassere, en person. KYC-administrasjonen flyttes fra en partners skrivebord til en juniormedarbeiders.

På papiret ser dette billig ut. I praksis introduserer det en annen type kostnad. Kunnskap om hvordan virksomheten håndterer en kompleks eierstruktur, eller hva den interne policyen krever av tilleggsinformasjon for en høyrisikoklient, knyttes til en person snarere enn til en prosess. Folk slutter. Juniormedarbeidere rykker opp i andre roller, slik de skal. Hvert avgang betyr opplæring av en etterfølger og overføring av institusjonell kunnskap som aldri ble nedskrevet noe sted – bare eksisterte i noens hode.

Dette er ingen kritikk av dem som utfører arbeidet – dyktige medarbeidere får rutinemessig en dårlig utformet prosess til å fungere gjennom ren kompetanse. Problemet er at dette er en kostbar og sårbar måte å drive compliance på, og den reelle kostnaden – ledertid, opplæring, nøkkelpersonavhengighet – dukker sjelden opp på samme budsjettlinje som juniorlønnen som i utgangspunktet fikk ordningen til å se rimelig ut.

Å kjøpe compliance-teknologi er i seg selv et prosjekt

På et tidspunkt erkjenner de fleste virksomheter at den eksisterende tilnærmingen ikke kan skaleres videre. Det er her et annet, sjeldnere diskutert hinder dukker opp: å kjøpe KYC- og AML-teknologi er i seg selv et arbeid.

Markedet er mettet. Leverandørers nettsteder har en tendens til å fremme lignende påstander i lignende språkdrakt, noe som gjør reell funksjonell sammenligning vanskelig uten omfattende demoer. Prissettingen er ofte ugjennomsiktig helt til langt inn i en salgsprosess. Anskaffelse, demonstrasjoner og intern godkjenning tar reell tid fra folk som allerede er strukket til det ytterste. Når et system er valgt, følger implementerings- og integrasjonsarbeid, og medarbeidere må lære et nytt grensesnitt i tillegg til de de allerede bruker daglig. Noen leverandører gjør, til skade for seg selv, selve kjøpsprosessen unødvendig treg eller komplisert.

Sett opp mot dette kan det å fortsette med den eksisterende manuelle prosessen – ineffektiv som alle vet den er – føles som minste motstands vei. Ingen i virksomheten bestrider at automatisering ville hjelpe. Friksjon er ikke konseptuell. Den er operasjonell: å evaluere og innføre et nytt system konkurrerer om den samme tiden og oppmerksomheten som allerede er oppbrukt av arbeidsmengden systemet er ment å avlaste.

KYC er ikke én arbeidsflyt – det er mange, forkledd som én

Selv en virksomhet med en beskjeden klientbase kan stå overfor betydelig intern kompleksitet, fordi «å gjøre KYC» ikke er én enkelt, repeterbar oppgave. Den endrer seg med juridisk form, jurisdiksjon, bransje, eierstruktur og risikovurdering. Den endrer seg avhengig av om kunden er en privatperson eller et selskap, om reelle rettighetshavere eller autoriserte representanter må delta direkte, og hvilken dokumentasjon eller utvidet kundekontroll et gitt risikoprofil krever.

Denne variabiliteten er nettopp det som gjør rigide systemer vanskelige å innføre. Et verktøy bygget rundt én lineær arbeidsflyt håndterer de enkle tilfellene godt og alt annet dårlig – og i de fleste regulerte kundeporteføljer er «alt annet» en betydelig andel av arbeidet. Når systemet ikke kan tilpasse seg, faller medarbeidere tilbake på verktøyene som alltid er fleksible: e-post, regneark og individuelt skjønn. Og det er ofte unntakene der uforholdsmessig mye tid går med.

Sjekken automatiseres. Koordineringen gjør det ikke.

Her ligger det dypere problemet, og det er verdt å si det rett ut. Mange virksomheter har allerede gode punktløsninger: screening mot sanksjons- og PEP-lister, selskapregistersøk, identitetsverifisering, dokumentlagring, e-signering, leverandører av eierdata. Hver av disse kan utføre sin individuelle oppgave godt.

Ingen av dem svarer på et annet sett med spørsmål som noen i virksomheten fremdeles må bære i hodet: hva som må skje neste for denne bestemte klienten, hvem som skal gi hvilken informasjon, hvem som faktisk har fullført sin del, hva som fremdeles mangler, om et dokument stille og rolig har utløpt, om et unntak må eskaleres og til hvem, hvem som er autorisert til å godkjenne denne beslutningen, når neste gjennomgang faller, hva som har endret seg siden innfasing, og hva virksomheten har gjort med det.

Det er grunnen til at en virksomhet kan eie genuint god AML-teknologi og likevel drive en i stor grad manuell compliance-operasjon. Det som mangler er som regel ikke enda en database med navn, registre eller dokumenter. Det er koordineringslaget rundt det regulerte forholdet – bindevevet som bestemmer hva som skjer neste og bekrefter at det faktisk skjedde.

Enda en innlogging er ikke automatisering

Det finnes også en mer hverdagslig risiko ved å innføre KYC-programvare isolert: den kan stille og rolig bli enda en prosess snarere enn færre av dem. Enda en innlogging. Enda et grensesnitt å sjekke. Enda en datakilde som befinner seg atskilt fra CRM-systemet, praksisadministrasjonssystemet, regnskapsplattformen eller investeringsregisteret resten av virksomheten allerede er avhengig av.

Compliance-teknologi fortjener sin plass når den passer inn i hvordan virksomheten allerede opererer, snarere enn å kreve at virksomheten reorganiserer seg rundt et nytt verktøy. Den nyttige testen for ethvert KYC-system er ikke «hva kan det gjøre», men «hva kobler det seg til, og hvilket manuelt arbeid fjerner det?» Et system som kobler seg til eksisterende infrastruktur og datakilder reduserer arbeidet. Et system som befinner seg ved siden av alt annet, frakoblet, har en tendens til å legge til en oppgave snarere enn å fjerne én.

Å gå over til strukturert KYC-teknologi er fremdeles det rette første steget

Ingenting av dette er et argument mot KYC-programvare. Å gå fra regneark, delte mapper og personlig hukommelse til et strukturert system er et genuint og verdifullt steg. Det reduserer repetitiv administrasjon, forbedrer konsistensen mellom medarbeidere og mellom saker, sentraliserer informasjon som tidligere lå spredt på flere steder, gjør screening enklere å kjøre og kjøre på nytt, gir klarere dokumentasjon og reduserer generelt operasjonell risiko. For en virksomhet som fremdeles kjører KYC manuelt, er dette den endringen som betyr mest på kort sikt, og den bør ikke undervurderes.

Men det er et første steg, ikke destinasjonen – og å behandle det som destinasjonen er der mange virksomheter stopper for tidlig.

Å digitalisere KYC er ikke det samme som å digitalisere klientlivssyklusen

Det er en naturlig progresjon her: manuell KYC, deretter strukturert KYC-teknologi, deretter en arbeidsflytdrevet tilnærming til hele den regulerte klientlivssyklusen. Mellomsteget er verdifullt. Det er også, på egenhånd, ufullstendig.

Et dedikert KYC-system kan holde bedre data og kjøre bedre sjekker mens det mest tidkrevende arbeidet i virksomheten fremdeles skjer rundt det: jage etter utestående dokumenter, koordinere mellom klienten, relasjonsansvarlig og compliance, håndtere avhengighetene mellom én oppgave og den neste, behandle unntak som ikke passer standardsaken, rute godkjenninger til rett person, utløse periodiske og hendelsesdrevne gjennomganger, reagere på endringer i eierskap eller risiko, og opprettholde et forsvarlig arkiv over alt dette. Å digitalisere sjekken er ikke det samme som å digitalisere forholdet sjekken befinner seg i.

Dette er også der argumentet for bedre arbeidsflyt slutter å være et rent regulatorisk argument. En fragmentert prosess kjennes direkte av klienten – gjentatte forespørsler om informasjon virksomheten kanskje allerede har, flere e-posttråder som kjører parallelt, uklare neste steg og forsinkelser som ikke har noe med risiko å gjøre, men alt med koordinering. En bedre orkestrert prosess gir en mer profesjonell opplevelse, raskere innfasing og gjennomganger, og klarere intern oversikt over hvor ting faktisk står. Arbeidsflytkvalitet er med andre ord ikke bare en compliance-bekymring.

Den samme logikken gjelder dokumentasjon. Når arbeid skjer inne i en strukturert arbeidsflyt, genereres arkivet over hva som var kjent, hva som ble sjekket, hva som endret seg, hvem som bestemte hva, og hva som fulgte – som et naturlig biprodukt av å utføre arbeidet – ikke satt sammen i ettertid under tidspress når en revisor spør. En revisjon bør være et vindu inn i hva som skjedde, ikke et prosjekt for å rekonstruere hva som skjedde.

Hvor dette fører

Grunnen til at KYC forblir manuelt så lenge er sjelden uvitenhet om hva teknologi kan gjøre. Det er at økonomien favoriserer utsettelse i liten skala, at den åpenbare skaleringsresponsen er en ny ansettelse snarere enn et system, at å kjøpe og implementere teknologi i seg selv er et krevende prosjekt, at reelle klientpopulasjoner er for varierte for rigide verktøy, og at selv gode punktløsninger overlater koordineringen rundt forholdet til noen å håndtere manuelt.

Dette er problemet IQON er bygget rundt: ikke enda en punktløsning, men selve koordineringsproblemet – å koble det regulerte forholdet, arbeidsflyten rundt det og systemene en virksomhet allerede er avhengig av, slik at regulatoriske krav er innebygd i hvordan arbeidet skjer snarere enn lagt oppå det som en separat administrativ prosess. Mennesker beholder skjønnet og ansvarligheten. Teknologien tar over utførelsen og koordineringen rundt den.

Å flytte repetitivt KYC-arbeid ut av regneark, innbokser og individuell hukommelse er et viktig steg, og virksomheter som ennå ikke har tatt det, bør gjøre det. Men den større muligheten ligger ett nivå høyere: å redesigne arbeidsflyten rundt det regulerte klientforholdet selv, slik at compliance blir en del av hvordan forholdet opererer snarere enn en parallell prosess boltet på i ettertid.

Fremtiden for KYC handler ikke bare om bedre sjekking. Det handler om bedre orkestrering av de regulerte forholdene disse sjekkene tilhører.