KYC er ikke en engangskontroll: Hva det egentlig innebærer å kjenne kunden din

En velfungerende onboardingprosess gir et genuint godt bilde av en kunde: hvem de er, hvem som eier og kontrollerer dem, hva de driver med, hvorfor de ønsker forretningsforholdet, og hvilken risikograd de representerer. Problemet er ikke onboarding. Problemet er hva som skjer med dette bildet etterpå.

En vanlig driftsmodell ser slik ut: onboard kunden, innhent informasjonen, gjennomfør KYC, godkjenn forholdet, kom i gang med det kommersielle arbeidet, og vend tilbake til compliance rett før neste planlagte gjennomgang. På det tidspunktet sjekker firmaet hva som er sant nå opp mot hva som var sant ved onboarding, og oppdaterer filen deretter. Det er en forsvarlig modell, og periodisk gjennomgang er ikke den delen som trenger å fikses. Det den ikke kan se, er alt som skjedde i mellomtiden.

Hva som kan endre seg etter onboarding

Mellom én gjennomgang og den neste kan mye forskyve seg. Eierskap og kontroll kan skifte – en ny aksjonær, en ny morselskap, en endring lenger ned i en eierskapskjede som aldri helt viser seg på egenhånd. Personene firmaet forholder seg til kan endre seg: en ny styreleder, en ny representant, en reell rettighetshaver som ikke var i bildet tidligere. Enheten selv kan endre status – restrukturert, oppkjøpt, satt under insolvensbehandling, oppløst. Virksomhetens aktivitet kan utvikle seg på måter som betyr mer enn noe av dette.

Strategy – tidligere kjent som MicroStrategy – illustrerer det siste poenget godt, nettopp fordi den forenklede versjonen av historien er feil: selskapet sluttet ikke å være et enterprise software-selskap og ble et kryptovalutaselskap. Det beholdt sin opprinnelige virksomhet mens en storstilt bitcoin-treasury-strategi kom til å definere store deler av balansen, finansieringsaktiviteten og markedsidentiteten ved siden av. Den juridiske identiteten forble i det vesentlige den samme. Det et firma forsto kunden som, og risikovurderingene som følger av det, hadde likevel beveget seg betraktelig.

Utover eierskap og forretningsaktivitet kan geografi skifte på måter som har betydning – nye jurisdiksjoner for drift, ikke bare en endring av registrert adresse. Og bildet knyttet til finansiell kriminalitet kan i seg selv bevege seg: en tilknyttet person oppnår PEP-status, en sanksjonsliste endres, negativ medieomtale dukker opp som ikke var der før. Uavhengig av disse hendelsene kan informasjonen firmaet baserer seg på rett og slett bli utdatert – et dokument utløper, et eierskapsbevis eldes forbi det punktet der det er til å stole på. Ingenting av dette er eksotisk. Det er det ordinære livet til et forretningsforhold. Firmaet kan vite nøyaktig hva som var sant ved onboarding og nøyaktig hva som var sant ved siste gjennomgang. Det det ofte ikke kan si med sikkerhet, er når forholdet faktisk endret seg i mellomtiden.

Signal, ikke varselmengde

Det ville være en feil å svare på dette ved å forsøke å oppdage alt. Et system som flagger enhver tenkelig endring med samme vekt, løser ikke synlighetsproblemet – det skaper et annet. Compliance-team som presenteres for et stort volum av udifferensierte varsler, utvikler gjerne den samme mestringsstrategien folk alltid utvikler under den typen belastning: de triagerer raskt, og den genuint vesentlige utviklingen havner i køen ved siden av et dusin trivielle saker uten noen pålitelig måte å skille dem fra hverandre.

Det hjelper å være presis om hva som faktisk skjer når et overvåkingssystem genererer mye støy. Noe av det er rett og slett et feilaktig varsel – systemet tok feil. Mye mer av det er ikke feil i det hele tatt: det er en reell hendelse som skjedde med en reell kunde, og den er også uten vesentlig betydning for firmaets forståelse av det forholdet. Å forveksle den andre kategorien med en falsk positiv undervurderer hvor mye av problemet egentlig handler om prioritering snarere enn nøyaktighet. Målet er ikke å oppdage flest mulig endringer. Det er å bringe de til overflaten som er i stand til å endre firmaets forståelse av forholdet, og å gjøre det pålitelig nok til at folk kan stole på køen i stedet for å måtte dobbeltsjekke den. Overvåk bredt. Prioriter intelligent. Eskaler selektivt. La mennesker bestemme.

Ikke enhver relevant endring fortjener samme respons

Når noe er vurdert som vesentlig nok til å fortjene oppmerksomhet, er neste feil å anta at vesentlighet innebærer én fast respons – typisk en fullstendig KYC-gjennomgang. Det gjør det sjelden. En bekreftet endring av registrert adresse kan berettiges med ingenting mer enn en registeroppdatering. En endring i eierskap kan kreve målrettet verifisering av den nye parten snarere enn å gjenåpne hele filen. Et skifte i forretningsaktivitet kan utløse en risikovurdering uten å kreve nye identitetsdokumenter fra alle som allerede er verifisert. Et spesifikt manglende stykke informasjon kan ganske enkelt trenge å bli etterspurt. I noen tilfeller er det ærlige svaret at noen må se på forholdet og bevisst bestemme om det fortsatt befinner seg der firmaet trodde det gjorde.

Dette er ikke en fast regulatorisk sekvens, og det bør ikke behandles som én. Det er et spekter av forholdsmessige responser, og å matche riktig respons med riktig hendelse – i stedet for å ty til det tyngste alternativet hver gang, eller det letteste – er det meste av hva god løpende KYC faktisk består av.

Et varsel er ikke en driftsmodell

Et varsel er bedre enn ikke å vite at noe skjedde i det hele tatt. Men et varsel alene forteller bare firmaet at en hendelse inntraff; det forteller ingen hva som bør skje videre, og en compliance-funksjon som må arbeide det ut på nytt hver gang, driver egentlig ikke en prosess. Hvis den samme kategorien hendelse gjentar seg på tvers av en portefølje – et utløpt dokument, en ny styreleder, et eiersskifte – bør firmaet ikke trenge å finne opp på nytt, sak for sak, hvem som gjennomgår det, hvilken informasjon som kreves, om kunden må kontaktes, hvilken intern godkjenning som gjelder, når det eskaleres, og hva som må bevares som dokumentasjon. Disse svarene hører hjemme i en forhåndsdefinert arbeidsflyt knyttet til firmaets egen policy: relevant hendelse, forhåndsdefinert arbeidsflyt, ansvarlig eier, gjennomgang, menneskelig beslutning, dokumentasjon. Ulike hendelser og ulike risikoprofiler vil naturlig lede til ulike versjoner av den sekvensen – poenget er at selve rutingen er designet på forhånd, ikke improvisert hver gang.

Det skillet har knapt noen betydning når et firma har en håndfull klienter og én erfaren person som husker hvordan forrige lignende sak ble håndtert. Det betyr svært mye når virksomhetsboken vokser, fordi vekst multipliserer klienter, hendelser, deltakere, unntak og gjennomganger på én gang. En prosess som er avhengig av institusjonell hukommelse, blir jevnt mer skjør akkurat i takt med at kostnadene ved svikt blir større. En compliance-prosess bør fungere fordi den er designet til å fungere, ikke fordi noen erfaren person fortsatt husker hva som må skje.

Risiko bestemmer hvordan forholdet behandles

Ingenting av dette skjer i et vakuum. Regulering fastsetter krav rundt hva som må overvåkes, hvordan kundeinformasjon må holdes oppdatert, og når en relevant endring krever gjennomgang eller oppdatering. Hva et spesifikt firma faktisk gjør med et spesifikt forhold, er formet av noe annet: dets egen risikometodologi og risikoappetitt, anvendt konsekvent på tvers av porteføljen. Regulering fastsetter kravene. Firmaets egen risikopolitikk bestemmer hvordan disse kravene operasjonaliseres på tvers av kundebasen.

Det er også der konfigurerbar risikoklassifisering fortjener sin plass, og hierarkiet er viktig. De gjeldende regulatoriske kravene i jurisdiksjonen firmaet opererer i, danner grunnlinja – det er ikke noe noe firma konfigurerer bort. På toppen av denne grunnlinja kan et firma definere faktorene og metodologien som gjenspeiler egen virksomhet, egen kundebase og egen risikoappetitt, og la denne metodologien anvendes konsekvent på tvers av porteføljen etter hvert som omstendighetene endrer seg. En vesentlig hendelse kan påvirke inndataene til denne klassifiseringen, den resulterende risikovurderingen, arbeidsflyten som følger, eller graden av menneskelig gjennomgang som kreves. Firmaet forblir ansvarlig for sin metodologi og for enhver beslutning som kommer ut av den; teknologiens oppgave er å anvende, konsekvent, det regulering krever og det firmaet har definert på toppen av det.

Hvorfor periodisk gjennomgang fortsatt er viktig

Ingenting av dette gjør den periodiske gjennomgangen overflødig, og det ville være en feil å lese det slik. Endringsovervåking og periodisk gjennomgang løser ulike problemer innen løpende KYC. Endringsovervåking er bygget for å identifisere spesifikke, relevante utviklinger mellom planlagte gjennomganger. En periodisk gjennomgang er det bevisste punktet der firmaet trer tilbake og stiller et bredere spørsmål om forholdet som helhet: er den eksisterende risikoklassifiseringen fortsatt riktig, er firmaets forståelse av forholdet fortsatt nøyaktig, er formålet og den tiltenkte naturen til forholdet fortsatt det som ble registrert, er den underliggende informasjonen fortsatt oppdatert, og har forholdet driftet på måter som aldri frembrakte én klar, flaggbar hendelse, men som til sammen utgjør noe annerledes. Ingen av dem erstatter den andre, og ingen av dem er helheten av hva «løpende overvåking» betyr i loven – den bredere forpliktelsen dekker også gransking av aktiviteten og transaksjonene som utføres over forholdet, noe som er en separat disiplin fra vedlikeholdet av kundeinformasjon denne artikkelen handler om.

Europeisk regulering gjenspeiler den todelte strukturen denne artikkelen omhandler – forpliktet enheter forventes å holde kundeinformasjon oppdatert gjennom definerte maksimale gjennomgangsintervaller, kortere for høyrisikoforhold, og også å gjennomgå og, der det er relevant, oppdatere denne informasjonen når relevante omstendigheter endrer seg eller relevante fakta blir kjent. Ingenting av det utgjør et mandat for bokstavelig, kontinuerlig teknisk overvåking av enhver kunde til enhver tid. Et firma som behandler endringsdeteksjon som en erstatning for den planlagte gjennomgangen, snarere enn et komplement til den, vil fortsatt misse den gradvise driften som ingen enkelt hendelse helt fanget opp.

Be om det som har endret seg, ikke om alt på nytt

Det finnes en kundevendt versjon av alt dette som er verdt å nevne, om enn kort. En gjennomgang som er helt rutinemessig fra firmaets perspektiv, kan føles fra kundens side som om ingenting har endret seg i det hele tatt – inntil det kommer en e-post med krav om et fullstendig dokumentsett igjen, med kort frist, i et språk som leses mer som en advarsel enn en forespørsel. Det gapet mellom firmaets interne grunn til å spørre og kundens opplevelse av å bli spurt, er der mye unødvendig friksjon kommer fra, og det fortjener bedre enn refleksivt å kjøre hele onboarding-filen på nytt. Der informasjon som allerede er innhentet fortsatt er oppdatert og pålitelig, bør prosessen basere seg på den i stedet for å spørre igjen; der noe genuint nytt er nødvendig, bør forespørselen kunne svare på tre enkle spørsmål – hva som trengs, hvorfor det trengs, og innen når. Det underliggende regulatoriske kravet endrer seg ikke. Om det å oppfylle det oppleves som profesjonelt eller vilkårlig, er utelukkende et spørsmål om prosessdesign.

Den samme hendelsen, håndtert godt, trenger ofte innspill fra mer enn én person – kunden, en styreleder, en reell rettighetshaver, en intern godkjenner – og en veldisignet prosess ber den spesifikke personen om den spesifikke tingen som kreves, snarere enn å involvere alle eller starte filen fra bunnen av. Hvis ett dokument har utløpt, går forespørselen til den som kan fornye det dokumentet, ikke til hele forholdet.

Menneskelig skjønn forblir uunnværlig

Ingenting av dette argumenterer for at løpende KYC bør kjøre på autopilot. Å oppdage en endring, sammenligne den med hva som tidligere var kjent, prioritere den, klassifisere den mot firmaets egendefinerte risikometodologi, rute den til riktig person, sende en påminnelse og bevare en oversikt over hva som skjedde – alt dette er legitimt arbeid for teknologi å gjøre godt. Å bestemme hva en endring faktisk betyr, om den er vesentlig i dette spesifikke forholdet, hvordan man håndterer en genuint uvanlig sak, og om forholdet fortsatt hører hjemme innenfor firmaets risikoappetitt, er det ikke. Disse forblir skjønnsmessige avgjørelser, tatt av mennesker som er ansvarlige for dem. God løpende KYC fjerner ikke det skjønnet. Den sørger for at riktig informasjon kommer foran riktig person raskt nok, og konsekvent nok, til at skjønnet faktisk kan utøves i stedet for å bli utsatt til neste planlagte dato.

Og når en vesentlig endring er vurdert og håndtert, bør firmaet kunne vise, uten stress, hva som endret seg, når det ble kjent, hvordan det ble vurdert, hvem som gjennomgikk det, og hva som fulgte. Den oversikten er en naturlig utgang av å kjøre prosessen godt – ikke en separat oppgave som boltes på etterpå.

Hva dette leder til

Dette er miljøet plattformer som IQON er bygget for: å koble endringsdeteksjon til de gjeldende regulatoriske kravene i jurisdiksjonen firmaet opererer i, til risikometodologien og risikoappetittfirmaet definerer på toppen av den grunnlinja, inn i arbeidsflyten som klassifiseringen impliserer, til personen som må handle, og til dokumentasjonen av hva som ble gjort – ikke å bestemme, på firmaets vegne, hva som anses som akseptabel risiko, og ikke å erstatte skjønnet et regulert forhold fortsatt krever.

Å kjenne sin kunde har aldri egentlig handlet om øyeblikket onboarding ble fullført. Det handler om å opprettholde en oppdatert, ærlig forståelse av forholdet etter hvert som det beveger seg. Den beste overvåkingsmetoden er ikke den som genererer flest varsler. Det er den som hjelper et firma med å gjenkjenne endringene som faktisk betyr noe, respondere på dem konsekvent, involvere de rette menneskene og la skjønnet forbli der det hører hjemme.