KYC är ingen engångskontroll: vad det egentligen innebär att känna sin kund

En välfungerande onboardingprocess ger en genuint bra bild av en kund: vem kunden är, vem som äger och kontrollerar den, vad den gör, varför den vill ha affärsförbindelsen och vilken risknivå den representerar. Problemet är inte onboardingen. Problemet är vad som händer med den bilden efteråt.

En vanlig arbetsmodell ser ut så här: onboarda kunden, samla in informationen, slutför KYC, godkänn affärsförbindelsen, kom igång med det kommersiella arbetet och återvänd till regelefterlevnaden strax före nästa planerade översyn. Då stämmer företaget av vad som gäller nu mot vad som gällde vid onboardingen och uppdaterar kundakten därefter. Modellen är försvarbar, och den periodiska översynen är inte det som behöver åtgärdas. Det den inte kan se är allt som hände däremellan.

Vad som kan förändras efter onboardingen

Mellan en översyn och nästa kan mycket hinna röra sig. Ägande och kontroll kan förskjutas – en ny aktieägare, ett nytt moderbolag, en förändring längre ned i en ägarkedja som aldrig riktigt visar sig av sig själv. De personer företaget förlitar sig på kan bytas ut: en ny styrelseledamot, en ny företrädare, en verklig huvudman som inte tidigare fanns med i bilden. Bolaget självt kan byta status – omstrukturerat, uppköpt, försatt i konkurs, upplöst. Och verksamheten kan utvecklas på sätt som betyder mer än något av det andra.

Strategy – tidigare MicroStrategy – illustrerar den sista punkten väl, just därför att den enkla versionen av historien är fel: bolaget slutade inte vara ett programvarubolag för företag och blev ett kryptobolag. Det behöll sin ursprungliga verksamhet samtidigt som en storskalig bitcoinreserv kom att prägla stora delar av balansräkningen, finansieringsverksamheten och marknadsidentiteten vid sidan av den. Den juridiska identiteten var i allt väsentligt densamma. Men vad ett företag uppfattade att kunden faktiskt var, och de risköverväganden som följer av det, hade förskjutits betydligt.

Utöver ägande och verksamhet kan geografin förskjutas på sätt som spelar roll – nya jurisdiktioner att verka i, inte bara en ny registrerad adress. Och själva bilden av finansiell brottslighet kan röra sig: en närstående person får PEP-status, en sanktionslista ändras, negativ medierapportering dyker upp som inte fanns tidigare. Oberoende av alla dessa händelser kan informationen företaget förlitar sig på helt enkelt bli inaktuell – ett dokument går ut, ett ägarintyg blir så gammalt att det inte längre går att lita på. Inget av det här är exotiskt. Det är en affärsförbindelses vanliga liv. Företaget kan veta exakt vad som gällde vid onboardingen och exakt vad som gällde vid den senaste översynen. Det företaget ofta inte kan säga med säkerhet är när, däremellan, förbindelsen faktiskt förändrades.

Signal, inte larmvolym

Det vore ett misstag att svara på det här med att försöka upptäcka allt. Ett system som flaggar varje tänkbar förändring med samma vikt löser inte problemet med bristande överblick – det skapar ett annat. Compliance-team som möts av stora mängder odifferentierade larm utvecklar samma försvarsmekanism som människor alltid utvecklar under den sortens belastning: de sorterar snabbt, och den verkligt väsentliga händelsen ligger i kön bredvid ett dussin triviala utan något tillförlitligt sätt att skilja dem åt.

Det hjälper att vara exakt med vad som faktiskt sker när ett övervakningssystem genererar mycket brus. En del av det är helt enkelt felaktiga larm – systemet har fått något om bakfoten. Betydligt mer av det är inte alls felaktigt: det är en verklig händelse hos en verklig kund, och den är samtidigt oväsentlig för företagets förståelse av just den förbindelsen. Att blanda ihop den andra kategorin med falska positiva döljer hur mycket av problemet som egentligen handlar om prioritering snarare än om träffsäkerhet. Målet är inte att upptäcka största möjliga antal förändringar. Målet är att lyfta fram dem som kan förändra företagets bild av förbindelsen, och att göra det tillräckligt tillförlitligt för att människor ska kunna lita på kön i stället för att behöva dubbelkolla den. Bevaka brett. Prioritera klokt. Eskalera selektivt. Låt människor besluta.

Varje relevant förändring förtjänar inte samma respons

När något väl bedöms vara väsentligt nog att uppmärksamma är nästa misstag att anta att väsentlighet betyder en enda fast respons – vanligen en fullständig KYC-översyn. Det gör den sällan. En bekräftad adressändring motiverar kanske inte mer än att uppgifterna uppdateras. En ägarförändring kan kräva riktad kontroll av den nya parten snarare än att hela kundakten öppnas igen. En förändrad verksamhet kan utlösa en ny riskbedömning utan att kräva nya identitetshandlingar från alla som redan är kontrollerade. En enskild uppgift som saknas kanske bara behöver efterfrågas. I vissa fall är det ärliga svaret att en människa behöver titta på förbindelsen och medvetet avgöra om den fortfarande ligger där företaget trodde.

Det här är ingen fastlagd regulatorisk ordning och bör inte behandlas som en sådan. Det är en skala av proportionerliga åtgärder, och att para ihop rätt åtgärd med rätt händelse – i stället för att varje gång falla tillbaka på det tyngsta alternativet, eller det lättaste – är det mesta av vad bra löpande KYC faktiskt består av.

Ett larm är ingen arbetsmodell

Ett larm är bättre än att inte veta att något har hänt alls. Men ett larm i sig talar bara om för företaget att en händelse har inträffat; det säger ingen vad som bör ske härnäst, och en compliance-funktion som måste räkna ut det på nytt varje gång driver egentligen ingen process. Om samma sorts händelse återkommer i kundstocken – ett dokument som gått ut, en ny styrelseledamot, en ägarförändring – ska företaget inte behöva uppfinna från fall till fall vem som granskar den, vilken information som krävs, om kunden behöver kontaktas, vilket internt godkännande som gäller, när den eskaleras och vad som ska sparas som underlag. De svaren hör hemma i ett fördefinierat arbetsflöde knutet till företagets egen policy: relevant händelse, fördefinierat arbetsflöde, rätt ansvarig, granskning, mänskligt beslut, dokumentation. Olika händelser och olika riskprofiler kommer rimligen att gå till olika versioner av den sekvensen – poängen är att själva vägvalet är utformat i förväg, inte improviserat varje gång.

Den skillnaden spelar knappt någon roll när ett företag har en handfull kunder och en erfaren medarbetare som minns hur det förra liknande fallet hanterades. Den spelar stor roll när kundstocken växer, eftersom tillväxt mångdubblar kunder, händelser, deltagare, undantag och översyner på en och samma gång. En process som vilar på institutionellt minne blir stadigt bräckligare precis när kostnaden för att den fallerar blir större. En compliance-process ska fungera för att den är utformad för att fungera, inte för att någon erfaren fortfarande minns vad som ska hända.

Risken avgör hur förbindelsen hanteras

Inget av det här sker i ett vakuum. Regelverket ställer krav på vad som ska bevakas, hur kunduppgifter ska hållas aktuella och när en relevant förändring kräver översyn eller uppdatering. Vad ett enskilt företag faktiskt gör med en enskild förbindelse formas av något annat: den egna riskmetodiken och den egna riskaptiten, tillämpade konsekvent i hela kundstocken. Regelverket fastställer kraven. Företagets egen riskpolicy avgör hur de kraven omsätts i praktiken över kundbasen.

Det är också där konfigurerbar riskklassificering gör nytta, och hierarkin spelar roll. De regulatoriska kraven i den jurisdiktion företaget verkar i utgör grundnivån – den konfigurerar inget företag bort. Ovanpå den grundnivån kan ett företag definiera de faktorer och den metodik som speglar den egna verksamheten, den egna kundbasen och den egna riskaptiten, och få metodiken tillämpad konsekvent i hela kundstocken när omständigheterna förändras. En väsentlig händelse kan påverka underlaget för klassificeringen, den resulterande riskklassen, arbetsflödet som följer eller hur mycket mänsklig granskning som krävs. Företaget är fortsatt ansvarigt för sin metodik och för varje beslut som kommer ur den; teknikens uppgift är att konsekvent tillämpa det som regelverket kräver och det som företaget har definierat ovanpå det.

Varför den periodiska översynen fortfarande spelar roll

Inget av det här gör den periodiska översynen överflödig, och det vore ett misstag att läsa det så. Förändringsbevakning och periodisk översyn löser olika problem inom löpande KYC. Förändringsbevakning är byggd för att identifiera specifika, relevanta händelser mellan planerade översyner. Den periodiska översynen är den medvetna punkt där företaget tar ett steg tillbaka och ställer en bredare fråga om förbindelsen som helhet: är den befintliga riskklassificeringen fortfarande rätt, stämmer företagets bild av förbindelsen fortfarande, är affärsförbindelsens syfte och avsedda art fortfarande det som dokumenterades, är de underliggande uppgifterna fortfarande aktuella, och har förbindelsen glidit i väg på sätt som aldrig gav upphov till en enda tydlig, flaggbar händelse men ändå summerar till något annat. Den ena ersätter inte den andra, och ingen av dem är hela innebörden av ”fortlöpande uppföljning” i lagens mening – den bredare skyldigheten omfattar också granskning av de aktiviteter och transaktioner som utförs under förbindelsens gång, vilket är en annan disciplin än det underhåll av kunduppgifter som den här artikeln handlar om.

Det europeiska regelverket speglar den tvådelade struktur som den här artikeln behandlar – verksamhetsutövare förväntas hålla kunduppgifter aktuella genom fastställda maximala intervall för översyn, kortare för förbindelser med högre risk, och dessutom se över och vid behov uppdatera uppgifterna när relevanta omständigheter förändras eller relevanta fakta blir kända. Inget av det innebär ett krav på bokstavlig, kontinuerlig teknisk övervakning av varje kund i varje ögonblick. Ett företag som behandlar förändringsbevakning som en ersättning för den planerade översynen, i stället för ett komplement till den, kommer ändå att missa den gradvisa glidning som aldrig riktigt fångades av någon enskild händelse.

Fråga efter det som förändrats, inte efter allt igen

Det finns en kundvänd version av allt det här som är värd att nämna, om än kort. En översyn som är fullständigt rutinmässig ur företagets perspektiv kan från kundens sida kännas som att ingenting alls har förändrats – ända tills ett mejl kommer som ber om hela dokumentuppsättningen igen, med kort tidsfrist och i en ton som läser mer som en varning än som en förfrågan. Glappet mellan företagets interna skäl att fråga och kundens upplevelse av att bli tillfrågad är där mycket av den onödiga friktionen uppstår, och det förtjänar bättre än att reflexmässigt köra om hela onboardingakten. Där uppgifter som redan finns fortfarande är aktuella och tillförlitliga bör processen använda dem i stället för att fråga igen; där något genuint nytt behövs bör förfrågan kunna besvara tre enkla frågor – vad som behövs, varför det behövs och när det ska vara inne. Det underliggande regelkravet ändras inte. Om det känns professionellt eller godtyckligt att uppfylla det är helt och hållet en fråga om processdesign.

Samma händelse, väl hanterad, kräver ofta bidrag från mer än en person – kunden, en styrelseledamot, en verklig huvudman, en intern godkännare – och en genomtänkt process ber den specifika personen om just det som behövs i stället för att dra in alla eller börja om med akten från början. Har ett dokument gått ut går förfrågan till den som kan förnya just det dokumentet, inte till hela förbindelsen.

Mänskligt omdöme är fortsatt avgörande

Inget av det här hävdar att löpande KYC ska gå på autopilot. Att upptäcka en förändring, jämföra den mot det som var känt tidigare, prioritera den, klassificera den mot företagets egen definierade riskmetodik, styra den till rätt person, skicka en påminnelse och spara dokumentation om vad som hände – allt det är arbete som tekniken med rätta kan sköta väl. Att avgöra vad en förändring faktiskt betyder, om den är väsentlig i just den här förbindelsen, hur ett genuint ovanligt fall ska hanteras och om förbindelsen fortfarande ryms inom företagets riskaptit är det inte. Det förblir bedömningar, gjorda av människor som är ansvariga för dem. Bra löpande KYC tar inte bort det omdömet. Den får rätt information framför rätt person tillräckligt snabbt, och tillräckligt konsekvent, för att omdömet faktiskt ska utövas i stället för att skjutas upp till nästa inplanerade datum.

Och när en väsentlig förändring har bedömts och åtgärdats ska företaget kunna visa, utan brandkårsutryckning, vad som förändrades, när det blev känt, hur det bedömdes, vem som granskade det och vad som följde. Den dokumentationen är ett naturligt resultat av att processen körs väl – inte en separat uppgift som fästs på i efterhand.

Vart det här leder

Det är den här miljön plattformar som IQON är byggda för: att koppla förändringsbevakning till de regulatoriska kraven i den jurisdiktion företaget verkar i, till den riskmetodik och riskaptit företaget definierar ovanpå den grundnivån, vidare in i det arbetsflöde klassificeringen innebär, till personen som behöver agera och till dokumentationen av vad som gjordes – inte att på företagets vägnar avgöra vad som räknas som acceptabel risk, och inte att ersätta det omdöme en reglerad affärsförbindelse fortfarande kräver.

Att känna sin kund handlade aldrig egentligen om ögonblicket då onboardingen var klar. Det handlar om att upprätthålla en aktuell och ärlig bild av förbindelsen medan den rör sig. Den bästa bevakningen är inte den som genererar flest larm. Det är den som hjälper ett företag att känna igen de förändringar som faktiskt betyder något, hantera dem konsekvent, involvera rätt personer och lämna omdömet där det hör hemma.