Spør en AML-analytiker hva som tar mest tid i hverdagen, og svaret er sjelden de mistenkelige sakene. Det er alle de andre. Alarmene som viser seg å være helt vanlige lønnsutbetalinger, faste overføringer til familie eller en bedriftskunde som gjør akkurat det den alltid har gjort. Når køen vokser raskere enn den kan behandles, blir det vanskeligere å se de sakene som faktisk betyr noe.
Den vanlige reaksjonen er å lete etter et bedre verktøy. Men i de fleste tilfeller er det ikke verktøyet som er problemet.
Hvorfor de falske alarmene hoper seg opp
Transaksjonsovervåking handler i bunn og grunn om å skille det uvanlige fra det normale. Det forutsetter at systemet vet hva som er normalt for hver enkelt kunde. Når kundedataene er mangelfulle, må reglene falle tilbake på generelle terskler som gjelder alle – og da blir en stor overføring fra en næringskunde med høy omsetning vurdert på samme måte som en tilsvarende overføring fra en student.
I tillegg har regelsett en tendens til å vokse over tid. En ny typologi, et funn fra tilsyn eller en intern hendelse fører til en ny regel. Sjelden fjernes eller justeres de gamle. Resultatet er overlappende regler, terskler ingen husker begrunnelsen for, og alarmer som i praksis sier det samme flere ganger.
Datafundamentet kommer først
God overvåking hviler på tre ting. Den første er kundedata: KYC-informasjon som faktisk er oppdatert, med forventet aktivitet, bransje, eierstruktur og risikoklassifisering. Den andre er transaksjonsdata som er komplette og konsistente på tvers av kanaler, med motpart, formål og referanser intakt. Den tredje er entitetsoppløsning – evnen til å se at kunden i kortsystemet, i nettbanken og i betalingsløsningen er den samme personen eller virksomheten, og hvem den er knyttet til.
Uten dette blir selv et avansert overvåkingssystem blindt på det ene øyet. Mye av jobben med å redusere falske alarmer ligger derfor ikke i overvåkingen i det hele tatt, men i datakvaliteten oppstrøms.
Regler, modeller og forklarbarhet
Det er lett å tro at maskinlæring løser problemet. Modeller kan være gode til å fange mønstre regler ikke ser, og til å prioritere alarmer etter sannsynlig relevans. Men i AML er det ikke nok at noe virker – det må kunne forklares. Etterforskeren må forstå hvorfor en transaksjon ble flagget for å kunne vurdere den, og virksomheten må kunne dokumentere overfor Finanstilsynet at overvåkingen er risikobasert og treffer de risikoene den skal.
I praksis fungerer det ofte best å kombinere. Tydelige regler for de kjente scenarioene, og modeller som støtte for prioritering og for å avdekke det reglene går glipp av – bygget slik at hvert utslag kan spores tilbake til konkrete faktorer.
Tuning og tilbakekoblingen fra saksbehandlingen
Saksbehandlingen er den mest verdifulle datakilden et overvåkingssystem har, og den brukes altfor sjelden. Hver lukket alarm inneholder en vurdering: var dette relevant eller ikke, og hvorfor? Når utfallet registreres strukturert, kan man måle hvilke regler som faktisk leder til rapporterte saker, og hvilke som bare genererer støy.
Det gjør tuning til en løpende, målbar prosess i stedet for en årlig gjennomgang basert på magefølelse. Terskler kan justeres per kundesegment, overflødige regler kan fases ut, og effekten av hver endring kan følges over tid.
Dokumentasjon som tåler et tilsyn
Hvitvaskingsloven og EUs AML-regelverk stiller krav om at tiltakene skal være risikobaserte og at vurderingene skal kunne dokumenteres. Det betyr at hver regel bør ha en begrunnelse, hver terskelendring en historikk, og hver alarm et sporbart løp fra transaksjon til beslutning. Dette er ikke bare en plikt – det er også det som gjør det mulig å forbedre systemet uten å miste kontrollen.
En pragmatisk vei videre
Start med å måle. Hvilke regler gir flest alarmer, og hvilke av dem fører noen gang til noe? Se deretter på kundedataene bak de mest støyende reglene – ofte er det der forbedringspotensialet ligger. Sørg for at saksbehandlingen registrerer utfall på en måte som kan brukes, og bygg tuning inn som en fast rutine. Nye modeller og verktøy kan gi mye, men de gir mest når fundamentet under dem er på plass.
Hos Adventis kombinerer vi domenekunnskap om betalinger, AML og regulatorisk rapportering med utvikling av dataplattformer og integrasjoner. Står dere med et overvåkingsoppsett som skaper mer arbeid enn innsikt, tar vi gjerne en prat om hvor det er lurt å begynne.