Za każdym razem, gdy ktoś otwiera konto, zleca przelew lub wypełnia formularz rejestracyjny, bank po cichu podejmuje ryzyko. Ryzyko polega na założeniu, że osoba po drugiej stronie transakcji nie figuruje na liście sankcji, nie jest osobą zajmującą eksponowane stanowisko polityczne, która ukrywa się w zasięgu wzroku, i nie jest to nazwisko, które pojawi się w audycie nadzorcy za sześć miesięcy.
Przez długi czas banki podejmowały ten zakład partiami — zadania wykonywane w nocy, przeglądy następnego dnia, zespoły ds. zgodności przetwarzające kolejki zgłoszeń. W świecie natychmiastowych płatności i w pełni cyfrowego rejestrowania klientów ten model po cichu przestał działać. Decyzja musi teraz zostać podjęta w momencie, gdy klient kliknie „potwierdź”. A to całkowicie zmienia sposób, w jaki należy budować technologie weryfikacyjne.
Dlaczego ma to dziś większe znaczenie niż kiedyś
Listy sankcyjne to oficjalne bazy danych osób, podmiotów, krajów i grup wskazanych przez rządy i organy międzynarodowe jako zaangażowane w terroryzm, pranie pieniędzy, handel bronią lub naruszenia prawa międzynarodowego. Weryfikacja pod kątem tych list nie jest czymś, co można pominąć. To mechanizm, który chroni bank przed finansowaniem zakazanej działalności, przed pośrednim robieniem interesów z sankcjonowanymi podmiotami oraz przed obudzeniem się z nagłówkiem w mediach, z którego nie da się już wycofać.
Nie ma jednego globalnego zbioru zasad. Banki poruszają się w gąszczu przepisów: rozporządzeń Rady UE i Wspólnej Polityki Zagranicznej i Bezpieczeństwa, rekomendacji FATF, przepisów krajowych poszczególnych państw członkowskich, rezolucji Rady Bezpieczeństwa ONZ oraz – w przypadku każdego, kto obsługuje transakcje w dolarach amerykańskich (USD) – sankcji amerykańskiego OFAC. Obowiązki te nakładają się na siebie, ewoluują i rzadko czekają na kolejny cykl wdrożeniowy systemu w Twoim banku.
Konsekwencje błędów są niezwykle dotkliwe. W Europie kary finansowe mogą sięgać znacznego procentu globalnego obrotu lub przybierać formę ogromnych, stałych grzywien. Poza finansami, brak zgodności (non-compliance) może skutkować odpowiedzialnością karną dla kadry zarządzającej i oficerów compliance, zamrożeniem lub zajęciem aktywów, cofnięciem licencji, ograniczeniem dostępu do usług finansowych oraz stratami wizerunkowymi, które trwają dłużej niż jakakolwiek ugoda. W bankowości produktem jest zaufanie, a narażenie na sankcje uderza w nie bezpośrednio.
Dylemat: Szybkość vs dokładność
Oto pułapka, którą dobrze zna większość zespołów compliance. Zaostrzając kryteria dopasowania, wykrywa się więcej rzeczywistych zagrożeń, ale analitycy toną w morzu fałszywych alarmów – każdym popularnym nazwisku, czy drobnych zbieżnościach. Złagodzenie kryteriów skraca kolejkę, ale zaczniesz przepuszczać ludzi, których miałeś zatrzymać. Tymczasem klient siedzi przed ekranem ładowania i zastanawia się czy Twój bank jest wart tego czekania.
Nowoczesna weryfikacja musi rozwiązać ten dylemat, a nie zamieniać jeden problem na inny. Oznacza to dopasowywanie, które toleruje błędy ortograficzne i transliterację, nie popadając przy tym w nadmiar szumu, a także realizację tego wszystkiego na tyle szybko, by klient tego w ogóle nie zauważył.
Jak w praktyce wygląda „wystarczająco szybkie” działanie
W tym miejscu inżynieria staje się naprawdę ciekawa. Platforma Abee Digital ID (Abee DI) od eSourcing podchodzi do weryfikacji sankcyjnej jak do problemu czasu rzeczywistego od samych podstaw, a nie jak do procesu wsadowego (batchowego) udającego działanie w czasie rzeczywistym.
System oferuje trzy tryby wyszukiwania, dzięki czemu zespoły mogą same regulować balans:
- Dopasowanie dokładne (exact matching) – najszybsze, ale nietolerujące żadnych odstępstw.
- Wąskie dopasowanie rozmyte (narrow fuzzy matching) – ultraszybkie i tolerujące niewielkie różnice w nazwiskach.
- Szerokie dopasowanie rozmyte (broad fuzzy matching) – stworzone z myślą o wychwytywaniu poważniejszych literówek.
Czułość systemu jest konfigurowalna, dzięki czemu ten sam silnik może obsługiwać zarówno płynny proces dla klientów detalicznych (retail), jak i rygorystyczną weryfikację w bankowości korespondencyjnej.
Liczby opisujące wydajność pokazują, że system jest w pełni efektywny w momencie podejmowania decyzji. W realistycznym scenariuszu, podczas weryfikacji na podstawie 11 list obejmujących łącznie około 700 000 rekordów, najbardziej zaawansowany model zwraca wyniki średnio w około 20 milisekund. Skanowanie na żądanie za pośrednictwem punktu końcowego HTTP (endpointu) odpowiada w maksymalnie 350 milisekund – wystarczająco szybko, aby zintegrować je z bieżącym procesem rejestracji lub płatności, bez odczuwalnej dla klienta przerwy.
Trzy sposoby na wdrożenie
Różne procesy bankowe wymagają różnych punktów integracji, a pojedynczy interfejs API rzadko pasuje do wszystkiego:
- Skanowanie na żądanie (On-demand scan). Wywołanie weryfikacji przez endpoint HTTP, możliwe z poziomu dowolnej aplikacji i które zwraca wynik natychmiast. To naturalny wybór dla formularzy rejestracyjnych i ekranów potwierdzenia płatności, gdzie przed zakończeniem akcji wymagana jest synchroniczna odpowiedź „tak/nie”.
- Wtyczka do bramy API opartej na Kongu (Kong-based API gateway plugin). Instalowana bezpośrednio w Kong API Gateway; uruchamia model weryfikacyjny i dołącza wynik do nagłówka żądania (request header), dzięki czemu serwer obsługujący zapytanie może podjąć działanie, bez konieczności wykonywania osobnego połączenia.
- Automatyczne uruchamianie na podstawie zdarzeń (Automatic run with raised events). Tryb domyślny, w którym każde zdarzenie skonfigurowane jako dane wejściowe modelu jest stale skanowane. W przypadku wykrycia dopasowania, na liście generowane jest nowe zdarzenie, które trafia do strumieni wyjściowych w celu dalszego, asynchronicznego przetwarzania. Stanowi to podstawę ciągłego monitorowania transakcji, a nie jednorazowych kontroli.
Zakres odzwierciedlający rzeczywiste obowiązki
Abee DI natychmiast po wdrożeniu obsługuje listy, przed którymi banki rzeczywiście odpowiadają: dane PEP z Open Sanctions, a także listy sankcyjne Organizacji Narodów Zjednoczonych (ONZ), Unii Europejskiej (UE) i Stanów Zjednoczonych (USA) – obejmujące nazwiska osób fizycznych, nazwy podmiotów oraz identyfikatory dokumentów zarówno dla osób fizycznych, jak i podmiotów w wielu wariantach.
Co równie ważne, banki mogą importować własne lub zakupione listy i uruchamiać je równolegle z listami wbudowanymi. Wewnętrzne listy obserwacyjne (watchlists), zbiory danych specyficzne dla branży czy wymagania regionalne – wszystko to składa się w jeden kompleksowy filtr. Ta elastyczność jest ważna, ponieważ nie ma dwóch instytucji o dokładnie takim samym poziomie tolerancji ryzyka czy identycznych obowiązkach regulacyjnych.
Jak to wygląda w praktyce podczas procesu wdrażania
Wyobraźmy sobie klienta rejestrującego się lub składającego zamówienie. Aplikacja wywołuje Abee DI za pomocą jednej z opisanych wyżej metod. Model uruchamia się i oblicza prawdopodobieństwo, że klient jest powiązany z podmiotem objętym sankcjami. Stamtąd wynik może płynąć dalej – na przykład do systemu SAS w celu dalszego przetwarzania – a aplikacja podejmuje decyzję: przepuszcza operację, blokuje ją lub kieruje do człowieka w celu manualnej weryfikacji. Klient doświadcza jednego, płynnego kroku. Obowiązek compliance zostaje spełniony „za kulisami”.
Szersza perspektywa
Weryfikacja sankcyjna rzadko funkcjonuje w izolacji. Jest częścią szerszej strategii przeciwdziałania nadużyciom finansowym i praniu pieniędzy (fraud & AML): ciągłego monitorowania transakcji, analizy behawioralnej, identyfikacji urządzeń (device fingerprinting) oraz skonsolidowanych profili ryzyka, które zestawiają dane klientów z wzorcami zachowań. Abee DI zostało zaprojektowane jako warstwa przechwytywania danych i weryfikacji w kanałach cyfrowych – aplikacjach webowych, mobilnych i hybrydowych – z przetwarzaniem danych zgodnym z RODO oraz interfejsem zarządzania umożliwiającym dostosowywanie reguł i modeli w miarę zmian przepisów.
Ostatnia kwestia zasługuje na szczególne podkreślenie. Przepisy nie stoją w miejscu, tak samo listy sankcyjne. Infrastruktura weryfikacyjna, która nie może się skalować ani dostosowywać bez zakłócania bieżących operacji, staje się obciążeniem w momencie zmiany przepisów, a w tej dziedzinie zmiany występują nieustannie.
Wniosek
Sektor bankowy przekroczył pewien próg. Compliance nie może już być powolnym procesem działającym gdzieś w tle; musi dotrzymać kroku natychmiastowym, cyfrowym i dostępnym 24/7 procesom zakupowym klienta. Instytucje, które zrobią to dobrze, nie będą traktować weryfikacji sankcyjnej jako przeszkody spowalniającej działaniej. Potraktują ją jako coś, co może być jednocześnie rygorystyczne i niewidoczne – wystarczająco dokładne dla regulatora i wystarczająco szybkie, by klient nawet nie wiedział, że do tego doszło.
Dwadzieścia milisekund to nietypowe miejsce na szukanie przewagi konkurencyjnej. Jednak we współczesnej bankowości to właśnie tam można ją znaleźć.