Naturalna reakcja na ryzyko: zrobić więcej
Instytucje finansowe działają w środowisku, w którym ryzyko regulacyjne jest stale obecne. Nie jest abstrakcyjne ani odległe. Może przybrać postać decyzji nadzorczej, kary administracyjnej, wystąpienia pokontrolnego, zarzutu niewłaściwej organizacji procesu, reklamacji klientów, pozwów, zainteresowania mediów, reakcji organów ścigania albo utraty zaufania do produktu lub instytucji. Może wynikać z naruszenia przepisu, ale również z błędnej oceny oczekiwań nadzorczych, niedostatecznego udokumentowania decyzji albo z tego, że po czasie ktoś uzna, iż instytucja mogła zrobić więcej. To ostatnie ma szczególne znaczenie. W sektorze finansowym wiele ocen jest dokonywanych po fakcie: po incydencie, kontroli, ujawnieniu nadużycia, sporze sądowym albo materializacji ryzyka. Wtedy pojawiają się pytania, które z perspektywy wiedzy uzyskanej później wydają się oczywiste. Czy instytucja zebrała wystarczające dane? Czy przekazała klientowi dostateczne ostrzeżenia? Czy powinna była wcześniej zablokować transakcję? Czy właściwie rozpoznała klienta? Czy procedura była dostatecznie szczegółowa? Czy zarząd otrzymał pełną informację? Czy kontrola wewnętrzna mogła wykryć problem wcześniej?
W takim otoczeniu naturalną reakcją organizacji jest dokładanie kolejnych zabezpieczeń. Jeżeli pojawia się wątpliwość dotycząca klienta, można zażądać dodatkowego dokumentu. Jeżeli klient może nie zrozumieć produktu, można odebrać kolejne oświadczenie. Jeżeli organ pyta o sposób działania procesu, można rozbudować procedurę. Jeżeli istnieje ryzyko fraudu, można wprowadzić dodatkową blokadę. Jeżeli decyzja może zostać zakwestionowana, można dodać kolejny poziom akceptacji. Jeżeli dane mogą kiedyś okazać się potrzebne, można przechowywać je dłużej. Jeżeli istnieje obawa przed zarzutem zbyt późnej reakcji, można reagować szybciej, szerzej i bardziej automatycznie.
Na pierwszy rzut oka takie podejście wydaje się racjonalne. Więcej procedur, dokumentacji, ostrzeżeń, kontroli i akceptacji powinno przecież oznaczać większe bezpieczeństwo. Instytucja może później pokazać, że działała ostrożnie, nie zignorowała ryzyka, wprowadziła mechanizmy kontrolne, poinformowała klienta, zatwierdziła decyzję i pozostawiła w systemie ślad umożliwiający odtworzenie procesu. Problem polega na tym, że w sektorze finansowym „więcej” nie zawsze oznacza „lepiej”. Więcej danych może poprawić wiedzę o kliencie, ale jednocześnie zwiększyć ryzyko prywatnościowe, koszty retencji i odpowiedzialność za bezpieczeństwo informacji. Więcej ostrzeżeń może formalnie wzmacniać pozycję instytucji, ale osłabiać realną zrozumiałość komunikacji, jeżeli klient otrzymuje kolejne strony formuł, których nie czyta albo nie rozumie. Więcej blokad może ograniczyć liczbę fraudów, ale zwiększyć liczbę sporów, reklamacji i poczucie arbitralności po stronie klientów. Więcej akceptacji może tworzyć wrażenie kontroli, a jednocześnie rozmywać odpowiedzialność. Więcej procedur może porządkować działanie organizacji, ale może też zastępować rzeczywiste rozumienie ryzyka formalnym odhaczaniem kolejnych czynności.
Nie chodzi więc o prostą krytykę ostrożności. W sektorze finansowym ostrożność jest potrzebna. Instytucje zarządzają pieniędzmi klientów, dostępem do usług płatniczych, produktami długoterminowymi, informacją wrażliwą, ryzykiem prania pieniędzy, cyberbezpieczeństwem, fraudami, technologią i zaufaniem do rynku. Procedury, kontrole, dokumentacja i ślad audytowy są niezbędnymi elementami odpowiedzialnego zarządzania. Pytanie brzmi jednak inaczej: kiedy ostrożność przestaje być zarządzaniem ryzykiem, a zaczyna być obroną przed przyszłym zarzutem?
To jest istota defensywnego compliance. Organizacja nie zawsze robi więcej dlatego, że więcej jest potrzebne do właściwego zarządzania ryzykiem. Czasem robi więcej dlatego, że więcej łatwiej później pokazać. Łatwiej wykazać, że odebrano kolejne oświadczenie, niż że komunikacja była rzeczywiście zrozumiała. Łatwiej udowodnić, że zebrano dodatkowy dokument, niż obronić decyzję, że nie był potrzebny. Łatwiej pokazać, że transakcję zablokowano, niż uzasadnić decyzję o jej przepuszczeniu. Łatwiej dodać kolejny etap akceptacji, niż zaufać dobrze zaprojektowanemu procesowi i jasno przypisanej odpowiedzialności.
W ten sposób compliance może zmienić swój charakter. Z funkcji, która pomaga organizacji działać zgodnie z prawem i zarządzać ryzykiem, staje się funkcją zabezpieczania organizacji przed przyszłą krytyką. Nie chodzi już wyłącznie o to, aby proces był adekwatny, skuteczny i proporcjonalny. Chodzi również o to, aby w razie kontroli, sporu albo incydentu można było pokazać, że instytucja coś zrobiła — a najlepiej, że zrobiła bardzo dużo. Takie podejście jest zrozumiałe. Instytucje uczą się na podstawie kontroli, decyzji organów, kar, sporów, reklamacji i medialnych kryzysów. Jeżeli po każdym problemie pojawia się pytanie, czego zabrakło, organizacja zaczyna projektować procesy tak, aby odpowiedź brzmiała: niczego. Jeżeli po każdym incydencie analizuje się, jak można było zareagować wcześniej, organizacja zaczyna reagować szerzej i szybciej. Jeżeli po każdym sporze bada się, czy klient został wystarczająco poinformowany, organizacja dokłada kolejne komunikaty, ostrzeżenia i oświadczenia.
W pewnym momencie powstaje jednak pytanie, czy taka organizacja rzeczywiście lepiej zarządza ryzykiem, czy tylko produkuje więcej dowodów ostrożności. Różnica jest zasadnicza. Dobre compliance pomaga instytucji zrozumieć ryzyko i dobrać właściwe środki. Defensywne compliance koncentruje się na tym, aby w przyszłości dało się wykazać, że zastosowano możliwie wiele środków. Dobre compliance pyta, jaki jest cel obowiązku i jak go osiągnąć bez tworzenia nieproporcjonalnych skutków ubocznych. Defensywne compliance pyta, co jeszcze można dodać, aby ograniczyć możliwość zarzutu.
Nie jest to więc problem liczby dokumentów ani stylu pisania procedur. To problem sposobu rozumienia odpowiedzialności. Czy celem instytucji jest realne zarządzanie ryzykiem, czy przede wszystkim uniknięcie zarzutu, że nie zrobiła wszystkiego, co potencjalnie mogła zrobić? Czy klient ma rzeczywiście rozumieć produkt, czy jedynie potwierdzić, że otrzymał informacje? Czy organizacja ma umieć podejmować decyzje, czy tylko dokładać kolejne poziomy akceptacji?
Nie można odpowiedzialnie powiedzieć instytucjom: zbierajcie mniej danych, ostrzegajcie mniej, blokujcie mniej i ufajcie intuicji. Równie niepoważne byłoby jednak uznanie, że każda dodatkowa warstwa formalizmu poprawia bezpieczeństwo. Czasem poprawia. Czasem tylko przenosi ryzyko w inne miejsce. A czasem tworzy nowe ryzyko, którego organizacja nie widzi, bo koncentruje się na produkowaniu kolejnych dowodów własnej ostrożności. Dlatego nie wystarczy pytać, czy instytucja finansowa mogła zrobić więcej. Trzeba również pytać, czy więcej było potrzebne, adekwatne i skuteczne. Czy nie osłabiło zrozumiałości procesu. Czy nie zwiększyło nadmiernie ingerencji w dane. Czy nie ograniczyło dostępu do usług. Czy nie wytworzyło automatyzmu decyzji. Czy nie rozmyło odpowiedzialności. Czy nie zastąpiło realnego zarządzania ryzykiem produkcją formalnych śladów. Bo w sektorze finansowym więcej compliance nie zawsze oznacza mniej ryzyka. Czasem oznacza po prostu więcej compliance.
Defensywne compliance jako strategia organizacyjna
Pojęcie defensywnego compliance nie opisuje ustawowo zdefiniowanego modelu działania. Jest kategorią analityczną, która pozwala uchwycić sytuację, w której system zgodności jest projektowany przede wszystkim z myślą o przyszłej obronie organizacji przed zarzutem niewystarczającej ostrożności. Defensywne compliance nie polega więc na lekceważeniu prawa ani na świadomym działaniu na granicy dopuszczalności. Przeciwnie — bardzo często wyrasta z nadmiaru ostrożności. To właśnie dlatego bywa trudne do rozpoznania. Nie wygląda jak oczywista słabość organizacyjna. Organizacja ma rozbudowane procedury, liczne kontrole, wielostopniowe akceptacje, obszerne dokumentacje, dodatkowe oświadczenia, szczegółowe checklisty i bardzo ostrożne ścieżki decyzyjne. Z zewnątrz może to wyglądać jak dojrzały system zgodności. Formalna rozbudowa systemu nie zawsze oznacza jednak lepsze zarządzanie ryzykiem.
Defensywne compliance zaczyna się wtedy, gdy organizacja projektuje proces nie przede wszystkim z myślą o jego celu, skuteczności i proporcjonalności, ale z myślą o przyszłej kontroli, sporze albo incydencie. Kluczowe pytanie przestaje brzmieć: jakie rozwiązanie najlepiej zarządza tym ryzykiem? Zaczyna brzmieć: co musimy mieć w aktach, systemie lub procedurze, aby po czasie nikt nie powiedział, że zabrakło nam ostrożności? Ta zmiana jest subtelna, ale fundamentalna. W pierwszym modelu dokumentacja jest konsekwencją dobrego procesu. W drugim proces zaczyna być projektowany wokół dokumentacji. W pierwszym oświadczenie klienta ma wspierać jego świadomą decyzję. W drugim ma przede wszystkim wykazać, że klient coś potwierdził. W pierwszym procedura prowadzi pracownika przez ocenę ryzyka. W drugim ma zabezpieczyć organizację przed zarzutem, że nie przewidziała konkretnego wariantu. W pierwszym kontrola wychwytuje słabości procesu. W drugim tworzy ślad, że proces był kontrolowany.
Organizacja zaczyna wówczas preferować rozwiązania widoczne, mierzalne i łatwe do pokazania. Dodatkowy dokument jest widoczny. Kolejne oświadczenie jest widoczne. Dodatkowa akceptacja, komunikat i blokada pozostawiają wyraźny ślad. Znacznie mniej widoczna jest decyzja, że instytucja świadomie uprościła komunikację, ograniczyła zakres danych, nie zablokowała transakcji albo nie zażądała kolejnego dokumentu, ponieważ uznała takie działanie za nieproporcjonalne. Dlatego defensywne compliance premiuje działanie „na plus”, a nie działanie „w sam raz”. Dodać jest łatwiej niż nie dodać. Zablokować jest łatwiej niż przepuścić. Zebrać więcej jest łatwiej niż uzasadnić, że mniej wystarczy. Wydłużyć procedurę jest łatwiej niż ją uprościć. Wprowadzić kolejną akceptację jest łatwiej niż jasno przypisać odpowiedzialność konkretnej osobie lub funkcji.
W tym sensie defensywne compliance jest blisko związane z lękiem organizacyjnym: przed sankcją, kontrolą, reklamacją, pozwem, decyzją organu albo kryzysem reputacyjnym. Im większa niepewność, tym silniejsza pokusa budowania procesów w sposób minimalizujący nie tylko ryzyko merytoryczne, lecz również ryzyko krytyki. Defensywne compliance rzadko pojawia się w wyniku jednej decyzji. Narasta warstwami. Jedna procedura po kontroli. Jeden formularz po reklamacji. Jedno oświadczenie po sporze. Jedna blokada po incydencie. Jeden raport po uwadze audytu. Jedno dodatkowe zatwierdzenie po błędzie pracownika. Każdy element można racjonalnie uzasadnić w chwili jego dodawania. Problem staje się widoczny dopiero po czasie, gdy cały proces jest coraz cięższy, wolniejszy, bardziej kosztowny i trudniejszy do zmiany.
Największe ryzyko polega na tym, że taki system może tworzyć pozór dojrzałości. Skoro istnieje procedura, to znaczy, że ryzyko jest zarządzane. Skoro klient podpisał oświadczenie, to znaczy, że zrozumiał. Skoro dane zostały zebrane, to znaczy, że instytucja zna klienta. Skoro transakcja została zablokowana, to znaczy, że system działa. Skoro decyzję zaakceptowało kilka osób, to znaczy, że została właściwie skontrolowana. Każde z tych zdań może być prawdziwe. Może jednak być również skrótem myślowym. Procedura nie gwarantuje rozumienia ryzyka. Podpis klienta nie gwarantuje zrozumienia produktu. Zebrane dane nie gwarantują trafnej oceny relacji. Blokada nie zawsze oznacza proporcjonalną reakcję. Wielostopniowa akceptacja nie zawsze oznacza realną odpowiedzialność.
W defensywnym compliance szczególnie łatwo pomylić dowód wykonania czynności z dowodem jakości decyzji. To, że czynność została wykonana, nie oznacza jeszcze, że była potrzebna. To, że klient otrzymał informację, nie oznacza, że była zrozumiała. To, że proces był długi, nie oznacza, że był bezpieczny. To, że decyzję zaakceptowało wiele osób, nie oznacza, że ktokolwiek naprawdę wziął za nią odpowiedzialność.
Taki model zmienia także relację między pierwszą, drugą i trzecią linią. Biznes i operacje mogą zacząć traktować compliance jako źródło formalnych warunków, które trzeba spełnić, aby „przejść proces”. Druga linia może projektować zabezpieczenia przede wszystkim tak, aby były łatwe do audytowania i obrony. Trzecia linia może koncentrować się na tym, czy wszystkie czynności zostały wykonane. Wszyscy działają racjonalnie w ramach swoich ról, ale organizacja jako całość może tracić z pola widzenia pytanie podstawowe: czy proces rzeczywiście zarządza ryzykiem w sposób adekwatny? Defensywne compliance może też rozpraszać odpowiedzialność. Kolejne akceptacje, komitety, checklisty i potwierdzenia sprawiają, że coraz trudniej wskazać, kto naprawdę podjął decyzję. Proces wydaje się bezpieczniejszy, ponieważ uczestniczy w nim więcej osób. W praktyce może być mniej bezpieczny, jeżeli każda z nich widzi tylko własny fragment i zakłada, że całość kontroluje ktoś inny.
Podobny mechanizm działa w relacji z klientem. Klient ma potwierdzić, że został poinformowany. Ma oświadczyć, że rozumie ryzyko. Ma dostarczyć dane, wyjaśnić transakcję, zaakceptować dokumenty i przejść przez ścieżkę ostrzeżeń. Wiele z tych czynności jest potrzebnych. Jeżeli jednak ich główną funkcją staje się zabezpieczenie instytucji, a nie realna komunikacja, formalna ochrona organizacji zaczyna oddalać się od rzeczywistej ochrony klienta.
Defensywne compliance może również utrwalać złe procesy. Jeżeli organizacja reaguje na każdy problem przez dodanie kolejnej warstwy formalnej, nie musi dotykać przyczyny. Zamiast uprościć produkt, dodaje ostrzeżenie. Zamiast poprawić model sprzedaży, dodaje oświadczenie. Zamiast zmienić logikę monitoringu, dodaje wyjątek i kolejny poziom akceptacji. Formalizm może wtedy maskować brak głębszej zmiany. Nie oznacza to, że każda dodatkowa kontrola, procedura lub dokument jest przejawem defensywnego compliance. W sektorze finansowym wiele takich mechanizmów jest koniecznych. Granica przebiega gdzie indziej. Defensywne compliance pojawia się wtedy, gdy organizacja przestaje pytać o adekwatność dodatkowego środka, a sam fakt jego dodania staje się argumentem za jego słusznością.
Zjawisko to może z czasem przekształcać się w standard rynkowy. Jeżeli większość podmiotów zbiera określone dane, trudniej jednemu z nich bronić decyzji, że ich nie zbiera. Jeżeli większość dodaje określone oświadczenie, jego brak zaczyna wyglądać jak luka. Jeżeli większość blokuje określony typ transakcji, indywidualna ocena zaczyna wydawać się ryzykowna. Ostrożność jednych instytucji podnosi więc oczekiwania wobec całego rynku, nawet jeżeli pierwotnie nie wynikała z jednoznacznej potrzeby regulacyjnej.
Defensywne compliance jest zatem nie tylko problemem wewnętrznym instytucji. Jest również produktem środowiska, w którym organizacje są rozliczane. Jeżeli praktyka kontrolna premiuje przede wszystkim widoczne ślady formalnej ostrożności, rynek będzie je produkował. Jeżeli po incydencie głównym pytaniem staje się, co jeszcze można było zrobić, instytucje nauczą się robić coraz więcej. Jeżeli decyzja proporcjonalna jest oceniana przez pryzmat niekorzystnego skutku, a nie informacji dostępnych w chwili jej podejmowania, formalizm będzie bezpieczniejszym wyborem. W tym sensie defensywne compliance jest racjonalną, lecz nie zawsze dobrą odpowiedzią na niepewność. Zmniejsza lęk przed zarzutem i zwiększa liczbę dowodów działania. Może jednak oddalać organizację od pytania o cel obowiązku, jakość procesu i skutki uboczne własnej ostrożności. Dlatego należy je analizować nie jako pojedynczy błąd formalny, ale jako sposób myślenia. Sposób, w którym zdolność do późniejszej obrony zaczyna dominować nad jakością samego procesu.
Gdzie nadmiar compliance tworzy nowe ryzyka
Defensywne compliance najłatwiej dostrzec tam, gdzie organizacja odpowiada na ryzyko przez dodanie kolejnej warstwy formalnej. Nie każda taka warstwa jest zbędna. Problem zaczyna się wtedy, gdy sama jej obecność zostaje utożsamiona ze zwiększeniem bezpieczeństwa. Wtedy compliance, zamiast wyłącznie ograniczać ryzyko, zaczyna tworzyć ryzyka nowe. Nie zawsze mają one postać bezpośredniego naruszenia przepisu. Częściej narastają w procesach: w relacji z klientem, przepływie danych, czasie obsługi, zrozumiałości komunikacji, liczbie reklamacji, automatyzmie decyzji i kosztach operacyjnych.
Dobrym przykładem jest onboarding klienta. To proces, w którym spotykają się sprzedaż, AML, ochrona danych, przeciwdziałanie fraudom i bezpieczeństwo. Instytucja musi identyfikować klienta, weryfikować dane, rozpoznawać cel i charakter relacji, oceniać ryzyko oraz dokumentować wykonane czynności. W części przypadków konieczna będzie pogłębiona analiza. Defensywny charakter procesu ujawnia się wtedy, gdy wyjątek staje się standardem. Instytucja przestaje różnicować zakres wymagań według ryzyka i zaczyna zbierać więcej od wszystkich. Pytania i dokumenty nie wynikają już z konkretnej potrzeby oceny, lecz z obawy, że po czasie ktoś zapyta, dlaczego ich nie zażądano. W efekcie onboarding staje się ciężki, nieprzejrzysty i nadmiernie ingerujący. Instytucja ma więcej danych, ale niekoniecznie lepszą wiedzę. Ma więcej dokumentów, ale nie zawsze trafniejszą ocenę. Jednocześnie rośnie ryzyko prywatnościowe, retencyjne, operacyjne oraz ryzyko ograniczenia dostępu do usług.
Podobny mechanizm działa w komunikacji z klientem. Obowiązki informacyjne są niezbędne. Klient powinien rozumieć produkt, koszty, ryzyka, ograniczenia i skutki decyzji. Jednak więcej informacji nie zawsze oznacza lepsze poinformowanie. Defensywna reakcja często polega na dokładaniu kolejnych klauzul, tabel, zgód, ostrzeżeń i oświadczeń. Instytucja chce pokazać, że klient został poinformowany o wszystkim. Formalnie poziom zabezpieczenia organizacji rośnie. Funkcjonalnie może spaść zrozumiałość. Im więcej komunikatów, tym większe ryzyko, że klient przestanie odróżniać informacje kluczowe od formalnego tła. Oświadczenie o zapoznaniu się z ryzykiem nie musi oznaczać jego zrozumienia. Akceptacja dokumentu nie musi oznaczać świadomej decyzji. Checkbox jest dowodem przejścia przez etap procesu, ale niekoniecznie dowodem, że komunikacja spełniła swój cel.
Szczególnie podatnym obszarem jest AML. Instytucja nie może utrzymywać relacji, których nie rozumie, nie potrafi monitorować albo które generują nieakceptowalne ryzyko. Powinna znać klienta, cel relacji, źródła środków i charakter transakcji. Powinna reagować na nietypowe zachowania, a w określonych sytuacjach odmówić nawiązania lub kontynuowania relacji. Jeżeli jednak organizacja obawia się zarzutu zbyt słabej reakcji, może zacząć działać zbyt szeroko. Może automatycznie podwyższać profile ryzyka, wymagać rozbudowanych dokumentów od całych kategorii klientów albo kończyć relacje, które są trudniejsze do obsługi, choć niekoniecznie niedopuszczalne. Wtedy ostrożność zaczyna przechodzić w de-risking. Instytucja ogranicza własne ryzyko, ale przenosi koszt na klientów i rynek. Klienci mniej standardowi albo wymagający większej pracy analitycznej są odsuwani od usług nie dlatego, że każda relacja z nimi jest nieakceptowalna, lecz dlatego, że organizacja nie chce ponosić kosztu proporcjonalnej oceny.
Podobne napięcie widać w systemach antyfraudowych. Fraud trzeba zatrzymać szybko, często zanim wszystkie okoliczności zostaną wyjaśnione. Defensywna logika podpowiada więc, że lepiej zablokować za dużo niż za mało. Z perspektywy ograniczania strat to zrozumiałe. Z perspektywy klienta skutki mogą być jednak poważne: brak możliwości zapłaty, utrata okazji biznesowej, brak dostępu do środków, konieczność tłumaczenia legalnej aktywności. Jeżeli instytucja nie potrafi szybko i zrozumiale wyjaśnić swojego działania, klient widzi nie system bezpieczeństwa, lecz arbitralną władzę nad jego pieniędzmi. Zbyt szerokie reguły tworzą również ryzyko operacyjne. Im więcej blokad, tym więcej reklamacji, eskalacji i kontaktów z obsługą. Im więcej alertów, tym większe ryzyko, że analitycy przestaną odróżniać sprawy istotne od fałszywie pozytywnych sygnałów. Więcej alertów nie musi więc oznaczać lepszego bezpieczeństwa. Może oznaczać gorszą zdolność wykrywania rzeczywistego ryzyka.
Kolejnym obszarem jest automatyzacja. Instytucje automatyzują ocenę ryzyka klienta, scoring, monitoring transakcji, wykrywanie anomalii, komunikację i obsługę spraw. Pozwala to działać szybciej, spójniej i na większą skalę. Automatyzacja może jednak stać się sposobem ucieczki od odpowiedzialności decyzyjnej. Skoro system wskazał ryzyko, człowiek nie musi w pełni odpowiadać za ocenę. Skoro model przypisał klientowi określony profil, organizacja może powołać się na wynik automatu. Problem pojawia się wtedy, gdy nikt nie potrafi wyjaśnić, dlaczego system zadziałał, jakie dane uwzględnił, jakie ma ograniczenia i kiedy człowiek powinien zakwestionować wynik. Taka automatyzacja zwiększa ryzyko nieprzejrzystości. Dla klienta decyzja staje się niezrozumiała. Dla pracownika — trudna do zmiany. Dla audytu — możliwa do sprawdzenia przede wszystkim formalnie. Automatyzacja poprawia bezpieczeństwo tylko wtedy, gdy pozostaje kontrolowalna.
Defensywny charakter może mieć także dokumentacja. Ślad audytowy jest w sektorze finansowym niezbędny. Instytucja musi umieć wykazać, co zrobiła, przez kogo, kiedy i na jakiej podstawie. Dokumentacja może jednak stać się substytutem myślenia. Procedura może być kompletna, ale martwa. Checklista może być wypełniona, ale bezrefleksyjnie. Raport może być obszerny, ale nie prowadzić do żadnej decyzji. Im bardziej złożona organizacja, tym łatwiej o przekonanie, że skoro coś zostało opisane lub zaraportowane, to zostało zarządzone. Tymczasem raportowanie ryzyka nie jest jeszcze zarządzaniem ryzykiem. Komitet nie jest jeszcze decyzją. Akceptacja nie jest jeszcze odpowiedzialnością. Ślad audytowy nie jest jeszcze dowodem adekwatności środka.
Podobnie jest z reklamacjami i sporami. Organizacja może traktować reklamację przede wszystkim jako ryzyko prawne do zamknięcia. Koncentruje się wtedy na tym, czy przekazała dokumenty, odebrała zgody, zastosowała procedurę i dotrzymała terminu. To ważne, ale niewystarczające. Reklamacje pokazują, jak proces działa w praktyce. Czy klient rozumie komunikaty. Czy blokady są wyjaśniane. Czy żądania dokumentów są proporcjonalne. Czy odmowa usługi jest zrozumiała. Jeżeli organizacja zamyka reklamację przez wykazanie formalnej poprawności, może przegapić sygnał, że sam proces jest wadliwy.
Nadmiar compliance wpływa także na pracowników pierwszej linii. Im bardziej defensywny staje się system zgodności, tym częściej pracownik otrzymuje instrukcję, aby nie oceniać, lecz wykonywać: zadać pytanie, zebrać dokument, odczytać komunikat, zastosować blokadę, przekazać sprawę dalej. Taki model może ograniczać błędy, ale również osłabiać jakość relacji z klientem. Pracownik, który nie rozumie celu obowiązku, nie potrafi go wyjaśnić. Klient słyszy wtedy nie odpowiedź, lecz formułę. Każda dodatkowa warstwa formalna zajmuje też czas. Dokument trzeba pozyskać, oświadczenie odebrać, akceptację uzyskać, alert obsłużyć, kontrolę wykonać. Zbyt wolny onboarding może zniechęcać klientów. Zbyt wolna analiza alertów może opóźniać wykrycie realnego fraudu. Zbyt ciężki proces może prowadzić do traktowania formalnych czynności jako rytuału albo do ich nieformalnego obchodzenia.
Wreszcie defensywne compliance może dawać zarządowi fałszywe poczucie bezpieczeństwa. Zarząd otrzymuje informacje o liczbie alertów, reklamacji, kontroli, zebranych dokumentów i wykonanych czynności. Może jednak nie wiedzieć, czy klienci rozumieją produkt, czy blokady są proporcjonalne, czy dane są rzeczywiście potrzebne, a procedury pomagają pracownikom podejmować dobre decyzje.
Wszystkie te przykłady pokazują jedną rzecz: nadmiar compliance nie jest neutralny. Każda dodatkowa warstwa ostrożności ma koszt. Czasem uzasadniony, czasem konieczny, ale zawsze realny. Koszt może pojawić się w innym miejscu niż korzyść. AML zyskuje więcej informacji, ale ochrona danych i klient tracą. Antyfraud zyskuje więcej blokad, ale obsługa klienta i operacje ponoszą koszty. Audyt zyskuje więcej śladów, ale odpowiedzialność decyzyjna może się rozmywać. Podstawowym błędem defensywnego compliance jest nieuwzględnianie skutków ubocznych własnej ostrożności. Organizacja widzi ryzyko, przed którym chce się zabezpieczyć, ale nie zawsze widzi ryzyka tworzone przez sposób zabezpieczenia. Nie oznacza to, że instytucje finansowe powinny działać mniej ostrożnie. Oznacza, że powinny działać mądrzej. Ostrożność nie polega na maksymalizacji każdego zabezpieczenia. Polega na dobraniu środka do ryzyka.
Dlaczego „więcej” bywa wygodniejsze niż „proporcjonalnie”
Defensywne compliance nie rozwija się dlatego, że instytucje finansowe nie znają zasady proporcjonalności. W wielu organizacjach jest ona wpisana w polityki, procedury, oceny ryzyka i matryce kontrolne. Instytucje wiedzą, że środek powinien odpowiadać poziomowi ryzyka, skali działalności, charakterowi produktu i sytuacji klienta. Mimo to w praktyce często wybierają rozwiązanie szersze, cięższe i bardziej formalne. Nie zawsze dlatego, że jest lepsze. Często dlatego, że jest organizacyjnie wygodniejsze.
Proporcjonalność wymaga decyzji. Trzeba ocenić ryzyko, zważyć racje, porównać możliwe środki, rozpoznać skutki uboczne i uzasadnić, dlaczego dane rozwiązanie jest wystarczające. To wymaga namysłu, odpowiedzialności i gotowości do obrony oceny. Nie wszystko da się zamknąć w prostym schemacie: jeżeli ryzyko A, to czynność B. „Więcej” jest prostsze. Dodatkowy dokument, dodatkowe oświadczenie, dodatkowa akceptacja albo blokada mogą zostać przedstawione jako przejaw ostrożności. Znacznie trudniej uzasadnić, dlaczego świadomie zrezygnowano z kolejnej warstwy formalnej. W razie kontroli pytanie „dlaczego państwo tego nie zrobili?” jest dla organizacji trudniejsze niż pytanie „dlaczego państwo to zrobili?”. To podstawowa przewaga defensywnego compliance: jest łatwiejsze do pokazania.
Proporcjonalność często polega na tym, że czegoś nie dodajemy. Nie zbieramy dodatkowych danych, bo nie są potrzebne. Nie blokujemy całej kategorii transakcji, bo wystarczy indywidualna analiza. Nie wprowadzamy kolejnego oświadczenia, bo komunikacja powinna być krótsza i bardziej zrozumiała. Nie dokładamy kolejnego poziomu akceptacji, bo rozmyłby odpowiedzialność. Takie decyzje są mniej widoczne. Łatwo wykazać obecność dokumentu. Trudniej wykazać, że słusznie uznano go za zbędny. Łatwo policzyć liczbę kontroli, alertów i akceptacji. Trudniej ocenić, czy ich liczba była adekwatna.
Dlatego organizacje często wolą nadmiar, który można obronić formalnie, niż proporcjonalność, którą trzeba obronić merytorycznie. Sprzyja temu asymetria odpowiedzialności. Jeżeli instytucja zrobiła za mało i ryzyko się zmaterializowało, zarzut jest wyraźny. Jeżeli zrobiła za dużo, skutki uboczne są zwykle bardziej rozproszone. Klient dłużej przechodzi onboarding, komunikacja staje się mniej zrozumiała, blokad jest więcej, procedury są cięższe, ale trudno wskazać jeden moment, w którym nadmiar zostanie rozliczony. Ryzyko „za mało” jest ostre i widoczne. Ryzyko „za dużo” narasta stopniowo. To sprzyja formalnej ostrożności.
Istotny jest również sposób audytowania. Audyt, kontrola wewnętrzna i kontrola zewnętrzna potrzebują kryteriów. Najłatwiej sprawdzić to, co jednoznaczne: czy dokument istnieje, czy pole zostało uzupełnione, czy akcept został udzielony, czy termin został dotrzymany, czy system wygenerował alert. Takie elementy są łatwe do raportowania i dają poczucie obiektywności. Proporcjonalność wymaga oceny jakościowej. Trzeba zapytać, czy zakres danych był adekwatny, komunikat zrozumiały, blokada uzasadniona, a odstąpienie od dodatkowego dokumentu racjonalne. Tego nie zawsze da się sprawdzić przez prostą próbkę. Trzeba zrozumieć cel procesu, kontekst decyzji, informacje dostępne w danym momencie oraz możliwe skutki uboczne. Formalizm bywa więc premiowany nie dlatego, że audyt musi być formalistyczny, ale dlatego, że formalizm łatwiej mierzyć.
Kolejnym czynnikiem jest odpowiedzialność osobista. Decyzja proporcjonalna wymaga, aby ktoś powiedział: ten środek wystarczy. Nie potrzebujemy więcej danych. Nie blokujemy tej transakcji. Nie kończymy tej relacji. Nie dokładamy kolejnej klauzuli. To decyzja, pod którą konkretna osoba musi się podpisać. Decyzja o dodaniu zabezpieczenia jest psychologicznie bezpieczniejsza. Nawet jeżeli środek był nadmiarowy, łatwo uzasadnić go ostrożnością. Decyzja o jego niedodaniu jest bardziej podatna na krytykę po fakcie. Retrospekcja jest bowiem jednym z największych przeciwników proporcjonalności.
Po fraudzie wiadomo, że transakcja była fraudowa. Po sporze wiadomo, że klient twierdzi, iż nie rozumiał produktu. Po problemie AML wiadomo, że relacja była ryzykowna. W chwili podejmowania decyzji tej pewności nie było. Były sygnały, prawdopodobieństwa i niepełne informacje. Defensywne compliance próbuje chronić organizację przed surowością późniejszej oceny przez dokładanie zabezpieczeń wcześniej.
Znaczenie ma również kultura organizacyjna. Instytucje deklarują podejście oparte na ryzyku, ale w praktyce często preferują reguły. Reguła jest łatwiejsza do wdrożenia, przeszkolenia, monitorowania i audytowania. Jest też wygodniejsza dla pracowników, którzy nie zawsze mają czas, kompetencje lub przestrzeń organizacyjną do dokonywania złożonych ocen.
Im większy lęk przed błędem, tym większa potrzeba jednoznacznej instrukcji. Pracownik nie pyta wtedy, czy dokument jest rzeczywiście potrzebny. Pyta, czy procedura każe go zażądać. Nie pyta, czy blokada jest adekwatna. Pyta, czy system ją wygenerował. Organizacja zyskuje spójność, ale traci zdolność rozumienia wyjątków.
Defensywny mechanizm ujawnia się także w relacji między biznesem a funkcjami kontrolnymi. Biznes oczekuje często prostych odpowiedzi: czy można wdrożyć produkt, zautomatyzować decyzję, wejść w relację z klientem. Funkcje kontrolne mogą odpowiadać przez dokładanie warunków. Możemy, ale trzeba dodać oświadczenie. Możemy, ale potrzebna jest kolejna akceptacja. Możemy, ale trzeba rozszerzyć procedurę. Taki model pozwala powiedzieć „tak”, a jednocześnie ograniczyć własne ryzyko. Problem polega na tym, że warunki zaczynają się kumulować. Każdy z nich osobno może być racjonalny, lecz razem tworzą proces formalnie bezpieczny, ale ciężki, kosztowny i niezrozumiały.
Istotna jest również niepewność regulacyjna. Im mniej jasne są oczekiwania organów, tym większa skłonność do projektowania procesów z zapasem. Jeżeli instytucja nie wie, jaki zakres działań zostanie uznany za wystarczający, będzie próbowała wykazać, że zrobiła więcej. Jeżeli sankcja za zrobienie za mało jest bardziej prawdopodobna niż krytyka za zrobienie za dużo, wybór staje się przewidywalny.
Wreszcie organizacje łatwiej raportują wzrost aktywności niż poprawę adekwatności. Można pokazać, że wzrosła liczba kontroli, alertów, dokumentów, szkoleń i aktualizacji procedur. Znacznie trudniej wykazać, że komunikacja stała się bardziej zrozumiała, dane lepiej dobrane, a decyzje mniej automatyczne, lecz bardziej trafne. Ilość daje poczucie ruchu i kontroli. Adekwatność wymaga subtelniejszych mierników: jakości reklamacji, liczby fałszywie pozytywnych alertów, czasu obsługi, zrozumiałości komunikacji, trafności blokad, rzeczywistego wykorzystania danych i skutków decyzji o odmowie relacji. Do defensywnego compliance przyczynia się także pamięć organizacyjna. Instytucje zapamiętują przypadki, w których czegoś zabrakło. Rzadziej wracają do sytuacji, w których było czegoś za dużo. Po jednym sporze dodają oświadczenie. Po jednym fraudzie zaostrzają reguły. Po jednej uwadze audytu rozszerzają procedurę. Jeżeli po czasie nikt nie sprawdza, czy dodana warstwa nadal ma sens, zostaje ona na stałe.
Tak powstają regulacyjne osady: wymagania, których pierwotnego celu nikt już nie pamięta. Formularz zawiera pole, bo zawsze je zawierał. Akceptacja istnieje, bo po dawnym błędzie uznano, że ktoś jeszcze powinien spojrzeć na sprawę. Usuwanie takich warstw wymaga odwagi, podczas gdy dodawanie kolejnych zwykle wymaga tylko kolejnego uzasadnienia. Wszystkie te czynniki pokazują, dlaczego „więcej” tak często wygrywa z „proporcjonalnie”. Nie dlatego, że jest zawsze trafniejsze. Dlatego, że jest prostsze, bardziej widoczne, łatwiejsze do audytowania, bezpieczniejsze psychologicznie i lepiej wpisuje się w kulturę rozliczania po fakcie.
Proporcjonalność jako przeciwieństwo defensywnego compliance
Jeżeli defensywne compliance opiera się na intuicji, że bezpieczniej jest zrobić więcej, to proporcjonalność zaczyna się od pytania odwrotnego: czy więcej jest rzeczywiście potrzebne? Nie chodzi o obniżenie standardu, rezygnację z ostrożności albo szukanie łatwiejszej drogi wykonania obowiązku. Proporcjonalność nie jest przeciwieństwem zgodności. Jest sposobem wykonania obowiązku, który odpowiada rzeczywistemu ryzyku, celowi regulacji, charakterowi procesu i skutkom ubocznym zastosowanego środka. Defensywne compliance odpowiada na niepewność przez dodawanie. Proporcjonalność odpowiada na nią przez ważenie. Pierwsze pyta, co jeszcze można zrobić, aby ograniczyć możliwość zarzutu. Drugie pyta, jakie działanie jest adekwatne do ryzyka i czy nie tworzy nadmiernych skutków ubocznych. Defensywne compliance premiuje widoczny ślad ostrożności. Proporcjonalność premiuje jakość rozumowania. W praktyce instytucja nie powinna pytać wyłącznie, czy może zebrać więcej danych, zastosować szerszą blokadę, wprowadzić dodatkowe oświadczenie albo zaostrzyć regułę. Powinna również pytać, czy taki środek jest potrzebny, skuteczny i adekwatny. Czy rzeczywiście ogranicza ryzyko. Czy istnieje mniej inwazyjny sposób osiągnięcia tego samego celu. Czy koszt dla klienta, danych, procesu lub dostępności usługi nie jest większy niż korzyść regulacyjna.
Proporcjonalność nie oznacza zasady „mniej”. Czasem proporcjonalna reakcja będzie bardzo wymagająca. Klient wysokiego ryzyka może wymagać pogłębionej analizy. Nietypowa transakcja może wymagać blokady. Produkt złożony może wymagać dodatkowego wyjaśnienia. Nowy model automatyczny może wymagać zaawansowanych testów i ograniczeń. Proporcjonalność oznacza tyle, ile trzeba — i nie więcej niż trzeba. Najlepiej widać to na przykładzie danych. Instytucja finansowa musi gromadzić liczne informacje o klientach. Defensywna intuicja podpowiada, że lepiej mieć więcej danych niż mniej, bo mogą się kiedyś przydać. Proporcjonalność każe zapytać: do czego konkretnie te dane są potrzebne? Czy bez nich proces nie może działać prawidłowo? Jak długo należy je przechowywać? Czy klient rozumie, dlaczego są wymagane? Czy zbieranie danych na zapas nie zwiększa ryzyka bardziej, niż ogranicza ryzyko regulacyjne? W tym ujęciu ograniczenie zakresu danych nie musi oznaczać słabości compliance. Może być jego dojrzałą formą.
Podobnie jest z komunikacją. Każde ryzyko można opisać szerzej, każdy wyjątek dopisać, a każde potencjalne nieporozumienie zabezpieczyć dodatkowym oświadczeniem. Proporcjonalność pyta jednak, czy klient dzięki temu rozumie więcej. Krótszy, lepiej zaprojektowany komunikat może chronić skuteczniej niż kolejna strona pouczeń.
Tak samo należy patrzeć na blokady i systemy antyfraudowe. Nie każda niepewność uzasadnia automatyczną blokadę. Proporcjonalność wymaga odróżnienia sygnału istotnego od słabego, transakcji rzeczywiście podejrzanej od transakcji tylko statystycznie nietypowej oraz ryzyka wymagającego natychmiastowej reakcji od ryzyka, które można wyjaśnić mniej inwazyjnie.
W AML podejście oparte na ryzyku nie polega na traktowaniu wszystkich klientów jak wysokiego ryzyka. Polega na rozpoznawaniu różnic między klientami, produktami, kanałami, państwami i transakcjami. Defensywne compliance spłaszcza te różnice. Proporcjonalność wymaga większego wysiłku: indywidualizacji, dokumentowania oceny i odróżnienia ryzyka wysokiego od ryzyka po prostu wymagającego większej pracy.
To właśnie dlatego proporcjonalność jest niewygodna organizacyjnie. Wymaga nie tylko procedury, ale zdolności oceny. Wymaga pracowników, którzy rozumieją cel obowiązku. Systemów, które nie działają wyłącznie zero-jedynkowo. Informacji zarządczej pokazującej skutki uboczne działań. Audytu, który potrafi ocenić racjonalność decyzji. Zarządu, który akceptuje, że dobre zarządzanie ryzykiem nie zawsze polega na maksymalizacji zabezpieczeń. Wymaga również odwagi. Decyzja proporcjonalna często oznacza: nie idziemy dalej. Nie zbieramy więcej danych. Nie blokujemy całej kategorii transakcji. Nie wypowiadamy relacji automatycznie. Nie tworzymy procedury na każdy możliwy przypadek. W świecie, w którym organizacje obawiają się zarzutu zaniechania, taka decyzja jest trudniejsza niż dodanie kolejnej warstwy formalnej.
Trzeba jednak uczciwie powiedzieć, że proporcjonalność ma własną słabość. Jest trudniejsza do audytowania i rozliczania niż formalizm. Formalizm jest wygodny kontrolnie. Można sprawdzić, czy dokument został zebrany, pole uzupełnione, oświadczenie odebrane, alert obsłużony i akcept udzielony. To elementy widoczne, mierzalne i łatwe do wpisania w raport. Proporcjonalność wymaga oceny, czy dokument był rzeczywiście potrzebny, komunikat dostatecznie zrozumiały, decyzja o niezablokowaniu transakcji racjonalna, a ograniczenie zakresu danych właściwe. To pytania jakościowe. Wymagają rozumienia procesu, kontekstu i celu regulacji. Jeżeli organizacja chce działać proporcjonalnie, musi więc lepiej dokumentować rozumowanie. Nie wystarczy nie zebrać danych. Trzeba umieć wyjaśnić, dlaczego nie były potrzebne. Nie wystarczy nie zablokować transakcji. Trzeba pokazać, jakie sygnały oceniono i dlaczego nie uzasadniały blokady. Nie wystarczy skrócić komunikat. Trzeba umieć wykazać, że skrócenie poprawiło jego zrozumiałość.
Proporcjonalność nie może być intuicją. Musi być udokumentowanym sposobem podejmowania decyzji. Nie oznacza to tworzenia kolejnych dokumentów dla samych dokumentów. Oznacza dokumentowanie racji: jakie ryzyko zidentyfikowano, jakie środki rozważono, dlaczego wybrano właśnie ten, jakie skutki uboczne oceniono i jak organizacja będzie monitorować efekty.
Jeszcze ważniejsze jest jednak to, że proporcjonalność musi być stosowana również przez nadzorców. Nie wystarczy oczekiwać od instytucji podejścia proporcjonalnego, jeżeli po czasie rozlicza się je wyłącznie z tego, czego nie zrobiły. Jeżeli organ pyta głównie, dlaczego instytucja nie zebrała dodatkowego dokumentu, nie zastosowała szerszej blokady albo nie dodała kolejnego poziomu akceptacji, wysyła jasny sygnał: bezpieczniej jest robić więcej. Proporcjonalność nadzorcza oznacza gotowość do oceny decyzji w kontekście, w którym została podjęta. Z uwzględnieniem informacji dostępnych w danym momencie, poziomu ryzyka, alternatywnych środków i skutków ubocznych. Oznacza również odróżnienie braku działania od świadomej decyzji, że dodatkowe działanie byłoby nieadekwatne. Nie chodzi o to, aby nadzorca akceptował każdą decyzję nazwaną przez instytucję proporcjonalną. Proporcjonalność nie może być pretekstem do zbyt słabych kontroli albo zaniżania ryzyka. Nadzorca powinien pytać o jakość oceny, racjonalność założeń, dokumentację i monitorowanie procesu. Powinien jednak również akceptować, że prawidłowa decyzja nie zawsze będzie decyzją najbardziej ostrożną formalnie.
To wymaga dojrzałości po obu stronach. Instytucja musi stosować proporcjonalność rzetelnie, a nie instrumentalnie. Nadzorca musi umieć ją oceniać jakościowo, a nie wyłącznie przez pryzmat brakujących warstw formalnych. Instytucja musi mieć odwagę powiedzieć „to wystarczy”. Nadzorca musi być gotów zapytać, czy rzeczywiście wystarczyło, zamiast z góry zakładać, że skoro można było zrobić więcej, to należało zrobić więcej. Bez tego defensywne compliance zawsze będzie łatwiejsze. Będzie bardziej widoczne, mierzalne i komfortowe w kontroli. Instytucje będą więc robiły więcej nie dlatego, że więcej jest potrzebne, ale dlatego, że więcej łatwiej pokazać.
Co powinno zastąpić defensywne compliance
Przeciwieństwem defensywnego compliance nie jest mniej compliance. Instytucja finansowa nie może odpowiedzieć na nadmiar formalizmu przez lekceważenie obowiązków, ograniczanie kontroli albo powoływanie się na zdrowy rozsądek tam, gdzie potrzebne są jasne mechanizmy zarządzania ryzykiem. Defensywne compliance powinno zostać zastąpione compliance dojrzalszym: procesowym, proporcjonalnym i uczącym się.
Pierwszym warunkiem jest rozumienie celu obowiązku i skutków ubocznych zastosowanego środka. Nie należy zaczynać od pytania, co jeszcze można dodać, lecz od pytania, jaki problem próbujemy rozwiązać. Czy chodzi o identyfikację klienta, wyjaśnienie ryzyka produktu, zatrzymanie fraudu, zapewnienie śladu audytowego, ochronę danych czy umożliwienie klientowi zakwestionowania decyzji? Dopiero po odpowiedzi na to pytanie można ocenić, czy właściwym środkiem jest dokument, blokada, oświadczenie, kontrola, komunikat, automatyzacja albo zmiana samego procesu. Każdy mechanizm kontrolny ma również skutki uboczne. Dodatkowe dane mogą pomagać AML, ale zwiększać ryzyko prywatnościowe. Dodatkowa blokada może ograniczać fraud, ale wydłużać dostęp do środków. Dodatkowe ostrzeżenie może wzmacniać obowiązek informacyjny, ale osłabiać zrozumiałość komunikacji. Dojrzała organizacja powinna wiedzieć nie tylko, jakie ryzyko ogranicza, lecz także jakie ryzyko tworzy.
Drugim warunkiem jest zarządzanie procesem, a nie wyłącznie procedurą. W wielu organizacjach łatwo wskazać właściciela procedury AML, ochrony danych, reklamacji czy fraudów. Trudniej wskazać, kto odpowiada za proces, w którym te obszary się spotykają. Onboarding klienta nie należy wyłącznie do AML, sprzedaży ani ochrony danych. Monitoring transakcji nie jest wyłącznie procesem AML lub antyfraudowym. Sprzedaż produktu nie jest wyłącznie procesem biznesowym. Każdy z tych procesów łączy kilka perspektyw i kilka rodzajów ryzyka. Jeżeli organizacja chce ograniczyć defensywne compliance, ktoś musi widzieć całość procesu. W przeciwnym razie każda funkcja będzie optymalizowała własny fragment. AML będzie chciało więcej danych, ochrona danych mniej danych, biznes krótszego procesu, antyfraud silniejszych blokad, a compliance lepszej dokumentacji. Każda racja może być uzasadniona, ale ktoś musi ocenić, jak działają razem.
Trzecim warunkiem jest dokumentowanie racji, a nie tylko czynności. Defensywne compliance dobrze dokumentuje, że klient podpisał, system zablokował, pracownik odnotował, komitet zaakceptował, a procedura została wykonana. Dojrzałe compliance powinno pokazywać również, dlaczego organizacja uznała określone działanie za właściwe. Nie oznacza to tworzenia wielostronicowych uzasadnień do każdej decyzji operacyjnej. Poziom dokumentacji powinien odpowiadać znaczeniu decyzji. Decyzja standardowa może wymagać standardowego śladu. Decyzja przekrojowa, która wpływa na AML, dane, klienta i dostęp do usługi, wymaga już przedstawienia logiki ważenia.
Czwartym warunkiem jest przekrojowa informacja zarządcza i zdolność uczenia się. Zarząd nie powinien otrzymywać wyłącznie odrębnych raportów z kolejnych funkcji, jeżeli opisują one różnymi językami ten sam problem. Wzrost liczby blokad, reklamacji, zapytań klientów, alertów i rezygnacji z onboardingu może być objawem słabości jednego procesu. Dojrzałe compliance powinno pomagać łączyć te sygnały. Jeżeli system antyfraudowy generuje coraz więcej blokad, a jednocześnie rośnie liczba reklamacji, nie jest to tylko problem bezpieczeństwa ani tylko problem obsługi klienta. To problem proporcjonalności procesu. Jeżeli AML żąda coraz większej liczby dokumentów, a rośnie liczba klientów rezygnujących z otwarcia rachunku, nie jest to wyłącznie sukces ostrożności. To sygnał wymagający ponownej oceny. W podobny sposób należy traktować reklamacje, incydenty i spory. Reklamacja nie jest wyłącznie sprawą do zamknięcia. Może ujawniać, że klient nie rozumie komunikatu, system blokad działa zbyt szeroko, pracownicy nie potrafią wyjaśnić wymagań AML albo automatyczna decyzja jest postrzegana jako arbitralna.
Piątym warunkiem jest audytowanie jakości rozumowania oraz regularny przegląd historycznych warstw formalizmu. Audyt może utrwalać defensywne compliance, jeżeli koncentruje się wyłącznie na obecności dokumentów i wykonaniu czynności. Może też pomagać organizacji dojrzewać, jeżeli bada, czy czynności były adekwatne, kontrole rzeczywiście ograniczały ryzyko, a dokumentacja odzwierciedlała realne decyzje. Taki audyt jest trudniejszy. Wymaga rozumienia celu regulacji, procesu biznesowego, danych, klienta i technologii. Nie zawsze prowadzi do prostych wyników zero-jedynkowych. Bez niego proporcjonalność pozostanie jednak deklaracją. Dojrzała organizacja powinna również regularnie przeglądać procedury, formularze, checklisty, oświadczenia, kontrole i akceptacje pod kątem ich sensu. Czy nadal ograniczają realne ryzyko? Czy ich cel jest zrozumiały? Czy nie zostały dodane po jednostkowym incydencie? Czy nie dublują innych zabezpieczeń? Czy ich koszt nie przewyższa korzyści? Usunięcie wymogu może wyglądać jak osłabienie. Czasem jest jednak przejawem dojrzałości. Element, który nie spełnia już swojej funkcji albo tworzy większe ryzyko niż to, które ogranicza, nie wzmacnia compliance. Zwiększa jedynie formalną masę organizacji.
Szóstym warunkiem jest proporcjonalna relacja z nadzorcą. Instytucje mogą budować najlepsze procesy, ale jeżeli po fakcie będą oceniane wyłącznie przez pytanie, czego jeszcze mogły wymagać, zebrać, zablokować lub opisać, będą wracały do defensywnego compliance. Instytucja powinna umieć pokazać, jak ważyła racje i dlaczego przyjęła określony środek. Nadzorca powinien być gotów ocenić tę argumentację w kontekście, a nie tylko przez pryzmat brakującego zabezpieczenia. Jeżeli decyzja była dobrze uzasadniona, oparta na dostępnych informacjach, adekwatna do ryzyka i monitorowana, nie powinna być automatycznie uznawana za słabszą tylko dlatego, że nie była maksymalnie ostrożna formalnie. Nie oznacza to pobłażliwości. Proporcjonalność nie jest tarczą dla złych decyzji. Instytucja, która pod jej pozorem ogranicza konieczne kontrole albo zaniża ryzyko, powinna ponosić konsekwencje. Ale instytucja, która rzetelnie zważyła ryzyka i wybrała adekwatne rozwiązanie, nie powinna być karana za to, że nie wybrała największego możliwego formalizmu.
Tak rozumiane compliance jest bardziej wymagające niż compliance defensywne. Defensywne compliance można często budować przez dodawanie. Dojrzałe compliance wymaga wyboru. Wymaga wskazania, co jest potrzebne, co nadmiarowe, co działa, co tylko wygląda bezpiecznie, co należy utrzymać, co uprościć, a co usunąć. Ostatecznie odpowiedzią na defensywne compliance nie jest deregulacyjny odruch ani antyformalizm. Jest nią dojrzałe zarządzanie zgodnością: takie, które nie boi się dokumentacji, ale nie myli jej z jakością; nie boi się kontroli, ale nie projektuje procesu wyłącznie pod kontrolę; nie boi się nadzoru, ale oczekuje proporcjonalności po obu stronach; nie boi się ograniczać ryzyka, ale rozumie, że każde zabezpieczenie może stworzyć ryzyko gdzie indziej.
Compliance nie może być alibi
Defensywne compliance daje organizacji poczucie bezpieczeństwa. Pozwala powiedzieć, że procedura została wykonana, klient otrzymał dokument, oświadczenie zostało odebrane, dane zostały zebrane, transakcja zablokowana, decyzja zaakceptowana, a sprawa zaraportowana. W razie kontroli, reklamacji lub sporu organizacja może pokazać ślad działania. Tylko że to nie zawsze wystarcza. Samo wykonanie procedury nie przesądza, że proces był dobrze zaprojektowany. Podpis klienta nie przesądza, że klient rozumiał ryzyko. Zebranie danych nie przesądza, że instytucja właściwie oceniła relację. Blokada nie przesądza, że reakcja była proporcjonalna. Akceptacja nie przesądza, że ktoś realnie wziął odpowiedzialność. Raport nie przesądza, że ryzyko zostało zarządzone.
Compliance nie może więc być alibi, za którym organizacja ukrywa brak głębszego rozumienia własnych procesów. Podstawowy problem defensywnego compliance polega na tym, że produkuje dowody ostrożności, ale nie zawsze lepsze decyzje. Pozwala wykazać, że organizacja coś zrobiła. Nie zawsze pozwala wykazać, że zrobiła właściwą rzecz, we właściwym zakresie i z właściwych powodów. W sektorze finansowym ta różnica ma zasadnicze znaczenie. Ten sam proces jest oceniany z perspektywy nadzorczej, konsumenckiej, AML-owej, prywatnościowej, technologicznej, operacyjnej i cywilnoprawnej. Dlatego nie wystarczy pytać, czy dana czynność została wykonana. Trzeba także pytać, czy jej wykonanie nie stworzyło nieproporcjonalnego ryzyka w innym obszarze.
Odpowiedzialność instytucji nie powinna polegać na tym, że zawsze zrobiła najwięcej. Powinna polegać na tym, że potrafiła dobrać środki adekwatne do ryzyka, uzasadnić ich wybór, monitorować skutki i reagować, gdy proces przestawał działać prawidłowo. Czasem będzie to oznaczało więcej formalizacji. Czasem mniej. Czasem dodatkową kontrolę. Czasem uproszczenie komunikacji. Czasem blokadę. Czasem indywidualną ocenę zamiast automatycznego działania. Czasem dodatkową dokumentację. Czasem rezygnację z dokumentu, który nie wnosi nic poza pozorem ostrożności. To jest trudniejsze niż defensywne compliance. Łatwiej jest dodawać niż ważyć. Łatwiej mnożyć oświadczenia niż testować zrozumiałość komunikacji. Łatwiej blokować szeroko niż budować precyzyjny system oceny. Łatwiej wprowadzić kolejny poziom akceptacji niż jasno przypisać odpowiedzialność.
Ale łatwiejsza droga nie zawsze jest lepsza. Dojrzałe compliance nie boi się formalizacji, lecz nie traktuje jej jako celu samego w sobie. Nie boi się dokumentacji, lecz wie, że powinna ona odtwarzać racje, a nie tylko czynności. Nie boi się kontroli, lecz oczekuje, że będzie badała jakość procesu. Nie boi się nadzoru, lecz zakłada, że proporcjonalność będzie stosowana po obu stronach relacji nadzorczej. Odejście od defensywnego compliance nie jest więc wezwaniem do deregulacji ani obniżenia standardów. Jest wezwaniem do większej odpowiedzialności. Łatwo powiedzieć, że organizacja zrobiła wszystko, co mogła. Trudniej wykazać, że zrobiła dokładnie tyle, ile powinna. Jeszcze trudniej obronić decyzję, że świadomie nie zrobiła więcej, ponieważ więcej byłoby nadmierne, nieskuteczne albo szkodliwe dla innego celu regulacyjnego.
Właśnie dlatego proporcjonalność jest jednocześnie tak ważna i tak wymagająca. Nie jest hasłem pozwalającym ograniczać obowiązki. Jest metodą podejmowania decyzji. Wymaga rozpoznania ryzyka, oceny dostępnych środków, uwzględnienia skutków ubocznych, udokumentowania uzasadnienia i późniejszego monitorowania efektów. Nie zadziała jednak, jeżeli będzie wymagana wyłącznie od instytucji finansowych. Musi być również sposobem oceny po stronie nadzorczej. Jeżeli po każdym incydencie nadzorca pyta przede wszystkim, co jeszcze można było zrobić, instytucje będą robiły coraz więcej. Jeżeli kontrola premiuje widoczne ślady ostrożności, organizacje będą produkowały ślady. Jeżeli dobrze uzasadniona decyzja o niedodaniu zabezpieczenia jest traktowana jak luka, rynek wybierze formalizm. Nie dlatego, że formalizm jest lepszy. Dlatego, że jest bezpieczniejszy w rozliczeniu. Największym paradoksem defensywnego compliance jest to, że powstaje w imię bezpieczeństwa, a może osłabiać realne bezpieczeństwo organizacji. Może ukrywać słabość procesu pod warstwą dokumentów. Zastępować zrozumienie produktu oświadczeniem klienta. Ocenę ryzyka checklistą. Odpowiedzialność komitetem. Komunikację klauzulą. Zarządzanie ryzykiem raportowaniem o ryzyku.
Instytucja finansowa nie jest jednak bezpieczniejsza dlatego, że ma więcej formalnych dowodów ostrożności. Jest bezpieczniejsza wtedy, gdy lepiej rozumie własne ryzyka i potrafi nimi zarządzać. To powinno być główne kryterium oceny compliance. Nie liczba procedur, dokumentów, oświadczeń, alertów i akceptacji. Nie sama objętość materiału dowodowego. Kryterium powinno być inne: czy przyjęte środki rzeczywiście odpowiadają ryzyku, czy są zrozumiałe dla klienta i pracownika, czy nie tworzą nieproporcjonalnych skutków ubocznych, czy pozwalają podejmować decyzje i czy można racjonalnie wyjaśnić, dlaczego proces wygląda właśnie tak. W sektorze finansowym nie da się uciec od formalizacji. Nie należy też próbować. Problem zaczyna się dopiero wtedy, gdy formalizacja przestaje służyć zarządzaniu ryzykiem, a zaczyna służyć głównie obronie przed zarzutem. Wtedy compliance staje się alibi.
Dlatego najważniejsza teza nie brzmi: mniej compliance. Brzmi: mniej compliance defensywnego, więcej compliance dojrzałego. Compliance, które rozumie cel obowiązku, proces, klienta, dane, technologię i skutki uboczne własnych zabezpieczeń. Compliance, które wie, że ryzyko regulacyjne nie znika dlatego, że dodano kolejną warstwę formalną. Może jedynie zmienić miejsce. Czasem więcej jest potrzebne. Ale właśnie dlatego nie może być odruchem. Musi być decyzją.
Dobre compliance nie powinno więc pytać wyłącznie:
Co jeszcze możemy zrobić, aby nikt nie zarzucił nam braku ostrożności?
Powinno pytać:
Co naprawdę powinniśmy zrobić, aby właściwie zarządzić ryzykiem?
Różnica między tymi pytaniami jest różnicą między compliance defensywnym a compliance dojrzałym. I to od niej coraz częściej będzie zależało, czy instytucja finansowa rzeczywiście jest bezpieczna, czy tylko dobrze zabezpieczona przed zarzutem, że nie była ostrożna.