Bei Compliance-Prüfungen kommt es zunehmend auf Belege an, nicht mehr nur auf Richtlinien. Regulierungs- und Aufsichtsbehörden erwarten von Finanzdienstleistungsunternehmen in zunehmendem Maße, dass sie nachweisen, wie sie Kundenergebnisse überwachen, operative Risiken und Datenrisiken steuern und regulierte Entscheidungen steuern, einschließlich solcher, die durch KI unterstützt werden.
Das bedeutet nicht, dass jede Vorschrift verlangt, dass auf Anfrage ein historischer Kundenstammdatensatz vorgelegt werden muss. Es bedeutet jedoch, dass Unternehmen über ausreichend zuverlässige Nachweise verfügen müssen, um die Daten, Kontrollen und Verantwortlichkeiten zu erläutern, die hinter einem wesentlichen Kundenergebnis oder einer Entscheidung stehen.
Für Banken und Versicherer, bei denen Kunden- und Partnerdaten über mehrere Systeme verstreut sind, kann die Zusammenstellung dieser Nachweise zeitaufwendig, manuell und unvollständig sein. Das Risiko besteht nicht nur darin, dass die Datensätze voneinander abweichen, sondern auch darin, dass das Unternehmen nicht ohne Weiteres feststellen kann, welche Identität und welcher Kontext einer Entscheidung zugrunde lagen.
Lesen Sie weiter, um zu erfahren, welche Nachweise die Aufsichtsbehörden zunehmend von Unternehmen erwarten und wie sich Banken und Versicherungen vor Beginn einer Prüfung vorbereiten können.
Welche Kundendaten müssen bei einer behördlichen Prüfung vorliegen?
Die „Consumer Duty“, die Datenschutz-Grundverordnung (DSGVO), der „Digital Operational Resilience Act“ (DORA), die aufsichtsrechtlichen Erwartungen der Financial Conduct Authority (FCA) und der Prudential Regulation Authority (PRA) sowie das EU-KI-Gesetz stellen keine identischen Anforderungen. Zusammen legen sie jedoch einen verstärkten Fokus auf Datenqualität, Governance, Resilienz, Nachvollziehbarkeit und Rechenschaftspflicht.
Im Rahmen einer Überprüfung muss ein Unternehmen möglicherweise nachweisen, wie Kundendaten zu einem bestimmten Ergebnis, Prozess oder einer bestimmten Entscheidung beigetragen haben.
In der Praxis hängt die souveräne Bewältigung behördlicher Prüfungen oft davon ab, ob Folgendes nachgewiesen werden kann:
- Woher die relevanten Kundendaten stammten
- wie und wann sie sich geändert haben und welche Quelle maßgeblich war
- Welche Kontrollmaßnahmen, Verwaltungsmaßnahmen und Genehmigungen angewendet wurden
- Welche Version und welcher Beziehungskontext das Ergebnis oder die Entscheidung beeinflusst haben
Eine schriftliche Richtlinie beschreibt das beabsichtigte Kontrollumfeld. Die Herkunftsnachweise und der Prüfverlauf belegen, wie Kontrollen zu einem bestimmten Zeitpunkt auf einen bestimmten Datensatz angewendet wurden.
Die Schwerpunkte variieren je nach Markt:
- Britische Unternehmen stehen unter Druck durch FCA-Anforderungen wie die „Consumer Duty“ sowie durch umfassendere Erwartungen der FCA und der PRA hinsichtlich Daten-Governance und operativer Widerstandsfähigkeit
- Unternehmen in der EU müssen die Rechenschaftspflicht und Datengenauigkeit gemäß der DSGVO, die Anforderungen der DORA an die IKT- und Datenresilienz sowie – für betroffene Hochrisikosysteme – die Anforderungen des KI-Gesetzes in Bezug auf Daten-Governance, Dokumentation, Aufbewahrung von Aufzeichnungen und Aufsicht berücksichtigen
- US-Unternehmen sehen sich je nach Geschäftstätigkeit und Aufsichtsbehörde mit entsprechenden Anforderungen in den Bereichen Kundenidentifizierung und KYC, Geldwäschebekämpfung und Einhaltung von Sanktionsvorschriften, faire Kreditvergabe, Datenschutz sowie Modellrisiken konfrontiert
Verschiedene Schwerpunkte führen zu einer gemeinsamen operativen Herausforderung: Unternehmen aus den Bereichen Bankwesen, Finanzdienstleistungen und Versicherungen (BFSI) benötigen vertrauenswürdige Daten und stichhaltige Nachweise.
Was passiert, wenn Ihr Kunde wie vier verschiedene Personen aussieht?
Ein und dieselbe Person kann in verschiedenen Systemen als Privatkunde, Hypothekarkreditnehmer, Versicherungsnehmer, Geschäftsführer oder wirtschaftlich Berechtigter erscheinen. Jedes System enthält eine Version, die zu einem anderen Zeitpunkt und für einen anderen Zweck erstellt wurde.
Eine effektive Sanktionsprüfung und Aktualisierung der Kundenidentität (KYC) hängt davon ab, dass diese Versionen und Beziehungen genau abgeglichen werden. Wenn die Identität fragmentiert ist, kann eine Überprüfung auf Finanzkriminalität oder Sanktionen zu einem manuellen Abgleich zwischen Bank-, Hypotheken-, Vermögens- und Versicherungssystemen werden. Jedes System zeigt möglicherweise einen anderen Namen, eine andere Adresse, eine andere Eigentumsbeziehung oder eine andere Risikoklassifizierung für denselben Kunden oder dieselbe Partei an.
In diesem Fall steht das Compliance-Team vor drei Fragen:
- Welcher Datensatz ist der vertrauenswürdige?
- Wie sind die Beziehungen und Konten des Kunden miteinander verknüpft?
- Wurde die Überprüfung anhand des Gesamtbildes oder nur anhand eines Teilbildes durchgeführt?
Der Kontext der Beteiligten ist ebenso wichtig wie die Identität. Finanzinstitute müssen verstehen, welche Konten ein Kunde verwaltet, welche Unternehmen er besitzt, welche Versicherungen er abgeschlossen hat und wie natürliche Personen, juristische Personen und Vermittler miteinander verbunden sind.
Ohne eine geregelte Identitätsschicht kann die konsistente Beantwortung dieser Fragen zeitaufwendig und schwierig sein. Jede ungeklärte Identität oder Beziehung schwächt die Fähigkeit des Unternehmens, eine Entscheidung oder ein Überprüfungsergebnis zu verteidigen.
Warum Ihr CRM oder Ihr Data Warehouse allein das Problem der Kundenidentität möglicherweise nicht lösen kann
Die meisten Unternehmen nutzen bereits ein CRM-System und ein Data Warehouse. Beide sind unverzichtbar, doch keines davon bietet zwangsläufig die geregelte Identitätsauflösung, den Abgleich, die Priorisierung und das Beziehungsmanagement, die erforderlich sind, um eine dauerhafte, vertrauenswürdige Kundenidentität über alle Quellsysteme hinweg zu etablieren.
- CRM-Systeme sind in erster Linie darauf ausgelegt, Kundeninteraktionen und -beziehungen zu verwalten
- Data Warehouses konsolidieren Daten für Analysen und Berichte
Keines der beiden Systeme ist darauf ausgelegt, die spezifischere Identitätsfrage zu beantworten: Beziehen sich diese Datensätze auf dieselbe Person oder Organisation, welche Quellen sollten Vorrang haben, und lässt sich diese Entscheidung begründen?
Eine geregelte Identitätsschicht ergänzt CRM- und Datenplattformen, indem sie eine beständige Kunden- und Partneridentität, den Beziehungskontext sowie transparente Regeln bereitstellt, die von nachgelagerten Prozessen wiederverwendet werden können.
Warum KI Kundendaten zu einem noch schwierigeren Compliance-Problem macht
KI und fortschrittliche Analysen kommen zunehmend in Prozessen wie Onboarding, Betrugserkennung, Kundenservice, Schadenbearbeitung sowie bei Elementen der Kredit- und Risikobewertung zum Einsatz. KI ersetzt jedoch nicht die regulatorischen Verpflichtungen im Zusammenhang mit diesen Prozessen. Bei betroffenen, risikoreichen Anwendungsfällen kann sie zusätzliche Anforderungen hinsichtlich Daten-Governance, Dokumentation, Aufbewahrung von Unterlagen und menschlicher Aufsicht mit sich bringen.
Wenn eine Aufsichtsbehörde eine dieser Entscheidungen überprüft, richtet sich die Prüfung auf folgende Punkte:
- Welche Kunden- und Partnerdaten das System verwendet hat und aus welchen Quellen diese stammten
- Ob diese Daten zum damaligen Zeitpunkt ausreichend genau, vollständig und relevant waren
- Welche Kontrollmechanismen, Verantwortlichen und personellen Überwachungsmaßnahmen auf das Ergebnis angewendet wurden
Automatisierung verstärkt die Fragmentierung von Daten. Ein falscher, veralteter oder falsch zugeordneter Datensatz kann zahlreiche nachgelagerte Entscheidungen beeinflussen, bevor das Muster erkannt wird.
Stammdatenmanagement (MDM) allein macht ein KI-System noch nicht konform. Eine geregelte, nachvollziehbare Kundenidentität kann jedoch vertrauenswürdigen Kontext und Belege für die Daten liefern, die KI-gestützte Entscheidungen speisen.
Ohne diese Grundlage weist eine KI-gesteuerte Entscheidung dieselbe Schwäche auf wie eine menschliche Entscheidung, die auf einem Datensatz basiert, für den niemand vollständig bürgen kann.
Was Sie vor Ihrem nächsten Audit überprüfen sollten
Die meisten Compliance-Programme prüfen, ob Kundendaten korrekt aussehen, aber nur wenige prüfen, ob sie verteidigt werden können, wie sie ausgewählt, verwaltet und genutzt wurden.
Stellen Sie vor dem nächsten Audit, der nächsten KYC-Aktualisierung oder der Überprüfung einer KI-gestützten Entscheidung eine anspruchsvollere Frage:
Können Sie für einen bestimmten Kunden zu einem bestimmten Zeitpunkt die verwendete Identität und die bestehenden Beziehungen reproduzieren, Schlüsselwerte bis zu ihrer Quelle zurückverfolgen und aufzeigen, welche Kontrollmaßnahmen und Ausnahmen angewendet wurden?
Wenn die Beantwortung dieser Frage wochenlange manuelle Arbeit systemübergreifend erfordert, liegt das Risiko in der Nachweislücke zwischen Richtlinien und operativen Daten.
Wie Stibo Systems Unternehmen der Finanzbranche dabei unterstützt, die Identität ihrer Kunden nachzuweisen
Stibo Systems verwaltet die Kundenidentität mithilfe von MDM, das auf STEP, unserer bewährten Intelligence-Plattform, basiert. Es:
- Kunden- und Partnerdatensätze mithilfe konfigurierbarer deterministischer und probabilistischer Abgleichverfahren abgleichen
- wendet transparente Zusammenführungs- und Überlebensregeln an, um vertrauenswürdige Werte zu ermitteln
- Modelliert Beziehungen und Hierarchien zwischen natürlichen Personen, juristischen Personen, Konten, Policen, Vermittlern und verbundenen Parteien
- verknüpft Kunden- und Partnerdaten mit anderen verwalteten Bereichen, wie beispielsweise Produkt-, Standort- und Lieferantendaten
Konfigurierbare Workflows, Validierungsregeln, Datenverwaltung, Zugriffskontrollen, Datenherkunft und Prüfprotokolle helfen Unternehmen dabei, nachzuvollziehen, wie sich Stammdaten verändert haben, wer sie geändert hat und welche Kontrollen angewendet wurden.
STEP fungiert als operative Vertrauensschicht. Es ersetzt weder CRM-Systeme, Datenplattformen, GRC-Tools noch die Modell-Governance, sondern versorgt diese mit einem einheitlichen Identitäts- und Beziehungskontext, wodurch Nachweise leichter abgerufen werden können, ohne dass die Historie eines Datensatzes nach Eingang einer Anfrage rekonstruiert werden muss.
Die Regulierung wird sich weiterentwickeln, doch die operative Frage bleibt bestehen: Kann das Unternehmen nachweisen, welchen Kunden- und Partnerdaten es vertraut hat, wie dieses Vertrauen begründet wurde und wo diese Daten verwendet wurden?
Unternehmen aus dem BFSI-Sektor, die diese Frage eindeutig beantworten können, sind besser für behördliche Prüfungen und den verantwortungsvollen Einsatz von KI in großem Maßstab gerüstet.
Sie sind sich nicht sicher, woraus Ihre Kundendaten tatsächlich bestehen? Laden Sie unser E-Book „Meet Your Frankenstein Customer“ herunter, um zu erfahren, wie Flickwerk-Datensätze entstehen und was erforderlich ist, um sie durch eine einheitliche, nachweisbare Sicht auf den Kunden zu ersetzen.
FAQ
Was ist der Unterschied zwischen Daten-Governance und Kunden-Daten-Herkunft?
- Data Governance legt die Regeln fest, wer welche Daten besitzt, wie sie klassifiziert werden sollen und welche Qualitätsstandards gelten.
- Datenherkunft ist der Nachweis darüber, was mit einem Datensatz im Laufe der Zeit passiert ist: wo er herkam, wann er sich geändert hat und wer ihn geändert hat.
Ein Unternehmen kann starke Governance-Richtlinien haben und dennoch die Nachverfolgbarkeit fehlen, die erforderlich ist, um zu zeigen, wie diese Richtlinien auf bestimmte Daten angewendet wurden.
Was ist der Unterschied zwischen deterministischem und probabilistischem Matching?
- Deterministisches Matching verwendet vordefinierte Regeln, um Datensätze basierend auf genauen oder stark definierten Attributkombinationen zu verknüpfen, wie z.B. Kundenidentifikatoren, Kontonummern oder Kombinationen aus Name und Geburtsdatum.
- Probabilistisches Matching bewertet die Wahrscheinlichkeit, dass zwei Datensätze dieselbe Person repräsentieren, basierend auf einer Kombination von Feldern, die ähnlich, aber nicht identisch sind, wie Name, Adresse und Geburtsdatum.
BFSI-Unternehmen benötigen typischerweise sowohl deterministisches Matching für hochgradig vertrauenswürdige Verbindungen als auch probabilistisches Matching, um die schwierigeren Fälle zu erfassen, in denen Identifikatoren fehlen oder in den Systemen inkonsistent sind.
Was betrachtet ein Regulierer bei einer datenzentrierten Prüfung?
Eine datengestützte regulatorische Überprüfung kann von einem Unternehmen verlangen, nachzuweisen, wie Kundendaten ein bestimmtes Ergebnis, einen Prozess oder eine Entscheidung unterstützt haben. Der Regulierer sucht nach Informationen darüber, welche Aufzeichnung verwendet wurde, woher sie stammt, ob es die aktuellste Version zu diesem Zeitpunkt war und wer Zugang hatte, sie zu ändern.
Hilft eine bessere Herkunftsverfolgung von Kundendaten bei mehr als nur der Einhaltung von Vorschriften?
Das tut es. Unternehmen, die die Kundenidentität über Systeme hinweg nachverfolgen können, sehen typischerweise auch weniger doppelte Datensätze, schnellere Einarbeitung und weniger falsch-positive Ergebnisse bei der Sanktionsprüfung, indem sie die Konsistenz und Vollständigkeit der Kundendaten, auf die sie sich stützen, verbessern.
Wie lange dauert es, um für die Prüfung von Kundendaten bereit zu sein?
Dies variiert je nach Unternehmen, abhängig davon, wie viele Systeme Kundendaten speichern und wie fragmentiert diese Aufzeichnungen bereits sind.
Unternehmen mit einem einzigen Kernbank- oder Policenverwaltungssystem bewegen sich typischerweise schneller als diejenigen, die die Kundenidentität über mehrere zu unterschiedlichen Zeiten erstellte Altsysteme verwalten.
