Le verifiche di conformità si basano sempre più sulle prove concrete e non solo sulle politiche aziendali. Le autorità di regolamentazione e di vigilanza si aspettano sempre più spesso che le società di servizi finanziari dimostrino in che modo monitorano i risultati dei clienti, gestiscono i rischi operativi e relativi ai dati e regolano le decisioni soggette a regolamentazione, comprese quelle supportate dall’intelligenza artificiale.
Ciò non significa che ogni normativa richieda la produzione, su richiesta, di un registro storico completo dei clienti. Significa invece che le società devono disporre di prove sufficientemente affidabili per spiegare i dati, i controlli e le responsabilità alla base di un risultato o di una decisione rilevante per il cliente.
Per le banche e le compagnie assicurative con dati relativi a clienti e soggetti frammentati su più sistemi, raccogliere tali prove può risultare un processo lento, manuale e incompleto. Il rischio non è semplicemente che i registri differiscano tra loro, ma che l’azienda non sia in grado di stabilire immediatamente quale identità e quale contesto abbiano influenzato una decisione.
Continua a leggere per scoprire quali prove le autorità di regolamentazione si aspettano sempre più spesso dalle aziende e come banche e assicuratori possano prepararsi prima dell’inizio di una verifica.
Quali dati sui clienti devono essere forniti a sostegno durante il controllo normativo
Il «Consumer Duty», il Regolamento generale sulla protezione dei dati (GDPR), il Digital Operational Resilience Act (DORA), le aspettative di vigilanza della Financial Conduct Authority (FCA) e della Prudential Regulation Authority (PRA), nonché la legge dell’UE sull’intelligenza artificiale (AI Act) non impongono requisiti identici. Nel loro insieme, tuttavia, pongono maggiore enfasi sulla qualità dei dati, sulla governance, sulla resilienza, sulla tracciabilità e sulla responsabilità.
Nel corso di una verifica, un’impresa potrebbe dover dimostrare in che modo i dati dei clienti abbiano contribuito a un determinato risultato, processo o decisione.
In pratica, rispondere con sicurezza al controllo normativo dipende spesso dalla capacità di dimostrare:
- Da dove provengano i dati rilevanti relativi ai clienti
- Come e quando sono stati modificati e quale fonte ha prevalso
- Quali controlli, misure di gestione e approvazioni sono stati applicati
- Quale versione e quale contesto relazionale abbiano determinato il risultato o la decisione
Una politica scritta descrive l’ambiente di controllo previsto. La tracciabilità e la cronologia degli audit forniscono prove di come i controlli siano stati applicati a un determinato record in un determinato momento.
L’enfasi varia a seconda del mercato:
- Le imprese del Regno Unito sono soggette alle pressioni derivanti dai requisiti della FCA, come il «Consumer Duty», oltre alle più ampie aspettative della FCA e della PRA in materia di governance dei dati e resilienza operativa
- Le imprese dell’UE devono tenere conto della responsabilità prevista dal GDPR e dell’accuratezza dei dati, dei requisiti del DORA in materia di ICT e resilienza dei dati e, per i sistemi ad alto rischio che rientrano nel campo di applicazione, dei requisiti dell’AI Act relativi alla governance dei dati, alla documentazione, alla conservazione dei dati e alla supervisione
- Le imprese statunitensi devono far fronte a aspettative correlate in materia di identificazione dei clienti e KYC, conformità alle norme antiriciclaggio e alle sanzioni, equità creditizia, privacy e requisiti relativi al rischio di modello, a seconda dell’attività e dell’autorità di regolamentazione
Le diverse aree di interesse creano una sfida operativa comune: le aziende del settore bancario, dei servizi finanziari e assicurativo (BFSI) necessitano di dati affidabili e prove difendibili.
Cosa succede quando il tuo cliente sembra quattro persone diverse
La stessa persona può apparire come cliente di un servizio bancario al dettaglio, mutuatario ipotecario, assicurato, amministratore di società o titolare effettivo in sistemi diversi. Ogni sistema conserva una versione creata in un momento diverso e per uno scopo diverso.
Un efficace screening delle sanzioni e l’aggiornamento delle informazioni KYC si basano sulla risoluzione accurata di queste versioni e relazioni. Quando l’identità è frammentata, una verifica relativa alla criminalità finanziaria o alle sanzioni può trasformarsi in un’operazione di riconciliazione manuale che coinvolge i sistemi bancari, ipotecari, patrimoniali e assicurativi. Ogni sistema può mostrare un nome, un indirizzo, un legame di proprietà o una classificazione di rischio diversi per quello che dovrebbe essere un unico cliente o soggetto.
Quando ciò accade, il team di conformità si trova di fronte a tre domande:
- Qual è il dato attendibile?
- In che modo sono collegati i rapporti e i conti del cliente?
- La verifica è stata effettuata sulla base di un quadro completo o parziale?
Il contesto delle parti coinvolte è importante tanto quanto l’identità. Gli istituti finanziari devono comprendere quali conti controlla un cliente, quali attività possiede, quali polizze detiene e in che modo sono collegati persone fisiche, persone giuridiche e intermediari.
Senza un livello di identità regolamentato, rispondere a queste domande in modo coerente può risultare lento e difficile. Ogni identità o relazione non chiarita indebolisce la capacità dell’azienda di difendere una decisione o il risultato di uno screening.
Perché il vostro CRM o il vostro data warehouse da soli potrebbero non risolvere il problema dell’identità del cliente
La maggior parte delle aziende utilizza già un CRM e un data warehouse. Entrambi sono essenziali, ma nessuno dei due fornisce necessariamente la risoluzione, l’abbinamento, la sopravvivenza e la gestione delle relazioni delle identità regolamentate necessarie per stabilire un’identità del cliente persistente e affidabile in tutti i sistemi di origine.
- I sistemi CRM sono progettati principalmente per gestire le interazioni e il coinvolgimento dei clienti
- I data warehouse consolidano i dati per l’analisi e il reporting
Nessuno dei due è progettato per rispondere alla questione più specifica relativa all’identità: questi record rappresentano la stessa persona o organizzazione, quali fonti dovrebbero prevalere e tale decisione può essere giustificata?
Un livello di identità governato integra le piattaforme CRM e di dati fornendo un’identità persistente dei clienti e delle parti, il contesto delle relazioni e regole trasparenti che i processi a valle possono riutilizzare.
Perché l’intelligenza artificiale rende la gestione dei dati dei clienti una questione di conformità ancora più complessa
L’IA e l’analisi avanzata vengono sempre più applicate a processi quali l’onboarding, il rilevamento delle frodi, il servizio clienti, la gestione dei reclami e alcuni aspetti della valutazione del credito e del rischio. L’IA non sostituisce gli obblighi normativi relativi a tali processi. Per i casi d’uso ad alto rischio che rientrano nel campo di applicazione, può aggiungere ulteriori requisiti in materia di governance dei dati, documentazione, conservazione dei dati e supervisione umana.
Quando un'autorità di regolamentazione esamina una di queste decisioni, l'attenzione si sposta su:
- Quali dati relativi ai clienti e alle parti siano stati utilizzati dal sistema e da quali fonti provengano
- Se tali dati fossero sufficientemente accurati, completi e pertinenti al momento
- Quali controlli, responsabili e supervisione umana sono stati applicati al risultato
L’automazione amplifica la frammentazione dei dati. Un record errato, obsoleto o risolto in modo errato può influenzare molte decisioni a valle prima che il problema venga individuato.
La gestione dei dati di riferimento (MDM) da sola non rende un sistema di IA conforme. Un’identità del cliente governata e tracciabile può, tuttavia, fornire un contesto affidabile e prove a sostegno dei dati che alimentano le decisioni basate sull’intelligenza artificiale.
Senza tale base, una decisione guidata dall’IA eredita la stessa debolezza di una decisione umana, fondata su un record di cui nessuno può garantire pienamente l’attendibilità.
Cosa verificare prima del prossimo audit
La maggior parte dei programmi di conformità verifica se i dati dei clienti appaiono corretti, ma pochi verificano se siano difendibili, come siano stati selezionati, gestiti e utilizzati.
Prima del prossimo audit, dell’aggiornamento KYC o della revisione di una decisione basata sull’intelligenza artificiale, ponetevi una domanda più approfondita:
Per un singolo cliente, in un determinato momento, siete in grado di ricostruire l’identità e le relazioni utilizzate, risalire alla fonte dei valori chiave e dimostrare quali controlli ed eccezioni sono stati applicati?
Se la risposta richiede settimane di lavoro manuale su diversi sistemi, il rischio risiede nel divario probatorio tra la politica aziendale e i dati operativi.
In che modo Stibo Systems aiuta le aziende del settore BFSI a dimostrare l’identità dei clienti
Stibo Systems gestisce l’identità dei clienti tramite l’MDM, basato su STEP, la nostra piattaforma di intelligence affidabile. Essa:
- Risolve i record relativi a clienti e soggetti utilizzando regole di corrispondenza configurabili, sia deterministiche che probabilistiche
- Applica regole trasparenti di fusione e di sopravvivenza per determinare i valori attendibili
- Modella relazioni e gerarchie tra persone fisiche, persone giuridiche, conti, polizze, intermediari e parti correlate
- Collega i dati relativi a clienti e soggetti ad altri ambiti gestiti, quali i dati relativi a prodotti, sedi e fornitori
Flussi di lavoro configurabili, regole di convalida, gestione responsabile, controlli di accesso, tracciabilità e cronologia degli audit aiutano le aziende a comprendere come sono cambiati i dati master, chi li ha modificati e quali controlli sono stati applicati.
STEP funge da livello operativo di fiducia. Non sostituisce il CRM, le piattaforme dati, gli strumenti GRC né la governance dei modelli; fornisce loro un contesto coerente di identità e relazioni, rendendo più facile il recupero delle prove senza dover ricostruire la cronologia di un record dopo l’arrivo di una richiesta.
La normativa continuerà ad evolversi, ma la questione operativa rimane immutabile: l’azienda è in grado di dimostrare quali dati relativi a clienti e soggetti abbia ritenuto affidabili, come sia stata stabilita tale fiducia e dove siano stati utilizzati?
Le aziende del settore BFSI in grado di rispondere con chiarezza sono meglio posizionate per affrontare i controlli normativi e implementare un’IA responsabile su larga scala.
Non sapete esattamente di cosa sia composta la vostra anagrafica clienti? Scaricate il nostro ebook, «Meet Your Frankenstein Customer», per scoprire come si formano i dati frammentari e cosa occorre per sostituirli con una visione del cliente unificata, controllata e difendibile.
FAQ
Qual è la differenza tra governance dei dati e tracciamento dei dati dei clienti?
- La governance dei dati stabilisce le regole, chi possiede quali dati, come devono essere classificati e quali standard di qualità si applicano.
- La tracciabilità dei dati è il registro di ciò che è successo a un dato nel tempo: da dove proveniva, quando è cambiato e chi lo ha cambiato.
Un'azienda può avere politiche di governance solide e comunque mancare della tracciabilità necessaria per dimostrare come quelle politiche siano state applicate a dati specifici.
Qual è la differenza tra il matching deterministico e quello probabilistico?
- Il matching deterministico utilizza regole predefinite per collegare i record basandosi su combinazioni di attributi esatti o fortemente definiti, come identificatori dei clienti, numeri di conto o combinazioni di nome e data di nascita.
- Il matching probabilistico valuta la probabilità che due record rappresentino la stessa persona basandosi su una combinazione di campi simili ma non identici, come nome, indirizzo e data di nascita.
Le aziende BFSI tipicamente necessitano sia di un abbinamento deterministico per collegamenti ad alta fiducia sia di un abbinamento probabilistico per catturare i casi più difficili in cui gli identificatori sono mancanti o incoerenti tra i sistemi.
Cosa esamina un regolatore durante un esame incentrato sui dati?
Una revisione normativa incentrata sui dati potrebbe richiedere a un'azienda di dimostrare come i dati dei clienti abbiano supportato un particolare risultato, processo o decisione. Il regolatore sta cercando informazioni su quale registrazione è stata utilizzata, da dove proveniva, se era la versione più aggiornata al momento e chi aveva accesso per modificarla.
Il miglioramento della tracciabilità dei dati dei clienti aiuta in qualcosa oltre alla conformità?
Tende a. Le aziende che possono tracciare l'identità dei clienti attraverso i sistemi tendono anche a vedere meno record duplicati, un onboarding più veloce e meno falsi positivi nel controllo delle sanzioni migliorando la coerenza e la completezza dei dati dei clienti su cui si basano.
Quanto tempo ci vuole per essere pronti per un audit sui dati dei clienti?
Questo varia a seconda dell'azienda, in base a quanti sistemi contengono i dati dei clienti e a quanto siano già frammentati quei registri.
Le aziende con un unico sistema bancario centrale o di gestione delle polizze tendono a muoversi più rapidamente rispetto a quelle che gestiscono l'identità dei clienti su più piattaforme legacy costruite in tempi diversi.
