As auditorias de conformidade dependem cada vez mais de evidências, e não apenas de políticas. Os órgãos reguladores e supervisores esperam, cada vez mais, que as empresas de serviços financeiros demonstrem como monitoram os resultados para os clientes, gerenciam os riscos operacionais e de dados e controlam as decisões regulamentadas, incluindo aquelas apoiadas por IA.
Isso não significa que toda regulamentação exija a apresentação, mediante solicitação, de um registro mestre histórico do cliente. Significa, sim, que as empresas precisam de evidências suficientemente confiáveis para explicar os dados, os controles e a prestação de contas por trás de um resultado ou decisão relevante para o cliente.
Para bancos e seguradoras cujos dados de clientes e partes envolvidas estão fragmentados em vários sistemas, reunir essas evidências pode ser um processo lento, manual e incompleto. O risco não é simplesmente que os registros sejam diferentes; é que a empresa não consiga determinar prontamente qual identidade e contexto serviram de base para uma decisão.
Continue lendo para saber o que os órgãos reguladores esperam cada vez mais que as empresas comprovem e como bancos e seguradoras podem se preparar antes do início de uma auditoria.
Quais dados de clientes devem ser comprovados durante a análise regulatória
O Dever para com o Consumidor, o Regulamento Geral de Proteção de Dados (RGPD), a Lei de Resiliência Operacional Digital (DORA), as expectativas de supervisão da Autoridade de Conduta Financeira (FCA) e da Autoridade de Regulamentação Prudencial (PRA), bem como a Lei de IA da UE, não impõem requisitos idênticos. Juntos, no entanto, eles aumentam o foco na qualidade dos dados, governança, resiliência, rastreabilidade e prestação de contas.
Durante uma análise, uma empresa pode precisar comprovar como os dados dos clientes contribuíram para um determinado resultado, processo ou decisão.
Na prática, responder com segurança ao escrutínio regulatório muitas vezes depende da capacidade de demonstrar:
- De onde se originaram os dados relevantes do cliente
- Como e quando eles se alteraram, e qual fonte prevaleceu
- Quais controles, ações de gestão e aprovações foram aplicados
- Qual versão e contexto de relação influenciaram o resultado ou a decisão
Uma política por escrito descreve o ambiente de controle pretendido. A linhagem e o histórico de auditoria fornecem evidências de como os controles foram aplicados a um registro específico em um determinado momento.
A ênfase varia de acordo com o mercado:
- As empresas do Reino Unido enfrentam pressão por meio de requisitos da FCA, como o Dever para com o Consumidor, além de expectativas mais amplas da FCA e da PRA em relação à governança de dados e à resiliência operacional
- As empresas da UE devem levar em consideração a prestação de contas e a precisão dos dados exigidas pelo GDPR, os requisitos de TIC e resiliência de dados da DORA e, para sistemas de alto risco abrangidos pela lei, os requisitos da Lei de IA relativos à governança de dados, documentação, manutenção de registros e supervisão
- As empresas dos EUA enfrentam expectativas relacionadas à identificação de clientes e ao KYC, conformidade com AML e sanções, concessão justa de crédito, privacidade e requisitos de risco de modelos, dependendo da atividade e do órgão regulador
Diferentes áreas de foco criam um desafio operacional comum: as empresas dos setores bancário, de serviços financeiros e de seguros (BFSI) precisam de dados confiáveis e evidências defensáveis.
O que acontece quando seu cliente parece ser quatro pessoas diferentes
A mesma pessoa pode aparecer como cliente de banco de varejo, mutuário de hipoteca, segurado, diretor de empresa ou beneficiário efetivo em diferentes sistemas. Cada sistema contém uma versão criada em um momento diferente e para uma finalidade diferente.
Uma verificação eficaz de sanções e a atualização das informações de KYC (Conheça seu Cliente) dependem da resolução precisa dessas versões e relações. Quando a identidade está fragmentada, uma análise de crimes financeiros ou sanções pode se tornar um exercício manual de reconciliação entre os sistemas bancários, hipotecários, de gestão de patrimônio e de seguros. Cada sistema pode apresentar um nome, endereço, vínculo de propriedade ou classificação de risco diferente para o que deveria ser um único cliente ou parte.
Quando isso acontece, a equipe de conformidade se depara com três questões:
- Qual registro é o confiável?
- Como as relações e contas do cliente estão conectadas?
- A verificação foi feita com base no quadro completo ou em um quadro parcial?
O contexto das partes envolvidas é tão importante quanto a identidade. As instituições financeiras precisam entender quais contas um cliente controla, quais empresas ele possui, quais apólices ele detém e como pessoas físicas, pessoas jurídicas e intermediários estão interligados.
Sem uma camada de identidade regulamentada, responder a essas perguntas de maneira consistente pode ser demorado e difícil. Cada identidade ou relação não esclarecida enfraquece a capacidade da empresa de defender uma decisão ou um resultado de triagem.
Por que seu CRM ou data warehouse, por si só, pode não resolver o problema da identidade do cliente
A maioria das empresas já utiliza um CRM e um data warehouse. Ambos são essenciais, mas nenhum deles fornece necessariamente a resolução, o cruzamento, a priorização e o gerenciamento de relações de identidade regulamentados, necessários para estabelecer uma identidade de cliente persistente e confiável em todos os sistemas de origem.
- Os sistemas de CRM são projetados principalmente para gerenciar interações e engajamento com o cliente
- Os data warehouses consolidam dados para análises e relatórios
Nenhum deles foi projetado para responder à questão mais específica sobre identidade: esses registros representam a mesma pessoa ou organização? Quais fontes devem prevalecer? E essa decisão pode ser explicada?
Uma camada de identidade governada complementa as plataformas de CRM e de dados, fornecendo identidade persistente de clientes e partes, contexto de relacionamento e regras transparentes que os processos posteriores podem reutilizar.
Por que a IA transforma os dados de clientes em uma questão de conformidade ainda mais complexa
A IA e a análise avançada estão sendo cada vez mais aplicadas em processos como integração de novos clientes, detecção de fraudes, atendimento ao cliente, reclamações e elementos de avaliação de crédito e risco. A IA não substitui as obrigações regulatórias relacionadas a esses processos. Para casos de uso de alto risco abrangidos pela regulamentação, ela pode adicionar requisitos relacionados à governança de dados, documentação, manutenção de registros e supervisão humana.
Quando um órgão regulador analisa uma dessas decisões, o foco do escrutínio passa a ser:
- Quais dados de clientes e de terceiros o sistema utilizou e de quais fontes
- Se esses dados eram suficientemente precisos, completos e relevantes naquele momento
- Quais controles, responsáveis e supervisão humana foram aplicados ao resultado
A automação amplifica a fragmentação dos dados. Um registro errado, desatualizado ou resolvido incorretamente pode influenciar muitas decisões posteriores antes que o padrão seja detectado.
A gestão de dados mestres (MDM), por si só, não torna um sistema de IA em conformidade. Uma identidade do cliente regulamentada e rastreável pode, no entanto, fornecer contexto e evidências confiáveis para os dados que alimentam as decisões baseadas em IA.
Sem essa base, uma decisão orientada por IA herda a mesma fragilidade de uma decisão humana, construída sobre um registro pelo qual ninguém pode garantir totalmente a veracidade.
O que verificar antes da sua próxima auditoria
A maioria dos programas de conformidade verifica se os dados dos clientes parecem corretos, mas poucos verificam se eles podem ser defendidos, como foram selecionados, governados e utilizados.
Antes da próxima auditoria, atualização de KYC ou revisão de uma decisão baseada em IA, faça uma pergunta mais exigente:
Para um cliente específico, em um determinado momento, você consegue reproduzir a identidade e os relacionamentos utilizados, rastrear os valores-chave até sua origem e demonstrar quais controles e exceções foram aplicados?
Se a resposta exigir semanas de trabalho manual em vários sistemas, o risco reside na lacuna de evidências entre a política e os dados operacionais.
Como a Stibo Systems ajuda empresas do setor BFSI a comprovar a identidade do cliente
A Stibo Systems gerencia a identidade do cliente por meio do MDM, com tecnologia da STEP, nossa plataforma de inteligência confiável. Ela:
- Resolve registros de clientes e partes por meio de correspondência configurável, tanto determinística quanto probabilística
- Aplica regras transparentes de fusão e sobrevivência para determinar valores confiáveis
- Modela relações e hierarquias entre pessoas físicas, pessoas jurídicas, contas, apólices, intermediários e partes relacionadas
- Conecta os dados de clientes e partes com outros domínios gerenciados, como dados de produtos, localizações e fornecedores
Fluxos de trabalho configuráveis, regras de validação, gestão, controles de acesso, linhagem e histórico de auditoria ajudam as empresas a entender como os dados mestres foram alterados, quem os alterou e quais controles foram aplicados.
O STEP atua como uma camada de confiança operacional. Ele não substitui o CRM, as plataformas de dados, as ferramentas de GRC nem a governança de modelos; ele fornece a esses sistemas um contexto consistente de identidade e relacionamento, facilitando a recuperação de evidências sem a necessidade de reconstruir o histórico de um registro após o recebimento de uma solicitação.
A regulamentação continuará a evoluir, mas a questão operacional permanece: a empresa é capaz de demonstrar em quais dados de clientes e partes confiou, como essa confiança foi estabelecida e onde ela foi utilizada?
As empresas do setor BFSI que conseguirem responder com clareza estarão melhor posicionadas para enfrentar o escrutínio regulatório e adotar uma IA responsável em grande escala.
Não tem certeza do que realmente compõe o seu registro de clientes? Baixe nosso e-book, “Conheça seu cliente Frankenstein”, para ver como se formam os registros fragmentados e o que é necessário para substituí-los por uma visão única, governada e defensável do cliente.
Perguntas frequentes
Qual é a diferença entre governança de dados e linhagem de dados do cliente?
- A governança de dados estabelece as regras, quem é o proprietário de quais dados, como eles devem ser classificados e quais padrões de qualidade se aplicam.
- A linhagem de dados é o registro do que aconteceu com um pedaço de dado ao longo do tempo: de onde veio, quando mudou e quem o mudou.
Uma empresa pode ter políticas de governança fortes e ainda assim carecer da linhagem necessária para demonstrar como essas políticas foram aplicadas a dados específicos.
Qual é a diferença entre correspondência determinística e probabilística?
- A correspondência determinística usa regras predefinidas para vincular registros com base em combinações de atributos exatos ou fortemente definidos, como identificadores de clientes, números de conta ou combinações de nome e data de nascimento.
- A correspondência probabilística avalia a probabilidade de que dois registros representem a mesma pessoa com base em uma combinação de campos que são semelhantes, mas não idênticos, como nome, endereço e data de nascimento.
As empresas de BFSI geralmente precisam tanto de correspondência determinística para links de alta confiança quanto de correspondência probabilística para capturar os casos mais difíceis, onde os identificadores estão ausentes ou inconsistentes entre os sistemas.
O que um regulador analisa durante uma inspeção focada em dados?
Uma revisão regulatória focada em dados pode exigir que uma empresa demonstre como os dados dos clientes apoiaram um resultado, processo ou decisão específica. O regulador está procurando informações sobre qual registro foi usado, de onde ele veio, se era a versão mais atual na época e quem tinha acesso para alterá-lo.
Melhorar a rastreabilidade dos dados dos clientes ajuda em algo além da conformidade?
Tende a. As empresas que conseguem rastrear a identidade do cliente através dos sistemas geralmente também veem menos registros duplicados, um processo de integração mais rápido e menos falsos positivos na triagem de sanções ao melhorar a consistência e a completude dos dados dos clientes em que confiam.
Quanto tempo leva para estar pronto para auditoria de dados de clientes?
Isso varia de empresa para empresa, dependendo de quantos sistemas armazenam dados dos clientes e quão fragmentados esses registros já estão.
As empresas com um único sistema central de banco ou administração de apólices geralmente se movem mais rápido do que aquelas que gerenciam a identidade do cliente em várias plataformas legadas construídas em diferentes épocas.
