← Blog InsureGuardAI

· Yair Knijn

Le contrôle des sanctions était une tâche de back-office, jusqu'à ce qu'il devienne une responsabilité au niveau du conseil que les administrateurs n'ont jamais suivi

Le directeur des risques et de la conformité traite le screening des sanctions comme une simple tâche technique. Il fonctionne, les analysts traitent les alertes, le fournisseur envoie une facture, et rien ne figure jamais dans les documents du conseil. L'hypothèse est que le silence équivaut à la bonne santé : pas d'alarmes, pas de point à l'ordre du jour. Cela holds right up until an enforcement matter lands, and then the first question is not "did you screen?" but "what did the board know, and when?"

La réponse honnête dans la plupart de ces cas est : rien. Les directeurs n'ont vu aucun chiffre de couverture, aucun arriéré, aucun indicateur de fraîcheur des listes, aucun nombre de correspondances confirmées. Il n'y a aucun compte rendu, aucun tableau de bord, aucune revue validée. Le programme fonctionnait peut-être très bien, mais il n'y a aucune preuve qu'il était gouvernance, et pour un régulateur, cette absence constitue le constat.

Pourquoi l'exécution est interprétée comme un échec de gouvernance, pas seulement opérationnel

Le Framework for OFAC Compliance Commitments d'OFAC place l'engagement de la direction en premier parmi ses cinq composantes, et il est précis sur ce que cela signifie : la direction générale, y compris le conseil, examine et approuve le programme, veille à ce que la conformité dispose d'autorité et de lignes de reporting directes, et est elle-même soumise à un contrôle. Il ne suffit pas que les analysts traitent les alertes en dessous du radar. Le cadre prévoit que la performance du programme soit examinée au niveau du conseil ou de la direction, et il traite une culture de conformité faible comme une cause profonde, pas une note de bas de page.

Ainsi, lorsqu'une désignation manquée surfaces, le régulateur ne demande pas seulement si un nom a été пропущен. Il demande si les personnes responsables de l'entreprise ont construit un système pour le détecter et pouvaient voir si ce système fonctionnait. Un directeur qui ne peut produire un seul élément de reporting a répondu à cette question de la pire façon possible.

Les KRIs de screening qu'un conseil devrait voir : couverture, fraîcheur, arriéré, vraies correspondances

Les conseils n'ont pas besoin de volumes bruts d'alertes. Ils ont besoin d'un petit ensemble d'indicateurs montrant que le programme est complet, actuel et sous contrôle. Si vous ne rapportez rien d'autre trimestriellement, rapportez ceux-ci :

Quatre chiffres, une diapositive. Le point n'est pas la diapositive. Le point est que sa production force le programme à mesurer réellement ces choses, et les lignes de tendance indiquent au directeur où le risque se déplace avant que quelqu'un de l'extérieur du bâtiment ne le leur dise.

Responsabilité personnelle et la norme du "programme efficace"

Le changement ces dernières années est que "nous avons un fournisseur" ne constitue plus une défense. La norme appliquée par les régulateurs est de savoir si le programme était efficace, basé sur les risques et surveillé, et l'efficacité est démontrée par des enregistrements, pas des affirmations. Le crédit d'atténuation dans l'exécution dépend fortement du fait que la direction générale owned la fonction et a répondu aux déficiences identifiées. Le directeur est la personne à laquelle la responsabilité est attachée, par son nom. Un programme sans preuve de supervision n'expose pas seulement l'entreprise ; il supprime la propre défense du directeur.

Produire des preuves de contrôle que les administrateurs peuvent réellement invoquer

Les preuves sont banales et c'est bien là le point. C'est le dossier de KRI daté dans les procès-verbaux du conseil. C'est la revue annuelle du programme avec la signature de quelqu'un. C'est la piste d'audit montrant qu'une correspondance approximative a été examinée, qui l'a validée et sur quelle base, avec la réponse de correspondance brute conservée. C'est le journal de re-screening prouvant qu'une partie contrôlée négative à la souscription a été vérifiée à nouveau le jour où une nouvelle liste est apparue. Rien de tout cela n'est exotique. C'est la différence entre « nous pensons bien筛查 » et « voici l'enregistrement que nous faisons ».

InsureGuardAI est conçu pour que cet enregistrement découle du travail plutôt que d'être constitué dans la panique. Le re-screening continu contre des listes actualisées, la résolution des UBO à travers les couches de propriété, les réponses de correspondance conservées, et une piste d'audit par décision s'accumulent tous dans l'espace de travail du client, de sorte que les métriques de couverture, de fraîcheur, d'arriéré et de vrais positifs soient interrogeables plutôt que reconstituées. Lorsque le conseil d'administration demande ce qu'il savait, la réponse devrait déjà se trouver dans l'espace de travail. Voir comment cela fonctionne.