Što je Risk-Based Approach?

Kako funkcioniše Risk-Based Approach?\n\nRisk-Based Approach se ne sastoji samo od generisanja jednog risk score-a. Stvarni cilj je odrediti nivo kontrole koji će se primijeniti zajedničkom procjenom različitih signala rizika koji se odnose na klijenta, transakciju i ponašanje.\n\nProces se generalno može posmatrati kroz četiri faze.\n\n### 1. Identifikuju se faktori rizika\n\nPrvo se definišu signali rizika koji mogu uticati na klijenta ili transakciju.\n\nOni mogu uključivati:\n\n- Djelatnost klijenta\n- Obim i učestalost transakcija\n- Zemlja ili lokacija koja se koristi\n- Druga strana u transakciji\n- Customer Risk Profile\n- Istorijsko ponašanje računa\n- Podaci o device-u i IP adresi\n- Rezultati za Sanctions ili PEP\n- Kanal transakcije\n- Vlasnička struktura klijenta ili kompanije\n\nJedan faktor najčešće nije dovoljan. Ono što je važno jeste kakvu sliku rizika ovi signali zajedno stvaraju.\n\nNa primjer, korišćenje novog device-a samo po sebi ne mora biti značajan rizik. Međutim, ako se istovremeno uoče novi device, druga lokacija, novi primalac i transfer sa iznosom koji je mnogo veći od uobičajenog ponašanja klijenta, transakcija se može procijeniti drugačije.\n\n### 2. Procjenjuje se kontekst klijenta i transakcije\n\nIsta transakcija ne znači isto za svakog klijenta.\n\nNa primjer, transfer u iznosu od 200.000 TL može biti normalan za korporativnog klijenta sa visokim obimom transakcija. Isti iznos može zahtijevati detaljniju analizu na novootvorenom privatnom računu koji je do sada obavljao transakcije malog obima.\n\nUpravo tu na scenu stupa Risk-Based Approach.\n\nSistem ne gleda samo na pitanje:\n\n„Da li je prekoračen limit iznosa?“\n\nOn takođe procjenjuje i sljedeće:\n\n- Da li je ova transakcija normalna za ovog klijenta?\n- Da li je ranije pokazivao slično ponašanje?\n- Da li se koristi novi device?\n- Da li je vrijeme transakcije uobičajeno?\n- Da li je definisan novi primalac?\n- Postoji li nagla promjena u učestalosti transakcija?\n- Da li je druga strana povezana sa drugim rizičnim računima?\n\nZbog toga u procjeni rizika nije važna samo sama transakcija, već i kontekst u kojem se ona odvija.\n\nU FATF-ovom Risk-Based Approach pristupu, osnovna logika je takođe identifikovanje rizika i osiguravanje da su primijenjene mjere proporcionalne utvrđenom nivou rizika.\n\n### 3. Određuje se nivo rizika\n\nPrikupljeni signali rizika koriste se za procjenu nivoa rizika klijenta ili event-a.\n\nNa primjer:\n\n- Korišćenje novog device-a\n- Neuobičajena lokacija\n- Veliki broj transakcija u kratkom vremenskom periodu\n- Novi primalac\n- Poklapanje sa Sanctions ili PEP listama\n- Značajno odstupanje od istorijskog ponašanja klijenta\n\ntakvi signali se mogu procjenjivati pojedinačno ili zajedno.\n\nVažna tačka ovdje je da visoki risk score ne znači direktno fraud ili krivično djelo.\n\nRisk score je više:\n\n„Da li ovu transakciju ili klijenta treba detaljnije ispitati?“\n\nelement podrške odlučivanju koji pomaže u odgovoru na to pitanje.\n\n### 4. Određuje se akcija na osnovu nivoa rizika\n\nPosljednja faza Risk-Based Approach-a nije samo otkrivanje rizika, već i određivanje odgovarajuće akcije za taj rizik.\n\nDok transakcija niskog rizika može da se nastavi normalno, za event sa višim rizikom mogu se primijeniti različite kontrole kao što su:\n\n- Dodatna verifikacija\n- Kreiranje alert-a\n- Otvaranje case-a\n- Manuelni review\n- Ongoing Monitoring\n- Enhanced Due Diligence\n\nNa taj način, svaki klijent i svaka transakcija ne moraju prolaziti kroz isti proces analize.\n\n## Da li svaki klijent visokog rizika treba biti odbijen?\n\nNe.\n\nOvo je jedna od najčešćih zabluda u vezi sa Risk-Based Approach-om.\n\nVisoki rizik ne znači:\n\n„Sa ovim klijentom se apsolutno ne može sarađivati.“\n\nOn ukazuje na to da mogu biti potrebne dodatne kontrole, kao što su detaljnija analiza, dodatna verifikacija, češći monitoring ili Enhanced Due Diligence.\n\nCilj ovog pristupa nije eliminisanje svakog odnosa sa klijentom koji nosi rizik, već ispravno identifikovanje i upravljanje rizikom.\n\nZbog toga je potrebno uspostaviti uravnotežen odnos između nivoa rizika i kontrole koja će se primijeniti.\n\n## Koja je razlika između Risk-Based Approach-a i Rule-Based Approach-a?\n\nOva dva pristupa nijesu alternativa jedan drugom.\n\nRule-Based Approach funkcioniše na osnovu unaprijed definisanih, jasnih uslova.\n\nNa primjer:\n\nAko je ukupan iznos transfera u posljednja 24 sata veći od 100.000 TL, kreiraj alert.\n\nOvo pravilo je jasno i lako se primjenjuje.\n\nMeđutim, ako se posmatra samo ovo pravilo, istorijsko ponašanje klijenta ili kontekst u kojem se transakcija odvija mogu biti zanemareni.\n\nRisk-Based Approach, sa druge strane, posmatra istu transakciju iz šire perspektive:\n\n- Koliko dugo je račun otvoren?\n- Koliki je uobičajeni obim transakcija klijenta?\n- Da li se device promijenio?\n- Da li se lokacija promijenila?\n- Postoji li povećanje učestalosti transakcija?\n- Da li se primalac koristi prvi put?\n- Postoje li drugi signali rizika?\n\nZbog toga se u snažnoj strukturi upravljanja rizikom Rule Engine i procjena zasnovana na riziku (risk-based) mogu koristiti zajedno.\n\nDok pravila hvataju određena ponašanja, procjena rizika pomaže da se razumije šta ta ponašanja znače za klijenta.\n\n## Zašto se rizik mora kontinuirano ažurirati?\n\nNivo rizika klijenta ne bi trebalo da se određuje samo tokom onboarding-a i ostavlja nepromijenjen godinama.\n\nJer se ponašanje klijenta može promijeniti tokom vremena.\n\nNa primjer:\n\n- Obim transakcija se može povećati.\n- Može početi da obavlja transakcije sa različitim zemljama.\n- Navike u vezi sa device-om ili lokacijom se mogu promijeniti.\n- Vlasnička struktura kompanije se može promijeniti.\n- Može doći do novog poklapanja sa Sanctions ili PEP listama.\n- Mogu se uočiti neuobičajene promjene u učestalosti transakcija.\n\nZbog toga se Risk-Based Approach mora posmatrati zajedno sa Ongoing Monitoring-om.\n\nNivo rizika klijenta može se ponovo procijeniti kako se pojavljuju nove informacije i promjene u ponašanju.\n\n## Kako Truvali podržava proces Risk-Based Approach-a?\n\nDoprinos Truvali-ja ovdje je u tome što procjenu rizika pretvara iz statičke oznake kreirane samo tokom prihvatanja klijenta u strukturu koja funkcioniše na nivou transakcija i event-a.\n\n### Real-Time Risk Scoring\n\nTruvali ne posmatra rizik korisnika samo kao fiksni score dodijeljen tokom onboarding-a.\n\nTransaction patterns, behavioral indicators, device, IP, network signals i drugi faktori rizika mogu se uključiti u procjenu. Kako se ponašanje mijenja, risk score se može ponovo izračunati.\n\n### Finansijski i nefinansijski event-i se procjenjuju zajedno\n\nRizik ne proizilazi samo iz transfera novca.\n\nNefinansijski event-i, kao što su korišćenje novog device-a, promjena IP adrese, ažuriranje podataka o računu, prijava sa druge lokacije ili dodavanje novog primaoca, takođe se mogu procjenjivati zajedno sa finansijskim kretanjima.\n\nU strukturi Event Score Engine-a platforme Truvali, različiti signali kao što su transaction history, user behavior, device & IP, network relationships, rezultati watchlist-a i Customer Risk Profile mogu se uključiti u istu procjenu.\n\n### Dynamic Rule & Scenario Engine\n\nSklonost ka riziku i ponašanje korisnika koje se smatra normalnim razlikuju se kod svake institucije.\n\nU Truvali-ju, institucije mogu kreirati sopstvene scenarije rizika i uključiti različita polja u uslove Rule Engine-a.\n\nMogu se koristiti custom time window-i, kao što su posljednjih 30 minuta, posljednja 24 sata ili posljednjih 15 transakcija.\n\nPomoću Cross-Entity Checking-a, pošiljalac, primalac, računi koji koriste zajednički IP ili device, kao i rezultati sa blacklist-a, mogu se provjeriti unutar istog scenarija.\n\n### Različite akcije na osnovu rezultata rizika\n\nU Truvali-ju, rezultat procjene rizika ne mora ostati samo kao score prikazan na ekranu.\n\nU zavisnosti od scenarija koji je institucija definisala:\n\n- Transakcija se može nastaviti.\n- Može se primijeniti dodatna verifikacija.\n- Može se kreirati alert.\n- Može se otvoriti case.\n- Može se pokrenuti manuelni review.\n- Akcija se može prenijeti na glavni sistem institucije putem callback-a.\n\nNa taj način, svaki signal rizika ne vodi do istog ishoda; akcija se može oblikovati prema politici rizika institucije i kontekstu event-a.\n\n## Često postavljana pitanja\n\n### Da li se Risk-Based Approach koristi samo za AML?\n\nNe. Pored AML/CFT procesa, različite kontrole se mogu primijeniti u zavisnosti od nivoa rizika i u procesima kao što su fraud, Customer Risk Scoring, Transaction Monitoring i KYC/KYB.\n\n### Da li visoki risk score ukazuje na to da je klijent kriminalac?\n\nNe. Visoki risk score ukazuje na to da klijenta ili transakciju treba detaljnije procijeniti. Sam po sebi nije dokaz krivičnog djela ili prekršaja.\n\n### Mogu li Risk-Based Approach i Transaction Monitoring raditi zajedno?\n\nDa. Dok Transaction Monitoring prati kretanje transakcija, Risk-Based Approach omogućava da se ova kretanja procjenjuju zajedno sa profilom klijenta, istorijskim ponašanjem i drugim signalima rizika.\n\n### Da li je risk score fiksan?\n\nNe. Procjena rizika se može ponovo izvršiti kako se mijenjaju ponašanje klijenta, istorija transakcija, lokacija, device ili drugi faktori rizika.