Što je Maker-Checker tok rada?
U borbi protiv finansijskog kriminala, sprječavanju prevara (fraud) i operacijama usklađenosti, donošenje odluka o određenim transakcijama od strane samo jedne osobe može predstavljati ozbiljan rizik. Druga tačka kontrole je neophodna za korake kao što su puštanje novog pravila u produkciju, zatvaranje visokorizičnog predmeta ili primjena kritičnih akcija.
Maker-Checker tok rada je kontrolni mehanizam koji osigurava da osoba koja priprema kritičnu transakciju ne može sama odobriti tu istu transakciju.
Logika je jednostavna:
Maker priprema transakciju. Checker je provjerava, odobrava ili vraća na doradu.
Ova struktura osigurava podjelu dužnosti, smanjuje greške i olakšava praćenje odluka, posebno u procesima kao što su AML, Fraud Detection, Rule Engine i Case Management.
Kako funkcioniše Maker-Checker tok rada?
Zamislimo da stručnjak za usklađenost priprema novo pravilo za Transaction Monitoring.
Stručnjak definiše koje ponašanje će se smatrati rizičnim, unosi granične vrijednosti i određuje na koje segmente klijenata ili transakcija će se pravilo primjenjivati.
U ovoj fazi, stručnjak ima ulogu Makera.
Umjesto da se pravilo direktno pusti u produkciju, ono se šalje Checkeru. Checker pregleda uslove pravila, granične vrijednosti i potencijalni uticaj na operacije.
Ako je potrebno, mogu se analizirati i rezultati simulacije kako bi se vidjelo kako bi pravilo funkcionisalo na istorijskim podacima.
Ako Checker smatra da je pravilo odgovarajuće, on ga odobrava. Ako smatra da su potrebne izmjene, vraća ga Makeru uz obrazloženje.
Na taj način se osigurava da se kritična promjena ne uvodi na osnovu odluke samo jedne osobe.
Zašto je potrebna druga kontrola?
Mala promjena u pravilu može imati velike posljedice na operativnom nivou.
Na primjer, ako se granična vrijednost za scenario koji analizira klijente sa 10 transakcija u posljednja 24 sata greškom postavi na 2, u kratkom roku može se generisati ogroman broj alerti.
U tom slučaju, tim za usklađenost bi morao istraživati nepotrebne alerte umjesto da se fokusira na stvarne rizike.
Moguće je i obrnuto. Ako se granična vrijednost postavi previsoko, neka ponašanja koja zahtijevaju analizu mogu proći neprimijećeno.
Maker-Checker struktura ovdje stvara drugi nivo kontrole.
Cilj nije usporavanje procesa, već osiguravanje da se kritične promjene odvijaju pod kontrolom.
Kako se koristi u procesima Case Management-a?
Jedna od važnih oblasti primjene Maker-Checker pristupa su procesi Case Management-a.
Kada se alert uzme u analizu, analitičar pred sobom nema samo jednu transakciju. Istorija klijenta, rezultati screening-a, povezani računi, prethodni predmeti i drugi signali rizika mogu se procjenjivati zajedno.
Nakon što završi analizu, analitičar donosi odluku o predmetu.
Ova odluka može biti, na primjer:
- zatvaranje predmeta,
- upućivanje na dodatnu analizu,
- prosljeđivanje drugom timu,
- procjena na višem nivou rizika,
- priprema za proces prijavljivanja.
U zavisnosti od toka rada koji je institucija definisala, kritične odluke se mogu poslati Checkeru na odobrenje.
Checker ne provjerava samo ishod, već i na kojim dokazima i obrazloženjima se odluka zasniva.
To kasnije olakšava odgovaranje na sljedeća pitanja:
Ko je kreirao odluku? Ko je provjerio? Na osnovu kojih informacija je odobrena?
Maker-Checker na strani Rule Engine-a
Izmjene napravljene u Rule Engine-u direktno utiču na to koja ponašanja će sistem smatrati rizičnim.
Na primjer:
> Ako se u kratkom vremenskom periodu izvrši prijava na više naloga sa istog uređaja (device), generiši alert.
Kada se promijeni broj naloga, vremenski interval ili segment klijenata u ovom scenariju, mijenja se i rezultat koji će pravilo generisati.
Zbog toga je važan kontrolni mehanizam da osoba koja kreira pravilo i osoba koja odobrava njegovo puštanje u produkciju budu različite.
Maker priprema pravilo.
Zatim se pravilo može testirati na istorijskim podacima. Procjenjuje se očekivani obim alerti i rezultati različitih graničnih vrijednosti.
Checker može pregledati ove podatke i odobriti pravilo ili zatražiti njegovu ponovnu doradu.
Zahvaljujući ovoj strukturi, izmjene pravila se ne procjenjuju samo na osnovu pretpostavki, već na osnovu što mjerljivijih rezultata.
Zašto je važna podjela dužnosti?
U osnovi Maker-Checker pristupa nalazi se podjela dužnosti.
Ako isti korisnik i kreira transakciju i samostalno je odobrava, to može oslabiti kontrolni mehanizam.
Zbog toga se kritična ovlašćenja mogu podijeliti na različite uloge.
Na primjer, u jednoj instituciji:
Analitičar može analizirati predmet. Menadžer za usklađenost može provjeriti odluku. Ovlašćeni korisnik može odobriti određene akcije.
Budući da je organizaciona struktura svake institucije drugačija, isti Maker-Checker model ne mora važiti za svaku instituciju.
Važno je jasno definisati koji korisnik može izvršiti koju radnju i koje radnje zahtijevaju drugo odobrenje.
Zašto je Audit Trail dio ove strukture?
Odobrenje druge osobe samo po sebi nije dovoljno. Da bi se izvršene radnje mogle kasnije analizirati, one moraju biti evidentirane.
U ovom trenutku na scenu stupa Immutable Audit Log.
Na primjer, u sistemu se može evidentirati:
- ko je kreirao transakciju,
- koja polja su izmijenjena,
- kada je izmjena izvršena,
- ko je dao odobrenje,
- da li je transakcija vraćena na doradu,
- na osnovu kojeg obrazloženja je odluka donijeta.
Ova struktura posebno olakšava timovima za usklađenost i internu reviziju da pregledaju istoriju donošenja odluka.
Što Truvali pruža u Maker-Checker procesima?
U platformi Truvali, Maker-Checker pristup se ne posmatra samo kao ekran za odobrenje. On funkcioniše zajedno sa mogućnostima platforme kao što su Rule Engine, Case Management, autorizacija i Audit Trail, podržavajući kontrolisano donošenje kritičnih odluka.
Na primjer, u novom AML ili fraud scenariju, proces se može odvijati na sljedeći način:
- Maker kreira nacrt pravila.
- Definišu se granične vrijednosti i uslovi.
- Pravilo se može testirati simulacijom na istorijskim podacima.
- Procjenjuju se očekivani obim alerti i operativni uticaj.
- Pravilo se šalje Checkeru na odobrenje.
- Checker odobrava ili vraća na doradu.
- Izmjene i odobrenja u procesu se evidentiraju u Audit Trail-u.
Slična struktura se može koristiti i na strani Case Management-a. Dok analitičar donosi odluku o predmetu, kritične akcije se mogu povezati sa kontrolom drugog ovlašćenog korisnika.
Zahvaljujući strukturi Role-Based Access Control platforme Truvali, radnje koje korisnici mogu obavljati mogu se podijeliti na osnovu uloga. Tako, na primjer, korisnik može imati ovlašćenje da kreira pravilo, ali ne i da samostalno odobri to isto pravilo.
Isti pristup se može zadržati i u procesima podržanim vještačkom inteligencijom (AI). Truvali može podržati pripremu rezimea predmeta, nacrta pravila ili nacrta prijava; međutim, kritični rezultati se mogu povezati sa procesima pregleda i odobrenja od strane ovlašćenih korisnika.
Buradaki amaç otomasyonu insan kontrolünün yerine koymak değil, otomasyon ile kurumsal kontrolü aynı iş akışında buluşturmaktır.
Često postavljana pitanja o Maker-Checker toku rada
Mogu li Maker i Checker biti ista osoba?
Osnovni cilj ove strukture je podjela dužnosti. Zbog toga se preferira da uloge Makera i Checkera za kritične transakcije imaju različiti korisnici.
Da li svaka transakcija zahtijeva odobrenje Checkera?
Ne. Koje transakcije će zahtijevati drugo odobrenje može se odrediti u skladu sa politikama rizika i modelom ovlašćenja institucije.
Da li se Maker-Checker koristi samo za AML?
Ne. Može se koristiti i u Fraud Detection, Case Management, Rule Engine procesima, autorizaciji korisnika i drugim kritičnim operativnim procesima.
Da li se nacrti koje je kreirao AI primjenjuju automatski?
To zavisi od toka rada koji je definisala institucija. Kritični rezultati se mogu povezati sa pregledom od strane ovlašćenog korisnika i odobrenjem kroz Maker-Checker proces.