Transaktionsovervågning: hvad det er, hvem der kan det, og hvad de tjener

Transaktionsovervågning er evnen til at opdage, undersøge og vurdere kundeadfærd og transaktioner, som kan være usædvanlige eller mistænkelige. Færdigheden bruges især i arbejdet mod hvidvask og finansiering af terrorisme.

En person med færdigheden kan sammenholde en kundes faktiske aktivitet med det, virksomheden ved om kunden. Det gælder blandt andet kundens forretning, indtægtsforhold, forventede betalingsmønster, geografiske aktivitet og risikoprofil. En transaktion vurderes derfor ikke kun ud fra beløbet. Det afgørende er også, om aktiviteten giver mening for netop denne kunde.

Arbejdet foregår ofte i et transaktionsovervågningssystem, der genererer alarmer ud fra regler, scenarier eller andre analysemetoder. En dygtig analytiker kan forstå, hvorfor alarmen er opstået, og undersøge den kritisk. Personen gennemgår eksempelvis kontobevægelser, modparter, betalingsmønstre, kundekendskabsoplysninger og tidligere aktivitet.

Færdigheden viser sig især i evnen til at se mønstre. Flere tilsyneladende almindelige betalinger kan samlet være usædvanlige. Det kan eksempelvis være hurtige bevægelser af penge gennem en konto, betalinger fra uventede tredjeparter, markante ændringer i aktivitet eller transaktioner til geografiske områder, der ikke passer til kundens kendte aktiviteter.

En erfaren analytiker kan skelne mellem en alarm og en mistanke. En alarm er et signal om, at noget skal undersøges. Undersøgelsen skal derefter afgøre, om aktiviteten kan forklares rimeligt, eller om sagen skal eskaleres. Hvis der er mistanke eller rimelig grund til at formode tilknytning til hvidvask eller terrorfinansiering, gælder reglerne om underretning til Hvidvasksekretariatet.

Dokumentation er en væsentlig del af færdigheden. Analytikeren skal notere, hvad der er undersøgt, hvilke oplysninger der er lagt vægt på, og hvorfor en alarm blev lukket eller eskaleret. Generiske formuleringer som 'aktiviteten vurderes normal' er ikke nok, hvis vurderingen ikke kan efterprøves.

På et mere avanceret niveau omfatter transaktionsovervågning også selve overvågningsmodellen. Personen kan arbejde med scenarier, risikofaktorer, tærskler, datakvalitet, alarmprioritering og kvalitetssikring. Målet er ikke at skabe flest mulige alarmer. Overvågningen skal identificere relevante risici uden at drukne analytikerne i falske positiver.

Transaktionsovervågning hænger tæt sammen med KYC og kundekendskab. Hvis oplysningerne om kunden er forældede eller upræcise, bliver det vanskeligere at afgøre, hvad der faktisk er usædvanligt. Finanstilsynet har gentagne gange fremhævet denne sammenhæng i sit tilsyn med finansielle virksomheder.

Transaktionsovervågning er ikke helt det samme som fraud monitoring eller sanktionsscreening. Fraud monitoring søger typisk efter svindel og misbrug. Sanktionsscreening undersøger blandt andet personer og parter mod gældende sanktionsregler. Områderne kan overlappe, men formålet og vurderingen er ikke identiske.

Transaktionsovervågning er særlig vigtig i banker, betalingsvirksomheder, fintech, pengeoverførsel, investering og andre virksomheder, der er udsat for risiko for økonomisk kriminalitet. Færdigheden findes typisk hos AML Analysts, Transaction Monitoring Analysts, Financial Crime Analysts og medarbejdere i compliance- og investigationsfunktioner.

Færdigheden gør forskel, når automatiske systemer har fundet noget usædvanligt. Systemet kan pege på en transaktion eller et mønster, men en fagperson skal ofte forstå sammenhængen og afgøre, hvad der kræver yderligere undersøgelse.

Transaktionsovervågning er særlig vigtig ved kunder eller produkter med forhøjet risiko. Her kan almindelig aktivitet og mistænkelig aktivitet ligne hinanden. Analytikeren skal derfor kunne bruge kundekendskab og risikovurdering frem for kun at reagere på faste beløbsgrænser.

Færdigheden er også vigtig for medarbejdere, der designer eller forbedrer overvågningssystemer. Et scenarie, der er for bredt, kan skabe store mængder irrelevante alarmer. Et scenarie, der er for snævert, kan overse relevante aktiviteter. Det kræver forståelse af både finansiel kriminalitet, kundedata og systemets logik at finde den rette balance.

Ved mere erfarne profiler bliver governance vigtig. Her kan arbejdet omfatte kvalitetssikring af undersøgelser, analyse af alarm-backlogs, kontrol af datadækning, test af scenarier og vurdering af, om overvågningen faktisk dækker virksomhedens identificerede hvidvaskrisici.

Et godt fundament er forståelse af hvidvask, terrorfinansiering, KYC, kunders risikoprofil og virksomhedens undersøgelses- og underretningspligt. Derefter skal teorien bruges på konkrete transaktioner og kundesager.

ACAMS tilbyder Transaction Monitoring Foundations, som er målrettet grundlæggende arbejde med transaktionsovervågning. Indholdet omfatter blandt andet risici, alarmer, undersøgelse af usædvanlig aktivitet og beslutningen om at lukke eller eskalere en sag. ACAMS tilbyder også Transaction Monitoring Intermediate og certificeringen Certified Transaction Monitoring Associate, CTMA.

Kurser giver begreberne og en systematisk arbejdsmetode. Den praktiske færdighed udvikles især ved at undersøge rigtige eller realistiske alarmer under faglig sparring. Analytikeren skal lære, hvilke oplysninger der er relevante, hvilke forklaringer der faktisk kan dokumenteres, og hvornår en sag kræver mere undersøgelse.

Case calibration er en nyttig træningsform. Flere analytikere vurderer den samme sag og sammenligner resultat og begrundelse. Hvis vurderingerne er meget forskellige, kan det afsløre uklare arbejdsgange eller manglende fælles forståelse af risikoen.

Kvalitetskontrol er også en vigtig læringskilde. Gennemgå både lukkede og eskalerede sager. Undersøg, om analytikeren forholdt sig til den konkrete alarm, kundens profil og hele det relevante transaktionsmønster. Det træner dømmekraft bedre end kun at lære typologier udenad.

Mere avancerede profiler bør lære, hvordan overvågningsscenarier designes og vurderes. Det indebærer blandt andet datadækning, ændringer i kundeadfærd, falske positiver, mulige falske negativer og dokumentation for, hvorfor et scenarie virker efter hensigten.

Et introduktionskursus kan derfor give en god start. Det gør ikke alene en person dygtig til transaktionsovervågning. Sikker vurdering kræver praktisk erfaring med kunder, transaktionsmønstre, uklare forklaringer og sager, hvor flere oplysninger skal forbindes, før risikoen bliver synlig.

Bed personen gennemgå en konkret alarm fra start til slut. Hvilket scenarie udløste alarmen? Hvad var usædvanligt? Hvilke kundeoplysninger blev brugt? Hvilke andre transaktioner blev undersøgt? Og hvorfor blev sagen til sidst lukket eller eskaleret?

En erfaren analytiker undersøger konteksten og ikke kun den transaktion, der udløste alarmen. Personen kan forklare, hvordan kundens normale aktivitet, modparter, geografi og tidligere transaktioner påvirker vurderingen.

Spørg også, hvad kandidaten gør, hvis kunden giver en umiddelbart plausibel forklaring. Et stærkt svar er ikke automatisk at acceptere eller afvise forklaringen. Analytikeren vurderer, om den hænger sammen med de øvrige oplysninger, og om der er behov for dokumentation eller yderligere undersøgelse.

Et godt teknisk spørgsmål er, hvad der sker, hvis et overvågningsscenarie skaber mange alarmer, men næsten ingen relevante sager. En stærk profil vil tale om scenariets formål, datagrundlag, parametre, segmentering og kvaliteten af de genererede alarmer. Personen vil heller ikke blot fjerne scenariet uden at undersøge risikoen for at overse mistænkelig aktivitet.

Ved seniorprofiler kan man spørge, hvordan de ville opdage et hul i overvågningen. Gode svar omfatter virksomhedens risikovurdering, produkter, kundetyper, transaktionsdata, scenariedækning, testresultater og konkrete typologier. De forstår, at et system godt kan behandle alle eksisterende alarmer og samtidig overse relevante risici.

Se også på kvaliteten af kandidatens dokumentation. En stærk transaktionsovervågningsanalytiker kan skrive en kort og konkret vurdering, hvor en anden fagperson kan følge undersøgelsen og forstå konklusionen. Det er et bedre tegn på reel færdighed end blot erfaring med et bestemt overvågningssystem.