Un venditore può superare ogni controllo al momento della registrazione e diventare comunque una responsabilità, creando una grave falla nella sicurezza. Nel 2024, il Financial Crimes Enforcement Network (FinCEN) del Dipartimento del Tesoro degli Stati Uniti ha sanzionato TD Bank per la cifra record di 1,3 miliardi di dollari per non aver monitorato adeguatamente l'attività dei clienti. Il monitoraggio continuo della conformità verifica costantemente l'identità, l'attività e il profilo di rischio di un venditore. L'attivazione conferma l'identità di un venditore il primo giorno. Successivamente, il monitoraggio delle transazioni, i controlli antiriciclaggio (AML), lo screening delle sanzioni e le riverifiche periodiche garantiscono che l'attività e le informazioni del venditore rimangano accurate nel tempo.

Di seguito, spiegheremo perché il monitoraggio della conformità dovrebbe continuare dopo l'attivazione, in che modo il monitoraggio delle transazioni e antiriciclaggio funziona per cogliere comportamenti insoliti dei venditori e come si applica lo screening delle sanzioni una volta che un venditore è attivo.

In sintesi

• Il rischio del venditore può cambiare nel tempo; un singolo controllo all'attivazione non può tenere conto dei futuri cambiamenti nell'assetto proprietario, nel modello di business o nel comportamento delle transazioni.

• Il monitoraggio delle transazioni, la revisione antiriciclaggio e lo screening delle sanzioni funzionano insieme per segnalare le attività che non corrispondono al profilo dichiarato di un venditore.

• Le piattaforme che saltano o ritardano il monitoraggio continuo affrontano una potenziale esposizione a rischi, tra cui limitazioni dell'account, mancate presentazioni di dichiarazioni normative e frodi non rilevate.

Perché il monitoraggio della conformità continua dopo l'attivazione del venditore?

Il monitoraggio della conformità continua dopo l'attivazione del venditore perché il profilo di rischio di un venditore può cambiare dopo il controllo di attivazione iniziale al momento della registrazione. Il monitoraggio continuo verifica se l'attività è ancora in linea con il profilo e la valutazione originali.

Ecco gli aspetti da tenere presenti:

• Gli obblighi normativi vanno oltre la registrazione: i requisiti e le regole dei circuiti delle carte di credito, come la Customer Due Diligence Rule del FinCEN negli Stati Uniti, richiedono un monitoraggio continuo.

• I venditori cambiano i loro modelli di business: un negozio diretto al consumatore potrebbe passare alla vendita all'ingrosso, iniziare a vendere in nuovi Paesi o introdurre un titolare che non è mai stato sottoposto a verifica.

• Variazione di volume e comportamento: un aumento delle dimensioni delle transazioni, un picco dei rimborsi o un cambiamento improvviso nel volume di elaborazione possono segnalare una frode o un cambiamento non dichiarato nell'attività. Niente di tutto ciò appare in un record statico.

• Gli elenchi delle sanzioni e le linee guida normative si aggiornano costantemente: una giurisdizione può aggiungere nuove entità con limitazioni o abbassare una soglia di segnalazione. Ciò significa che un venditore che era conforme nel trimestre precedente potrebbe non esserlo oggi, anche se il suo comportamento rimane lo stesso.

• La scoperta reattiva costa più del monitoraggio proattivo: aspettare che un'indagine dei circuiti delle carte di credito o un audit normativo riveli un problema mette una piattaforma in una posizione peggiore rispetto a individuarlo tramite una revisione di routine.

In che modo il monitoraggio delle transazioni e antiriciclaggio supporta il monitoraggio della conformità?

Il monitoraggio delle transazioni e antiriciclaggio supporta il monitoraggio della conformità confrontando l'attività dell'account con una base di riferimento. Quando l'attività si discosta da tale base, il sistema la segnala per la revisione.

Ecco come si presenta:

• Modelli di frazionamento: serie di transazioni mantenute appena al di sotto di una soglia di revisione, ripetute con una frequenza tale da sembrare intenzionali piuttosto che casuali

• Picchi di velocità o valore: improvviso aumento del volume delle transazioni o dell'importo che non corrisponde alla cronologia del venditore o alla stagionalità della sua attività dichiarata

• Mancate corrispondenze geografiche: attività di pagamento instradata attraverso Paesi con cui il venditore non ha alcun legame dichiarato

• Movimento rapido di fondi: denaro che arriva e viene prelevato o trasferito velocemente, senza un chiaro motivo legato all'attività alla base del movimento

• Gruppi di storni o rimborsi: modelli che indicano una frode legata agli storni, un cambiamento non dichiarato nell'attività o un venditore che sta effettuando il testing di credenziali di pagamento rubate

• Tipologie di stratificazione e integrazione: fondi spostati attraverso più transazioni per oscurarne l'origine, quindi reintrodotti come ricavi dell'attività dall'aspetto legittimo

Le piattaforme con un obbligo previsto dal Bank Secrecy Act negli Stati Uniti o un requisito equivalente altrove sono generalmente tenute a segnalare le attività sospette alle autorità. Questo mandato è accompagnato dalla propria documentazione e dalle proprie tempistiche di presentazione. Una soluzione come Stripe Connect fornisce alle piattaforme dati a livello di transazione sugli account connessi, consentendo revisioni basate sul rischio invece di controlli a campione manuali che potrebbero individuare i problemi solo dopo che si sono verificati.

Che ruolo ha lo screening delle sanzioni nel monitoraggio continuo della conformità?

Lo screening delle sanzioni riduce i rischi nel monitoraggio continuo della conformità. Stati Uniti, UE, ONU e altre giurisdizioni aggiornano regolarmente i propri elenchi delle sanzioni.

Ecco come si inserisce nel monitoraggio della conformità:

• Screening ricorrente dei venditori: i venditori, i loro titolari effettivi e, in alcuni casi, le loro controparti vengono costantemente controllati rispetto agli elenchi aggiornati.

• Screening delle persone politicamente esposte (PEP): le PEP comportano un rischio elevato anche se non sono presenti in un elenco di sanzioni. Lo screening copre entrambe le categorie congiuntamente.

• Requisiti specifici per la giurisdizione: un venditore in una giurisdizione a rischio più elevato, o il cui assetto proprietario include una PEP, generalmente necessita di essere esaminato più frequentemente rispetto a un venditore nazionale a basso rischio con un'attività stabile.

• Molteplici segnali: risultati della verifica, dati sui titolari effettivi finali, comportamento delle transazioni e screening delle sanzioni confluiscono tutti nella stessa valutazione continua del rischio; non si tratta di controlli separati e disconnessi.

Quali sono i rischi di un monitoraggio della conformità incoerente dopo l'attivazione?

I rischi di un monitoraggio della conformità incoerente dopo l'attivazione iniziano con i circuiti delle carte di credito che ritengono le piattaforme responsabili di ciò che accade sui loro account connessi. Una serie di segnali d'allarme mancati può portare a quanto segue:

• Sanzioni normative: gli account connessi che superano l'attivazione senza problemi ma vengono successivamente utilizzati per il testing delle carte o per riciclare credenziali di pagamento rubate possono causare frodi non rilevate. Senza ragionevoli procedure di prevenzione, ciò può portare a gravi sanzioni normative.

• Maggiore controllo: la mancata presentazione di report su attività sospette, le mancate corrispondenze con le sanzioni o i record non aggiornati dei titolari effettivi finali che compaiono durante un esame o un audit possono aumentare il controllo da parte di autorità di regolamentazione e auditor.

• Limitazioni dell'account: un fornitore di servizi di pagamento o un circuito di carte di credito potrebbe sospendere o chiudere un account connesso collegato a una piattaforma che non è riuscita a cogliere l'aumento del rischio.

• Danno reputazionale: quando i venditori utilizzano una piattaforma per un'attività che attira l'attenzione del pubblico o della stampa, ciò si riflette sulla piattaforma indipendentemente da chi ha commesso la violazione sottostante.

Come possono le piattaforme valutare se il loro monitoraggio della conformità funziona?

Le piattaforme possono valutare se il monitoraggio della conformità funziona assicurandosi che gli avvisi si trasformino in decisioni tempestive e documentate e che la frequenza delle revisioni rifletta il livello di rischio di ciascun venditore.

Considera questi fattori:

• Tempo di risoluzione degli avvisi: il tempo trascorso dal momento in cui scatta un avviso relativo a una transazione o a sanzioni al momento in cui qualcuno lo esamina e lo chiude. Gli avvisi che rimangono aperti per settimane rendono inutile il monitoraggio quasi in tempo reale.

• Tasso di falsi positivi: se quasi tutti gli avvisi si rivelano nulli, sarà necessario regolare le soglie; in caso contrario, i revisori potrebbero iniziare ad approvare automaticamente gli avvisi per affaticamento.

• Cadenza di riverifica per livello di rischio: i venditori ad alto rischio dovrebbero essere esaminati più spesso rispetto a quelli a basso rischio. Se tutti seguono lo stesso programma annuale indipendentemente dal rischio, il programma non è basato sul rischio.

• Qualità della documentazione: ogni inoltro, revisione e decisione richiede una traccia di controllo che spieghi perché un venditore è stato autorizzato o segnalato; le autorità di regolamentazione e i circuiti delle carte di credito lo chiederanno durante la revisione.

• Copertura delle modifiche dell'assetto proprietario: assicurati che i dati sui titolari effettivi finali si aggiornino quando i venditori segnalano una modifica. Devono essere dinamici e svilupparsi a partire dal record di attivazione originale.

Le piattaforme su Stripe Connect possono creare questi controlli sulla base dei dati di verifica, screening e monitoraggio che Stripe genera già per gli account connessi. Questo elimina la necessità di creare un'infrastruttura separata per monitorare gli stessi segnali.

In che modo Stripe Connect può essere d'aiuto

Stripe Connect coordina i trasferimenti di denaro tra più parti nelle piattaforme software e nei marketplace. Offre una rapida attivazione, componenti integrati, bonifici globali e molto altro.

Connect può aiutarti a:

• Effettuare il lancio in poche settimane: usa funzionalità in hosting o integrate di Stripe per attivare il servizio ancora più rapidamente ed evitare i costi anticipati e i tempi di sviluppo solitamente necessari per la facilitazione dei pagamenti.

• Gestire i pagamenti in modo scalabile: usa gli strumenti e i servizi di Stripe in modo da non dover impegnare risorse aggiuntive per la rendicontazione dei margini, i moduli fiscali, la gestione del rischio, i metodi di pagamento globali o la conformità all'attivazione.

• Crescere a livello globale: aiuta i tuoi utenti a raggiungere più clienti in tutto il mondo con metodi di pagamento locali e la possibilità di calcolare facilmente l'imposta sulle vendite, l'imposta sul valore aggiunto (IVA) e la tassa su beni e servizi (GST).

• Sviluppare nuove fonti di ricavo: ottimizza i ricavi dei pagamenti riscuotendo le commissioni su ogni transazione. Monetizza le funzionalità di Stripe abilitando sulla tua piattaforma: pagamenti di persona, bonifici istantanei, riscossione dell'imposta sulle vendite, finanziamenti, carte di pagamento per i dipendenti e altro ancora.

Scopri di più su Stripe Connect, o inizia oggi stesso.