Yanlış ürüne bakan risk haritası

Bu haftanın tek cümlelik özeti: ABD’de bankaları denetleyen OCC’ye göre American Express National Bank, kara para aklamayla mücadele riskini değerlendirirken dar mevduat ürünlerine odaklandı ve ağırlığı taşıyan kart ürünlerine yeterince odaklanmadı; aynı hafta düzenleyiciler bankaların teknoloji sağlayıcılarına nasıl bakacaklarını yazdı, bir kamu bankası da takası tokenize bir katmana taşıdı. Kanıt olgunluğu: ERKEN SİNYAL.

Üç soru bu yazıyı yönlendiriyor. Başlıkların altında gerçekte ne oluyor? Bu hafta neden üç ayrı katmanda aynı soru beliriyor? Ve bedeli kim ödüyor?

ICeza değil, mekanizma

OCC 8 Ekim’de American Express National Bank’a 350 milyon dolar para cezası ve faaliyet düzeltme kararı verdi. Fed aynı gün American Express Company ve American Express Travel Related Services hakkında eş zamanlı bir düzeltme kararı açıkladı; Fed’in duyurusunda bir ceza tutarı yer almıyor. Kısacası ceza OCC’nin; Fed’in kararı ana şirket düzeyinde bir düzeltme yükümlülüğü.

Rakamın kendisi dikkat çekici ama asıl bilgi karar metnindeki mekanizmada. OCC, bankanın Banka Gizlilik Yasası ve kara para aklamayla mücadele uyum programında yetersiz kaynak ve uzmanlık, sistemik iç kontrol boşlukları, zayıf bağımsız test ve zayıf eğitim tespit etti. Daha önemlisi, banka risk değerlendirmesini görece dar vadesiz mevduat ürünlerine odaklamış, faaliyetinin ağırlığını oluşturan kredi kartı ve charge kart ürünlerinin riskine yeterince odaklanmamış. Müşteri tanıma ve kimlik doğrulama süreçleri de izleme ve raporlama hatalarına katkıda bulunmuş.

Sonuç, karar metninin en çok alıntılanacak cümlesi: son on yılda yaklaşık 13 milyar dolarlık şüpheli dış ticaret kaynaklı aklama faaliyeti zamanında tespit edilip yeterince raporlanmadı. Bu rakamı doğru okumak gerekir. 13 milyar dolar aklandığı kanıtlanmış bir tutar değildir; bankanın zamanında bildirmesi gereken ama bildiremediği şüpheli faaliyetin büyüklüğüdür.

Kart tarafındaki hacim ve hızın, mevduata göre kurgulanmış bir izleme düzenini aştığı makul bir okuma. Ancak bu bir hipotez; karar metni nedeni ürün ile risk değerlendirmesi arasındaki uyumsuzlukta bırakıyor, teknik bir izleme açığı tarif etmiyor.

Bir kart kullanıcısı için bu kararın günlük etkisi kaynaklarda ölçülmüyor. Bir uyum ve risk yöneticisi için soru ise açık: program, kurumun gelirini ve işlem hacmini taşıyan ürüne mi bakıyor, yoksa izlemesi kolay olana mı? OCC bunu American Express için söylüyor; sektör geneli bir hüküm vermiyor.

IISağlayıcı katmanı: bir öncelik, bir yaptırım değil

5 Ekim’de Fed, FDIC ve OCC, SR 26-7 başlıklı ortak bir açıklama yayımladı. Konusu, topluluk bankalarının çekirdek hizmet sağlayıcılarıyla ilişkisi: bankanın hesap, işlem ve kayıt sistemlerini çalıştıran teknoloji şirketleri. Açıklama, düzenleyicilerin bu sağlayıcılara denetim önceliği verirken hangi faktörlere bakacağını anlatıyor ve gerektiğinde yasal yetkileri çerçevesinde denetim ve yaptırım işlemi başlatabileceklerini hatırlatıyor.

Bu bir yaptırım değil. Açıklamada adı geçen bir sağlayıcı ya da kesilmiş bir ceza yok. Ama profesyonel açıdan anlamı somut: çekirdek sağlayıcı seçimi ve sözleşmesi, yalnızca bir teknoloji kararı değil, denetimin göreceği bir risk kararı olarak çerçeveleniyor. Topluluk bankası müşterisinin hesabı çoğu zaman bankanın değil bir sağlayıcının sisteminde çalışır; bu açıklamanın müşteriye doğrudan etkisi ise henüz ölçülmüyor.

IIITakas katmanı: hız arttığında kontrol nerede durur?

Bank of North Dakota 5 Ekim’de, eyaletteki topluluk bankaları ve kredi birlikleri arasındaki ödemeleri modernleştirmek için ABD dolarına dayalı tokenize bir dijital varlık olan Roughrider Coin’i hayata geçirdiğini duyurdu. Duyuruya göre platformu ve bankacılık entegrasyonunu Fiserv sağlıyor, altyapı Solana. Takas “neredeyse gerçek zamanlı” olarak tarif ediliyor.

İki belge arasında bir bağ kurmak mümkün: Fiserv, SR 26-7’nin konusu olan türden bir çekirdek hizmet sağlayıcısı ve aynı hafta yeni bir takas katmanının da taşıyıcısı. Bu bir yorumdur; SR 26-7 herhangi bir sağlayıcıyı adıyla anmıyor ve iki belgenin aynı haftaya denk gelmesi bir koordinasyon göstergesi değil.

Hızın kontrol üzerindeki etkisine dair bu haftanın en net cümlesi bir şirket yazısından geliyor. Airwallex 7 Ekim’de yayımladığı yazıda talimatın bir finansal kontrol olmadığını, bir yapay zekâ ajanına fazla harcama yapmamasını söyleyebileceğinizi ama kart limitini, onay eşiğini ya da alıcı kısıtını ancak altyapının uygulayabileceğini yazıyor. Bu şirketin kendi görüşü, bir denetim kuralı değil. Yavaş takasın uyum incelemesine zaman tanıdığı, hızlı takasta ise kuralın işlemin içine yazılması gerektiği okuması da bu görüşün uzantısı olan bir hipotez.