¿Qué reglas de AML debo ejecutar (Frank Cummings)

Esa es la pregunta que me hacen con más frecuencia los colegas de Cumplimiento ALD, y es la pregunta que más me preocupa.  

Esa pregunta me dice que la institución financiera probablemente tenga un problema importante con su enfoque basado en el riesgo. He estado haciendo AML durante casi 20 años, los primeros siete implementaron "software de otras personas" o simplemente trabajo de operaciones. Esos primeros años en el interior
Los talleres de cumplimiento, los talleres de auditoría y los talleres de TI se centraron en acabar con el monstruo cambiante de las nuevas leyes, reglas y expectativas. Son las reglas y las expectativas las que te atrapan todo el tiempo, porque es tentador saltar directamente a las reglas sin antes hacer un análisis profundo.
sumérgete en Riesgo.

El proceso de seleccionar qué "Reglas" ejecutar comienza y termina con su Evaluación de riesgos empresariales (ERA). Tú tienes uno; cada institución financiera está obligada a tener uno. Dicho esto, a la mayoría de las ERA que he leído les faltan algunas partes.  

Para su crédito, la mayoría de las ERA identifican los riesgos en la realización de negocios; miran dónde, con quién y cómo se llevan a cabo los negocios. La carencia común no radica en la identificación del riesgo, sino en el Plan de Mitigación de Riesgos (PGR). Indicado simplemente,
el RMP debe detallar exactamente lo que hará la institución para mitigar este riesgo identificado.

Debemos recordar que ejecutar una Regla AML es un control interno para mitigar un riesgo identificado. Los ejemplos abundan. La recopilación de información durante la incorporación está mitigando un riesgo identificado. La detección de sanciones está mitigando un riesgo. cuando haces tu
análisis de riesgos geográficos, está identificando los lugares más riesgosos para hacer negocios; especificar las razones por las que un área es riesgosa lo ayudará a determinar qué reglas de mitigación de riesgos necesita.

Recomiendo extraer los riesgos identificados de sus resúmenes y crear una hoja de cálculo simple: las entradas en la columna uno identifican el riesgo; la columna dos especifica la razón del riesgo; y la columna 3 especifica el plan de mitigación. Puede parecer algo como
modo:

Por lo tanto, el primer ejemplo de riesgo es el Financiamiento del terrorismo para los clientes que realizan transacciones comerciales en o a través de Afganistán. La debida diligencia mejorada es el factor mitigador de este riesgo. Entonces, el control interno que está instituyendo es EDD para identificar aún más
clientes de riesgo. El segundo ejemplo de riesgo es el alto riesgo de 'fuente de fondos' debido a los altos recuentos y montos de transacciones en efectivo. La regla Velocity encontrará dinero entrante seguido de una transferencia interna y una transferencia saliente; y las 'Compras criptográficas grandes regulares'
La regla encontrará compras criptográficas anormales que no son consistentes con el propósito del negocio. 

Si ha estado en esto por un tiempo, reconocerá que este es el clásico enfoque basado en el riesgo: lógico, sistemático y fácil de justificar para cualquiera que pregunte. Las reglas para ejecutar resultan de los riesgos específicos identificados en lugar de la experiencia general de AML
o preferencia personal. 

Entonces, ¿qué reglas AML vas a ejecutar?