Responsável de conformidade — tarefas, uma a uma

Ler a regra

Ler documentos longos e resumi-los é exatamente o que os modelos fazem bem, e o volume de texto regulatório é a razão por que este posto cresceu. O que não se transfere é a segunda metade: saber em quais dos processos reais desta empresa a cláusula aterra, o que exige conhecer os processos e não a cláusula.

Ler mais depressa sobe o âmbito esperado em vez de reduzir o trabalho: assim que resumir fica de graça, a pergunta passa a ser por que é que não avaliaste todas as jurisdições. As horas passam de ler para defender uma interpretação, que é uma reunião e não um documento.

Trabalhar os alertas

Esta é a mesma tarefa da fila do analista de SOC e da parede de câmaras do segurança, e falha da mesma maneira: a taxa de verdadeiros positivos é muito baixa, a vigilância humana desaba e a correlação é verificável por máquina. A monitorização de crime financeiro é uma das condutas de alertas mais automatizadas que existem, precisamente por isso.

A fila é onde esta profissão contrata e onde o reconhecimento de padrões é aprendido, por isso automatizá-la retira o campo de treino. E o que o supervisor espera é que os alertas sejam investigados, e não que sejam fechados: um sistema que fecha mais e mais depressa produz uma métrica que melhora enquanto o risco não.

Dizer que não ao negócio

O mecanismo aqui é organizacional e não analítico: a recusa funciona porque uma pessoa nomeada e com peso será quem responde se se vier a revelar errada, e porque pode ser desautorizada de uma forma que fica registada. Nenhuma das duas propriedades existe para um sistema, e é por isso que nenhuma instituição a delega.

É segurada pela estrutura e não pela dificuldade, e a estrutura é barata de mudar: uma função de conformidade que reporta ao negócio que fiscaliza tem esta tarefa no papel e não na prática. A pergunta a fazer não é se uma ferramenta o conseguiria fazer, é a quem reportas, e essa resposta muda sem estar envolvida tecnologia nenhuma.

Provar que foi feito

Recolher provas é registo estruturado com um formato conhecido, e é a parte do trabalho de conformidade em que toda a gente concorda que não devia ser precisa uma pessoa. O resultado é verificável (o registo existe e está completo, ou não está), que é a propriedade que permite funcionar sem supervisão.

Automatizar a prova não automatiza o juízo de que ela é prova, e cria um risco novo e concreto: um registo completo de um controlo que na verdade não foi eficaz é pior do que um incompleto, porque é mais difícil de contestar. Os auditores começaram a perguntar como é que o registo foi produzido, que é uma pergunta para a qual a ferramenta não foi desenhada.