Cosa insegna la sanzione UBS sulla vigilanza di lungo periodo

FinCEN ha inflitto una sanzione di 125 milioni di USD a UBS Financial Services Inc., la più alta mai comminata a un broker-dealer per violazioni del Bank Secrecy Act. La sanzione fa seguito a una multa di 14,5 milioni di USD nel 2018 per la medesima carenza: il monitoraggio delle transazioni in valuta estera. All’epoca, UBS Financial Services si era impegnata a correggere il sistema di monitoraggio entro metà 2019, ma ha reso operativa la soluzione automatizzata solo nel 2021. Nel frattempo, oltre 61.500 trasferimenti in valuta estera per un volume di 10,5 miliardi di USD sono rimasti privi di controllo.

Come si è arrivati alla sanzione record contro UBS?

La sanzione è il risultato di una recidiva: UBS Financial Services aveva già pagato per le stesse carenze nel 2018 e non è riuscita ad attuare tempestivamente la correzione promessa.

Nel 2018 è stato raggiunto un consent order con FinCEN, in base al quale UBS Financial Services ha pagato una sanzione di 14,5 milioni di USD per varie carenze in materia di antiriciclaggio (AML). All’epoca, la società aveva assicurato all’autorità di vigilanza finanziaria statunitense che avrebbe corretto le debolezze nel sistema di monitoraggio dei trasferimenti in valuta estera entro metà 2019. Il sistema esistente era inadeguato: le transazioni venivano riviste al massimo trimestralmente, sulla base di un processo Excel improvvisato e soggetto a errori.

Nonostante queste carenze note, l’attuazione ha subito ritardi e un sistema di monitoraggio automatizzato e moderno è entrato in funzione solo nel 2021. Nel frattempo, tra gennaio 2019 e giugno 2023, oltre 61.500 trasferimenti in valuta estera per un volume complessivo di 10,5 miliardi di USD sono rimasti privi di controllo. Si tratta del secondo provvedimento sanzionatorio adottato da FinCEN nei confronti della stessa società.

Quale impegno non è stato sufficiente per l’autorità di vigilanza?

Un impegno una tantum a correggere le carenze non è stato sufficiente per FinCEN, che ha richiesto una prova continuativa dell’effettiva attuazione.

FinCEN si attende che gli istituti finanziari correggano tempestivamente le carenze di compliance AML individuate, e ha rilevato che UBS Financial Services ha continuato a fallire nel monitoraggio delle transazioni in valuta estera anche dopo aver raggiunto un accordo con FinCEN, la SEC e la FINRA per le medesime carenze. Parti significative del processo di rimedio sono state affrontate solo dopo l’avvio dell’indagine di FinCEN.

L’attuale consent order richiede quindi più di un rinnovato impegno. UBS Financial Services deve incaricare una terza parte indipendente di condurre una revisione retrospettiva delle transazioni sospette non rilevate, oltre a una revisione completa del programma AML. Solo se tale revisione sarà completata in modo soddisfacente e le raccomandazioni verranno attuate, FinCEN riconoscerà a credito fino a 15 milioni di USD dei relativi costi.

Quale tracciamento delle evidenze avrebbe fatto la differenza?

Un tracciamento continuo e verificato dello stato di attuazione di ogni singola misura di rimedio avrebbe potuto cambiare il percorso verso la sanzione record, non un ulteriore piano d’azione.

Tra l’impegno assunto nel 2018 e l’effettiva entrata in funzione nel 2021 si è aperto un divario che FinCEN ha infine valutato a caro prezzo. Ciò che sarebbe stato efficace è una catena di evidenze che collegasse ogni misura promessa a uno stato di attuazione verificato: risultati dei test sul nuovo sistema, campionature documentate e tracciamento dei rilievi aperti fino alla loro dimostrabile chiusura.

Questa idea si allinea con quanto discusso in “Risk management serves the achievement of objectives, not itself”: una promessa di controllo priva di evidenze continuative di efficacia resta carta. Un pattern analogo, in cui un impegno una tantum ha mascherato una lacuna di controllo persistente, viene illustrato anche in “EUR 89 million in losses from overlooked ICT risk controls under DORA”.

Perché la recidiva pesa così tanto per l’autorità di vigilanza?

Una seconda violazione dello stesso obbligo segnala all’autorità di vigilanza che i controlli interni non garantiscono più un’autocorrezione affidabile, e aumenta il rischio di segnalazioni esterne.

Il caso UBS Financial Services è considerato un monito per chiunque sottovaluti la recidiva e l’azione esitante nel contrasto al riciclaggio di denaro. Questa attenzione assume un peso ulteriore ora che un nuovo programma per gli informatori interni (whistleblower) è destinato a rafforzare l’applicazione delle norme AML, poiché una sanzione precedente rende più probabile una segnalazione dall’interno dell’azienda.

Laddove una prima sanzione non è riuscita a produrre un cambiamento reale, i dipendenti perdono fiducia in una soluzione interna e si attendono che l’autorità intervenga con maggiore fermezza la seconda volta. Per la funzione GRC, questo significa che un tracciamento documentato dimostra all’autorità di vigilanza, e alla forza lavoro stessa, che i rilievi vengono presi sul serio.

Cosa significa questo per la propria funzione GRC?

I responsabili dovrebbero collegare ogni rilievo aperto a un’evidenza di efficacia verificata e datata, anziché affidarsi a report di stato.

Il primo passo verificabile: la funzione di audit interno o compliance stabilisce, per ogni rilievo derivante da una verifica di vigilanza, quale evidenza giustificherebbe la sua chiusura, e documenta tale evidenza prima del successivo ciclo di audit interno. Un principio analogo di tracciamento continuativo, anziché una tantum, viene discusso in “TPRM in transition: EBA guideline, DORA and MaRisk at a glance” per la gestione delle terze parti.

Chiunque oggi si limiti a contrassegnare come chiusi i rilievi emersi dalle verifiche, senza archiviare sistematicamente le evidenze di efficacia, ripete strutturalmente lo stesso schema che, nel caso UBS Financial Services, ha portato a un’escalation nel corso degli anni.