Ani la rând, fraudele bancare au fost tratate ca un cost inevitabil al activității. Instituțiile financiare investeau în sisteme de detecție, își calibraseră apetitul la risc și urmăreau să mențină pierderile în limite acceptabile. Performanța echipelor antifraudă era evaluată în funcție de valoarea pierderilor prevenite sau recuperate, iar responsabilitatea rămânea, în mare măsură, la nivel operațional.
Acest model se schimbă radical.
În ultimii doi ani, mai multe inițiative legislative – de la obligația de rambursare a fraudelor APP din Marea Britanie, la regulamentul european DORA, viitorul pachet PSD3 și EU AI Act – au început să redeseneze responsabilitatea privind combaterea fraudei. Deși au fost elaborate independent și urmăresc obiective diferite, toate converg către aceeași concluzie: prevenirea fraudei nu mai este doar o funcție operațională, ci un element central al guvernanței corporative și al rezilienței digitale.
Costul fraudei se mută de la client la bancă
Una dintre cele mai importante schimbări vine din zona plăților.
Din octombrie 2024, în Marea Britanie, băncile și furnizorii de servicii de plată sunt obligați să despăgubească victimele fraudelor de tip Authorised Push Payment (APP) pentru plățile eligibile efectuate prin Faster Payments și CHAPS, până la 85.000 de lire sterline. Rambursarea trebuie realizată în cel mult cinci zile lucrătoare, iar costurile sunt împărțite între banca emitentă și cea beneficiară.
Schimbarea este semnificativă deoarece mută responsabilitatea financiară de la client către instituțiile care au capacitatea de a preveni atacurile.
Și Uniunea Europeană merge în aceeași direcție. Viitorul cadru PSD3 și noul Payment Services Regulation extind responsabilitatea privind fraudele APP asupra întregului ecosistem de plăți, inclusiv asupra unor actori tehnologici implicați în procesarea tranzacțiilor.
Pentru bănci, acest lucru înseamnă că fiecare fraudă nereușită să fie prevenită poate deveni o pierdere directă, nu doar un incident de securitate.
Consumer Duty schimbă modul în care este evaluată performanța
În paralel, autoritatea britanică FCA introduce o perspectivă diferită asupra riscului.
Consumer Duty nu se limitează la protejarea consumatorilor, ci obligă instituțiile să demonstreze că au făcut tot ceea ce era rezonabil pentru a preveni prejudiciile previzibile.
În practică, o fraudă produsă din cauza unor controale insuficiente poate deveni o problemă de conformitate și de conduită, nu doar una financiară.
Acest lucru schimbă indicatorii după care sunt evaluate funcțiile antifraudă. Nu mai este suficient să demonstrezi cât ai recuperat după incident; trebuie să poți demonstra că ai avut procese și mecanisme capabile să prevină incidentul.
DORA mută responsabilitatea la nivelul boardului
Regulamentul european DORA (Digital Operational Resilience Act), aplicabil din ianuarie 2025, introduce poate cea mai profundă schimbare de paradigmă.
Pentru prima dată, reziliența operațională digitală devine o responsabilitate explicită a conducerii executive.
Consiliile de administrație trebuie să demonze că gestionează riscurile ICT, supraveghează incidentele, controlează relațiile cu furnizorii și pot menține continuitatea serviciilor financiare chiar și în condițiile unor atacuri complexe.
În acest context, frauda digitală nu mai poate fi privită exclusiv ca o problemă de securitate cibernetică. Ea reprezintă o amenințare directă la adresa continuității serviciilor financiare și intră în aria de responsabilitate strategică a managementului.
Un aspect esențial este faptul că această responsabilitate nu poate fi externalizată. O bancă poate achiziționa tehnologii de ultimă generație, însă răspunderea pentru eficiența lor rămâne în interiorul organizației.
Inteligența artificială: mai puține restricții decât se credea
În spațiul public există frecvent ideea că EU AI Act clasifică toate sistemele AI utilizate în sectorul financiar drept sisteme cu risc ridicat.
Realitatea este mai nuanțată.
Regulamentul exclude explicit sistemele AI dedicate detectării fraudelor din categoria aplicațiilor de credit scoring prevăzute în Anexa III.
Această excepție nu elimină însă obligațiile privind transparența, explicabilitatea și supravegherea umană.
Instituțiile trebuie să poată demonstra modul în care algoritmii ajung la o recomandare, cine validează decizia finală și cum poate fi reconstituit întregul proces în cazul unui audit sau al unei investigații.
Mai mult, viitorul cadru european privind combaterea spălării banilor va pune un accent și mai mare pe documentarea metodologiilor AI utilizate în monitorizarea tranzacțiilor și evaluarea riscurilor.
Problema reală nu este tehnologia, ci modelul operațional
În majoritatea instituțiilor financiare, tehnologia de detecție produce deja milioane de alerte anual.
Provocarea nu este identificarea activităților suspecte, ci investigarea lor.
Echipele de analiști nu pot procesa fiecare alertă, iar instituțiile sunt obligate să stabilească priorități. În consecință, numeroase cazuri suspecte nu sunt niciodată investigate complet.
Acest compromis era acceptabil într-un model în care frauda era privită ca un cost operațional.
În noul context de reglementare, însă, el devine dificil de justificat. Dacă un caz nu este analizat, banca nu poate demonstra că a prevenit prejudiciul și nici nu poate furniza o justificare auditabilă pentru lipsa unei intervenții.
Astfel, adevărata vulnerabilitate nu mai este frauda detectată, ci activitatea suspectă care rămâne în afara capacității operaționale a organizației.
De la automatizare la Autonomous Fraud Operations
În ultimii ani, majoritatea investițiilor au urmărit automatizarea activităților repetitive.
Acest lucru a crescut productivitatea echipelor, dar nu a eliminat principalul blocaj: necesitatea ca un analist să revizuiască fiecare caz important.
O nouă generație de platforme propune un model diferit, cunoscut sub denumirea de Autonomous Fraud Operations.
Spre deosebire de automatizarea clasică, aceste soluții investighează fiecare alertă, construiesc automat raționamentul investigației, documentează toate dovezile și păstrează un istoric complet al deciziilor. Rolul specialistului nu dispare, ci se mută din zona procesării manuale în cea a validării și guvernanței.
Platforme precum Nyx, dezvoltată de Cleafy și implementată deja în bănci europene, ilustrează această evoluție. Sistemul analizează fiecare eveniment în câteva minute, generează recomandări complet documentate și permite trasabilitatea fiecărei decizii, facilitând auditul și conformitatea cu cerințele de reglementare.
O nouă etapă pentru transformarea digitală
Privite împreună, DORA, Consumer Duty, PSD3 și EU AI Act transmit un mesaj comun: instituțiile financiare trebuie să poată explica fiecare decizie importantă, la viteza și la scara la care operează frauda modernă.
În acest context, tehnologia nu mai este evaluată doar prin capacitatea de a detecta fraude, ci și prin abilitatea de a produce decizii explicabile, auditabile și guvernate corespunzător.
Pentru CIO, CISO și boardurile instituțiilor financiare, întrebarea nu mai este dacă investițiile în tehnologie trebuie continuate, ci dacă actualul model operațional poate răspunde cerințelor de responsabilitate și transparență pe care noile reglementări le impun.
Băncile care vor privi aceste schimbări doar ca pe o nouă obligație de conformitate vor continua să adauge controale peste procese existente. Cele care le vor interpreta ca pe un catalizator pentru transformarea operațională vor avea șansa de a construi funcții antifraudă capabile să răspundă atât cerințelor de reglementare, cât și ritmului accelerat al criminalității financiare digitale.
Soluţiile Cleafy sunt distribuite în România de compania SolvIT Networks.
