Å finne UBO-en er bare begynnelsen

De fleste KYC-prosesser i næringslivet er bygget rundt et tilfredsstillende øyeblikk: eierskapskjeden er sporet opp, et navn er lagt inn i UBO-feltet, og saken går videre til neste steg. Det føles som et svar. I en viktig forstand er det bare begynnelsen på ett.

Å kjenne UBO-en forteller et foretak hvem som i siste instans eier eller kontrollerer kunden. Det forklarer ikke i seg selv hvordan dette eierskapet eller kontrollen utøves, hva som befinner seg underveis, eller om svaret fortsatt vil stemme om seks måneder. Et UBO-resultat er en konklusjon. God KYB bør også kunne vise hvordan foretaket kom frem til den – og om konklusjonen fortsatt holder.

Eierskap er en struktur, ikke et felt

Å behandle reelt eierskap som et enkelt datapunkt inviterer til en bestemt form for blindhet. Et navn i en kundepost bærer ingen informasjon om lagene av selskapsstrukturer under det, om eierskapet er direkte eller nås gjennom flere mellomliggende enheter, om kontrollen ble etablert gjennom aksjebesittelse eller gjennom en helt annen ordning, eller hva – og hvem – som befinner seg på hvert nivå i kjeden imellom.

Det har betydning fordi de mellomliggende lagene ikke er tilfeldige for UBO-konklusjonen. De er begrunnelsen bak den. Et foretak som kan oppgi en UBOs navn, men ikke kan vise stien som forbinder denne personen med kunden, har ikke egentlig fullført analysen; det har hoppet til svaret. Eierskap er ikke et felt i en kundepost. Det er en struktur, og strukturer endrer seg.

Hvorfor kjeden i seg selv er viktig

Det åpenbare spørsmålet er hvorfor et foretak bør bry seg om enheter det ikke har forretningsforbindelser med, flere lag fjernet fra den faktiske kunden. Svaret er at risiko ikke alltid befinner seg der det direkte forholdet er.

Sanksjonsregimer er det tydeligste eksempelet, uten at vi trenger å gjøre dette til en sanksjonsartikkel. Under OFACs 50-prosentregel aggregeres direkte og indirekte eierandeler fra blokkerte personer, slik at en enhet kan behandles som blokkert selv om dens eget navn aldri vises på en sanksjonsliste. Andre regimer vekter eierskap og kontroll på ulike måter, og detaljene varierer etter jurisdiksjon og liste – den generelle lærdommen gjør det ikke. Det er ikke tilstrekkelig å sjekke kundens navn hvis den relevante risikoen befinner seg flere enheter høyere opp i eierskapskjeden.

Den samme logikken gjelder utover sanksjoner: et kontrollskifte i et mellomliggende holdingselskap, aggregert eierskap fordelt på flere relaterte parter på en måte som skjuler det reelle eierskap, eller eierskap kanalisert gjennom en jurisdiksjon som meningsfullt reduserer åpenhet, kan alt ha betydning lenge før noe ved den direkte kunden selv har endret seg.

Kompleksitet er ikke det samme som mistanke

Det ville være lett å begynne å behandle enhver lagdelt struktur som et varseltegn. Det ville være en feil, og en vanlig én. Multinasjonale konserner, private equity-strukturer, joint ventures og legitime holdingordninger er rutinemessig kompliserte av helt ordinære forretningsmessige, skattemessige og regulatoriske grunner som ikke har noe med tilsløring å gjøre. Kompleksitet er ikke bevis på uredelighet.

Det som fortjener oppmerksomhet er kompleksitet som er uforholdsmessig i forhold til strukturens tilsynelatende kommersielle formål: lag som ikke tjener noen identifiserbar funksjon, eierskapsløkker som er vanskelige å forene med noen legitim begrunnelse, mellomliggende enheter som motstår verifisering, eller et oppgitt eierskapsbilde som ikke stemmer overens med tilgjengelig dokumentasjon. Strukturer som disse kan brukes til å tilsløre reelt eierskap, omgå sanksjoner eller hvitvaske kriminelt utbytte – men utløseren for granskning er misforholdet mellom strukturen og dens tilsynelatende formål, ikke strukturens eksistens, og det er ikke begrenset til noen bestemt jurisdiksjon eller selskapsform.

Eierskapsprosenter forteller ikke hele historien

Det er fristende å behandle UBO-fastsettelse som aritmetikk – kryss en aksjeeierterskelen og svaret følger. Regulatoriske rammeverk, inkludert EUs AMLR, stopper ikke der. Eierskap gjennom en aksjeeieerandel er én vei til reelt eierskap; kontroll gjennom andre midler er en separat en, og den kan eksistere uten at noen enkeltperson krysser et eierskapsprosentmål i det hele tatt. AMLR anerkjenner kontroll som oppstår gjennom å inneha et flertall av stemmerettigheter, retten til å utnevne eller avsette et flertall av et styre, vetorettigheter over viktige beslutninger, og rettigheter over overskuddsfordeling. Avhengig av de faktiske forholdene kan ordninger som aksjonæravtaler, nomineforhold, stemmerettigheter, utnevningsrettigheter, vetorettigheter eller familieforhold også være relevante for å fastslå kontroll – ingen av dem er automatisk avgjørende alene, men hver og én er i stand til å konsentrere kontroll på måter et aksjeeierregister ikke ville vise. Indirekte kontroll, nådd gjennom mellomliggende enheter i eierskapsstrukturen, teller like mye som direkte kontroll.

Eierskapsprosenter hjelper med å besvare spørsmålet. De besvarer ikke alltid hele spørsmålet, og et foretak som bare sjekker aritmetikken kan gå glipp av kontroll som bevisst ble bygd for å ligge under den åpenbare terskelen.

Hva hvis det ikke finnes en klar UBO?

Ikke enhver struktur løses gjennom den kjente aksjonær-terskelberegningen. Truster, stiftelser og lignende ordninger kan kreve at reelle rettighetshavere identifiseres gjennom rollene folk innehar – stifter, forvalter, beskytter, begunstiget, og enhver annen som utøver den endelige kontrollen – snarere enn gjennom aksjebesittelse; det er en annen mekanisme for å komme frem til et svar, ikke fraværet av ett. Visse børsnoterte selskaper eller offentligrettslige organer kan også falle inn under spesifikke unntak eller forenklet behandling, avhengig av det gjeldende rammeverket. Og i noen selskapsstrukturer kan det, etter at eierskap og kontroll er korrekt analysert, hende at ingen fysisk person kan identifiseres som reell rettighetshaver. Den nøyaktige behandlingen varierer etter jurisdiksjon og enhetstype, og å generalisere på tvers av alle disse er en god måte å gjøre detaljene feil – det viktige poenget her er at en struktur som gir noe annet enn én klar, aksjebasert, naturlig-person-UBO ikke automatisk er et analysemessig feilskjær.

Det er en annen situasjon enn det å unnlate å etablere et svar som burde eksistere. AMLR er eksplisitt om dette skillet: der en reell rettighetshaver genuint ikke kan identifiseres etter at alle mulige identifikasjonsmetoder er uttømt, faller foretaket tilbake til å identifisere og verifisere de øverste lederne i enheten i stedet – ikke fordi de anses å være den reelle rettighetshaveren, men som et dokumentert substitusjonstiltak, med en oversikt over hva som ble forsøkt og hvorfor det ikke ga et svar. «Det finnes ingen identifiserbar UBO under det gjeldende rammeverket» og «vi klarte ikke å fastslå hvem UBO-en er» er ikke den samme konklusjonen. Den ene kan være fullt ut legitim. Den andre kan i seg selv berettige ytterligere granskning og bør aldri stilles stille med et tomt felt.

Et tomt UBO-felt forteller deg nesten ingenting. En dokumentert konklusjon som forklarer hvorfor ingen UBO eksisterer, eller hvorfor en ikke til syvende og sist kunne fastslås, forteller deg svært mye – og det er den andre versjonen, ikke den første, som et foretak faktisk bør sikte på å produsere.

UBO-en forblir en levende risiko, ikke et fastsatt faktum

Når en UBO er identifisert, kan den stille bli til en statisk oppføring: navn registrert, screenet én gang, arkivert. Mennesker og omstendigheter holder seg ikke i ro. Noen som ikke er en politisk eksponert person i dag, kan bli det. En sanksjonsbetegnelse kan legges til etter innbording, ikke bare ved den. Negativ informasjon kan dukke opp senere. Eierskap eller kontroll øverst i kjeden kan skifte selv mens det direkte kundeforholdet ser uendret ut. Å finne UBO-en svarer på hvem som til syvende og sist eier eller kontrollerer kunden i dag. Det svarer ikke på om risikoen knyttet til den personen er den samme i morgen – og det er derfor UBO-en, og de øvrige personene som er identifisert underveis, må forbli koblet til foretakets løpende screening og overvåking, styrt av gjeldende krav og foretakets eget risikorammeverk, snarere enn å behandles som et engangsoppslag.

Eierskapsovervåking må følge kjeden

Dette har en direkte operasjonell konsekvens: et foretaks direkte aksjonær kan forbli nøyaktig den samme mens eierskap to eller tre lag over det flyttes. Dette skiftet kan endre UBO-konklusjonen, kontrollanalysen, sanksjons- eller PEP-eksponeringen, geografisk risiko eller foretakets eksisterende risikoklassifisering – uten at et eneste felt i den direkte kundens egen post noen gang berøres. Eierskapsovervåking må følge kjeden, ikke bare kundeposten, ellers kan en endring av reell betydning ligge uoppdaget simpelthen fordi den aldri nådde det laget foretaket faktisk overvåket.

Ingenting av dette betyr at enhver eierskapsendring utløser samme respons. En strukturell endring i en mellomliggende enhet, en ny part som trer inn i kjeden, og en endring i en allerede identifisert UBOs personlige omstendigheter krever ulike grader av fornyet vurdering, proporsjonalt med hva som faktisk har beveget seg og hva det kan bety – fra å bekrefte endringen og oppdatere posten, gjennom å re-screene den nylig relevante parten, til å revurdere risikoklassifiseringen eller eskalere til en menneskelig saksbehandler der endringen er genuint vesentlig. Responsen bør passe til hendelsen, ikke som standard følge samme prosedyre uavhengig av hva som endret seg.

Hvorfor det er viktig å se strukturen

Dette er der et visuelt kart over eierskapsstrukturen tjener sin plass, og hvorfor det er verdt mer enn en penere fremstilling av saken. En flat aksjonærliste, et registerutdrag eller et sett med usammenhengende dataleverandørresultater kan hver for seg være individuelt nøyaktige og likevel ikke klare å formidle hvordan en struktur faktisk henger sammen. En eierskapsgraf som viser kunden, dens direkte aksjonærer, de mellomliggende enhetene, morselskapene og personene som i siste instans eier eller kontrollerer den – på så mange lag som strukturen faktisk har – lar den ansvarlige personen se hvordan UBO-konklusjonen ble nådd, hvilke enheter som befinner seg på stien, hvor en risikorelevant person eller enhet dukker opp, og hvor strukturen er genuint ufullstendig eller usikker snarere enn bare ukjent.

Teknologi bør gjøre komplekst eierskap forståelig. Den bør ikke late som om enhver kompleks struktur har et enkelt automatisert svar – noen strukturer er komplekse fordi den underliggende virksomheten er det, og kartets jobb er å gjøre den kompleksiteten lesbar, ikke å flate den ut til en falsk enkelhet. Et UBO-resultat er mer nyttig når den ansvarlige for det faktisk kan se, og forklare, hvordan konklusjonen ble nådd.

Det er også verdt å merke seg, kort, at det samme kartet ikke utelukkende er et compliance-artefakt. Et morselskaps insolvens, et oppkjøp som endrer hvem som kontrollerer forholdet, eller en restrukturering som introduserer nye beslutningstakere er fakta om kundens kommersielle virkelighet like mye som de er fakta relevante for AML. Et nøyaktig eierskapsbilde tjener begge formål på én gang, fordi det rett og slett er et nøyaktig bilde av hvem foretaket faktisk har å gjøre med.

Menneskelig skjønn er fortsatt poenget med øvelsen

Ingen av teknologiene beskrevet her er ment å fjerne skjønn fra eierskapsanalyse – det motsatte er målet. Programvare kan samle inn registerdata, beregne eierskapsveier, koble enheter på tvers av lag, sammenligne gjeldende strukturer med tidligere, screene relevante parter, overvåke for endring og bevare oversikten over hva som ble funnet og når. Den bør ikke bli bedt om å avgjøre om et gitt lag av kompleksitet er kommersielt logisk, om en uavklart struktur i seg selv er et bekymringsmoment, om utvidet kundekontroll er berettiget, eller om et forhold fortsatt ligger innenfor foretakets risikoappetitt. Disse forblir skjønnsmessige avgjørelser, tatt av mennesker som er ansvarlige for dem. Formålet med teknologi her er ikke å fjerne skjønn fra eierskapsanalyse. Det er å gi skjønnet bedre fakta å arbeide med.

Dette er miljøet plattformer som IQON er bygget for: å koble selskaps- og eierskapsdata til et eierskapskart som viser hvordan en UBO-konklusjon ble nådd, til screening og overvåking som holder relevante personer og enheter oppdatert, til risikoklassifisering og arbeidsflyt som en vesentlig endring kan påvirke eller utløse, og til oversikten som bevarer begrunnelsen – ikke for å levere konklusjonen selv, og ikke for å få kompleksiteten til å forsvinne.

Å finne den reelle rettighetshaveren besvarer et viktig spørsmål. Å forstå hvordan eierskap og kontroll når denne personen, hvilken risiko som befinner seg langs veien, og om svaret forblir sant over tid, er arbeidet som følger. Målet var aldri simpelthen å sette et navn i UBO-feltet. Det er å opprettholde et eierskapsbilde som en kompetent person kan forstå, forklare og handle på grunnlag av.