SOLUCIONES SAS PARA LA PREVENCION DE DELITOS FINANCIEROS

Transcripción

1 SOLUCIONES SAS PARA LA PREVENCION DE DELITOS FINANCIEROS TOMANDO LA PREVENCION DE LAVADO DE DINERO COMO CASO PARTICULAR Sergio Uassouf Líder de Práctica de Gestión de Integral de Riesgos v

2 CONCEPTOS GENERALES DE LAVADO DE DINERO

3 QUÉ ES LAVADO DE DINERO? Proceso para cambiar la identidad de "dinero sucio" proveniente de actividades delictivas para que aparezca como proveniente de actividades legítimas.

4 CUALES SON SUS FUENTES? Tráfico de drogas Tráfico de armas Comercio sexual Corrupción Fraudes Falsificaciones Robos Negocios extorsivos Contrabando Tráfico de personas Fraudes impositivos Fraudes aduaneros Robo de obras artísticas o antiguas

5 1 - COLOCACION ETAPAS DEL PROCESO 2 DIVERSIFICACION u OCULTAMIENTO Dinero sucio Ingresa al sistema financiero 3 - INTEGRACION Compra de bienes de lujo Inversiones financieras e industriales Casinos, casas de cambio, turismo Pago de Empresa Y a X Prestamo a Empresa Y Transferencia bancaria a Empresa X Transferencia electrónica a banco offshore

6 CONCEPTOS GENERALES DE LA SOLUCION

7 SAS FRAUD FRAMEWORK QUE ES? Conjunto de productos de software diseñados para desarrollar e implementar Soluciones de Prevención y Detección de Fraudes

8 SAS FRAUD FRAMEWORK PRINCIPALES COMPONENTES SAS FRAUD FRAMEWORK SAS Data Management Server SAS Financial Crimes Monitor SAS Soluciones Estadísticas y de Minería de Datos SAS Network & Link Analytics SAS Enterprise Case Management SAS Enterprise BI Server

9 SAS FRAUD FRAMEWORK PUNTOS A RESOLVER / COMPONENTES DE LA SOLUCION Repositorio Consolidado (Data Mart) Enfoque Analítico Híbrido Selección de Alertas y Análisis de Casos Flujos de Investigación Gestión Ejecutiva Administración de datos - Accede e integra; - Selecciona; - Depura; - Prepara para el análisis; - Almacena; Modelado - Análisis exploratorio y predictivo; - Minería de datos y textos; - Análisis de red de relaciones; Detección - Tablero de control analítico; - Monitoreo contínuo; - Proceso de generación de alertas; - Interfaz gráfica flexible; - Ruteo de alertas; Investigación - Gerenciamiento de procesos, flujos y etapas; - Adjuntar documentación y pruebas; - Base para investigaciones exhaustivas y certeras; Gestión - Gráficos, reportes y tableros de control dinámicos; - Performance de analistas e investigadores; - Descubrimiento temprano de nuevos tipos de fraudes; Administrador TI Estadísticos y Analíticos Analistas de Fraudes Investigadores Gerentes y Directores

10 SAS FRAUD FRAMEWORK PUNTOS A RESOLVER / COMPONENTES DE LA SOLUCION SAS Data Management Server SAS Enterprise & Text Miner Forecast Server SAS Network Analysis / Link Analytics SAS Enterprise Case Management SAS Enterprise BI Server Administración de datos - Accede e integra; - Selecciona; - Depura; - Prepara para el análisis; - Almacena; Modelado - Análisis exploratorio y predictivo; - Minería de datos y textos; - Análisis de red de relaciones; Detección - Tablero de control analítico; - Monitoreo contínuo; - Proceso de generación de alertas; - Interfaz gráfica flexible; - Ruteo de alertas; Investigación - Gerenciamiento de procesos, flujos y etapas; - Adjuntar documentación y pruebas; - Base para investigaciones exhaustivas y certeras; Gestión - Gráficos, reportes y tableros de control dinámicos; - Performance de analistas e investigadores; - Descubrimiento temprano de nuevos tipos de fraudes; Administrador TI Estadísticos y Analíticos Analistas de Fraudes Investigadores Gerentes y Directores

11 FRAUD FRAMEWORK Y AML COMPARACION Admin.de Escenarios Modelo de Datos Escenarios: Conjunto de reglas Escenarios: Conjunto de modelos Admin.de Alertas Admin.de Casos Reportes SAS Fraud Framework Financial Crimes Monitor Modelo AGP + Ejemplo AML SAS / Base + Ejemplo AML Enterprise Miner + Ejemplos propios + Signatures AML Social Network Analysis ECM (Integrado pero no incluído) Ejemplo AML Funcionalidad incluída en SAS Fraud Framework Funcionalidad propia para SAS Anti-Money Laundering

12 SAS FRAUD FRAMEWORK PRINCIPALES COMPONENTES SAS FRAUD FRAMEWORK SAS Data Management Server SAS Financial Crimes Monitor SAS Soluciones Estadísticas y de Minería de Datos SAS Network & Link Analytics SAS Enterprise Case Management SAS Enterprise BI Server

13 SFF: FINANCIAL CRIMES MONITOR ADMINISTRACIÓN DE ESCENARIOS Administra los escenarios y sus características. Un escenario es un programa SAS que toma acciones relacionadas con la detección de fraudes (genera alertas, los suprime, eleva un factor de riesgo, etc). A los efectos funcionales los escenarios se agrupan en proyectos. Un escenario está caracterizado por: Grupo de ejecución. Modo de creación: Auto / Custom. Estado: Activo / Inactivo. Entidad sobre la que acciona: Cliente, Cuenta, Transacción, Ubicación física. Parámetros de ejecución: Variables de entrada. Frecuencia de ejecución. Severidad. Peso.

14 SFF: FINANCIAL CRIMES MONITOR ADMINISTRACIÓN DE ESCENARIOS

15 SFF: FINANCIAL CRIMES MONITOR ADMINISTRACIÓN DE REGLAS Y ESCENARIOS SU AGRUPACIÓN EN PROYECTOS El resultado de la ejecución de un proyecto es poblar la tabla de alertas. Luego estas alertas serán mostradas a los investigadores mediante SAS Social Network Analysis Server según las reglas de supresión y de ruteo definidas para el proyecto. Los alertas pueden incluir las entidades involucradas (cuentas, clientes, ubicaciones físicas, transacciones relacionadas) según se configure la solución para cada cliente.

16 SAS FRAUD FRAMEWORK PRINCIPALES COMPONENTES SAS FRAUD FRAMEWORK SAS Data Management Server SAS Financial Crimes Monitor SAS Soluciones Estadísticas y de Minería de Datos SAS Network & Link Analytics SAS Enterprise Case Management SAS Enterprise BI Server

17 ENFOQUE ANALÍTICO HÍBRIDO GENERACIÓN DE ALERTAS El motor de clasificación y puntuación (scoring) de fraudes utiliza una combinación de técnicas analíticas para determinar la propensión al fraude. Reglas de Negocio Análisis de Relaciones Detección de Anomalías Analítica Avanzada El enfoque híbrido combina 4 métodos de análisis para analizar diferentes patrones y proporcionar una vision integral de la propensión al fraude.

18 ENFOQUE ANALÍTICO TÉCNICA ANALÍTICAS PARA PATRONES CONOCIDOS HÍBRIDO La técnica de Reglas de Negocios aplica reglas lógicas para filtrar transacciones fraudulentas. Reglas de Negocio Análisis de Relaciones Detección de Anomalías Analítica Avanzada Ejemplos Dos transacciones ocurren en diferentes regiones en un período corto de tiempo. Un reclamo excede un monto determinado y fue realizado después de la medianoche Incluye un conjunto de reglas aplicables a cada solución particular

19 ENFOQUE ANALÍTICO TÉCNICA ANALÍTICAS PARA PATRONES DESCONOCIDOS HÍBRIDO La técnica de Detección de Anomalías se basa en métodos no supervisados que examinan el comportamiento de transacciones, cuentas y clientes para detectar los que salen de lo "normal". Reglas de Negocio Análisis de Relaciones Detección de Anomalías Analítica Avanzada Ejemplos La cantidad de cuentas para un mismo domicilio exceden lo normal. El monto de un reclamo en moneda extranjera excede lo normal. Detección de valores extremos anormales Se utilizan regresiones, clustering, análisis de tendencias y de grupos; univariadas y multivariadas.

20 ENFOQUE ANAÍTICO TÉCNICA ANALÍTICAS PARA PATRONES COMPLEJOS HÍBRIDO La técnica de Analítica Avanzada se basa en métodos supervisados que usan información histórica de fraudes conocidos para identificar patrones sospechosos similares. Reglas de Negocio Análisis de Relaciones Detección de Anomalías Analítica Avanzada Ejemplos Patrones de apertura y cierre de cuentas. Patrones de crecimiento de uso de recursos. Casos conocidos indicados por los expertos para la generación de alertas. Alertas generados por el sistema y eliminados por los expertos para la reducción de falsos positivos. Se utilizan modelos predictivos paramétricos y no paramétricos como redes neuronales, árboles de decisión y modelos lineales generalizados.

21 ENFOQUE ANALÍTICO TÉCNICA ANALÍTICAS PARA PATRONES DE RELACIONES HÍBRIDO La técnica de Análisis de Relaciones identifica asociaciones entre entidades tales como cuentas, clientes, transacciones, proveedores, edificios. Reglas de Negocio Análisis de Relaciones Detección de Anomalías Analítica Avanzada Ejemplos Manipulación de identidades. Compartición de teléfonos y direcciones. Transacciones a contrapartes sospechosas. Combinaciones de proveedores en común. Rastreador de movimientos de fondos.

22 SAS FRAUD FRAMEWORK CONJUNTO DE SOLUCIONES SAS FRAUD FRAMEWORK SAS FRAUD FRAMEWORK FOR INSURANCE SAS FRAUD FRAMEWORK FOR GOVERNMENT SAS FRAUD FRAMEWORK FOR HEALTH-CARE SAS FRAUD FRAMEWORK FOR BANKING (Proximamente) SAS ANTI-MONEY LAUNDERING

23 SFF: SOLUCIONES ESTADISTICAS Y DE MINERIA DE DATOS MODELOS Y PREGUNTAS CRÍTICAS Modelos Descriptivos Predictivos QUE NECESITAMOS? PREGUNTA DE NEGOCIO Agrupamiento Asociación Clasificación Regresión DATOS HISTÓRICOS HERRAMIENTA DE MODELADO Árboles de Decisión Regresiones CON QUE MÉTODOS CONTAMOS? Redes Neuronales

24 SFF: SAS ENTERPRISE MINER MODELOS DE ALTA COMPLEJIDAD 1A A Sample Explore Modify Model Assess Caso Modelo Fraude Alta Complejidad Clustering + Impacto + Tiempo + Secuencia

25 SAS FRAUD FRAMEWORK PRINCIPALES COMPONENTES SAS FRAUD FRAMEWORK SAS Data Management Server SAS Financial Crimes Monitor SAS Soluciones Estadísticas y de Minería de Datos SAS Network & Link Analytics SAS Enterprise Case Management SAS Enterprise BI Server

26 SFF: SOCIAL NETWORK ANALYSIS ESQUEMA GENERAL DE PANTALLA DE INVESTIGADOR ALERTAS DETALLE DE ALERTAS DETALLE DE ENTIDADES DIAGRAMAS GRÁFICOS ANALISIS DE RELACIONES (SNA) INFORMACION RELACIONADA

27 INTERFAZ DE INVESTIGADOR Datos Nombre de Tabla Volumen Cuentas FSC_ACCOUNT_DIM 13,947 Clientes FSC_PARTY_DIM 27,018 Transacciones FSC_CAS_FLOW_FACT 106,836 Fecha # Alertas Total 513 MINI-DEMO - RESUMEN DE DATOS Alertas Generados ATM/Phone Activity ATM Usage in Multiple States High Velocity ATM Withdrawals (SAS10002) Excessive ATM Withdrawal Denials (SAS10003) Excessive Balance Inquiries (SAS10004) Insurance Policy Closing Early Termination of a Front-Loaded Product Early Termination of a Product Paid Out to a Third Party Matched Transactions Transactions in Similar Amounts Registration/Status Irregularities Recurring Tax ID Number Recurring Phone Number Transfer of Ownership or Beneficiary to Unrelated Third Party Structuring and Obfuscation Structured Withdrawals (SAS10014) Structured Deposits Across Locations Structured Premiums Unusual Aggregate Behavior Payments Made Using High-Risk Instruments Unexpected Transactions Deposits Exceeding Income Deposit Amount in Excess of Expectations Withdrawal Amount in Excess of Expectations Account Activity in Excess of Expectations High-Velocity Funds in Excess of Expectations Wire Activity Large Incoming Wires High Velocity Funds - Wires Out (SAS10022) Increase in Wire Activity

28 SAS FRAUD FRAMEWORK PRINCIPALES COMPONENTES SAS FRAUD FRAMEWORK SAS Data Management Server SAS Financial Crimes Monitor SAS Soluciones Estadísticas y de Minería de Datos SAS Network & Link Analytics SAS Enterprise Case Management SAS Enterprise BI Server

29 ENTERPRISE CASE MANAGEMENT SAS WORKFLOW STUDIO CUSTOMIZACION DE FLUJOS DE TRABAJO

30 ENTERPRISE CASE MANAGEMENT SAS WORKFLOW STUDIO CUSTOMIZACION DE FLUJOS DE TRABAJO

31 ENTERPRISE CASE MANAGEMENT SAS CUSTOM PAGE BUILDER (XML) CUSTOMIZACION DE PANTALLAS DE USUARIO

32 QUEDAMOS A SU DISPOSICION PARA HACER UNA PRESENTACION Y DEMO EN SU EMPRESA CON MAYOR NIVEL DE DETALLE

33 EJEMPLOS DE PANTALLAS

34 Nueva Interfaz de Admin. de Escenarios Lista de Escenarios. el usuario crea y administra los escenarios mediante una interfaz web de diseño moderno.

35 Página de Inicio / Tablero de Control Home Page de Analistas e Investigadores. punto de entrada estándar que otorga una visión gráfica integral que favorece el rápido acceso a los alertas prioritarios.

36 Nueva Interfaz de Administrador de Alertas Pantalla de Alertas Lista de Alertas. nueva versión de la interfaz de usuario de SAS AML que provee un entorno eficiente y configurable en forma dinámica para su adaptación a la modalidad de trabajo de cada usuario.

37 Nueva Interfaz de Administrador de Alertas Pantalla de Alertas Filtros y Acciones. nueva versión de la interfaz de usuario de SAS AML que provee un entorno eficiente y configurable en forma dinámica para su adaptación a la modalidad de trabajo de cada usuario.

38 Nueva Interfaz de Administrador de Alertas Pantalla de Alertas Alertas Agrupadas por Subject Id. nueva versión de la interfaz de usuario de SAS AML que provee un entorno eficiente y configurable en forma dinámica para su adaptación a la modalidad de trabajo de cada usuario.

39 Nueva Interfaz de Administrador de Alertas Pantalla de Alertas Detalle de un Alerta. nueva versión de la interfaz de usuario de SAS AML que provee un entorno eficiente y configurable en forma dinámica para su adaptación a la modalidad de trabajo de cada usuario.

40 Nueva Interfaz de Administrador de Alertas Pantalla de Alertas Historial de un Alerta. nueva versión de la interfaz de usuario de SAS AML que provee un entorno eficiente y configurable en forma dinámica para su adaptación a la modalidad de trabajo de cada usuario.

41 Nueva Interfaz de Administrador de Alertas Pantalla de Análisis de Relaciones. visualización gráfica, dinámica, en múltiples niveles de las relaciones entre las entidades que operan en el banco.

42 Flujos de Trabajo Automatizados Visualización del Estado de un Caso. provee una traza detallada de las actividades ejecutadas en el análisis de cada caso.

43 Tablero de Control Indicadores Gráficos Estándar de la Solución y Propios para cada Cliente

44 MODELO DE DATOS

45 ESQUEMA GENERAL DE LA SOLUCION Y MODELO DE DATOS MODELO DE DATOS CORE Modelo de datos en estrella (dimensional) que contiene los datos de origen (fuente) MODELO DE DATOS KNOWLEDGE CENTER Modelo de datos entidad relación que almacena los escenarios, sus componentes y la información para su investigación.

46 MODELO DE DATOS CARACTERÍSTICAS DE LA BASE DE DATOS CORE De miles a millones de cuentas y partes intervinientes. De decenas de miles a miles de millones de transacciones. Almacena los cambios de información en el tiempo (p.ej. direcciones, teléfonos y otros datos descriptivos de las partes). Retiene la historia de las definiciones realizadas. Por defecto 13 meses de creación y modificaciones a escenarios. La performance de carga de información y ejecución de consultas es crítica.

47 MODELO DE DATOS CORE EJEMPLO DE DEPOSITO DE $ Modelo en estrella. La tabla de transacciones (facts) contiene los movimientos realizados. Las tablas de dimensiones contienen cuentas, clientes, lugares de residencia (casas, edificios) y demás dimensiones necesarias para el análisis. FSC_ACCOUNT_DIM account_key: 1234 account_number: BD1222 account_name: John s Checking etc... FSC_CASH_FLOW_FACT transaction_key: account_key: 1234 date_key: time_key: 123 transaction_type_key: 2026 transaction_status_key: 1 country_key: 840 branch_key: currency_amount: 2,000 currency_amount_in_txn_ccy: 2,000 currency_amount_in_account_ccy: 2,000 transaction_currency_key: 840 posted_date_key: associate_key: 5434 executing_party_key: -1 FSC_BRANCH_DIM branch_key: branch_number: WEST444 branch_name: Westbridge Branch FSC_DATE_DIM date_key: calendar_date: 11/23/2004 FSC_TIME_DIM time_key: 123 time_hhmmss: FSC_TRANSACTION_TYPE_DIM transaction_type_key: 2026 funds_securities_code: F transaction_cdi_code: C primary_medium_desc: CHECK secondary_medium_desc: N/A mechanism_desc: TELLER FSC_COUNTRY_DIM country_key: 840 country_code_2: US country_code_3: USA country_name: United States FSC_TRANSACTION_STATUS_DIM transaction_status_key: 1 status_desc: Success status_reason_desc: N/A FSC_TRANSACTION_DIM transaction_key: transaction_reference_number: TX23FD432232BBB transaction_description: Check Deposit

48 MODELO DE DATOS CORE EJEMPLO DE TRANSFERENCIA INTERNACIONAL Modelo en estrella. La tabla de transacciones (facts) contiene los movimientos realizados. Las tablas de dimensiones contienen cuentas, clientes, lugares de residencia (casas, edificios) y demás dimensiones necesarias para el análisis.

49 MODELO DE DATOS KNOWLEDGE CENTER ALMACENA LOS ESCENARIOS QUE DEFINIMOS... Modelo de relaciones entre entidades. Almacena los escenarios y factores de riesgo que definimos Almacena las alertas y clasificaciones de riesgos generados. Almacena la replica de los datos vinculados a cada alerta.

50 MODELO DE DATOS KNOWLEDGE CENTER LOS ALERTAS QUE SE GENERAN A PARTIR DE ESOS ESCENARIOS... Modelo de relaciones entre entidades. Almacena los escenarios y factores de riesgo que definimos Almacena las alertas y clasificaciones de riesgos generados. Almacena la replica de los datos vinculados a cada alerta.

51 MODELO DE DATOS KNOWLEDGE CENTER Y UNA REPLICA DE TODAS LAS TRANSACCIONES VINCULADAS A CADA ALERTA... Cuando se crea un alerta todas las transacciones (facts) asociadas son copiadas desde el Core Data Model en la tabla de transacciones replicadas (Replicated Facts) del Knowledge Center. De este modo el sistema retiene todos las transacciones para poder auditarlas, permitiendo la depuración periódica de la información más antigua del Core Data Model.

52 MODELO DE DATOS RESUMIENDO... CORE: Contiene las transacciones, operaciones, cuentas, clientes, lugares de residencia (casas, edificios) y demás dimensiones necesarias para el análisis. KNOWLEDGE CENTER: Contiene los escenarios y factores de riesgo, los alertas generados por los escenarios y una réplica de las transacciones asociados a cada alerta. CORE Contiene datos fuente. La solución los modifica sólo excepcionalmente. Almacena varios meses de transacciones. KNOWLEDGE CENTER Contiene información relevante para AML. La solución los modifica frecuentemente. Almacena indefinidamente la réplica de transacciones sospechosas.

53 ESCENARIOS

54 ESCENARIOS PRINCIPALES TÉRMINOS Escenario: Programa que representa una situación indicativa de propensión al lavado de dinero. El escenario chequea la información relacionada con el escenario. Si las condiciones del escenario ocurrieron, genera un alerta. Alerta: Aviso de una situación que puede ser indicativa de lavado de dinero. Escenario de Factor de Riesgo: Es un tipo de escenario que no genera un alerta porque representa situaciones que si bien pueden ser indicativas de lavado de dinero, su ocurrencia es también común en transacciones lícitas. Eleva el score de riesgo de los alertas relacionados.

55 SAS10007 Depós.estructurado SAS10029 Activ.fuera de zona SAS10032 Nuevo cliente SAS10038 Periodo inactivo Afecta Score de Riesgo Score de Riesgo ESCENARIOS BREVE EJEMPLO... Número de Cliente Zhi Chen Gloria Boring Nombre Francois Soleil Cassio M Marobella Patricia F Williams Ripley Anderson Harry Wong BUI Inc

56 ESCENARIOS ASUMAMOS QUE EJECUTAMOS 4 ESCENARIOS... Severity Scenario Name Short Description Description Escenario SAS10007 Estructura de Depósitos en Efectivo Escenario de Factor de Riesgo Escenario de Factor de Riesgo Escenario de Factor de Riesgo El monto total de depósitos en efectivo de un cliente resulta consistentemente sobre el umbral diario establecido (Currency Transaction Report threshold). SAS10029 Actividad Fuera de Zona Una cuenta tiene un volumen significativo de actividad fuera de su zona habitual y/o de residencia. SAS10032 Cliente Nuevo Un cliente ingresó al banco hace poco tiempo. SAS10038 Período de Inactividad Una cuenta tiene un extendido período de inactividad.

57 SAS10007 Estructura dep.efect. SAS10029 Activ.fuera de zona SAS10032 Nuevo cliente SAS10038 Periodo inactivo Afecta Score de Riesgo Score de Riesgo ESCENARIOS VEREMOS COMO IMPACTAN EN ESTOS 8 CLIENTES... Número de Cliente Zhi Chen Gloria Boring Nombre Francois Soleil Cassio M Marobella Patricia F Williams Ripley Anderson Harry Wong BUI Inc

58 SAS10007 Estructura dep.efect. SAS10029 Activ.fuera de zona SAS10032 Nuevo cliente SAS10038 Periodo inactivo Afecta Score de Riesgo Score de Riesgo ESCENARIOS 3 CLIENTES APAREAN CON EL ESCENARIO SAS10007, GENERÁNDOSE UN ALERTA PARA CADA UNO DE ELLOS... Número de Cliente Zhi Chen Nombre Gloria Boring X Nuevo Francois Soleil Cassio M Marobella Patricia F Williams X Nuevo Ripley Anderson X Nuevo Harry Wong BUI Inc

59 SAS10007 Estructura dep.efect. SAS10029 Activ.fuera de zona SAS10032 Nuevo cliente SAS10038 Periodo inactivo Afecta Score de Riesgo Score de Riesgo ESCENARIOS 3 CLIENTES APAREAN EL ESCENARIO DE FACTOR DE RIESGO SAS NO SE GENERA NINGÚN ALERTA PERO AFECTA EL SCORE DE RIESGO DE LA FILA 2... Número de Cliente Zhi Chen Nombre Gloria Boring X X Francois Soleil X No Cassio M Marobella Patricia F Williams X Ripley Anderson X Harry Wong BUI Inc X No

60 SAS10007 Estructura dep.efect. SAS10029 Activ.fuera de zona SAS10032 Nuevo cliente SAS10038 Periodo inactivo Afecta Score de Riesgo Score de Riesgo ESCENARIOS 3 CLIENTES APAREAN EL ESCENARIO DE FACTOR DE RIESGO SAS NO SE GENERA NINGÚN ALERTA NI SE AFECTA NINGÚN SCORE DE RIESGO... Número de Cliente Nombre Zhi Chen X No Gloria Boring X X Francois Soleil X Cassio M Marobella Patricia F Williams X Ripley Anderson X Harry Wong X No BUI Inc X X No

61 SAS10007 Estructura dep.efect. SAS10029 Activ.fuera de zona SAS10032 Nuevo cliente SAS10038 Periodo inactivo Afecta Score de Riesgo Score de Riesgo ESCENARIOS 3 CLIENTES APAREAN EL ESCENARIO DE FACTOR DE RIESGO SAS NO SE GENERA NINGÚN ALERTA PERO AFECTA EL SCORE DE RIESGO DE LAS FILAS 2 Y 6... Número de Cliente Nombre Zhi Chen X Gloria Boring X X X Francois Soleil X Cassio M Marobella Patricia F Williams X Ripley Anderson X X Harry Wong X BUI Inc X X

62 ESCENARIOS PRINCIPALES TÉRMINOS Existen muchos factores que no están considerados en el ejemplo y que influyen fuertemente en el proceso de generación de alertas. Algunos ejemplos son: Otros alertas generados y su tiempo de vida; Reglas de supresión; Pesos bayesianos; Probabilidad de ejecución.

63 FILTTROS ESCENARIOS ESQUEMA DE FUNCIONAMIENTO CLIENTES CUENTAS TRANSACCIONES PERFILES RELACIONES KYC NIVEL DE RIESGO Alerta score bajo Alerta score medio Posible alerta Alerta score alto = Apareo de escenarios y factores de riesgo

64 ESCENARIOS Por Categoría ESCENARIOS PROVISTOS SEGÚN DIFERENTES CLASIFICACIONES Actividad en teléfonos y ATMs 6 Actividad en efectivo 6 Cuentas inactivas 2 Seguros 4 Actividad en préstamos 3 Apareo de transacciones 1 Irregularidad de estado 4 Aparición en lista de riesgos 1 Estructura y ofuscación 5 Transacciones inusuales 7 Comportamiento agregado inusual 12 Entidades en Watch lists 9 Actividad en transferencias 9 Manual 1 Otras 2 Por Severidad Escenario 49 Factores de riesgo 23 Por Tipo de Entidad Cuentas 35 Clientes 34 Transacciones 2 Otras 1 Por Frecuencia de Ejecución Diaria 54 Semanal 4 Mensual 13 No aplicable 1

65 ESCENARIOS LISTA PARCIAL DE ESCENARIOS PROVISTOS SAS Manually Created Alert SAS ATM Usage in Multiple States SAS High Velocity ATM Withdrawals SAS Excessive ATM Withdrawal Denials SAS Excessive Balance Inquiries SAS Large Cash Deposits SAS Large Total Cash Transactions SAS Structured Cash Deposits SAS Activity in an Inactive Account SAS Transactions in Similar Amounts SAS Recurring Tax ID Number SAS Recurring Phone Number SAS Structured Withdrawals SAS Multiple Location Usage SAS Structured Deposits Across Locations SAS Deposits Exceeding Income SAS High-Risk Countries SAS Bidirectional Wires SAS Large Incoming Wires SAS High Velocity Funds - Wires In SAS High Velocity Funds - Wires Out SAS Low Total Assets SAS High Velocity Funds SAS Transactions in Round Amounts SAS ATM Deposits at Multiple Locations SAS ATM Withdrawals and Inquiries at Multiple Locations SAS Multiple Branch Usage SAS Out-of-State Activity SAS Activity Dominated by Wires SAS Foreign Wire Activity SAS New Customer SAS Politically Exposed Person (PEP) Indicator SAS Recent Suspicious Activity Report (SAR) Activity SAS Recent Currency Transaction Report (CTR) Activity SAS High Account Turnover SAS Period of Dormancy SAS Large Wires Relative to Net Worth SAS High-Risk Deposits SAS High-Risk Withdrawals SAS Payments Using Third Party Check SAS Payments Made Using High-Risk Instruments SAS Loan Disbursement From a Recently Opened Single-Premium Policy SAS Structured Premiums SAS Early Termination of a Front-Loaded Product SAS Early Termination of an Insurance Product Purchased with High-Risk Instruments SAS Early Termination of a Product Paid Out to a Third Party SAS Transfer of Ownership or Beneficiary to Unrelated Third Party SAS Excessive Transfer Activity with Unrelated Parties SAS Increase in Wire Activity SAS Transactions Involving Countries on a Watch List SAS Politically Exposed Person (PEP) on Watch List SAS Non-Terrorist on Watch List SAS High-Risk Currencies

66 ESCENARIOS ESCENARIOS PROVISTOS EJEMPLO CATEGORÍA TRANSACCIONES INUSUALES Perfilado de transacciones respecto al comportamiento histórico: Incluye "perfil de comportamiento dinámico, también conocido como firma. Detecta desviaciones respecto a normales determinados. Define máximos para umbrales y "expectativas". Actualiza los perfiles regularmente, típicamente en frecuencia mensual.

67 ESCENARIOS ESCENARIOS PROVISTOS EJEMPLO CATEGORÍA TRANSACCIONES INUSUALES También conocidos como... Escenarios de comportamientos inusuales, Escenarios dinámicos o Escenario de perfiles. Se genera un alerta cuando los valores obtenidos son mucho mayores que los esperados... SAS10086 Monto depositado en exceso (mensual) SAS10087 Monto retirado en exceso (mensual) SAS10088 Cantidad de depósitos en exceso (mensual) SAS10089 Cantidad de retiros en exceso (mensual) SAS10090 Actividad de la cuenta en exceso (mensual) SAS10091 Velocidad de rotación de fondos en exceso (diario)

68 PROCESOS COMPLEMENTARIOS VECINOS CERCANOS (NEAR NEIGHBORS) RASTREADOR DE FONDOS (FUNDS TRACKER) CLASIFICACIÓN DE RIESGOS

69 VECINOS CERCANOS (NEAR NEIGHBOR) DESCRIPCION DEL PROCESO Proceso analítico para determinar comportamiento similares a los de las alertas actuales. Utiliza suma de cuadrados para determinar la distancia. A menor distancia, mayor similitud de comportamiento. Se requieren 6 meses de historia de transacciones. Los vecinos cercanos son determinados estrictamente por la actividad transaccional, no por las características de clientes y cuentas.

70 VECINOS CERCANOS (NEAR NEIGHBOR) PANTALLA EJEMPLO Se seleccionan alertas. La funcionalidad Vecino Cercano muestra información general de la cuenta objetivo, que es aquella alcanzada por los alertas seleccionados Los vecinos son mostrados según su ranking de similitud La distancia expresa la "similitud" de cada vecino respecto a la cuenta objetivo. A mayor distancia, menor similitud. Si la distancia es 0 el vecino es igual a la cuenta objetivo.

71 RASTREADOR DE FONDOS (FUNDS TRACKER) DESCRIPCION DEL PROCESO Representación gráfica del movimiento de fondos dentro y hacia el exterior de la institución. Construye redes de actividad a partir de las transacciones individuales. Pone en evidencia relaciones entre cuentas, que quedaban ocultas sin este análisis. Requiere como mínimo dos meses de transferencias internas y/o externas.

72 RASTREADOR DE FONDOS (FUNDS TRACKER) PANTALLA EJEMPLO

73 CLASIFICACION DE RIESGOS DESCRIPCION DEL PROCESO Proceso analítico para asignar clientes a diferentes categorías de riesgo según sus atributos y comportamiento. Permite el cumplimiento regulatorio satisfaciendo los "due diligence" de clientes requeridos por diferentes regulaciones y el principio "Conozca a su Cliente". Ejecución mensual del proceso de clasificación de riesgos, que analiza la información de clientes respecto a los clasificadores de riesgos. Ejecución frecuente del proceso de evaluación de riesgos, que envía las evaluaciones de clientes a los investigadores en función del perfil de riesgos determinado por el proceso de clasificación.

74 CLASIFICACION DE RIESGOS DESCRIPCION DE CLASIFICADORES DE RIESGO Identificadores de clientes y cuentas: Comparan los identificadores de los clientes y/o cuentas objetivo con listas de clientes y/o cuentas. Estas listas son administradas por la interfaz de investigador de AML. Información de cuentas y clientes: Estos clasificadores de riesgos utilizan listas de atributos potencialmente predictores de clientes y cuentas, tales como tipo de actividad o códigos postales. Estas listas son administradas por la interfaz de investigador de AML. Perfil de clientes: Estos clasificadores analizan los perfiles de clientes comparandolos con umbrales pre-establecidos. Por ejemplo: la cantidad y monto de operaciones en efectivo y de transferencias de fondos. Indicadores de clientes y cuentas: Estos clasificadores analizan indicadores generalmente binarios (Si o No) establecidos en cualquiera de los procesos de análisis (Generación de alertas, Análisis de escenarios y factores de riesgo, etc).

75 CLASIFICACION DE RIESGOS EJEMPLOS DE CLASIFICADORES DE RIESGO Identificadores de clientes y cuentas: Clientes/SASRC10001 Personas Internas Políticamente Expuestas Información de cuentas y clientes: Productos/SASRC10205 Servicios Utilizados (No Cuentas de Depósitos) Perfil de clientes: Servicios/SASRC10401 Transferencias Indicadores de clientes y cuentas: Clientes/SASRC10604 Personas Políticamente Expuestas

76 GRACIAS POR SU INTERÉS EN SAS

77 ANEXO - DETALLE TÉCNICO PROCESO DE GENERACIÓN DE ALERTAS

78 PROCESO DE GENERACION DE ALERTAS (AGP) GENERACIÓN DE CÓDIGO Para Scenarios y Headers escritos utilizando SAS Data Step, en la generación de código... El Header representa la sentencia Data, carga de variables e inicialización (First.) y finalización (Last.) del módulo. El Scenario contiene la lógica del Data Step. Múltiples scenarios pueden ser incluídos en el mismo header (o sea utilizando el mismo Data Step).

79 PROCESO DE GENERACION DE ALERTAS (AGP) RELACION DE INPUT, HEADERS Y SCENARIOS

80 PROCESO DE GENERACION DE ALERTAS (AGP) Header Scenario EJEMPLO DE CODIGO GENERADO data alert_tablename (keep=list of vars); Declare Arrays array transaction_type {10000} $1 _temporary_; Load Transactions set scenario_prep_file end=eof; by account_number; Begin FIRST. LAST. Processing if first.account_number then n=0; Load Arrays n+1 if n<=&array_dimension then do; transaction_type{n} = transaction_indicator; end; if ^last.account_number then return; Scenario Processing scenario_id = 5; %SAS10005 ( p10005_account_type_desc='p', p10005_cdi_indicator='c', p10005_ctr_amount=10000, p10005_currency_acct='n', p10005_pri_medium_desc='cash', p10005_status_desc='success' ); run;

81 PROCESO DE GENERACION DE ALERTAS (AGP) LOGICA DEL ESCENARIO SAS10005 DEPÓSITOS EN EFECTIVO DE MONTO ELEVADO

82 PROCESO DE GENERACION DE ALERTAS (AGP) MODULARIZACIÓN DE COMPONENTES Implementado utilizando macros SAS. Proceso de errores estándar (Global Return Codes). Lógica estándar para éxito o falla de ejecución (AMLSUCCESS Y AMLFAILURE) Algunos módulos contienen una interfaz pre y post ejecución del mismo. Las interfaces pre y post módulos son denominadas con prefijo PRE y POST. Por ejemplo el módulo COMBINE_ALERTS contiene interfaces PRECOMBINE_ALERTS y POSTCOMBINE_ALERTS.

83 PROCESO DE GENERACION DE ALERTAS (AGP) DIAGRAMA DE EJECUCION Scenario Code Generation Scenario Execution Funds Tracker Prep Combine Alerts Funds Tracker Risk Ranking Load Networks Suppression Get Entity Info Near Neighbor Prep Near Neighbor Routing Load Alerts Replicate Transactions Update Alert History Replicate Profile Send Alert Reminder Load Risk Factors Notify Manager

84 PROCESO DE GENERACION DE ALERTAS (AGP) IMPLEMENTACION DE UN NUEVO ESCENARIO PROPIO

85 MODELO DE DETECCIÓN DE COMPORTAMIENTOS BANCARIOS ATÍPICOS

86 DETECCION DE COMPORTAMIENTOS ATÍPICOS FLUJO DE PROCESOS El proceso de ejecución del modelo consta de los siguientes pasos: 1. Proceso ETL para poblado de la ABT 2. Segmentación estructural 3. Clustering 4. Cálculo de distancias y score de anomalía 5. Reporting de los casos de comportamiento atípico

87 DETECCION DE COMPORTAMIENTOS ATÍPICOS 1. PROCESO DE ETL PARA CONSTRUCCION DE LA ABT Incluye todos los campos relevantes en cuanto a: Características del cliente (personas físicas y jurídicas) Detalle de su operatoria histórica y reciente (montos y cantidades de transacciones por tipo) Se alimenta con información proveniente de los datos demográficos y transaccionales del cliente, mediante un proceso de ETL (extracción, transformación y carga de datos) diseñado por SAS, adaptado a la base transaccional de cada Entidad.

88 DETECCION DE COMPORTAMIENTOS ATÍPICOS 1. PROCESO DE ETL PARA CONSTRUCCION DE LA ABT 4 tablas principales: Datos recientes e históricos de personas físicas y jurídicas. 4 atributos principales: Transacciones y Montos operados por cada concepto, Días y Sucursales en las que operó. 43 conceptos considerados, entre otros: Cobro de exportaciones; Compra de títulos; Depósitos de efectivo y cheques en cajas de ahorro y ctas.ctes; Giros y transferencias recibidos y enviados en el país y en el exterior; Pagos de cheques por caja y por cámara; Pago de importaciones; Pases activos moneda extranjera, títulos y valores; Retiros de efectivo por ATM.

89 DETECCION DE COMPORTAMIENTOS ATÍPICOS 1. PROCESO DE ETL PARA CONSTRUCCION DE LA ABT VARIABLES CONSIDERADAS VARIABLE MONTO_DIA_Cxx Q_DIAS_Cxx Q_SUC_Cxx Q_TRX_DIA_Cxx MONTO_DIA_Cxx_std Q_DIAS_Cxx_std Q_SUC_Cxx_std Q_TRX_DIA_Cxx_std MONTO_DIA_Cxx Q_DIAS_Cxx Q_SUC_Cxx Q_TRX_DIA_Cxx MONTO_DIA_Cxx_std Q_DIAS_Cxx_std Q_SUC_Cxx_std Q_TRX_DIA_Cxx_std DESCRIPCIÓN Suma de los promedios diarios, por persona y mes Promedios diarios estandarizados Promedio diario por persona Promedio diario estandarizado por persona VARIABLE ALERTAS_MES ANT_CLIENTE BANCA_ID CANAL_ATM CANAL_EBANK CANAL_IVR CANAL_OTROS CANAL_TAS CANT_MESES CANT_CLIENTES COMPRA_LIMITE_std DEUDA_LIMITE_std PAGO_SALDO_std SALDO_LIMITE_std INDICADOR_PEP INDICADOR_STAFF_BANCO DESCRIPCION Cantidad de alertas Antigüedad del cliente Indica transacciones por ese canal Límites estandarizados Variables booleanas

90 DETECCION DE COMPORTAMIENTOS ATÍPICOS 2. SEGMENTACION ESTRUCTURAL En este paso se conforman diversos grupos de clientes como primer fase de segmentación: PERSONAS FISICAS Banca personas Banca pymes PERSONAS JURIDICAS Banca empresas Servicios Banca pymes Sector primario Transporte Empresas monopersonales Industria manufacturera Construcción Comercio Otros La lógica en este paso es separar comportamientos estructuralmente diferentes como el de una persona física versus el de una empresa, o el de una empresa comercial de la de una agropecuaria.

91 DETECCION DE COMPORTAMIENTOS ATÍPICOS 2. SEGMENTACION ESTRUCTURAL PERFILADO PERSONAS JURÍDICAS - COMERCIOS Cluster 1 Alta cantidad de días, transacciones y sucursales. Alta cantidad de días en que opera C2 (Depósito de cheques en Cta Cte). Cluster 2: Bajos montos en promedio. Uso intenso de cuenta corriente. Cluster 3: Poco uso de cuenta corriente. Alto uso de giros y transacciones. Pocos días operando C2 (Depósito de cheques en Cta Cte). Baja cantidad de sucursales. Altos montos en C101 (G. y T. emit. del país).

92 DETECCION DE COMPORTAMIENTOS ATÍPICOS 3. CLUSTERING Una vez conformados los segmentos estructurales en el paso anterior, se aplica una sub-segmentación dentro de cada uno de ellos, aplicando técnicas clustering de data mining. El objetivo es generar grupos de pares homogéneos a nivel intra-grupo, en el sentido de agrupar clientes de igual porte económico, tamaño, y estilo de operaciones. Los comportamientos medios de estos sub-segmentos, denominados centroides, se utilizan como puntos de referencia contra los cuales luego se realizan las comparaciones del comportamiento de cada cliente.

93 DETECCION DE COMPORTAMIENTOS ATÍPICOS TABLA Aml_main_pj/pf_rec Centroides Medias Desvíos 3. CLUSTERING FUNCION Para decidir a qué segmento corresponde un cliente, consideramos los datos de su operatoria reciente, que se encuentran en esta tabla Este vector contiene la información fundamental sobre los segmentos, contra el que se medirá la diferencia entre el comportamiento de la persona y el del segmento. Para estandarizar los datos utilizados. Para estandarizar los datos utilizados. x: valor de la variable que se quiere estandarizar. m: media de la variable considerada. s: desvío estándar de la variable considerada.

94 DETECCION DE COMPORTAMIENTOS ATÍPICOS 4. CALCULO DE DISTANCIA Y SCORE DE ANOMALIAS Para cada cliente bancario, se calculan las dos «distancias» correspondientes a los dos sub-scores de anomalías. Utiliza la medida de distancia multidimensional de Mahalanobis. Esa medida de distancia, a diferencia de la distancia euclídea, contempla la correlación existente entre las diversas dimensiones que se computan (en este caso, las dimensiones consisten en conceptos de operatoria bancaria ej. depósitos, extracciones, pagos, etc.) Distancia Euclídea bidim.: Distancia de Mahalanobis:

95 DETECCION DE COMPORTAMIENTOS ATÍPICOS 4. CALCULO DE DISTANCIA Y SCORE DE ANOMALIAS Se calcula la medida de la distancia total y la distancia exhibida en cada uno de los conceptos de operatoria. Por esto se crea una tabla (D_XXX_XXXX) en la que se guardan tanto la distancia como cada uno de los sumandos que constituyen la distancia al cuadrado: d(p,q) 2 = (p 1 q 1 ) 2 + (p 2 q 2 ) (p i q i ) (p n q n ) 2. Las distancias obtenidas se estandarizan para que sea posible su comparación según la fórmula mencionada anteriormente. Finalmente se transforma la distancia estandarizada en una magnitud que sea positiva y de rango amplio para facilitar la lectura. La transformación elegida es una transformación logística, que transforma las distancias estandarizadas en un número entre cero y mil.

96 DETECCION DE COMPORTAMIENTOS ATÍPICOS 4. CALCULO DE DISTANCIA Y SCORE DE ANOMALIAS Se repite un procedimiento similar de distancia respecto a los valores históricos de las mismas variables del propio cliente. Finalmente se establecen los scores de anomalía respecto a su segmento y respecto a su historia según la sgte. tabla de valoración: SCORE GRADO DE ANOMALIA Hasta 550 Sin señales de anomalía Escasa evidencia de anomalía Evidencia de anomalías leves Evidencia de anomalías medias Mayor a 950 Importantes señales de anomalía

97 DETECCION DE COMPORTAMIENTOS ATÍPICOS 5. REPORTING El resultado final del sistema es el score de anomalía para cada caso, permitiendo ordenar a los clientes de mayor a menor índice de anomalía. De este modo focalizaremos la investigación en los casos con mayor score. ID_Cliente Score de anomalía ABC JXZ WQA

98 DETECCION DE COMPORTAMIENTOS ATÍPICOS 5. REPORTING A su vez, para cada caso, se puede obtener un reporte individual de ayuda para el analista, que muestra el ranking de operatorias con mayor contribución al score de anomalía, lo que permite orientar la investigación.

99 MODELO DE REDUCCIÓN DE ALERTAS FALSOS POSITIVOS (COMPLIANCE ANALYTICS)

100 REDUCCIÓN DE ALERTAS FALSOS POSITIVOS DESCRIPCION DE FUNCIONALIDAD Compliance Analytics es un proceso utilizado para suprimir en forma automática alertas cuyo perfil sea similar al perfil de los alertas suprimidos históricamente. Compliance Analytics utiliza modelos para crear Códigos de Score (también llamados Clasificadores) que califican los alertas. Los Clasificadores proporcionan la probabilidad (porcentaje) de que un alerta sea verdadero o un falso positivo, basándose en la firma (signature) del alerta. La probabilidad es convertida a un score que se compara con criterios definidos por el cliente para marcar los alertas como suprimibles. Se requiere como mínimo 6 meses de datos para la ejecución de este modelo.

101 REDUCCIÓN DE ALERTAS FALSOS POSITIVOS QUE ES UNA FIRMA DE ALERTA? (ALERT SIGNATURE) Cada alerta y su conjunto de variables asociadas es denominado una Firma de Alerta (Alert Signature). Los alertas históricos, su destino final, perfil de la cuenta y/o del clientes y demás información relacionada es parte de su "firma" Cada observación del dataset es referida como una "firma". Toma en cuenta más de 100 tipos diferentes de transacciones y variables. Mayor poder predictivo que el perfilado batch tradicional. Del mismo modo se determina la firma de cada cuenta y de cada contraparte. Estas firmas de cuenta y contraparte se agregan a la firma de los alertas como variables del modelo. Cuenta 1 Cuenta 2..

102 REDUCCIÓN DE ALERTAS FALSOS POSITIVOS QUE ES UN MODELO? Qué es un modelo? Herramienta analítica que "entrenamos" para que aprenda de los alertas historicos y cual fue su destino final. Cuáles son los tipos de modelos disponibles?. Árboles de decisión. Regresiones. Redes neuronales. Varios más... Cómo seleccionamos el modelo más apropiado?. Facilidad de uso. Experiencia de resultados obtenidos en su utilización. Familiaridad de la organización.

103 REDUCCIÓN DE ALERTAS QUE ES UN CLASIFICADOR? FALSOS POSITIVOS Código de Score generado por SAS Enterprise Miner

104 REDUCCIÓN DE ALERTAS FALSOS POSITIVOS QUE HACE SAS ENTERPRISE MINER? Para cada objetivo planteado, crea múltiples modelos utilizando diferentes técnicas. Compara el poder predictivo de los modelos generados. Hace recomendaciones según la performance del modelo. Ver documento "Getting Started with SAS Enterprise Miner" o asistir a algunos de los workshops ofrecidos por SAS Argentina.

105 REDUCCIÓN DE ALERTAS FALSOS POSITIVOS PROCESO DE MODELADO AML CORE Create Model(s) AML KC SAS Enterprise Miner Regression Decision Tree Neural Network Historical Alert Extraction with Signature Create Classifier(s) Historical Alerts w/ Signature Classifier A Classifier B Classifier C aml_ca_modeling.sas six months modeling_event_descriptions.csv aml_ca_account_signature.sas aml_ca_party_signature.sas aml_ca_modeling.sas aml_ca_sum_party_trans.sas aml_ca_sum_party_trans.sas