Segnalare ciò che esce dal solito, senza bloccare i clienti

Un istituto di pagamento gestisce circa 300.000 conti e carte prepagate, usati da privati e piccoli esercenti. Ogni giorno passano decine di migliaia di operazioni: pagamenti con carta, bonifici, ricariche, prelievi.

Bruno guida l'ufficio antifrode: sei analisti. Oggi lavorano con un insieme di regole fisse, scritte negli anni. «Più di tre ricariche in un'ora.» «Bonifico sopra una certa soglia verso un conto mai usato.» «Pagamento da un paese diverso da quello di residenza.»

Le regole hanno due difetti. Il primo: bloccano molti clienti onesti. Chi va in vacanza all'estero si ritrova la carta sospesa proprio alla cassa, e chiama l'assistenza. Il secondo: le frodi nuove non somigliano a quelle per cui le regole sono state scritte. Il furto di credenziali con piccoli bonifici verso tanti conti diversi, per esempio, non supera nessuna soglia.

Gli analisti passano la giornata a sbloccare falsi allarmi. Le segnalazioni vere si perdono in mezzo.

Il sistema impara com'è normale ogni conto: a che ore si usa, per che importi, verso quali beneficiari, da quali dispositivi. Poi confronta ogni nuova operazione con quel profilo e con gli schemi di frode già noti.

Quando un'operazione esce dal solito oltre la soglia decisa con Bruno, entra in una coda di revisione. Ogni segnalazione ha il motivo in una riga, leggibile: «primo bonifico verso un beneficiario nuovo, da un dispositivo mai visto, dieci minuti dopo un cambio del numero di telefono». Accanto ci sono le ultime operazioni del conto e i contatti recenti con l'assistenza.

L'analista decide: tutto regolare, oppure un contatto con il cliente per confermare, oppure una sospensione dell'operazione secondo le procedure che l'istituto ha già. Il sistema non blocca il cliente e non chiude conti. Le regole di sicurezza obbligatorie che l'istituto già applica ai pagamenti restano come sono; il sistema aggiunge segnalazioni, non toglie controlli.

Con il tempo le decisioni degli analisti tornano nel sistema: gli allarmi che si rivelano falsi insegnano a non ripeterli.

Una coda di segnalazioni con il motivo scritto serve anche all'amministrazione per le fatture fuori scala, all'assistenza per i rimborsi anomali, alla logistica per le consegne che non tornano. Il catalogo dei controlli ripetitivi è in cosa possiamo fare; come si fissano le soglie è in precisione e controlli.

• Controlla ogni operazione contro il profilo del conto e contro gli schemi di frode noti, non contro una soglia uguale per tutti.
• Controlla gli eventi collegati: cambio di numero di telefono o di mail, nuovo dispositivo, accesso da un paese insolito.
• Scrive il motivo di ogni segnalazione con i fattori che l'hanno fatta scattare, in ordine di peso.
• Ordina la coda per urgenza e importo, così le operazioni più delicate si guardano per prime.
• Non blocca clienti né conti: ogni azione verso il cliente parte da una persona.
• Decide l'analista se contattare il cliente, sospendere un'operazione o chiudere la segnalazione.
• Decide Bruno le soglie della coda e le nuove regole, con la verifica della funzione di controllo dei rischi.
• Decide il responsabile antiriciclaggio se un caso va segnalato alle autorità: il sistema prepara il fascicolo, non invia nulla.

• Nessuna decisione solo automatica sul cliente. Il GDPR, la legge europea sulla privacy, dà diritto all'intervento umano quando una decisione ha effetti importanti (art. 22). Qui ogni azione verso il cliente la decide un analista.
• AI Act. Il rilevamento delle frodi finanziarie è escluso espressamente dall'area ad alto rischio dell'allegato III sul merito di credito. Lo stesso sistema non va usato per decidere chi può avere un prestito: lì valgono gli obblighi dell'alto rischio, applicabili dal 2 dicembre 2027.
• DORA, il regolamento europeo sulla resilienza digitale del settore finanziario (Regolamento UE 2022/2554): il sistema entra nel registro dei contratti con fornitori di tecnologia, con clausole minime e strategia di uscita.
• Antiriciclaggio: la valutazione e la segnalazione delle operazioni sospette restano al responsabile designato.
• Non è un parere legale; lo valida il vostro consulente o DPO.

Nella demo si vede la coda di revisione, con il motivo di ogni segnalazione e la decisione dell'analista registrata. Aprite la demo.