Cuando el riesgo es el negocio
Resumen Ejecutivo
El artículo argumenta que un sistema de Compliance pierde efectividad si las decisiones finales se basan en criterios subjetivos, lo que puede hacer que prevalezca la rentabilidad sobre las alertas de riesgo. Enfatizo que, aunque Compliance no debe ser un obstáculo, la empresa debe detenerse cuando las alertas son críticas. Para evitar esto, las organizaciones deben definir condiciones no negociables, establecer quién tiene la autoridad real para frenar una operación y acordar cómo resolver desacuerdos antes de que surjan situaciones de presión.
Un monto enorme, y una lección aún más grande
Entre 2007 y 2015, por la pequeña sucursal de Danske Bank en Estonia circularon alrededor de 200.000 millones de euros, unos 229.000 millones de dólares de esa época, en transacciones vinculadas a una cartera de clientes no residentes. Cuando hice el research de este caso me impresionó la cifra. Las transacciones son más o menos alrededor de 25 mil millones por año.
Y para poner en contexto ese monto anual veamos en comparación con el Producto Interno Bruto de algunos países de Centroamérica. Por ejemplo, ese monto de transacción anual de 25 mil millones es un 25% superior al PIB de Nicaragua; pero equivale a un 64% del PIB de El Salvador; y un 60% del PIB de Honduras. Pero el monto total de esos 8 años duplica el PIB de Guatemala y es 2.4 veces el PIB de Costa Rica.
Quiero hacer un llamado desde ahorita. Porque si bien es cierto esta historia tiene mucha fuerza, la misma no debe hacernos perder de vista el enfoque correcto sobre el origen del problema para que durante tanto tiempo pasaran fondos por los sistemas de esa sucursal. Esos 229 mil millones de dólares representan el flujo total de lo que pasó por esa sucursal.
Danske Bank reconoció que una parte significativa era sospechosa, pero eso no equivale a que cada euro haya sido probado judicialmente como dinero lavado. Esta diferencia importa, aunque no disminuye la gravedad de lo ocurrido: si nos obliga a un análisis mucho más preciso e inteligente del caso.
Todo empezó en noviembre de 2006, cuando Danske Bank compró Sampo Bank, el tercer banco más grande de Finlandia, por unos 5,500 millones de dólares. Se completó la operación en febrero de 2007. En el paquete que el banco Danés compró venía la operación de Estonia, que se convertiría en sucursal directa de la matriz danesa hacia 2008, y adoptaría formalmente el nombre Danske Bank Estonia hacia 2012.
Aquí aparece la primera lección, y es para cualquier empresa que compra, integra o expande operaciones: una adquisición no termina cuando se firma el contrato. Ahí empieza la parte más delicada. No se compran solamente activos, clientes, licencias y tecnología. También se compran decisiones anteriores, culturas internas, excepciones toleradas, apetito al riesgo asumido, relaciones con terceros y riesgos ya acumulados. En pocas palabras también se compra deuda organizacional.
Es así que la cartera de la sucursal de estonia de no residentes, en su mayoría rusos y de otros países de la antigua Unión Soviética, generaba márgenes extraordinarios, y algo más, esa sucursal de Estonia jamás quedó totalmente integrada a la plataforma tecnológica del grupo: en 2008, Danske Bank abandonó, por costo, el proyecto de migrarla a la infraestructura corporativa. Y aquí tenemos otra lección, y es de lo que he venido escribiendo en otros artículos: la lección que nos enseña lo que la deuda organizacional puede afectar a las empresas. Simplemente el resultado fue una sucursal con autonomía operativa y -al parecer -poca visibilidad desde Copenhague.
No fue un banco totalmente ciego a las regulaciones. En junio de 2007, apenas cuatro meses después de cerrada la compra, el Banco Central de Rusia advirtió por escrito al regulador danés que clientes de la recién adquirida Sampo Bank participaban de forma permanente en transacciones de origen dudoso, por miles de millones de rublos mensuales. La carta llegó a la junta directiva. Pero simplemente no pasó nada.
Luego en 2013, un banco corresponsal dejó de compensar transacciones en dólares para la sucursal, citando preocupaciones de lavado de dinero. Más tarde el 27 de diciembre de ese año, un empleado envió el primer reporte documentado de alerta interna.
Entre enero de 2013 y 2014, Howard Wilkinson, jefe de trading para la región báltica, presentó cuatro informes confidenciales adicionales, uno de ellos señalando con nombre propio a Lantana Trade LLP, empresa registrada en el Reino Unido que declaraba no tener actividad ante sus autoridades mientras movía millones de dólares diarios por Estonia. Esto de declarar no tener actividades es casi como que declares en cero ante las oficinas de tributación en cualquier país de la región. Y en el 2014, la auditoría interna concluyó que no era posible identificar el origen real de los fondos ni a los beneficiarios finales de ciertos clientes.
Si observamos la cadena histórica realmente no faltó información para tomar decisiones. Simplemente lo que a mi parecer hizo falta fue criterio, escalamiento y autoridad para detener una cartera que producía demasiado dinero. En 2014, el regulador estonio exigió controles o el cierre del negocio con no residentes, y el banco optó por un cierre gradual, completado a finales de 2015.
El escándalo se hizo público en 2017, a través del diario Berlingske; el informe del bufete Bruun & Hjejle, publicado el 19 de septiembre de 2018, confirmó la cifra y el patrón de años que se venía dando. El CEO del banco Thomas Borgen renunció ese mismo día. El costo final llegó en diciembre de 2022: U$2,060 millones de dólares pagados al Departamento de Justicia de Estados Unidos, a la SEC y a la fiscalía especial danesa. Pasaron solamente quince años entre la primera señal y la última consecuencia.
No es solamente un problema de controles
He leído varias alegorías al respecto de este caso. Una de estas es que el caso Danske Bank demuestra que los controles no sirven. La verdad, no estoy de acuerdo. También he leído que el banco tenía todos los controles y que el problema fue exclusivamente cultural. Tampoco creo correcto tener ese criterio al respecto.
El problema considero es más complejo. Es obvio que fallaron los controles: falló la integración tecnológica, el monitoreo, el KYC, la verificación del beneficiario final, la independencia de las funciones de control y la supervisión de la matriz. El propio banco terminó admitiendo deficiencias graves en control y gobernanza. Pero el problema fue todavía más grande y grave: falló la toma de decisión. Falló el poder de decidir ante una situación que a todas luces no estaba bien.
El Banco podía recibir alertas, clasificarlas, discutirlas y producir reportes, pero no lograba convertir eso en una respuesta proporcional al riesgo. Y cuando la recomendación era cerrar o reducir la cartera, la rentabilidad de la operación definía la decisión. Falló la ética y el criterio de transparencia.
Y este punto es el que más me interesa desde inteligencia de riesgos. Un control bien aplicado puede:
Detectar situaciones inusuales o actividades fuera del umbral de la política.
Un reporte emitido puede advertir la situación que se dió.
El oficial de cumplimiento puede escalar la situación.
Pero si el modelo de gobernanza permite que la decisión final quede atribuida por un criterio subjetivo entonces tenemos que todo el sistema queda condicionado. Por ende, todo quedó en “papel”.
Considero que en este caso el Compliance compitió con la rentabilidad de un negocio que a pesar de dar señales de alerta fuertes -durante años -fue más grande el negocio en si mismo.
Esto no significa que Compliance deba convertirse en un departamento que diga “no” como primer sugerencia. Tampoco ese extremo. Pero cuando se hace un checklist de alertas y este se llena por completo, entonces la empresa debe detenerse antes que el costo se lleve la ganancia de varios años.
De hecho toda empresa que tenga un departamento de Compliance debe trabajar en:
Qué condiciones no son negociables,
Quién puede realmente detener una operación, y
Cómo se resuelve un desacuerdo entre negocio, riesgo y cumplimiento antes de que ese desacuerdo ocurra bajo presión.
En una segunda parte de este artículo abordaré cómo las startups, en especial las Fintech, pueden verse comprometidas.
