Sigorta sektörü

Sigorta dolandırıcılığı, hasar bütünlüğü ve finansal suç riskleri

Sigorta dolandırıcılığı ve hasar bütünlüğü, sigorta sektöründe finansal suç risklerinin bütüncül biçimde yönetilmesinin en görünür alanları arasındadır; ancak gerçek risk görünümü, belirli bir sigortalının hatalı veya gerçeğe aykırı bir talepte bulunup bulunmadığı sorusunun çok ötesine geçer. Hasar dolandırıcılığı, gerçek bir zararın fırsatçı biçimde abartılmasından birden fazla kişinin, şirketin veya hizmet sağlayıcının birlikte hareket ederek tamamen hayalî, kurgulanmış veya bilinçli biçimde şişirilmiş hasar olayları yarattığı sistematik yapılara kadar uzanabilir. Motorlu araç sigortalarında kurgulanmış kazalar, sahte onarım faturaları, manipüle edilmiş kilometre bilgileri, gerçeğe aykırı mülkiyet yapıları veya sigortalılar, servisler ve aracılar arasındaki danışıklı işlemler görülebilir. Yangın ve mal sigortalarında mülkiyet, değerleme, envanter, nedensellik, iş sürekliliği veya sigortalının olay öncesindeki gerçek finansal durumu önem kazanabilir. İş göremezlik, kaza veya sağlık sigortalarında tıbbi bilgiler, çalışma durumu, fiilî işlevsel kısıtlamalar ve dış gelirler önem taşıyabilir; buna karşılık gereklilik, ölçülülük ve hassas verilerin hukuka uygun işlenmesine ilişkin sıkı yükümlülükler devam eder. Seyahat sigortası, siber sigorta, nakliyat sigortası, deniz sigortası ve sorumluluk sigortası ise her biri kendine özgü dolandırıcılık tipolojileri ve ispat sorunları yaratır. Bu nedenle bütüncül risk yönetimi; ürün, müşteri türü, dağıtım kanalı, hasar türü, coğrafi maruziyet, ilgili hizmet sağlayıcılar ve tarihsel örüntüler bakımından ayrıştırılmış bir değerlendirme gerektirir. Kuruluşunuz açısından bu, dolandırıcılık riskinin yalnızca statik red flag listeleri üzerinden değerlendirilemeyeceği anlamına gelir. Hasar sıklığı, zamanlama, belge tutarlılığı, ödeme akışları, karşı taraflar, dijital göstergeler, önceki olaylar, hasar sürecindeki davranış ve ilgili kişiler arasındaki ilişkiler birlikte dikkate alınmalıdır. Aynı zamanda güçlü bir sistem, olağandışı bir dosyanın otomatik olarak dolandırıcılık şeklinde nitelendirilmesini de önlemelidir. Risk yönetimi; anormallik, belirsizlik, şüphe ve yeterince desteklenmiş tespit arasında açık ayrım yapmalıdır. Bu ayrım; adil hasar yönetimi, müşteri koruması, delil güvenilirliği, ölçülülük ve daha sonra uygulanabilecek tedbirlerin hukuken savunulabilir olması bakımından temel niteliktedir.

Birinci Savunma Hattında underwriter’lar, hasar yöneticileri, eksperler, müşteriyle temas eden ekipler ve operasyonel yönetim önemli sorumluluk taşır. Bu kişilerin görevi yalnızca süreç adımlarını yerine getirmek değildir; aynı zamanda hangi olgu ve davranışların hasar dolandırıcılığına, belge sahteciliğine, kimlik kötüye kullanımına, muvazaaya veya diğer finansal suç risklerine işaret edebileceğini anlayabilmeleri gerekir. Örneğin bir talep sahibi poliçenin başlamasından kısa süre sonra önemli bir zarar bildiriyorsa, birden fazla belge birbirini tutmuyorsa, onarım maliyetleri piyasa verilerinden önemli ölçüde sapıyorsa veya aynı hizmet sağlayıcı yüksek riskli dosyalarda sürekli tekrar ediyorsa kuruluşunuz hangi ek doğrulama adımlarının gerekli olduğunu belirleyebilmelidir. İkinci Savunma Hattı tutarlı dolandırıcılık çerçeveleri, göstergeler, risk toleransları, soruşturma kriterleri, eskalasyon eşikleri, mahremiyet güvenceleri ve yeterli yönetim bilgisi oluşturmalıdır. Dolandırıcılık ekipleri ve soruşturma fonksiyonları uzman analizleri gerçekleştirebilir; ancak bu analizlerin sonuçları hukuki, veri koruma ve yönetişim çerçeveleri içinde kalmalıdır. Üçüncü Savunma Hattı, kuruluşun yalnızca dolandırıcılığı tespit edip etmediğini değil, bunu kontrollü, tutarlı ve ölçülü şekilde yapıp yapmadığını bağımsız olarak değerlendirmelidir. Hem yetersiz tespit hem de aşırı tespit riski önemlidir. Yeterince soruşturma yapmayan bir sigorta şirketi yapısal finansal kayıplara, organize dolandırıcılığa ve itibar zararına maruz kalabilir; buna karşılık müşterileri fazla agresif biçimde seçen, sınıflandıran veya kaydeden bir sigorta şirketi kişileri haksız biçimde zarara uğratabilir, uyuşmazlıklara yol açabilir ve düzenleyici ya da veri koruma riskleri yaratabilir. Finansal suç risklerinin bütüncül yönetimi bu nedenle soruşturmanın tüm yaşam döngüsünde gösterilebilir kalite gerektirir: ilk sinyal ve triyajdan olguların tespitine, açıklama imkânı verilmesine, karara, olası iç veya dış kayıtlara, talebin reddine, geri alma işlemlerine, hukuk davalarına, bildirim yükümlülüklerine veya müşteri ilişkisinin sona erdirilmesine kadar.

Karmaşık dolandırıcılık dosyalarında delil, soruşturma, finansal analiz ve yönetişim arasındaki bağ özellikle önemlidir. Kuruluşunuz hangi bilginin hangi tarihte mevcut olduğunu, hangi hipotezin araştırıldığını, belirli soruşturma tedbirlerinin neden gerekli görüldüğünü, hangi alternatif açıklamaların incelendiğini ve nihai kararın hangi maddi olgulara dayandığını yeniden oluşturabilmelidir. Dijital veriler, e-posta yazışmaları, telefon kayıtları, fotoğraflar, metadata, ödeme bilgileri, araç verileri, ekspertiz raporları, tıbbi belgeler, faturalar ve dış veri tabanları önemli bilgiler içerebilir; ancak her bilgi kategorisi yürürlükteki hukuk ve veri koruma çerçevesi içinde işlenmelidir. Üçüncü taraflardan alınan intelligence ve dış dolandırıcılık verileri de bağlamdan kopuk biçimde kullanılamaz. Bütüncül risk yönetimi bu nedenle veri analitiği ile insan değerlendirmesinin birbirini tamamladığı disiplinli bir soruşturma metodolojisi gerektirir. Anormal bir algoritmik sinyal daha ayrıntılı analizi haklı kılabilir; ancak içerik yönünden incelenmeden tek başına ağır bir tedbirin dayanağı olmamalıdır. Aynı disiplin, özel araştırma şirketleri, uzmanlar veya diğer dış hizmet sağlayıcıların yürüttüğü incelemeler için de geçerlidir. Kuruluşunuz, bu kişilerin bulgularına dayanan kararların kalitesi, ölçülülüğü ve savunulabilirliğinden sorumlu olmaya devam eder. Dolandırıcılık tespit edildiğinde veya yeterince desteklendiğinde, olayın münferit mi yoksa daha geniş bir örüntünün parçası mı olduğu da araştırılmalıdır. Aynı servis, aracı, sağlık hizmeti sağlayıcısı, banka hesabı, cihaz tanımlayıcısı, fatura formatı veya iletişim kişisi farklı dosyalarda tekrar edebilir. Bu aşamada bakış açısı tek bir hasar dosyasının kontrolünden ağ temelli finansal suç riski yönetimine doğru genişler. Bütüncül yaklaşımın stratejik değeri özellikle burada ortaya çıkar: ayrı ayrı görünen olaylar daha geniş risk göstergeleriyle ilişkilendirilir ve kuruluşunuz hasar dolandırıcılığının ne zaman yapısal bir suistimalin, kurum içi katılımın veya organize finansal suçun parçası olduğunu daha erken fark edebilir.

Kara para aklamanın önlenmesi, yaptırımlar ve sigortacılıkta müşteri bütünlüğü riski

Kara para aklamanın önlenmesi, yaptırımlar ve müşteri bütünlüğü, finansal suç risklerinin bütüncül yönetimi içinde sigorta sektörünün özelliklerine göre uyarlanmış bir yaklaşım gerektirir; çünkü hukuki yükümlülükler, ürün riskleri ve maruziyet düzeyleri farklı sigorta faaliyetleri arasında önemli ölçüde değişebilir. Her sigorta ilişkisi aynı kara para aklama riskini taşımaz ve her sigorta ürünü aynı yasal yükümlülüklere tabi değildir. Bununla birlikte belirli finansal ürünler, hayat sigortaları, yatırım bileşeni içeren sigorta ürünleri, uluslararası yapılar ve karmaşık ödeme ilişkileri daha yüksek dikkat gerektirebilir. Ayrıca yaptırımlar, dolandırıcılık, yolsuzluk, vergi bağlantılı riskler, olağandışı ödeme akışları ve fonların kaynağı veya varış yeriyle ilgili sorular klasik AML süreçlerinin dışında da önem taşıyabilir. Bu nedenle kuruluşunuz yalnızca ürünün resmî düzenleyici sınıflandırmasına bakmamalı, aynı zamanda bir sigorta ilişkisinin finansal değeri aktarma, gizleme, dönüştürme veya ödeme imkânı yaratıp yaratmadığını da değerlendirmelidir. Beklenmedik bir üçüncü tarafça ödenen görece yüksek prim, lehtarın aniden değiştirilmesi, poliçe sahibinden farklı bir kuruluşa yapılan uluslararası ödeme, olağandışı bir iştira işlemi veya tazminatın yabancı bir hesaba aktarılmasının talep edilmesi tamamen meşru açıklamalara sahip olabilir; ancak aynı zamanda daha ayrıntılı inceleme gerektirebilir. Bütüncül risk yönetimi bu nedenle müşteri kabulünü, yaptırım taramasını, ödeme izlemeyi, poliçe yönetimini, hasar ödemelerini, mülkiyet ve sahiplik bilgilerini ve dolandırıcılık riskini birbirine bağlar. Bunun sonucunda yalnızca bir kez yapılan KYC kontrolünün veya onboarding sırasında gerçekleştirilen tek seferlik bir taramanın ötesine geçen bir müşteri bütünlüğü değerlendirmesi oluşur.

Birinci Savunma Hattında ilgili fonksiyonların, sorumlu oldukları ürün ve süreçler bakımından hangi müşteri verilerinin, mülkiyet bilgilerinin, lehtarların, ödeme örüntülerinin ve işlem özelliklerinin önemli olduğunu açık biçimde anlamaları gerekir. Kabul, dağıtım, müşteri hizmetleri, finans ve hasar ekipleri, merkezî monitoring sistemlerinde hemen görünmeyen anormallikleri çoğu zaman ilk fark eden birimlerdir. Primleri açıklanamayan biçimde düzenli olarak üçüncü bir şirket tarafından ödenen ticari bir poliçe, lehtarın sık sık değiştirildiği bir hayat sigortası veya tazminat için aniden yeni bir uluslararası ödeme yolu talep edilen bir dosya ek inceleme gerektirebilir. İkinci Savunma Hattı, kara para aklamanın önlenmesi, yaptırımlar ve müşteri bütünlüğüne ilişkin yükümlülükleri politika, risk sınıflandırması, screening kriterleri, eskalasyon süreçleri ve periyodik incelemelere dönüştürmelidir. Bu fonksiyonun görevi yalnızca formal kontrol olmamalı; Birinci Savunma Hattına içerik yönünden gerçek bir challenge sunmalıdır. Sunulan açıklama ekonomik amaca gerçekten uygun mu? Mülkiyet yapısı yeterince şeffaf mı? Yaptırım riskleri doğru analiz edildi mi? İstisnalar yeterince belgelendi mi? Üçüncü Savunma Hattı ise bu süreçlerin gerçekten etkili çalışıp çalışmadığını ve yönetim bilgisinin gerçek risk maruziyetini güvenilir biçimde yansıtıp yansıtmadığını bağımsız olarak değerlendirmelidir. Böylece müşteri bütünlüğü yalnızca bir compliance yükümlülüğü olarak değil, dolandırıcılık, itibar, sözleşmesel uygulanabilirlik, ödeme güvenliği ve hasar bütünlüğü ile doğrudan ilişkili bir risk alanı olarak ele alınır.

Yaptırım riskleri, uluslararası kısıtlayıcı tedbirlerin hızla değişebilmesi ve sigorta teminatı, prim ödemeleri, reasürans, tazminat ödemeleri, ticaret akışları ve hizmetlerin devamı üzerinde geniş kapsamlı sonuçlar yaratabilmesi nedeniyle özel önem taşır. Kuruluşunuz yaptırıma tabi kişiler, şirketler, gemiler, mallar, coğrafi bölgeler, nihai faydalanıcılar veya diğer ilgili taraflarla karşılaşabilir. Değerlendirme yalnızca bir ismin yaptırım listesiyle birebir eşleşip eşleşmediği sorusuyla sınırlı değildir. Mülkiyet, kontrol, dolaylı bağlantı, aracılar, sigortalanan menfaatler ve fonların gerçek varış noktası da önem taşıyabilir. Bütüncül risk yönetimi bu nedenle yaptırım taramasını hukuki yorum, müşteri bilgileri, işlem verileri, underwriting ve hasar yönetimi ile birlikte ele alır. Örneğin bir poliçe ilgili yaptırım yürürlüğe girmeden önce düzenlenmiş olabilirken hasar daha sonra gerçekleşebilir. Bu durumda teminatın devamı, ödeme kısıtlamaları, yasal yasaklar ve sözleşmesel haklar bakımından karmaşık sorular doğabilir. Böyle durumlarda Birinci, İkinci ve Üçüncü Savunma Hatları kendi sorumlulukları çerçevesinde tek, izlenebilir ve gerekçelendirilebilir bir karar sürecine katkı sunmalıdır. Kuruluşunuz hangi analizin yapıldığını, hangi uzmanlıkların sürece dâhil edildiğini, hangi hukuki sınırlamaların ve menfaatlerin dikkate alındığını ve neden ödeme, askıya alma, ek inceleme veya başka bir müdahalenin uygun bulunduğunu gösterebilmelidir. Böylece yaptırım uyumu, yalnızca teknik bir screening faaliyeti olmaktan çıkar ve daha geniş finansal suç risklerinin kontrolünün ayrılmaz bir parçası hâline gelir.

Sigorta dağıtımı, aracılar ve davranış riski

Sigorta dağıtımı, sigorta değer zincirinin temel bir unsurudur ve aynı zamanda finansal ve bütünlük risklerinin bütüncül yönetimi açısından önemli bir risk alanıdır. Sigorta şirketleri müşterilerine doğrudan satış, sigorta aracıları, yetkilendirilmiş temsilciler, brokerlar, karşılaştırma platformları, affinity ortaklıkları, bankalar, işverenler, dijital kanallar ve diğer ticari iş birlikleri üzerinden ulaşabilir. Her dağıtım modeli ticari fırsat, müşteri menfaati, bütünlük riski, komisyon yapıları, bilgi akışları ve düzenleyici sorumluluğun kendine özgü bir birleşimini yaratır. Bir aracı müşterileri kuruluşa getiriyor, bilgi topluyor, risk verisi sağlıyor, primleri işliyor, devredilmiş yetki kullanıyor veya hasar yönetimini etkiliyorsa sigorta şirketi bu aracının kalite ve bütünlüğüne bağımlı hâle gelir. Uygunsuz davranışlar, yanlış ürün bilgilendirmesinden ve uygunsuz satış teşviklerinden sahte müşterilere, kimlik dolandırıcılığına, komisyon dolandırıcılığına, underwriting bilgilerinin manipülasyonuna, çıkar çatışmalarına ve dolandırıcı müşterilerle iş birliğine kadar uzanabilir. Bir aracının yüksek üretim hacmi ticari açıdan olumlu görünebilir; ancak çok yüksek conversion oranı, zayıf veri kalitesi, olağandışı hasar sıklığı, belirli müşteri gruplarında yoğunlaşma veya istisnai ücretlendirme birlikte görüldüğünde farklı bir risk değerlendirmesi gerekebilir. Bütüncül risk yönetimi bu nedenle dağıtım riskini, müşteri bütünlüğünü, dolandırıcılık örüntülerini, davranış riskini, şikâyet verilerini, hasar verilerini ve finansal akışları birlikte değerlendirir.

Birinci Savunma Hattında dağıtım yönetimi, satış, partner management, underwriting ve operasyon ekipleri ticari ilişkilerden kaynaklanan risklerin sahibi olmaya devam etmelidir. Bir dağıtım ortağı yalnızca gelir, büyüme ve müşteri edinimi üzerinden değerlendirilmemeli; dosya kalitesi, şikâyetler, dolandırıcılık göstergeleri, veri güvenilirliği, istisnalar, ilişki sonlandırmaları ve olağandışı hasar örüntüleri de dikkate alınmalıdır. İkinci Savunma Hattı due diligence, çıkar çatışmaları, ücretlendirme, davranış, yaptırımlar, iş ortağı monitoring’i ve eskalasyon bakımından standartlar oluşturmalıdır. Ayrıca ticari baskının stratejik öneme sahip aracılar için standartların fiilen gevşetilmesine yol açıp açmadığını değerlendirmelidir. Üçüncü Savunma Hattı dağıtım kontrollerinin gerçekten etkili çalışıp çalışmadığını ve istisnaların zaman içinde normal kontrol ortamının dışında kalıcı bir alan oluşturup oluşturmadığını bağımsız olarak test etmelidir. Bu, Üç Savunma Hattı modelinin temel unsurlarından biridir: ticari risk sahipliği iş biriminde kalır, uzman gözetim ve eleştirel challenge İkinci Hat tarafından gerçekleştirilir, bağımsız güvence ise Üçüncü Hat tarafından sağlanır. Bütüncül risk yönetimi; üretim, komisyonlar, hasarlar, şikâyetler, dolandırıcılık soruşturmaları, müşteri bütünlüğü ve düzenleyici gözetimle ilgili bilgileri bir araya getirerek bu rol dağılımını fiilen işler hâle getirir.

Finansal teşvikler ve çıkar çatışmaları özellikle dikkat gerektirir. Komisyonlar, hacim anlaşmaları, bonus sistemleri, devredilmiş yetkiler, müşteri yönlendirme ücretleri ve diğer ücretlendirme modelleri meşru ticari araçlar olabilir; ancak davranışı müşteri menfaati veya bütünlük hedefleriyle tam uyumlu olmayan bir yöne sevk edebilir. Kuruluşunuz bu nedenle yalnızca resmî olarak hangi ücretin kararlaştırıldığını değil, ekonomik teşvikin hangi davranışı üretmeye elverişli olduğunu da anlamalıdır. Bir aracı, kalite veya hasar performansı ücreti çok az etkilerken hacmi artırdıkça önemli ölçüde daha fazla kazanıyorsa kabul kriterlerini esnetme yönünde bir teşvik oluşabilir. Yetkilendirilmiş bir temsilci hem ticari üretimi teşvik ediyor hem de belirli kontrol faaliyetlerini yürütüyorsa görevler ayrılığı dikkatle analiz edilmelidir. Bir dış taraf sürekli aynı eksperi, onarım şirketini, tıbbi danışmanı veya başka hizmet sağlayıcıları kullanıyorsa çıkar çatışması veya kollüzyon riski daha ayrıntılı inceleme gerektirebilir. Bütüncül risk yönetimi ilişki verilerini, finansal bilgileri, davranış göstergelerini ve hasar verilerini birlikte analiz ederek bu bağlantıları görünür hâle getirir. Kuruluşunuz açısından bu, yalnızca sözleşme yönetimiyle sınırlı kalmayan, ticari ilişkilerin fiilen nasıl işlediğini inceleyen daha güçlü bir dağıtım gözetimi anlamına gelir. Aksi hâlde ancak önemli finansal kayıplar, müşteri zararı, düzenleyici müdahale veya itibar kaybı ortaya çıktıktan sonra fark edilebilecek örüntüler daha erken aşamada tespit edilebilir.

Kimlik dolandırıcılığı, belge manipülasyonu ve veri güvenilirliği

Kimlik ve belge bütünlüğü, underwriting, poliçe yönetimi, prim tahsilatı, hasar yönetimi ve ödemelerin temel dayanakları arasındadır. Bir müşterinin, talep sahibinin, lehtarın, yöneticinin, nihai faydalanıcının veya aracının kimliği güvenilir biçimde belirlenemiyorsa sonraki kontrollerin neredeyse tamamının kalitesi zayıflar. Kimlik dolandırıcılığı, çalınmış kişisel verilerin kullanılmasından sentetik kimliklere, hesap ele geçirmeye, sahte kimlik belgelerine, gelir bilgilerinin manipüle edilmesine, hayalî şirketlere, banka bilgilerinin hileli biçimde değiştirilmesine veya sahte temsile kadar uzanabilir. Belge manipülasyonu; faturalar, tıbbi beyanlar, ekspertiz raporları, satın alma belgeleri, mülkiyet belgeleri, hasar fotoğrafları, çalışma bilgileri, ihracat belgeleri veya hasarın meydana gelişine ilişkin açıklamalar üzerinde gerçekleşebilir. Dijitalleşme, üretken yapay zekâ ve giderek daha erişilebilir hâle gelen düzenleme araçları, ilk bakışta gerçekçi görünen belge, görsel, ses kaydı ve diğer delillerin üretilmesini de kolaylaştırmaktadır. Bu nedenle bütüncül risk yönetimi; kimliği, dijital özgünlüğü, işlem verilerini, davranışı ve bağlamı birlikte değerlendirmelidir. Bir belge teknik olarak makul görünebilir ancak ödeme verileri, konum bilgileri, zaman damgaları veya diğer mevcut kaynaklarla uyumsuz olabilir. Buna karşılık tek bir teknik anormallik de otomatik olarak dolandırıcılık delili sayılmamalıdır. Bağlamsal analiz ve insan değerlendirmesi vazgeçilmez olmaya devam eder.

Birinci Savunma Hattı burada da merkezî bir role sahiptir; çünkü müşteri teması, underwriting, poliçe değişiklikleri ve hasar yönetimi kimlik ve belge anormalliklerinin çoğunlukla ilk fark edildiği noktalardır. Çalışanların hangi bilgilerin temel olduğunu, hangi doğrulama adımlarının uygulanması gerektiğini ve hangi aşamada dosyanın eskale edilmesi gerektiğini bilmeleri gerekir. İkinci Savunma Hattı müşteri doğrulama, belge kontrolü, özgünlük değerlendirmesi, erişim yönetimi, monitoring, veri kalitesi ve dolandırıcılık analizi için standartlar belirler. Mahremiyet, siber güvenlik ve finansal suç risklerinin kontrolü yakın biçimde çalışmalıdır; çünkü kimlik dolandırıcılığı aynı anda finansal bütünlük, veri koruma ve güvenlik sorunudur. Ele geçirilmiş bir müşteri hesabı banka bilgilerinin değiştirilmesi, hasar ödemelerinin başka hesaba yönlendirilmesi veya kişisel verilere erişim için kullanılabilir. Ele geçirilmiş bir aracı portalı aynı anda birden fazla sigortalıyı etkileyebilir. Üçüncü Savunma Hattı daha sonra erişim kontrollerinin, doğrulama süreçlerinin, değişiklik yönetiminin, monitoring ve olay müdahalesinin fiilen etkili olup olmadığını bağımsız biçimde değerlendirir. Böylece kimlik dolandırıcılığı yalnızca teknik bir siber güvenlik sorunu veya izole bir dolandırıcılık kategorisi olarak ele alınmaz.

Verinin kökeni ve veri kalitesi de bu alanın temel unsurlarıdır. Kuruluşunuz bir bilginin nereden geldiğini, kimin sisteme girdiğini veya değiştirdiğini, hangi kontrollerden geçtiğini ve hangi kararların bu bilgiye dayandığını belirleyebilmelidir. Müşterilerin, aracıların, dış hizmet sağlayıcıların ve kurum çalışanlarının aynı sistemlere veri girdiği ortamlarda kalite ve güvenilirlik bakımından ciddi farklılıklar ortaya çıkabilir. Örneğin yüksek tutarlı bir hasar ödemesinden hemen önce banka hesabının değiştirilmesi, finansal etkisi olmayan sıradan bir idari değişiklikten farklı bir risk tepkisi gerektirir. Olağandışı bir kanal üzerinden gönderilen tıbbi belge ek doğrulama gerektirebilir. Bir onarım şirketinin faturası biçimsel olarak gerçek olabilir, ancak iş hiç yapılmamışsa veya maliyetler bilinçli olarak şişirilmişse ekonomik açıdan gerçeği yansıtmayabilir. Bütüncül risk yönetimi bu nedenle belge kontrolünü, ilişki analizini, işlem verilerini, tarihsel örüntüleri ve operasyonel bilgiyi birlikte kullanır. Kuruluşunuz açısından veri güvenilirliği yalnızca bir IT veya data management konusu değildir; finansal suç risklerinin etkin biçimde yönetilmesi, müşteri koruması ve hukuken savunulabilir karar alma süreçlerinin doğrudan ön koşuludur. Daha sonra bir talebin reddi, kayıt, geri ödeme talebi veya ilişkinin sonlandırılması konusunda uyuşmazlık çıktığında gösterilebilir veri kalitesi kuruluşun ispat konumu bakımından da kritik önem kazanır.

Sağlık verileri, mahremiyet ve hassas bilgilerin yönetişimi

Sigorta şirketleri ürün ve hizmetin niteliğine bağlı olarak son derece hassas kişisel veri kategorilerini işleyebilir. Sağlık bilgileri, tıbbi teşhisler, tedavi verileri, ilaç kullanımı, iş göremezlik, ruh sağlığı bilgileri, kaza verileri ve diğer özel nitelikli kişisel veriler underwriting, hasar değerlendirmesi, tazminat süreci veya belirli sigorta ürünlerinin yürütülmesi için gerekli olabilir. Aynı zamanda bu bilgiler, aşırı veya yanlış kullanımının hem ilgili kişi hem de kuruluşunuz açısından en ağır sonuçları doğurabileceği veri kategorileri arasındadır. Mahremiyet, tıbbi gizlilik, amaçla sınırlılık, gereklilik, ölçülülük, saklama süreleri, erişim kontrolü ve bilgi güvenliği bu nedenle en baştan itibaren finansal ve bütünlük risklerinin bütüncül yönetiminin parçası olmalıdır. Dolandırıcılığın önlenmesi meşru ve önemli bir amaç olabilir, ancak bu durum tıbbi veya diğer hassas bilgileri sınırsız biçimde toplama yetkisi yaratmaz. Genel nitelikte bir dolandırıcılık şüphesi mevcut tüm sağlık bilgilerine otomatik erişim sağlamaz. Kuruluşunuz her önemli soruşturma adımı bakımından belirli verilerin neden gerekli olduğunu, daha az müdahaleci hangi alternatiflerin değerlendirildiğini, kimin erişim sağladığını ve verilerin ne kadar süre saklandığını açıklayabilmelidir. Bu disiplin hem mahremiyet uyumunu hem de soruşturmanın kalitesini güçlendirir.

Üç Savunma Hattı modelinde verinin dikkatli ve hukuka uygun kullanımına ilişkin birincil sorumluluk, bilgiyi fiilen toplayan ve kullanan Birinci Savunma Hattı fonksiyonlarında kalır. Hasar yöneticileri, tıbbi danışmanlar, underwriter’lar, müşteriyle temas eden çalışanlar ve diğer operasyonel fonksiyonlar hangi bilgileri hangi amaçla ve hangi sınırlar içinde talep edebileceklerini bilmelidir. İkinci Savunma Hattındaki mahremiyet ve veri koruma fonksiyonları gerekli çerçeveleri oluşturur, karmaşık veri işleme faaliyetleri hakkında danışmanlık verir, gerektiğinde risk değerlendirmeleri yapar ve süreçlerin hukuk ile iç standartlara uygunluğunu izler. Dolandırıcılık ve finansal suç risklerini kontrol eden fonksiyonlar, mahremiyet uzmanlarıyla yakın çalışmalıdır; çünkü soruşturma ihtiyacı ile veri koruma yükümlülükleri çoğu zaman aynı dosyada kesişir. Üçüncü Savunma Hattı erişim haklarının, log kayıtlarının, saklama sürelerinin, veri paylaşımının, soruşturma süreçlerinin ve istisnaların fiilen kontrol altında olup olmadığını bağımsız olarak değerlendirir. Böylece dolandırıcılığın önlenmesi ile mahremiyet birbirine zıt amaçlar gibi ele alınmaz. Her ikisi de aynı yönetişim hedefini destekler: kararları güvenilir bilgilere dayandırmak, gereksiz veri işlemeyi önlemek ve müdahalelerin ölçülü ve dikkatli biçimde gerekçelendirildiğini gösterebilmek.

Verilerin dış taraflarla paylaşılması ek bir risk katmanı yaratır. Sağlık hizmeti sağlayıcıları, araştırma şirketleri, tıbbi danışmanlar, ekspertiz şirketleri, avukatlar, teknoloji sağlayıcıları, bulut hizmeti sunucuları ve diğer hizmet sağlayıcılar sigortalı açısından son derece hassas bilgilere erişebilir. Kuruluşunuz bu nedenle yalnızca bir sözleşmenin veya veri işleme düzenlemesinin kâğıt üzerinde bulunup bulunmadığını değil, fiilî erişim yetkilerinin, güvenlik tedbirlerinin, saklama sürelerinin, veri aktarımlarının, alt yüklenicilerin ve olay bildirim yükümlülüklerinin de yeterli biçimde yönetilip yönetilmediğini değerlendirmelidir. Aynı yaklaşım kurum içi veri paylaşımı için de geçerlidir. Bir tıbbi dosya, yalnızca belirli bir bölümü görev için gerekli olduğu hâlde hasar dosyasına dâhil olan tüm çalışanların erişimine açık olmamalıdır. Need-to-know prensibi, rol bazlı erişim ve veri minimizasyonu uygulamada gerçekten çalışmalıdır. Bütüncül risk yönetimi bu mahremiyet gerekliliklerini soruşturma ihtiyacı, hasar bütünlüğü, siber güvenlik ve yönetim sorumluluğuyla ilişkilendirir. Kuruluşunuz açısından bu, hassas bilgilerin sınırsız bir soruşturma kaynağı olarak değil, kullanımı dikkatle gerekçelendirilmesi gereken düzenlenmiş delil niteliğindeki bilgi olarak değerlendirildiği daha güçlü bir model yaratır. Bu yaklaşım, alınan kararların daha sonra müşteriler, mahkemeler, veri koruma otoriteleri, finansal denetim otoriteleri veya diğer dış merciler tarafından incelenmesi hâlinde özellikle önem kazanır. Hangi bilgilerin neden gerekli olduğunu, erişime neden izin verildiğini, verilerin nasıl korunduğunu ve ölçülülüğün nasıl değerlendirildiğini gösterebilen bir kuruluş, aynı bilgilerin geniş ve yetersiz belgelendirilmiş veri akışları içinde dolaştığı bir kuruluşa kıyasla çok daha güçlü bir konumda olur.

Yapay zekâ, InsurTech ve sigortacılıkta otomatik karar verme

Yapay zekâ, machine learning, öngörüsel analiz ve otomatik karar verme, sigorta şirketlerinin müşteri kabulü, risk fiyatlaması, dolandırıcılık tespiti, hasar önceliklendirmesi, belge analizi ve hizmet organizasyonunu köklü biçimde değiştirmektedir. Bu teknolojiler önemli verimlilik avantajları yaratabilir; ancak aynı zamanda yeni hukuki, operasyonel, teknolojik, veri temelli ve bütünlük riskleri de doğurur. Bir dolandırıcılık modeli binlerce hasar dosyasını analiz ederek tek bir çalışanın fark etmesinin zor olacağı örüntüleri belirleyebilir. Bir fiyatlama modeli çok büyük miktarda davranış ve risk verisini bir araya getirebilir. Üretken yapay zekâ yazışmaları özetleyebilir, belgeleri analiz edebilir veya çalışanların dosya yönetimine destek olabilir. Ancak finansal suç risklerinin bütüncül yönetimi açısından temel soru yalnızca bu sistemlerin teknik olarak doğru çalışıp çalışmadığı değildir. Kuruluşunuz hangi verilerin kullanıldığını, modellere hangi varsayımların dâhil edildiğini, çıktıların kararları nasıl etkilediğini, hangi insan kontrolünün devam ettiğini, yanlılıkların nasıl yönetildiğini, hataların nasıl fark edildiğini ve ilgili kişinin nasıl yeniden değerlendirme talep edebildiğini açıklayabilmelidir. Bir modelin bir hasarı yüksek dolandırıcılık riski olarak sınıflandırması; soruşturma, ödeme, kayıt ve müşteri ilişkisi üzerinde önemli sonuçlar yaratabilir. Bu nedenle model yönetişimi doğrudan finansal ve bütünlük risklerinin kontrolünün bir parçası hâline gelir; yalnızca data science alanına ait teknik bir konu olarak görülemez.

Birinci Savunma Hattı, teknoloji kullanılan operasyonel kararların sahibi olmaya devam etmelidir. Hasar fonksiyonu bir dolandırıcılık modelinin sonucundan yararlanabilir; ancak nihai kararın sorumluluğu nasıl çalıştığı yeterince anlaşılmayan bir algoritmaya devredilemez. Underwriting otomatik risk skorlarını kullanabilir; ancak istisnaların, eksik verilerin veya özel koşulların ne zaman insan değerlendirmesi gerektirdiğini anlamalıdır. İkinci Savunma Hattı model riski, mahremiyet, veri kullanımı, adalet, açıklanabilirlik, siber güvenlik, dolandırıcılık kontrolü ve hukuki gereklilikler için çerçeveler belirlemelidir. Modellerin hâlâ amaçlandığı gibi çalışıp çalışmadığını, kullanılan veri setlerinin temsil gücü ve güvenilirliğini ve çıktıların kabul edilemez sonuçlar yaratıp yaratmadığını eleştirel biçimde incelemelidir. Üçüncü Savunma Hattı model yönetişiminin, değişiklik yönetiminin, doğrulamanın, monitoring’in, loglamanın ve insan müdahalesinin fiilen etkili çalışıp çalışmadığını bağımsız biçimde değerlendirmelidir. Üç Savunma Hattı modeli bu nedenle yapay zekâ destekli bir sigorta ortamında da tamamen geçerliliğini korur. Teknoloji görevlerin yerine getirilme biçimini değiştirir; ancak risk sahipliği, uzman gözetim ve bağımsız güvence arasındaki temel ayrımı ortadan kaldırmaz.

Yapay zekânın dolandırıcılık tespitinde kullanılması, tespit gücü ile ölçülülük arasındaki dengeye özel dikkat gösterilmesini gerektirir. Gelişmiş modeller müşteriler, cihazlar, konumlar, ödeme verileri, aracılar, hizmet sağlayıcılar ve geçmiş hasarlar arasındaki ilişkileri tespit edebilir. Bu sayede organize sigorta dolandırıcılığı ağları çok daha erken aşamada ortaya çıkarılabilir. Ancak aynı zamanda bir model yanlış korelasyonlar kurabilir, geçmişteki yanlılıkları yeniden üretebilir veya hassas özellikleri dolaylı biçimde yansıtan değişkenlere gereğinden fazla ağırlık verebilir. Bu nedenle kuruluşunuz yalnızca modelin performansını değil, hata sonuçlarını da ölçmelidir. False positive gereksiz soruşturma, ödeme gecikmesi, müşterinin itibarının zarar görmesi veya haksız bir kayıt gibi sonuçlara yol açabilir. False negative ise finansal kayıplara ve organize dolandırıcılığın fark edilmemesine neden olabilir. Etkili yönetim; tespit gücü, ölçülülük, müşteri menfaati ve hukuki savunulabilirlik arasında sürekli kalibrasyon gerektirir. Audit trail’ler burada vazgeçilmezdir. Kuruluşunuz modelin hangi verileri kullandığını, hangi çıktıyı ürettiğini, bu çıktıyı hangi çalışanın değerlendirdiğini ve nihai kararın neden alındığını yeniden oluşturabilmelidir. Böylece teknoloji, insan değerlendirmesi ve yönetişim arasında denetlenebilir bir bağ kurulur. Yapay zekânın underwriting, hasar yönetimi, dolandırıcılık tespiti ve müşteri etkileşimlerinde giderek daha önemli rol oynadığı bir sigorta piyasasında karar mantığını, kontrol mekanizmalarını ve sorumluluğu gösterebilme kapasitesi, finansal suç risklerinin güvenilir ve bütüncül biçimde yönetilmesinin temel unsurlarından biri hâline gelmektedir.

Yapay zekâ, InsurTech ve sigortacılıkta otomatik karar alma süreçleri

Yapay zekâ, makine öğrenmesi, öngörüsel analitik, otomatik dolandırıcılık tespiti ve diğer InsurTech uygulamaları sigorta değer zincirinin neredeyse her aşamasını dönüştürmektedir. Underwriting süreçleri giderek daha fazla otomatik risk sınıflandırması, fiyatlama modelleri ve dış veri kaynaklarıyla desteklenebilmekte; hasar dosyaları dolandırıcılık riski, finansal büyüklük veya hızlı sonuçlandırılma olasılığına göre önceliklendirilebilmekte; belgeler tutarsızlıkların tespiti amacıyla otomatik olarak analiz edilebilmekte; müşteri etkileşimleri dijital asistanlar tarafından desteklenebilmekte ve karmaşık veri kümeleri poliçe sahipleri, sigortalılar, tazminat talep eden kişiler, aracılar, onarım şirketleri, sağlık hizmeti sağlayıcıları, araçlar, cihazlar, konumlar ve ödeme akışları arasındaki ilişkileri görünür hâle getirmek için kullanılabilmektedir. Bu gelişmeler finansal suç risklerinin kontrolünü önemli ölçüde güçlendirebilmekle birlikte, aynı zamanda altında yatan yönetişim yapısını daha karmaşık hâle getirmektedir. Bir modelin bir hasar dosyasını “anormal” veya “yüksek riskli” olarak sınıflandırması yalnızca teknik bir çıktı üretmez. Böyle bir sınıflandırma daha yoğun inceleme başlatılmasına, ödemenin geciktirilmesine, ek bilgi talep edilmesine, dosyanın dolandırıcılık ekibine aktarılmasına, müşteri ilişkisinin yeniden değerlendirilmesine veya başka önemli müdahalelere yol açabilir. Algoritmik bir sonuç sigortalının, talep sahibinin, lehtarın veya aracının fiilî konumunu etkilediğinde kuruluşunuz hangi verilerin kullanıldığını, hangi mantık veya değerlendirme kriterlerinin belirleyici olduğunu, hangi belirsizliklerin mevcut bulunduğunu ve hangi düzeyde insan incelemesinin gerçekleştirildiğini açıklayabilmelidir. Finansal suç risklerinin bütüncül yönetimi bu nedenle model yönetişimini, finansal suç risklerini, mahremiyeti, veri yönetişimini, siber güvenliği, dolandırıcılığın önlenmesini, hasar yönetimini, hukuki karar süreçlerini ve müşteri korumasını aynı kontrol çerçevesinde birbirine bağlar. Temel soru yalnızca teknolojik bir sistemin istatistiksel açıdan başarılı olup olmadığı değil, kullanımının hukuken savunulabilir, operasyonel olarak güvenilir, denetlenebilir, açıklanabilir ve kullanıldığı somut bağlamda ölçülü olup olmadığıdır.

Üç Savunma Hattı modeli içinde Birinci Savunma Hattı, yapay zekâ ve otomatik modellerden yararlanılan iş kararlarının sahibi olmaya devam eder. Underwriting, hasar, dağıtım, müşteri operasyonları ve dolandırıcılıkla mücadele ekipleri süreçleri hızlandırmak ve riskleri daha erken belirlemek için teknolojiden yararlanabilir; ancak önemli bir kararın sorumluluğu, işleyişi yeterince anlaşılmayan bir modele fiilen devredilemez. Operasyonel çalışanların bir skora ne ölçüde güvenilebileceğini, modelin sınırlarını, hangi durumda ilave doğrulamanın gerekli olduğunu ve hangi aşamada insan müdahalesinin zorunlu hâle geldiğini bilmeleri gerekir. İkinci Savunma Hattı; risk yönetimi, compliance, veri koruma, finansal suç risklerinin kontrolü, hukuk, siber güvenlik ve model risk yönetimi aracılığıyla model riski, mahremiyet, veri kullanımı, adalet, açıklanabilirlik, siber güvenlik, dolandırıcılık kontrolü ve hukuki gereklilikler için çerçeveler oluşturmalıdır. Bu değerlendirme yalnızca teknik doğrulukla sınırlı kalmamalı; veri kalitesi, verinin kaynağı, muhtemel yanlılıklar, açıklanabilirlik, hata payları, mahremiyet üzerindeki etkiler ve ilgili kişiler açısından ortaya çıkan sonuçları da kapsamalıdır. Üçüncü Savunma Hattı ise bu kontrollerin uygulamada gerçekten çalışıp çalışmadığını bağımsız biçimde değerlendirmelidir. Model doğrulamalarının yeterince bağımsız olup olmadığı, değişikliklerin izlenebilir şekilde kaydedilip kaydedilmediği, istisnaların doğru yönetilip yönetilmediği, yönetim bilgilerinin güvenilir olup olmadığı ve belirlenen eksikliklerin fiilen giderilip giderilmediği bu değerlendirmenin parçasıdır. Teknoloji böylece diğer önemli iş süreçleri için geçerli olan aynı yönetişim ilkelerine tabi tutulur: Birinci Hat riski sahiplenir ve yönetir, İkinci Hat yön verir, izler ve eleştirel sorgulama yapar, Üçüncü Hat ise bütün kontrol sisteminin etkinliği konusunda bağımsız güvence sağlar.

Yapay zekânın dolandırıcılık tespitinde kullanılması, tespit kapasitesi ile ölçülülük arasındaki dengenin sürekli gözetilmesini gerektirir. Bir model, tek bir hasar yöneticisinin kolaylıkla fark edemeyeceği örüntüleri belirleyebilir; örneğin aynı banka hesabının, cihaz tanımlayıcısının, onarım şirketinin, aracının veya iletişim yapısının birden fazla dosyada tekrar ettiğini gösterebilir. Bu sayede organize sigorta dolandırıcılığı çok daha erken bir aşamada tespit edilebilir. Buna karşılık yanlış pozitif sonuçlar gereksiz soruşturmalara, ödemelerde gecikmeye, müşterilere yönelik daha müdahaleci tedbirlere veya itibar zararına yol açabilirken, yanlış negatif sonuçlar dolandırıcılığın fark edilmeden devam etmesine neden olabilir. Kuruluşunuz bu nedenle eşik değerlerin nasıl belirlendiğini, model performansının nasıl izlendiğini, insan incelemesinin nasıl yapılandırıldığını ve olağandışı sonuçların nasıl araştırıldığını gösterebilmelidir. Üretken yapay zekâ ayrıca özel dikkat gerektirir. Üretken sistemler dosya analizi, yazışma taslakları, soruşturma notları, özetleme veya müşteri iletişimini desteklemek amacıyla kullanıldığında hangi verilerin işlenebileceği, gizli bilgilerin nasıl korunacağı, ne ölçüde insan kontrolü gerektiği ve yanlış ya da doğrulanamayan bilgilerin karar süreçlerine dâhil edilmesinin nasıl önleneceği açıkça belirlenmelidir. Finansal ve bütünlük risklerinin koordineli yönetimi böylece teknolojik uygulamaları daha geniş bir hukuki kontrol, veri yönetişimi, delil değerlendirmesi, insan sorumluluğu ve yönetim hesap verebilirliği sistemi içine yerleştirir. Kuruluşunuz açısından bunun anlamı, inovasyon ile yönetişimin birbirine zıt kavramlar olmadığıdır. İyi tasarlanmış bir kontrol sistemi, hangi uygulamaların kabul edilebilir olduğunu, hangi risklerin değerlendirilmesi gerektiğini, hangi eskalasyon eşiklerinin uygulanacağını ve daha sonra otomatik veya kısmen otomatik bir kararın neden alındığının nasıl yeniden oluşturulabileceğini önceden tanımlayarak ölçeklenebilir inovasyonu mümkün kılar.

Dış hasar hizmet sağlayıcıları, uzmanlar ve dış kaynak kullanım riskleri

Sigorta şirketleri hasar yönetimi, ekspertiz, tıbbi değerlendirmeler, onarım işleri, dolandırıcılık tespiti, soruşturmalar, hukuki destek, teknoloji, veri analitiği, müşteri hizmetleri ve idari süreçler bakımından önemli ölçüde dış hizmet sağlayıcılara bağımlıdır. Bu üçüncü taraflar uzmanlık, ölçek ekonomisi ve operasyonel esneklik sağlayabilir; ancak faaliyetlerin, bilgilerin veya karar yetkilerinin sigorta şirketinin doğrudan kontrolü dışına taşınması aynı zamanda finansal suç risklerini ve yönetişim bağımlılıklarını artırabilir. Bir ekspertiz şirketi tazminat tutarını etkileyebilir; bir onarım şirketi hasar ödemesine esas alınan faturaları düzenleyebilir; bir tıbbi uzman iş göremezlik veya bedensel zarar dosyasında belirleyici bilgi sağlayabilir; bir araştırma şirketi daha sonra dolandırıcılık sonucuna dayanak yapılacak kişisel verileri toplayabilir; bir teknoloji sağlayıcısı ise müşteri verilerinin, dolandırıcılık modellerinin veya ödeme talimatlarının işlendiği sistemleri yönetebilir. Bu nedenle finansal suç risklerinin bütüncül yönetimi, üçüncü taraf riskinin yalnızca sözleşme yönetimi veya ilk tedarikçi seçimiyle sınırlı tutulmamasını gerektirir. Kuruluşunuz, dış tarafların müşterilere, verilere, finansal akışlara, karar süreçlerine veya delil niteliğindeki materyallere erişim sağlamasıyla hangi risklerin oluştuğunu, ekonomik teşviklerin onların davranışlarını nasıl etkileyebileceğini ve kritik süreçlerin dış kaynak kullanımıyla yürütülmesinin hangi bağımlılıkları yarattığını anlamalıdır. Biçimsel açıdan kusursuz bir sözleşme; hizmetin fiilî icrası, alt yükleniciler, çıkar çatışmaları, kalite farklılıkları, bilgi güvenliği veya olağandışı finansal örüntüler üzerinde yeterli görünürlük bulunmadığında tek başına yeterli güvence sağlamaz.

Birinci Savunma Hattında iş birimi sahipleri ile sözleşmeden sorumlu kişiler, dış kaynak kullanımı ve üçüncü taraf hizmetlerinden doğan risklerden sorumlu olmaya devam eder. Bu sorumluluk tamamen satın alma fonksiyonuna veya dış hizmet sağlayıcıya devredilemez. Bir tedarikçi seçilmeden önce hangi faaliyetlerin dışarı verileceği, hizmet sağlayıcıya hangi karar alanının bırakılacağı, hangi verilerin işleneceği, hangi performans ve bütünlük kriterlerinin uygulanacağı ve hangi durumların derhâl eskalasyon gerektireceği açık biçimde belirlenmelidir. İkinci Savunma Hattı risk yönetimi, compliance, mahremiyet, siber güvenlik, hukuk, finansal suç risklerinin kontrolü ve varsa uzman dış kaynak yönetimi fonksiyonları aracılığıyla due diligence, monitoring, sözleşmesel korumalar, olay bildirimi ve çıkış yönetimi bakımından standartlar oluşturmalıdır. İtibar, mülkiyet yapısı, uzmanlık, mali güç, güvenlik önlemleri, geçmiş bütünlük olayları, alt yüklenici kullanımı ve muhtemel çıkar çatışmaları bu değerlendirmede önem taşıyabilir. Üçüncü Savunma Hattı ise kuruluşun önemli dış kaynak riskleri üzerinde fiilî kontrolü koruyup korumadığını ve kontrollerin kendi tüzel kişiliğinin sınırları dışında da etkin çalışıp çalışmadığını bağımsız olarak değerlendirmelidir. Bu inceleme yalnızca hizmet seviyesi anlaşmalarının bulunup bulunmadığının tespitinden ibaret olamaz. Asıl mesele; tedarikçilerin gerçekten izlenip izlenmediği, anormalliklerin araştırılıp araştırılmadığı, denetim haklarının uygulamada kullanılıp kullanılamadığı, olayların zamanında bildirilip bildirilmediği ve yapısal eksikliklerin somut müdahalelere yol açıp açmadığıdır.

Dış hizmet sağlayıcıların kendilerinin etkileyebildiği kararlardan finansal fayda sağlayabildiği durumlarda özel bir bütünlük riski doğar. Hem zararın kapsamını belirleyen hem de onarım işini gerçekleştiren bir servis işletmesi, neredeyse yalnızca belirli bir dağıtım ağı için çalışan bir eksper veya ücretlendirmesi tespit edilen dolandırıcılık sayısına bağlı olan bir araştırma ortağı eleştirel değerlendirme gerektiren ekonomik teşviklere maruz kalabilir. Benzer şekilde aynı aracı, eksper, onarım şirketi veya diğer hizmet sağlayıcı kombinasyonlarının olağandışı hasar örüntülerinde tekrar tekrar görünmesi de önemlidir. Bütüncül risk yönetimi bu nedenle ilişki analizini gerektirir: yalnızca belirli bir tedarikçinin ne yaptığı değil, müşteriler, tazminat talep eden kişiler, çalışanlar, aracılar ve diğer üçüncü taraflarla hangi bağlantılara sahip olduğu da incelenmelidir. Ödeme verileri, iş hacimleri, olağandışı ücretler, istisna uygulamaları, şikâyet örüntüleri ve geçmiş olaylar birlikte değerlendirildiğinde önemli risk sinyalleri yaratabilir. Kollüzyon, fatura manipülasyonu, rüşvet veya gizli komisyon, çıkar çatışması ya da başka usulsüzlük şüphesi ortaya çıktığında kuruluşunuz soruşturmayı kimin yöneteceğini, hangi verilerin korunması gerektiğini, hangi sözleşmesel hakların kullanılabileceğini ve dış bildirim veya hukuki müdahalenin gerekli olup olmadığını süratle belirleyebilmelidir. Dış kaynak kullanımı sigorta şirketinin yönetişim sorumluluğunu azaltmaz. Aksine, dışarı verilen fonksiyon ne kadar kritikse seçim, izleme, müdahale ve gerektiğinde ilişkinin sona erdirilmesinin güvenilir ve yeterince belgelenmiş risk bilgilerine dayandığını gösterebilmek o kadar önem kazanır.

Düzenleyici soruşturmalar, dolandırıcılık incelemeleri ve yaptırım süreçleri

Sigorta şirketleri, finansal denetim otoritelerinin, veri koruma otoritelerinin, mahkemelerin, soruşturma ve ceza makamlarının, uyuşmazlık çözüm kurumlarının ve diğer yetkili mercilerin aynı olayın farklı yönlerini eş zamanlı olarak inceleyebildiği yoğun biçimde düzenlenmiş bir ortamda faaliyet gösterir. Kurum içinde bir dolandırıcılık soruşturması olarak başlayan bir dosya, mahremiyet şikâyetine, özel hukuk uyuşmazlığına, düzenleyici soruşturmaya, ceza soruşturmasına veya yönetişim ve iç kontrol sisteminin daha geniş ölçekte incelenmesine dönüşebilir. Uygun şekilde yönetilmemiş bir dizi hasar dosyası örneğin müşteri koruması, ölçülülük, veri işleme, kurum içi kayıtlar, karar alma ve yönetim gözetimi bakımından sorular doğurabilir. Yaptırımlarla ilgili bir olay yalnızca tek bir işlemin değil, screening süreçlerinin, mülkiyet analizinin, eskalasyon mekanizmalarının, kurum içinde mevcut bilginin ve üst yönetimin sürece katılımının da incelenmesine yol açabilir. Bir siber olay ise operasyonel süreklilik, kişisel veriler, dolandırıcılık riski, ödemeler ve bilgi güvenliğini eş zamanlı etkileyebilir. Bu nedenle finansal suç risklerinin bütüncül yönetimi düzenleyici soruşturmalar ve yaptırım süreçlerinde merkezi önem taşır: kuruluşunuz yalnızca münferit olayı açıklamakla kalmamalı, ilgili yönetişim ve kontrol sisteminin olaydan önce, olay sırasında ve olaydan sonra nasıl işlediğini de gösterebilmelidir.

Kurumsal müdahalenin kalitesi çoğu zaman soruşturmanın ilk aşamasında belirlenir. Önemli bir olay veya inandırıcı bir şüphe tespit edildiğinde hangi bilgilerin derhâl korunması gerektiği, hangi çalışanların veya dış tarafların ilgili verilere sahip olabileceği, hangi hukuki risklerin mevcut olduğu ve soruşturma kararlarını kimin almaya yetkili olduğu açık olmalıdır. E-postalar, anlık mesajlaşmalar, poliçe verileri, hasar dosyaları, finansal işlemler, erişim kayıtları, model çıktıları, yönetim raporları, kurum içi ihbarlar ve karar belgeleri olayların daha sonra yeniden oluşturulması bakımından kritik olabilir. Aynı zamanda bir soruşturma kontrolsüz biçimde genişletilerek mahremiyet, gizlilik, çalışan hakları veya diğer hukuki yükümlülükler ihlal edilmemelidir. Birinci Savunma Hattı olayları hızlı ve doğru biçimde tanıyıp eskale edebilmelidir. İkinci Savunma Hattı hukuki değerlendirme, bağımsızlık güvenceleri, soruşturma protokolleri, düzenleyici strateji ve uzman desteği sağlamalıdır. Üçüncü Savunma Hattı yapısal kontrol eksikliklerinin bulunup bulunmadığını ve daha önce verilen tavsiyelerin yeterince uygulanıp uygulanmadığını inceleyebilmelidir. Finansal ve bütünlük risklerinin koordineli kontrolü bu sorumlulukları birbirine bağlar; böylece olaya müdahale, vakıa tespiti, hukuki analiz, adli inceleme, iletişim stratejisi ve iyileştirme faaliyetleri birbirinden kopuk süreçler olarak yürütülmez.

Denetim otoriteleri ve diğer dış inceleyiciler giderek daha fazla yalnızca somut olaya değil, olayın öncesindeki kurumsal bağlama da odaklanmaktadır. Daha önce hangi sinyallerin mevcut olduğu, yönetim bilgilerinin nasıl kullanıldığı, benzer olayların yaşanıp yaşanmadığı, hangi eskalasyonların gerçekleştiği, politikalardan hangi istisnaların kabul edildiği ve yönetimin yeterli eleştirel sorgulamayı yapıp yapmadığı önem taşıyabilir. Kuruluşunuz bu nedenle karar sürecini yeniden oluşturabilmelidir. Bir hasar talebi dolandırıcılık nedeniyle reddedildiyse kararın hangi maddi olgulara dayandığı açıkça görülebilmelidir. Bir müşteri hakkında kayıt oluşturulduysa ölçülülük değerlendirmesi ve menfaat dengesi gösterilebilmelidir. Geçmişte sorun yaşanmasına rağmen bir dış hizmet sağlayıcıyla çalışmaya devam edildiyse bu kararın neden savunulabilir kabul edildiği belgelenmiş olmalıdır. Bir yaptırım alarmı kapatıldıysa altta yatan analiz daha sonra da erişilebilir durumda bulunmalıdır. Yapılandırılmış ve bütüncül risk yönetimi; tespit, değerlendirme, karar, eskalasyon ve iyileştirme adımlarını sistematik biçimde belgelendirerek bu izlenebilirliği sağlar. Bu yalnızca kuruluşun düzenleyici süreçler veya uyuşmazlıklar sırasındaki hukuki konumunu güçlendirmez, aynı zamanda gerçek bir kurumsal öğrenme ortamı oluşturur. İyi yürütülmüş bir dolandırıcılık veya düzenleyici soruşturma, yalnızca neyin yanlış gittiğinin belirlenmesiyle sona ermez. Bulgular kök neden analizi, süreç iyileştirmesi, kontrollerin güçlendirilmesi, hedefli eğitim, yetkilerin gözden geçirilmesi, veri kalitesinin artırılması, sözleşmesel tedbirler ve gerektiğinde yönetişim seviyesinde müdahale ile sonuçlanmalıdır.

Yönetim organlarının sorumluluğu, kontrollerin etkinliği ve bağımsız güvence

Yönetim kurulu, üst yönetim ve kurum içi gözetim organları sigorta risklerinin, bütünlük risklerinin ve finansal suç risklerinin kuruluşunuz içinde nasıl yönetildiği konusunda merkezî sorumluluk taşır. Bu sorumluluk yalnızca politika belgelerinin onaylanması veya periyodik dashboard’ların teslim alınmasıyla yerine getirilemez. Etkili yönetişim, karar vericilerin hangi önemli risklerin bulunduğunu, bu risklerin nasıl geliştiğini, hangi kontrollerin kritik nitelik taşıdığını ve nerelerde belirsizlik veya yapısal eksikliklerin devam ettiğini anlamasını gerektirir. Sigortacılıkta bu alanlar hasar dolandırıcılığı, yaptırımlar ve kimlik kötüye kullanımından veri koruma, dağıtım riski, dış kaynak kullanımı, model riski, siber tehditler ve davranış riskine kadar uzanabilir. Finansal ve bütünlük risklerinin entegre yönetimi bu farklı başlıkları yönetim seviyesinde tek ve tutarlı bir risk görünümüne dönüştürür ve olaylar, eğilimler ve kontrol eksiklikleri arasındaki bağlantıların anlaşılmasını sağlar. Örneğin yüksek sayıda dolandırıcılık bildirimi daha güçlü bir tespit kapasitesini gösterebilir; ancak aynı zamanda underwriting kalitesinde bozulmaya veya sorunlu dağıtım uygulamalarına işaret edebilir. Mahremiyet şikâyetlerinde artış tek bir idari hatadan kaynaklanabileceği gibi hassas bilgilere yönelik erişim yetkilerinin yapısal biçimde fazla geniş olduğunu da gösterebilir. Hasar dosyalarındaki istisnaların artması operasyonel olarak açıklanabilir olabilir; ancak politikaların tutarsız uygulanmasına veya aşırı ticari baskıya da işaret edebilir. Bu nedenle yönetim organlarının yalnızca sayılara değil, bu sayıların anlamını, nedenlerini ve daha geniş etkilerini açıklayan bilgiye ihtiyacı vardır.

Üç Savunma Hattı modeli bu sorumluluk için açık bir yapı sağlar. Birinci Savunma Hattı underwriting, hasar, dağıtım, finans, operasyon, müşteri hizmetleri ve diğer iş süreçlerinde riskleri sahiplenir ve yönetir. Anormallikleri belirlemeli, kontrolleri gerçekleştirmeli, eksiklikleri gidermeli ve önemli riskleri eskale etmelidir. İkinci Savunma Hattı risk yönetimi, compliance, finansal suç risklerinin kontrolü, mahremiyet, siber güvenlik, bütünlük, hukuk ve diğer uzman disiplinler aracılığıyla standartlar belirler, danışmanlık verir, izler ve yönetimi eleştirel biçimde sorgular. Üçüncü Savunma Hattı ise yönetişim, risk yönetimi ve iç kontrol sisteminin etkili çalışıp çalışmadığı konusunda bağımsız güvence sağlar. Bu ayrım temel niteliktedir; çünkü aynı fonksiyon aynı anda hem risk sahibi, hem bağımsız sorgulayıcı hem de bağımsız güvence sağlayan taraf olarak güvenilir biçimde hareket edemez. Bununla birlikte Üç Savunma Hattının birbirinden yalıtılmış silolar hâlinde çalışması da doğru değildir. Gerçek anlamda bütüncül risk yönetimi, önemli sinyallerin paylaşılmasını, terminolojinin uyumlu olmasını, önemli risklerin tutarlı biçimde sınıflandırılmasını ve bir Savunma Hattının bulgularının diğerleri tarafından dikkate alınmasını gerektirir. Örneğin iç denetim tedarikçi monitoring’inde tekrar eden eksiklikler tespit ediyorsa bu bilgi mevcut dolandırıcılık veya bütünlük sinyalleriyle ilişkilendirilmelidir. Compliance yaptırım kontrollerinde yapısal zayıflıklar görüyorsa hangi operasyonel süreçlerin bu zayıflıklara katkıda bulunduğu ve yönetim seviyesinde ne tür müdahalenin gerekli olduğu açıkça belirlenmelidir.

Kontrollerin fiilî etkinliği, prosedürlerin yalnızca resmî olarak mevcut olmasından daha önemlidir. Bir kuruluş ayrıntılı politikalara, dolandırıcılık çerçevelerine, mahremiyet protokollerine ve eskalasyon matrislerine sahip olabilir; ancak uygulamada çalışanlar kontrolleri aşabiliyor, istisnalar yeterince belgelenmiyor veya yönetim bilgileri çok geç ulaşıyor olabilir. Bu nedenle kuruluşunuz yalnızca kontrollerin tasarlanıp tasarlanmadığını değil, gerçekten çalışıp çalışmadığını da değerlendirmelidir. Bunun için testler, monitoring, kalite güvencesi, veri analizi, olay incelemeleri ve periyodik bağımsız değerlendirmeler gerekir. Yönetim beyanları hesap verebilirliği güçlendirebilir, ancak içerik yönünden gerçek kontrollerin yerini alamaz. İyileştirme süreçleri de yönetim kurulu seviyesinde dikkat gerektirir. Bir eksiklik tespit edildiğinde sorumlu kişi veya fonksiyon, süre, öncelik ve düzeltmenin gerçekten tamamlanıp tamamlanmadığını doğrulayacak mekanizma açıkça belirlenmelidir. Tekrarlanan gecikmeler, sürekli yinelenen bulgular veya eksikliklerin gayriresmî biçimde kabullenilmesi başlı başına önemli yönetişim zayıflığı göstergeleri olabilir. Koordineli risk yönetimi; olayları, kontrol eksikliklerini, denetim bulgularını, şikâyetleri, dolandırıcılık örüntülerini ve düzenleyici gelişmeleri ilişkilendirerek bu bilgileri yönetim açısından daha anlamlı hâle getirir. Kuruluşunuz böylece yönetim kurulunun ve üst yönetimin yalnızca olaylardan sonra reaksiyon veren bir konumda olmadığını, önleme, tespit, soruşturma, müdahale, iyileştirme ve kontrol sisteminin sürekli geliştirilmesini aktif biçimde yönlendirdiğini gösterebilir.

Sigortacılıkta bütüncül bütünlük yönetimi ve sürdürülebilir müşteri güveni

Finansal suç risklerinin bütüncül yönetimi sigorta sektöründe en yüksek değerini, hasar bütünlüğü, müşteri bütünlüğü, sigorta dolandırıcılığı, yaptırımlar, dağıtım, veri yönetişimi, mahremiyet, siber güvenlik, yapay zekâ, dış kaynak kullanımı, soruşturmalar, compliance ve iç denetimin birbirinden bağımsız kontrol alanları olarak çalışmayı bırakmasıyla yaratır. Parçalı bir yaklaşımın temel riski, her fonksiyonun genel tablonun yalnızca bir bölümünü görmesidir. Hasar ekibi bir sigortalının birden fazla olağandışı talepte bulunduğunu biliyor olabilir. Dağıtım fonksiyonu aynı müşterinin olağandışı üretim örüntüleri gösteren bir aracı tarafından getirildiğini biliyor olabilir. Finans departmanı anormal ödeme talimatları tespit etmiş olabilir. Siber güvenlik bir hesap ele geçirme olayını belirlemiş olabilir. Mahremiyet fonksiyonu veri kullanımına ilişkin daha önce yapılmış şikâyetleri biliyor olabilir. Dolandırıcılık ekipleri ise diğer soruşturma dosyalarıyla bağlantılar tespit etmiş olabilir. Bu bilgiler kontrollü ve hukuken izin verilebilir şekilde bir araya getirilmezse kuruluşunuz gerçek risk profilini önemli ölçüde olduğundan düşük değerlendirebilir. Bütüncül yönetimin amacı bu nedenle olayların, ilişkilerin, işlemlerin, davranışların ve kontrol sinyallerinin kendi bağlamlarında birlikte değerlendirilebildiği tutarlı bir risk istihbaratı modeli oluşturmaktır. Amaç mümkün olduğunca çok veri toplamak değil, doğru bilginin doğru karar vericiye doğru zamanda ve açıkça tanımlanmış bir amaç için ulaşmasını sağlamaktır.

Bu yaklaşım eskalasyon, karar alma ve bilgi sahipliği konusunda açık yönetişim gerektirir. Her hasar anormalliği dolandırıcılık soruşturması gerektirmez ve her compliance bulgusunun yönetim kuruluna taşınması da gerekmez. Bununla birlikte kuruluşunuz hangi gösterge kombinasyonlarının yoğunlaştırılmış incelemeyi gerektireceğini önceden belirlemelidir. Yüksek finansal maruziyet, tekrar eden anormallikler, birden fazla müşterinin dâhil olması, hassas verilerin işlenmesi, uluslararası boyut, yaptırım unsurları, çalışanların, aracıların veya dış hizmet sağlayıcıların sürece dâhil olması ek incelemeyi haklı kılabilir. Birinci Savunma Hattı bu sinyalleri tespit etmeli ve yönetmeli; İkinci Savunma Hattı değerlendirmelerin ölçülülüğünü ve tutarlılığını izlemeli ve gerektiğinde eleştirel challenge uygulamalı; Üçüncü Savunma Hattı ise genel sistemin güvenilir ve etkili olup olmadığını bağımsız biçimde değerlendirmelidir. Böyle bir bütüncül yaklaşım, kaynakların potansiyel etkisi en yüksek durumlara yönlendirildiği risk temelli bir çalışma modelini mümkün kılar. Aynı zamanda müşteri menfaati merkezî bir ölçüt olarak kalmaya devam eder. Etkili dolandırıcılık önleme ve güçlü finansal suç riski kontrolü, her anormalliğin müşterinin aleyhine yorumlanması anlamına gelmez. Güvenilir yönetişim; sinyallerin objektif biçimde değerlendirilmesini, alternatif açıklamaların dikkate alınmasını, uygun durumlarda ilgili kişiye açıklama yapma imkânı verilmesini ve müdahaleci tedbirlerin açık, ölçülü ve savunulabilir gerekçelere dayanmasını gerektirir.

Sigortacılığa duyulan sürdürülebilir güven, nihayetinde sigortalıların, kurumsal müşterilerin, aracıların, denetim otoritelerinin ve diğer paydaşların hasar dosyalarının dikkatle ele alındığına, dolandırıcılığın etkili biçimde önlendiğine, kişisel verilerin korunduğuna, ödemelerin güvenli biçimde gerçekleştirildiğine ve önemli kararların izlenebilir ve savunulabilir temellere dayandığına güvenebilmesine bağlıdır. Bu güven yalnızca itibara ilişkin bir konu değildir. Gösterilebilir yönetişim, tutarlı karar alma ve etkili iç kontrollerin sonucudur. Van Leeuwen Law Firm bu nedenle sigortacılıkta bütünlük konusunu hukuki analiz, dolandırıcılığın önlenmesi, adli ve forensik soruşturmalar, düzenleyici yaptırım süreçleri, veri yönetişimi, mahremiyet, siber güvenlik, kurumsal yönetişim, uyuşmazlıkların çözümü ve stratejik müdahaleyi birbirine bağlayan koordineli bir yaklaşımla ele alır. Kuruluşunuz açısından bunun anlamı; önleme, tespit, soruşturma, müdahale, danışmanlık, dava süreçleri, müzakere ve iyileştirme faaliyetlerinin birbirinden kopuk biçimde yürütülmemesi, aksine tüm sigorta yaşam döngüsü boyunca birbirini güçlendirmesidir. Tek bir hasar dosyası daha geniş örüntüler ışığında değerlendirilebilir; bir dağıtım olayı yönetişim ve ücretlendirme yapılarıyla ilişkilendirilebilir; bir mahremiyet konusu dolandırıcılık tespiti ve veri yönetişimiyle bağlantılı ele alınabilir; bir denetim bulgusu ise Birinci ve İkinci Savunma Hattında somut iyileştirmelere dönüştürülebilir. Bunun sonucunda, yalnızca bir olay önemli hâle geldikten sonra müdahale eden değil, bütünlük risklerinin nerede oluşmaya başladığını daha erken tespit eden, birden fazla göstergenin kesiştiği durumlarda daha hızlı hareket eden ve risklerin, müşteri korumasının ve yönetim sorumluluğunun tutarlı, ölçülü ve disiplinli biçimde yönetildiğini daha ikna edici şekilde gösterebilen bir sigorta kuruluşu ortaya çıkar.