A Bank of America több mint 1,21 milliárd dolláros büntetése megmutatja, hogyan válhat egy évekig halogatott megfelelési probléma közvetlen pénzügyi veszteséggé. Az amerikai pénzügyminisztérium október 13-án három különálló intézkedés keretében jelentett be szankciókat a bank pénzmosás elleni és szankciós szabályokkal kapcsolatos hiányosságai miatt. A Financial Crimes Enforcement Network (FinCEN) 1,2 milliárd dolláros bírságot szabott ki, miután a bank elismerte, hogy szándékosan megsértette a Bank Secrecy Act előírásait, többek között azzal, hogy nem jelentett időben több mint 5 milliárd dollárnyi gyanús tranzakciót.
Az amerikai pénzügyminisztérium közlése szerint ezek között nemzetbiztonsági szempontból is jelentős kockázatot hordozó ügyletek szerepeltek, köztük kínai pénzmosási hálózatokhoz és az Egyesült Államok délnyugati határvidékéhez kapcsolódó tevékenységek. A pénzügyi felügyeleti feladatokat ellátó Office of the Comptroller of the Currency (OCC) további 750 millió dolláros polgári jogi bírságot jelentett be a hiányos megfelelési program miatt, míg az Office of Foreign Assets Control 11,6 millió dolláros megállapodást kötött a bankkal 475 feltételezett szankciós jogsértés ügyében, amelyek Oroszországhoz, Iránhoz, Belaruszhoz és más korlátozási programokhoz kapcsolódtak. Az eset tanulsága azonban nem egyszerűen a büntetés nagyságában rejlik, hanem abban, hogy a megfelelési hiányosságok végül milyen koncentráltan jelenhetnek meg egy vállalat pénzügyi eredményében.
A történet egyik legfontosabb részlete az időzítés. Az OCC már 2024 decemberében felszólító intézkedést hozott a bankkal szemben, a későbbi megállapítások szerint azonban a problémák egy része több mint egy évvel később is fennállt. A bank továbbra sem emelte megfelelő időben a döntéshozók szintjére a gyanús tevékenységeket, és olyan tranzakciókat is feldolgozott, amelyek a kereskedelmi alapú pénzmosás ismert mintázataira utaltak. Ez lényegesen több egy elhibázott informatikai fejlesztésnél vagy egy elhúzódó belső átalakításnál. A pénzmosás elleni rendszerek feladata ugyanis nem pusztán az, hogy dokumentálják a szabályok betartását, hanem az is, hogy időben felismerjék és megfelelő helyre továbbítsák a potenciálisan veszélyes tranzakciókat. Ha a rendszer nem működik, a kockázat nem marad a compliance-osztályon belüli adminisztratív kérdés: a bank működési, jogi, reputációs és adott esetben nemzetbiztonsági kockázatot is közvetíthet. Scott Bessent amerikai pénzügyminiszter az ügy kapcsán arra figyelmeztetett, hogy a pénzügyi intézmények az amerikai gazdasági és nemzetbiztonság védelmének frontvonalában állnak. A szabályozói üzenet egyértelmű: a méret és a rendszerszintű jelentőség nem felmentés, hanem nagyobb felelősség.
A pénzügyi következményeket a bank harmadik negyedéves eredménye tette különösen látványossá. A Bank of America 6,9 milliárd dolláros jelentett nettó nyereségről számolt be, miközben a kiigazított eredmény 8,1 milliárd dollár volt. A különbség szinte teljes egészében a megállapodásokhoz kapcsolódó ráfordításból adódott. Egy olyan kockázat, amelyet a vállalatvezetés korábban jogi vagy működési háttérkérdésként kezelhetett, így a negyedéves eredménykimutatás egyik legfontosabb tételévé vált. A büntetés nagysága a negyedéves profit mintegy 15 százalékának felel meg: ez már nem olyan veszteség, amelyet a befektetők könnyen figyelmen kívül hagyhatnak, vagy amelyet egy általános piaci ingadozás magyaráz meg. Ráadásul a közvetlen bírság csak a költségek egyik része. A megfelelési rendszerek újjáépítése, a belső folyamatok átalakítása, a külső szakértők bevonása és a szabályozói ellenőrzés fokozott terhe további kiadásokat jelenthet. A reputációs hatás pedig hosszabb távon is befolyásolhatja a befektetői bizalmat és a vezetés hitelességét.
A vállalatvezetők számára ebből egy általánosabb tanulság következik: a megfelelési adósság ugyanúgy felhalmozódhat, mint a technikai adósság. Ha egy vállalat elhalasztja az elavult rendszerek korszerűsítését, a hiányzó kontrollok kiépítését vagy a felelősségi körök egyértelműsítését, a probléma nem szűnik meg. Ehelyett egyre több folyamat épül a gyenge alapokra, egyre nehezebbé válik a javítás, és egyre nagyobb lesz a hibák következménye. A későbbi rendezés ára ezért nemcsak az eredeti fejlesztés költségét tartalmazza, hanem az időközben felhalmozódott működési veszteségeket, a büntetéseket és a helyreállítás terheit is. Ez a mechanizmus a bankszektoron kívül ugyanúgy érvényesülhet az adatvédelemben, a kiberbiztonságban, a munkavédelemben vagy a pénzügyi beszámolásban. A szabályozási megfelelés gyakran azért kerül háttérbe, mert a sikeres működés rövid távon látványosabb mérőszámokban jelenik meg: bevételben, növekedésben, piaci részesedésben és nyereségben. A megelőzés haszna ezzel szemben sokszor láthatatlan, amíg egy ellenőrzés vagy incidens fel nem tárja a hiányosságokat.
A legfontosabb vezetői kérdés ezért nem az, hogy egy szervezet rendelkezik-e megfelelési szabályzattal, hanem az, hogy a kontrollok a mindennapi működésben valóban működnek-e. Egy szabályozói felszólítás nem lezárt incidens, amelyet elegendő dokumentálni és archiválni, hanem annak jele, hogy a szervezetnek ellenőrizhető módon kell bizonyítania a problémák megszüntetését. A Bank of America esete alapján az igazgatóságoknak érdemes lehet független felülvizsgálatot kérniük a korrekciós intézkedések állásáról, megvizsgálniuk, hogy a vállalt határidők teljesülnek-e, és közvetlenül ellenőrizniük, hogy a kockázati jelzések valóban eljutnak-e a megfelelő döntéshozókhoz. A vezetői beszámoló önmagában nem feltétlenül elegendő, ha ugyanazok a folyamatok termelik újra a hiányosságokat, amelyek korábban sem működtek megfelelően. A compliance nem pusztán jogi költség és nem is a növekedést fékező bürokrácia: a vállalat működési infrastruktúrájának része. Ha a vezetés ezt csak a bírság megérkezésekor ismeri fel, akkor a korábban megtakarított fejlesztési költségből könnyen milliárdos nagyságrendű veszteség lehet.