La publication d'informations sur l'horrible manipulation de la confiance des clients afin d'atteindre des objectifs de vente et des bonus bancaires a été largement couverte par les médias. Certains s'inquiètent du fait que l'amende est trop légère, surtout au vu des énormes bénéfices réalisés l'année dernière, mais ce qui n'a pas fait la une des journaux, ce sont les coûts cachés du nettoyage de ce gâchis.

Dans votre propre organisation, vous savez que le remplacement d'un employé clé est difficile. Imaginez devoir en remplacer plus de 5 000. En dehors du recrutement, il y a la perte de productivité, les erreurs dues au manque d'expérience et la formation[1]. Tout cela représente entre 16 et 200TP2T de salaire, et je suppose que ces coûts dépasseront le montant de l'amende directe.

Le coût le plus important consistera à garantir une gouvernance et une conformité adéquates à l'avenir, et il éclipsera probablement tous les coûts susmentionnés.

Il semble qu'il y ait eu un échec des trois jambes du concept de GRC :

  1. Risque
    Sans risque, il n'y a pas besoin de gouvernance, ni de conformité. Il est clair, avec le recul, qu'il y avait un risque que ce type d'activité soit possible (j'aurais pensé que les "Big Data Analytics" auraient identifié ces modèles, mais c'est une autre histoire). Je soupçonne que le risque que le personnel bancaire ouvre frauduleusement des comptes existe depuis très, très longtemps.
  2. Gouvernance
    Sous la forme de règlements bancaires, de politiques et de procédures internes, et de supervision de la direction - Tous ces éléments étaient probablement présents, mais semblent avoir été inefficaces ou non respectés.
  3. Conformité
    Il ne serait pas déraisonnable de s'attendre à ce que, périodiquement, tous les membres du personnel soient tenus de passer en revue les règles de leur activité et d'attester de leur conformité à ces règles - si tel était le cas, la mise en correspondance des plaintes avec les attestations n'aurait-elle pas suscité quelques alarmes bien avant d'atteindre l'ampleur des actes répréhensibles qui ont été publiés.

L'incapacité apparente à relier ces trois composantes avec les données probablement disponibles dans les incidents/plaintes déposés suggère que l'on devrait mettre davantage l'accent sur le développement, l'enregistrement et l'évaluation des changements dans les KRI (Key Risk Indicators). et les KPI (Key Performance Indicators) pour éviter ce genre de situation avant qu'elle n'explose.

[1] zanebenefits.com/blog/bid/312123/employee-retention-the-real-cost-of-losing-an-employee