PSR och PSD3 på djupet – vem bär bedrägeriförlusten?

Välkommen till Nordisk bedrägerikoll. Jag är Klara. I det här specialavsnittet går vi på djupet i PSR och PSD3, med fokus på bedrägeriansvar och vad förändringarna betyder i praktiken för banker i Sverige och Norden.

En kund godkänner en överföring med sin vanliga telefon. Identifieringen fungerar. Pengarna når rätt kontonummer. Ändå är hela händelsen ett bedrägeri. Någon har övertalat kunden att flytta sitt sparande till ett påstått säkert konto. Vad borde avsändarbanken ha upptäckt? Vad borde mottagarbanken ha gjort? Och vem ska ersätta kunden?

De frågorna binder ihop dagens avsnitt. Vi följer ett fiktivt fall, granskar ersättningsreglerna och tittar på mottagarkontroll, transaktionsövervakning och informationsdelning. Mot slutet omsätter vi det till ett konkret förberedelsearbete för fraud, AML, betalningar, juridik och kundservice.

Lägesdatum är den åttonde november tvåtusentjugosex. Rådet har antagit sin ståndpunkt, men parlamentets andra behandling återstår. När jag beskriver den nya regleringen menar jag den senaste rådtextens utformning, inte regler som redan gäller för dagens kundärenden. Våra praktiska förslag är analys. Alla personer och banker i exemplet är påhittade. Rösten är syntetisk, skapad med Higgs och enbart Klara. Källor och manus finns på avsnittets sida.

Första delen: två rättsakter och flera olika klockor.

Det tredje betaltjänstdirektivet handlar framför allt om tillstånd och tillsyn över betalningsinstitut, inklusive den omarbetade regleringen av elektroniska pengar. Förordningsförslaget är den andra delen av paketet. Där ligger stora delar av reglerna om hur tjänsterna ska tillhandahållas, kundernas rättigheter, säkerhet och ansvar.

För en svensk bank med befintligt banktillstånd är det därför missvisande att beskriva allt som ett nytt PSD3-tillståndsprojekt. Många av de mest ingripande fraudfrågorna ligger i PSR. För ett betalningsinstitut behöver däremot både tillståndsspåret och verksamhetsreglerna hanteras. Förordningens direkta tillämplighet och direktivets nationella genomförande är skilda processer.

Kommissionen lade fram paketet i juni tvåtusentjugotre. En preliminär politisk överenskommelse offentliggjordes i november tvåtusentjugofem. Rådet antog sin ståndpunkt vid första behandlingen den tjugonionde oktober tvåtusentjugosex. De reviderade texterna är daterade den fjärde november. Parlamentets ärenderegister visar fortfarande att dess andra behandling återstår.

Det betyder att en presentationsbild med en uppskattad startmånad inte är en säker rättslig tidsfrist. Rådtexten anger att PSR ska träda i kraft tjugo dagar efter publicering i EU:s officiella tidning. Huvudregeln för tillämpning är därefter ett år och nio månader. Artiklarna om den utvidgade mottagarkontrollen och det kopplade ersättningsansvaret har tjugosju månader. Vissa övergångsbestämmelser har en annan startpunkt.

Bankens plan behöver därför skilja mellan slutligt antagande, publicering, ikraftträdande och faktisk tillämpning. Dessutom kommer tekniska standarder och nationella följdändringar. En plan kan ha antaganden, men de ska märkas som antaganden och uppdateras när nästa formella steg är klart.

I Norden finns ytterligare en skillnad. Sverige, Danmark och Finland är EU-medlemmar. Norge och Island omfattas av EES-samarbetet, där införlivning och nationella steg måste följas separat. Att en text har EES-relevans betyder inte att alla bestämmelser automatiskt gäller där samma dag som inom EU.

För fraudchefen blir slutsatsen praktisk: skapa en kravförteckning med en ansvarig person, rätt version av lagtexten och rätt tidsfrist för varje kontroll. Använd inte en enda rad som heter PSD3 klart. Det döljer både beroenden och det som faktiskt måste ändras i kundmötet.

Andra delen: varför stark kundautentisering behöver sällskap.

Stark kundautentisering har gjort betalningar säkrare. Men den kan inte ensam avgöra om kundens avsikt har formats av en bedragare. Ett korrekt autentiserat godkännande kan vara slutpunkten i en mycket effektiv manipulation.

EBA:s och Europeiska centralbankens gemensamma rapport, publicerad i december tvåtusentjugofem, beskriver just den utvecklingen. Rapporten omfattar data till och med tvåtusentjugofyra. Den visar fortsatt nytta av stark autentisering, samtidigt som manipulation av betalare kräver andra motåtgärder. Det är historisk myndighetsstatistik, inte en mätning av PSR:s framtida effekt.

Det finns en viktig metodfråga här. Färre obehöriga kortköp bevisar inte att kundernas sammanlagda bedrägeriförluster har minskat. Angripare kan byta kanal, betalningssätt eller arbetssätt. En bank behöver därför följa både angreppen mot identifieringen och angreppen mot människans beslut.

I ett kontoövertagande kan någon annan initiera betalningen utan kundens samtycke. Vid ett manipulationsbedrägeri kan kunden själv genomföra den betalning som bedragaren har instruerat. Skillnaden påverkar vilken ersättningsregel som ska prövas. Samtidigt ska klassificeringen bygga på vad som faktiskt hände, inte bara på vem som tekniskt tryckte på en knapp.

Rådtextens artikel femtio skiljer samtycke från frånvaro av samtycke. Artikel femtiosex behandlar bevisningen. Att en transaktion har autentiserats är inte i sig nödvändigtvis tillräckligt för att visa att den var godkänd av betalaren eller att kunden varit bedräglig eller grovt oaktsam. Kundens berättelse ska också få komma in i bedömningen.

Den operativa konsekvensen är att autentiseringsloggen måste kopplas till en händelsekedja. Vilken betalning presenterades? Vilken mottagare visades? Vilken kontakt hade kunden före signeringen? Hade någon annan skaffat en ny behörighet? Vilka uppgifter finns faktiskt sparade från just den tidpunkten?

Open banking behöver finnas med i samma analys. En betalningsinitieringstjänst kan vara en legitim del av kundens betalning. Den får inte betraktas som ett bedrägeri bara för att den kommer från en annan leverantör. Säkerhetskontrollerna behöver fungera även där, med tydlig ansvarsfördelning och spårbarhet mellan aktörerna. Att hänvisa kunden vidare mellan två supportorganisationer löser inte vem som ska utreda och ge besked.

Det här är också en designfråga. Om banken känner igen kunden men inte uppmärksammar att beteendet och mottagaren tillsammans avviker kraftigt, lämnas en lucka. Att lägga ytterligare ett generiskt godkännande ovanpå det första löser inte självklart den luckan. En bedragare kan fortsätta coacha kunden genom båda stegen.

Min analys är att bankerna behöver bedöma tre saker tillsammans: vem som agerar, vad betalningen innebär och hur mottagarsidan ser ut. Ingen av dessa kontroller behöver vara perfekt. Men de måste tillsammans kunna utlösa en begriplig åtgärd i tid.

Tredje delen: ett fiktivt bankfall och dagens svenska utgångspunkt.

Vi kallar kunden Sara. Hon bor i Sverige och har sitt lönekonto i Bank A. Ett meddelande verkar komma från banken. Sedan ringer någon som säger sig arbeta med säkerhet. Personen påstår att Saras pengar är hotade och att hon måste flytta dem till ett skyddskonto.

Sara lägger upp en ny mottagare i Bank B och initierar en ovanligt stor överföring. Hon använder sin egen telefon och sin vanliga identifiering. Beloppet är hennes sparande. Mottagarkontot tillhör en annan person. Kort efter krediteringen förs pengarna vidare.

Det här exemplet avgör inte hur ett verkligt kundärende ska bedömas. Det visar varför banken behöver separera flera frågor. Var transaktionen obehörig? Om den var godkänd, omfattas den av någon särskild ersättningsregel? Har bankerna uppfyllt egna kontrollskyldigheter? Kan pengar återvinnas? Finns misstanke om penningtvätt på mottagarsidan?

I dagens svenska betaltjänstlag finns ett särskilt system för obehöriga transaktioner. Utgångspunkten är att kontot ska återställas, men kundens ansvar kan påverkas av hur skyldigheterna att skydda behörighetsfunktionerna har följts. För konsumenter skiljer lagen bland annat mellan bristande skydd, grov oaktsamhet och särskilt klandervärt handlande. Det är olika bedömningar med olika följder.

Högsta domstolens avgörande från tvåtusentjugotvå är en viktig påminnelse. Kunden hade varit grovt oaktsam, men inte särskilt klandervärd. Domen rörde obehöriga transaktioner. Den ska därför inte användas som ett generellt svar på alla fall där någon själv har förmåtts att betala.

På samma sätt får banken inte tillämpa den framtida PSR-texten retroaktivt och kalla det dagens lag. Kundens rätt måste prövas utifrån gällande regler, avtal, relevant praxis och de faktiska omständigheterna. Att nya regler väntas är ett skäl att förbereda verksamheten, inte att hoppa över den bedömningen.

För Sara behöver kundmottagningen först säkra tiden: när upptäckte hon bedrägeriet, när kontaktade hon banken och vad kan fortfarande stoppas? Därefter behöver banken samla hennes berättelse utan att lägga orden i munnen på henne. Frågan är inte bara om hon signerade. Frågan är vad hon uppfattade att hon gjorde och hur betalningen kom till.

Fjärde delen: ersättning vid bankimitation enligt den nya texten.

Artikel sextio i rådets PSR-text har en särskild regel om imitation av betaltjänstleverantören. Den gäller när en konsument manipulerats av en tredje part som utger sig för att vara konsumentens egen betaltjänstleverantör och använder kommunikationskanaler som tillskrivs den leverantören. Manipulationen ska ha lett till en bedräglig, godkänd betalning.

Villkoren är viktiga. Det är inte ett allmänt löfte om ersättning för varje investeringsbedrägeri, romansbedrägeri eller falsk faktura. Om någon låtsas vara polis, arbetsgivare eller en helt annan bank behöver just den särskilda regelns räckvidd prövas noggrant. Andra regler kan fortfarande vara relevanta. Avsaknad av skydd enligt en artikel avgör inte hela ärendet.

I Saras fall behöver utredaren därför dokumentera vilken bank bedragaren utgav sig för att företräda och hur kontakten framstod. Ett visat avsändarnamn, ett telefonnummer eller en meddelandetråd kan vara relevant underlag. Kunden kan däremot inte förväntas ha tillgång till bedragarens tekniska infrastruktur.

Texten kräver att konsumenten utan onödigt dröjsmål efter upptäckten underrättar sin leverantör och anmäler bedrägeriet till polisen. Leverantören ska, inom femton arbetsdagar från att den underrättats och fått polisrapporten, antingen ersätta betalningen eller lämna ett motiverat avslag på de grunder texten tillåter. Ett avslag ska också ange vägar till fortsatt prövning.

Det finns ett undantag när konsumenten själv har agerat bedrägligt eller grovt oaktsamt. Bevisbördan för det ligger på leverantören. Kunden ska först få lämna information om händelseförloppet. Att kunden inte kan lämna vissa uppgifter räcker inte i sig för slutsatsen att kunden varit bedräglig eller grovt oaktsam.

För banken innebär det att ett standardbrev med formuleringen du använde din säkerhetslösning inte räcker som utredningsmetod. Det behövs en förklarad koppling mellan omständigheterna, rätt regel och slutsatsen. Stöd till en stressad kund och en noggrann bevisvärdering måste fungera samtidigt.

Det finns också en separat förebyggande skyldighet i artikeln. Leverantören ska ha lämpliga åtgärder och robusta tekniska skydd mot att dess kommunikationskanaler kopieras och missbrukas. Min praktiska rekommendation är att fraud, kommunikation och digitala kanaler tillsammans granskar hur kunden kan verifiera en påstådd bankkontakt. Det är ett eget kontrollområde, inte enbart en utbildningsfråga för kunden.

Femte delen: mottagarkontroll, vad den visar och vad den missar.

Mottagarkontroll jämför namnet på den avsedda mottagaren med identifieraren för kontot. På engelska används ofta uttrycket Verification of Payee. Tjänsten kan förhindra felskrivningar och vissa former av omdirigerade betalningar, men ett matchande namn är inget intyg om att affären är legitim.

I Saras fall kan en avvikelse vara en viktig chans att bryta förloppet. Om hon tror att pengarna ska till hennes bank men får se en privatpersons namn, behöver resultatet vara begripligt. Om bedragaren däremot redan har instruerat henne att använda kontohavarens riktiga namn kan kontrollen matcha trots att bedrägeriet pågår.

Det är lätt att blanda ihop två regelverk här. Förordningen om omedelbara eurobetalningar är redan antagen. Den har egna datum för olika typer av leverantörer och medlemsstater. För leverantörer i EU-länder utanför euroområdet ligger en central frist för mottagarkontrollen den nionde juli tvåtusentjugosju. Skyldighetens omfattning och eventuella undantag måste kontrolleras för den aktuella verksamheten.

Den framtida PSR-texten utvidgar genom artikel femtioett den relevanta kontrollen till fler kontoöverföringar, även utanför euroregelverkets omfattning. Den artikeln, och det tillhörande ansvaret i artikel femtioåtta, har en annan tillämpningsfrist: tjugosju månader efter PSR:s ikraftträdande. Banken kan alltså inte behandla allt som ett och samma projekt med samma slutdatum.

En annan vanlig förenkling är att varje namnkonflikt alltid innebär att betalningen automatiskt måste avvisas. Den införlivade kontrollmodellen bygger bland annat på information och varningar till betalaren och ska inte hindra betalaren från att godkänna överföringen. Artikel sextioåtta kräver däremot att genomförandet avbryts vid objektivt motiverad misstanke om bedrägeri. Enbart en namnkonflikt, eller enbart en ovanlig betalning, räcker inte som grund. Vid kvarstående misstanke efter den bedömning som artikeln beskriver ska betalningen vägras. Kontrollresultat och stoppbeslut är därför olika saker.

För produktägaren blir det viktigt att skilja mellan exakt träff, nära träff, utebliven träff och att kontrollen inte kunde genomföras. En teknisk störning får inte presenteras som att mottagaren är säker. Kundens förståelse behöver testas med riktiga användare och realistiska bedrägerisituationer.

Spara vilken kontroll som gjordes, vilket svar som kom, vad kunden såg och vad som hände efteråt. Artikel femtioåtta kopplar ett ersättningsansvar till fel i efterlevnaden som leder till en felaktigt genomförd betalning. Ett fält som bara säger kontroll utförd ger svagt stöd när både genomförandet och kundinformationen behöver rekonstrueras.

Sjätte delen: mottagarbanken och bevisningen om övervakning.

Den kanske mest verksamhetsförändrande delen finns i artikel åttiosju. Betaltjänstleverantörerna ska ha mekanismer för transaktionsövervakning som bland annat förebygger och upptäcker potentiellt bedrägliga betalningar. Det omfattar också betalningar som initieras genom en betalningsinitieringstjänst.

Avsändarens leverantör ska övervaka före genomförandet. Mottagarens leverantör ska göra sin kontroll innan medlen blir tillgängliga för mottagaren. Artikel sjuttiotre behandlar också själva åtgärden. Vid objektivt motiverad misstanke finns en möjlighet att hålla inne och återföra medlen under angivna villkor. När grunderna för misstanken är klara och ovedersägliga anger texten en skyldighet att inte göra medlen tillgängliga och att återföra dem. Det gör mottagarsidans förmåga till en central del av betalningsskyddet. Ett larmsystem som körs först efter att pengarna hunnit vidare besvarar inte den tidsfrågan.

I vårt exempel kan Bank A känna till Saras vanliga betalningsmönster och att mottagaren är ny. Bank B ser i stället mottagarkontots historik, inflöden från olika betalare och hur kontot används. Ingen av bankerna ser automatiskt hela berättelsen. Men båda har information som kan vara relevant före nästa kritiska steg.

Texten pekar bland annat ut transaktionsbelopp, kända bedrägeriscenarier och tecken på skadlig programvara som riskfaktorer. Vilka uppgifter respektive bank får behandla begränsas också i artikeln. Att information skulle vara intressant för en modell är inte samma sak som att varje tänkbar datakälla får användas.

Ansvarskonstruktionen måste hållas isär från den särskilda bankimitationsregeln. Om en leverantör inte utför övervakningen enligt artikeln och betalaren lider ekonomisk skada anges ansvar för skadan. Om avsändarens leverantör inte visar att båda leverantörerna utfört övervakningen ska den återbetala transaktionen. I den delen är betalarens eget bedrägeri det uttryckliga undantaget. Undantaget om grov oaktsamhet från artikel sextio ska inte bara kopieras över hit.

Detta betyder inte att varje framgångsrikt bedrägeri automatiskt bevisar en kontrollbrist. Men det betyder att banken behöver kunna visa vad som gjordes för den aktuella betalningen. Vilken kontroll kördes, med vilka tillgängliga uppgifter, vid vilken tidpunkt och med vilken efterföljande åtgärd?

En andra viktig skillnad är mellan att beräkna risk och att göra något åt den. Banken kan ha en träffsäker modell men en kö som ingen hinner behandla. Eller ett tydligt larm som inte når betalningsmotorn innan pengarna lämnar kontot. I båda fallen behöver ledningen förstå hela kontrollens funktion, från signal till åtgärd. Det är den kedjan som ska prövas i realistiska tester.

Min rekommendation är att prova den beviskedjan redan nu mellan två samverkande banker. Kan avsändarbanken få tillräckligt underlag utan att mottagarbanken behöver skicka en hel kundakt? Finns gemensamma tidsstämplar och tydlig ansvarsfördelning? Detta behöver lösas i avtal, teknik och drift. Ett nytt riskvärde i en databas räcker inte om ingen kan förklara dess roll när kunden begär ersättning.

Sjunde delen: informationsdelning med tydliga gränser.

Artikel åttioåtta i rådtexten kräver att betaltjänstleverantörer deltar i arrangemang för informationsdelning. Delningen ska vara nödvändig för att förebygga och upptäcka potentiellt bedrägliga betalningar och bygga på objektivt motiverade skäl för misstanke om bedrägligt beteende. Det är ett avgränsat ändamål, inte ett generellt tillstånd att dela alla kunduppgifter.

Texten anger vilka kategorier av uppgifter som kan omfattas, liksom de skäl som ligger bakom misstanken. En särskilt viktig gräns är att information om betalarens typiska miljö- och beteendeegenskaper vid normal användning av säkerhetsuppgifterna undantas från delningen enligt denna artikel. Att en bank får använda en uppgift internt för övervakning betyder alltså inte automatiskt att samma uppgift får skickas till andra banker.

Bankerna ska ha tekniska och organisatoriska skydd, inklusive åtgärder som möjliggör pseudonymisering. Innan arrangemanget ingås ska de gemensamt göra en konsekvensbedömning för dataskydd, och vid behov förhandssamråda med dataskyddsmyndigheten. Praktiska deltagarvillkor och driftfrågor ska vara fastlagda.

Uppgifter som tas emot genom delningen får inte sparas längre än nödvändigt och aldrig längre än fem år efter den misstänkta transaktionen. Fem år är ett yttersta tak i den regeln, inte en instruktion att rutinmässigt behålla allt så länge.

Banken får inte heller fatta beslut som påverkar kundrelationen, exempelvis avslut eller framtida kundanslutning, enbart på information från en annan deltagare utan att ha bedömt den. Det är avgörande för mottagarkonton. Ett konto kan vara kapat, felaktigt utpekat eller tillhöra någon som själv utsatts för manipulation. En signal ska kunna undersökas, rättas och följas upp.

Här möts fraud och AML, men ändamålen blir inte identiska. En misstankerapport till Finanspolisen, en polisanmälan och bankernas framtida fraudutbyte är olika informationsflöden. De behöver egna rättsliga villkor, åtkomster och rutiner. Meddelandeförbud och sekretess försvinner inte för att banken inför en gemensam plattform.

Det är också värt att skilja skyddad informationsdelning från anonym statistik. En sammanställning av vanligt förekommande tillvägagångssätt kan hjälpa många aktörer utan att enskilda kunder pekas ut. En uppgift om ett visst konto har andra konsekvenser. Arrangemanget behöver därför ange vilken typ av information som delas och vad mottagaren får göra med den. Samma tekniska distributionskanal skapar inte samma rättsliga förutsättningar för allt innehåll.

Förbered därför datamodellen med proveniens: vem lämnade uppgiften, när uppstod misstanken, vilket underlag fanns och när ska informationen omprövas? Spara skillnaden mellan misstanke och bekräftelse. Min bedömning är att den skillnaden blir minst lika viktig som plattformens svarstid. Snabb delning av en felaktig uppgift kan annars göra ett lokalt misstag till ett problem i hela banksystemet.

Åttonde delen: plattformar, kommunikation och kundens väg tillbaka.

Bedrägeriet börjar ofta före betalningen. Därför innehåller PSR-texten också regler om samarbete mellan sektorer. Artikel sextioett behandlar bland annat hur banker ska underrätta värdtjänster om bedrägligt innehåll och hur särskilda kommunikationsvägar ska stödja snabbare utbyte. Dataskydd och regler om elektronisk kommunikation gäller samtidigt.

Artikel sextiotvå ställer särskilda krav kring annonser för reglerade finansiella tjänster på mycket stora plattformar och sökmotorer. Den typen av annonsering ska kopplas till kontroll av annonsörens behörighet. Kravet innebär inte att varje annons som råkar finnas på en stor tjänst därmed blir äkthetsgaranterad.

Det finns dessutom ett regresspår i artikel åttiotvå. Under angivna villkor kan en värdtjänst behöva ersätta en bank som fått bära förluster eller ersättningsbetalningar enligt vissa av PSR:s ansvarsregler. Kopplingen till förordningen om digitala tjänster och dess villkor för ansvarsfrihet är central. Det är inte ett generellt automatiskt ansvar för alla bedrägerier som någon gång har börjat på internet.

För banken får den framtida möjligheten till regress inte bli ett skäl att skjuta upp kundens ärende. Kundens ersättningsrätt och bankens anspråk mot en annan aktör behöver drivas i separata arbetsflöden. Det ena spåret kan kräva andra bevis och ta längre tid än det andra.

Åter till Sara. När hon ringer behöver banken försöka begränsa skadan direkt. Kontakt med mottagarbanken och försök att återvinna medel ska kunna påbörjas medan ersättningsfrågan utreds. En misstankerapport till Finanspolisen kan behövas på mottagarsidan, men den ersätter inte kundens polisanmälan eller bankens hantering av betalningen.

Kundmottagningen behöver också kunna hjälpa Sara att dokumentera det som finns kvar: meddelanden, kontaktuppgifter, tider och hennes egen beskrivning. Frågorna ska vara sakliga. En standardiserad intervjuguide kan hjälpa, men får inte bli ett förhör som utgår från att kunden bär skulden.

En gemensam ärendeidentitet inom banken kan knyta ihop återvinning, reklamation och kontrollförbättring, med behörigheter anpassade till varje uppgift. Då minskar risken att kunden får återberätta allt för fem olika avdelningar. Samtidigt kan banken hålla reda på flera tidsfrister och beviskrav utan att blanda ihop dem.

Nionde delen: ett förberedelseprogram för den nordiska banken.

Vad kan en bank göra innan alla datum och standarder är klara? Följande är vårt praktiska förslag, inte ett föreskrivet nittiodagarsprogram. Börja med att ge betalningar, fraud, AML, juridik, dataskydd, teknik och kundservice ett gemensamt uppdrag. Någon måste äga hela händelsekedjan, även när delarna har olika ansvariga.

Välj därefter ett begränsat antal genomarbetade scenarier. Ta ett kontoövertagande, en falsk bankkontakt, en manipulerad faktura och ett misstänkt mottagarkonto. Beskriv exakt vilken information varje funktion har vid varje tidpunkt. Pröva både privatkund och företagskund. De ska inte få samma rättsliga svar bara för att transaktionerna ser likadana ut.

Gör sedan en provutredning bakåt från kundens reklamation. Kan banken visa autentisering, samtyckesunderlag, mottagarkontroll, övervakning och beslut? Kan den skilja dagens gällande krav från framtida krav? Om en uppgift saknas, skriv det. Fyll inte luckan med att systemet normalt brukar fungera på ett visst sätt.

Nästa steg är en gemensam övning med mottagarsidan. Prova kontaktvägar även utanför kontorstid. Mät hur snabbt en signal kan bedömas och när pengar faktiskt blir tillgängliga. Ett automatiskt mottagningskvitto är inte samma sak som en genomförd skyddsåtgärd.

Granska därefter kundgränssnittet. Testa om en användare förstår en namnvarning när någon samtidigt påstår att situationen är akut. Granska hur beloppsgränser ändras. Rådtextens artikel femtiotvå innehåller en fyratimmarsfördröjning vid vissa fjärrhöjningar, men också regler om kundens möjlighet att justera eller välja bort fördröjningen. När en fördröjning redan gäller måste den dock löpa innan en senare ändring eller ett bortval får effekt. Beskriv därför inte modellen som ett absolut stopp utan valmöjlighet.

För informationsdelningen behöver bankerna förbereda ändamål, deltagarregler, konsekvensbedömning, rättelser och gallring. Det arbetet kan inte överlåtas helt till leverantören av den tekniska plattformen. Banken måste förstå både vilka uppgifter som lämnas ut och hur mottagna uppgifter påverkar egna beslut.

Slutligen bör ledningen få en tydlig lista över återstående beslut. Vilka ändringar kan genomföras redan under dagens regler? Vilka är beroende av framtida rätt? Vilka kräver samarbete med andra banker? Sätt ansvarig och nästa beslutspunkt. Då kan förberedelserna gå framåt utan att banken låtsas att den slutliga tillämpningsdagen redan är känd.

Tionde delen: hur vi avgör om förändringen faktiskt hjälper.

Ett regelpaket kan flytta ekonomiska incitament och göra ansvar tydligare. Det bevisar inte på förhand att bedragarnas totala intäkter minskar. Den effekten behöver följas när reglerna börjar tillämpas. Historiska bedrägerirapporter och tekniska tester ger underlag, men är inte en utvärdering av en framtida ordning.

För en bank bör uppföljningen därför omfatta mer än antalet larm. Mät kundernas förluster före och efter återvinning. Följ bankens ersättningar separat från kundernas kvarvarande skada. Annars kan en förbättring i bankens resultat dölja att fler kunder får bära förlusten själva.

Mät också tiden från första kundkontakt till skyddsåtgärd och ersättningsbeslut. Följ hur ofta ett avslag ändras efter omprövning. Granska om vissa kundgrupper oftare fastnar i onödiga stopp eller inte förstår varningarna. En stark kontroll ska begränsa bedrägeriet och samtidigt ge legitima kunder en fungerande väg framåt.

På mottagarsidan behövs mått som säger något om hela förloppet. Hur mycket misstänkt inflöde hinner lämna kontot före bedömning? Hur snabbt rättas en felaktig flagga? Hur ofta gav den delade informationen ett användbart underlag? Redovisa osäkerheter och förändringar i rapporteringen, så att siffror från olika perioder inte jämförs som om de hade samma definition.

Vi lämnar Sara vid den punkt där banken har ett sammanhållet ärende: vad som hände, vad bankerna gjorde, vad som kan återvinnas och vilken rätt till ersättning som ska prövas. Det är också den förmåga som förberedelserna bör bygga. En tekniskt godkänd betalning ska kunna undersökas som en mänsklig och finansiell händelse.

Tre saker att ta med till nästa arbetsmöte. Håll isär gällande rätt och den senaste framtida PSR-texten. Pröva bankimitation och brister i övervakning som skilda ansvarsspår. Bygg bevisning och datadelning tillsammans med mottagarsidan, med tydliga skydd för den kund som blivit felaktigt misstänkt.

För banken är den mest lovande möjligheten att ersättningsärendenas lärdomar återförs till skyddet före nästa betalning. Ett välmotiverat beslut kan visa att en varning var otydlig, att en kontaktväg saknades eller att mottagarsidans åtgärd kom för sent. Följ upp om rättelsen sedan fungerar. Det gör reklamationshanteringen till en källa till förbättring, samtidigt som varje kund får sin sak prövad på egna meriter.

Det här var Nordisk bedrägerikolls specialavsnitt om PSR och PSD3, med lägesbild den åttonde november tvåtusentjugosex. Källorna och hela manuset finns på avsnittssidan. Jag heter Klara. Tack för att du lyssnade.