Czym jest scoring kredytowy w fintech: dane, BIK, decyzje, audyt i KYC/AML

Scoring kredytowy w fintechu nie jest pojedynczym algorytmem. To proces łączący dane, reguły ryzyka, kontrolę tożsamości, wyjątki i audyt. Szybka decyzja musi być później możliwa do wyjaśnienia.

System scoringowy powinien wskazywać użyte dane, powód decyzji i osobę uprawnioną do zmiany reguł. System powinien zapisać dane wejściowe, wersję reguł, wynik, decyzję i każde ręczne nadpisanie. Inaczej automatyzacja zwiększa ryzyko.

Jak scoring kredytowy działa w systemie

Scoring kredytowy ocenia ryzyko na podstawie zestawu danych. Wynik może zmienić limit lub ofertę. Może też uruchomić dodatkową weryfikację, ręczną analizę albo odrzucenie wniosku. Każdy próg musi więc wskazywać konkretne działanie.

W typowym procesie występują:

• Dane z formularza.
• Weryfikacja tożsamości.
• Kontrole KYC i AML.
• Dane zewnętrzne.
• Reguły biznesowe.
• Wynik punktowy.
• Decyzja automatyczna lub ręczna.
• Zapis uzasadnienia.

Zakres danych i reguł wynika z produktu oraz wymagań regulacyjnych. Firma analizuje je z doradcami prawnymi i zespołem odpowiedzialnym za zgodność.

Scoring kredytowy a jakość danych

Scoring kredytowy rzadko zawodzi przez sam wzór. Częstszą przyczyną są niepełne pola, niespójne źródła lub niedostępna integracja. Bez wersji danych i reguł nie da się odtworzyć decyzji.

Przed budową warto rozdzielić dane identyfikacyjne, dane ryzyka, informacje wymagane przez przepisy i dane pomocnicze. Osobno trzeba wskazać informacje zbędne. Każde pole powinno mieć właściciela, źródło oraz udokumentowany cel użycia.

Scoring kredytowy a KYC/AML

KYC i AML nie powinny być dodatkiem na końcu wdrożenia. W procesie sprawdza się tożsamość, listy sankcji finansowych, status osoby zajmującej eksponowane stanowisko polityczne oraz alerty. Kontrole tożsamości i ryzyka trzeba włączyć do procesu przed obliczeniem wyniku.

W instytucjach obowiązanych zakres kontroli wynika z udokumentowanej oceny ryzyka. Ustawa AML w art. 33–37 reguluje ocenę ryzyka oraz weryfikację klienta. Artykuł 46 dotyczy osób zajmujących eksponowane stanowiska polityczne.

Gdy proces obejmuje scoring kredytowy, zapis powinien obejmować wynik, czas, wersję reguły, dostawcę danych, operatora i powód decyzji.

Reguły, modele i ręczne decyzje

Nie każdy scoring kredytowy musi zaczynać od modelu AI. Pierwsza wersja może korzystać z reguł, punktacji i opisanych wyjątków. Złożony model ma sens przy dobrych danych, monitoringu i kontroli jakości.

Jeżeli system AI ocenia zdolność kredytową osoby fizycznej, AI Act zalicza takie zastosowanie do systemów wysokiego ryzyka. Wyjątek dotyczy wykrywania oszustw finansowych. Kwalifikacja wymaga analizy obowiązków dostawcy i podmiotu stosującego system. Nie oznacza automatycznego zakazu użycia AI.

Ważne jest oddzielenie twardych reguł od oceny punktowej. Twarda reguła zgodności może zatrzymać proces niezależnie od wyniku punktowego. Niski wynik może natomiast skierować sprawę do ręcznej analizy. Nie musi automatycznie oznaczać odrzucenia klienta.

Audyt, wersjonowanie i zakres MVP

Każda decyzja wspierana przez scoring kredytowy wymaga pełnego i niezmiennego śladu audytowego. Obejmuje on dane, wersję reguł, wynik, czas, sposób podjęcia decyzji i ręczne nadpisania. Bez wersjonowania nie da się ustalić przyczyny zmiany wyników.

Panel analityka powinien pokazywać przyczynę wyniku i umożliwiać obsługę wyjątków bez omijania procesu. Ręczna decyzja musi być zapisana tak samo dokładnie jak automatyczna.

Minimalny zakres

Pierwsze MVP powinno obsłużyć jeden produkt i jeden jasno opisany typ decyzji. Wystarczą formularz, walidacja, kontrola tożsamości, wynik punktowy, statusy, panel analityka, audyt i raporty.

Po wdrożeniu warto mierzyć udział automatyzacji, wyjątki, czas obsługi, błędy integracji i przyczyny ręcznych zmian.

Kiedy nie automatyzować decyzji w pełni

Bez stabilnych danych i opisanych wyjątków scoring kredytowy powinien najpierw wspierać analityka. Może zbierać dane, liczyć wynik, wskazywać alerty i wymagać uzasadnienia.

Takie podejście ujednolica decyzje i pozwala gromadzić dane. Automatyzację można rozszerzyć po rozpoznaniu prostych przypadków i wyjątków wymagających eksperta.

Przy decyzji opartej wyłącznie na automatycznym przetwarzaniu trzeba ocenić art. 22 RODO. Dotyczy to skutków prawnych lub podobnie istotnego wpływu na osobę. Analiza obejmuje podstawę decyzji, interwencję człowieka i możliwość jej zakwestionowania.

BIK, raport BIK i dane do scoringu kredytowego

Scoring kredytowy powinien rozdzielać dane wewnętrzne od danych zewnętrznych. BIK może być źródłem historii zobowiązań, ale sam raport nie opisuje całego procesu. System musi określać moment i podstawę pobrania danych, kontrolę dostępu oraz tryb awaryjny.

Historia kredytowa może obejmować spłaty, zobowiązania, wykorzystanie limitów, karty, pożyczki i zapytania. Jej znaczenie trzeba oceniać w kontekście rodzaju produktu, informacji o dochodzie i pozostałych danych z wniosku. Krótka historia nie jest tym samym co historia negatywna.

Raport BIK zawiera dane osobowe, więc wymaga kontroli dostępu. Danych tych nie należy jednak automatycznie zaliczać do szczególnych kategorii z art. 9 RODO. Audyt powinien zapisać czas pobrania, użytkownika lub usługę, wersję reguł i ręczne zmiany.

Zobowiązania i jakość danych

Lista zobowiązań powinna zawierać typ, kwotę, status, termin i źródło. System nie może policzyć tej samej ekspozycji z raportu BIK i danych wewnętrznych dwa razy. Karty, raty i inne produkty mogą wymagać osobnych reguł.

Statusy wniosku i ręczna analiza

Wniosek może być nowy, weryfikowany, oczekujący na dane, zaakceptowany, odrzucony albo warunkowy. Osobny status wskazuje potrzebę ręcznej decyzji. Jeżeli scoring kredytowy wybiera ścieżkę, analityk musi znać dane wejściowe, przyczynę wyniku i historię zmian.

Checklista i monitoring systemu scoringowego

Checklista przed wdrożeniem

Przed wdrożeniem warto potwierdzić, czy:

• Dane i reguły mają wersje oraz właścicieli.
• Każde źródło ma cel użycia i zasady dostępu.
• Dane zewnętrzne są deduplikowane z wewnętrznymi.
• Kontrole tożsamości, wynik i decyzja pozostają osobnymi etapami.
• Wniosek ma status, właściciela i ślad audytowy.
• Ręczna zmiana wymaga uzasadnienia.
• Błąd integracji uruchamia kontrolowany tryb awaryjny.
• Automatyzacja została oceniona pod kątem właściwych obowiązków prawnych.

Monitoring decyzji po wdrożeniu

Po uruchomieniu trzeba monitorować, jak scoring kredytowy działa w kolejnych wersjach. Pomiar obejmuje automatyczne decyzje, wyjątki, czas obsługi i błędy integracji.

Brak raportu powinien skierować sprawę do analizy, a system nie powinien usuwać wniosku. Awaria musi zostać zapisana. Decyzja warunkowa powinna wskazywać informacje lub zobowiązania wymagające potwierdzenia.

Sam wynik nie zastępuje kontroli danych. Po każdej zmianie reguł trzeba ponownie przetestować decyzje i porównać wyniki. Dotyczy to także zmiany produktu lub źródła danych.

Źródła pierwotne

• Rozporządzenie (UE) 2024/1689, czyli AI Act — kwalifikacja systemów wysokiego ryzyka, rejestrowanie zdarzeń i nadzór człowieka.
• Rozporządzenie (UE) 2016/679, czyli RODO — przejrzystość, profilowanie i automatyczne decyzje.
• Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu — tekst jednolity — ocena ryzyka, weryfikacja klienta i obsługa PEP.
• Komisja Europejska: wykaz sankcji i źródła do ich weryfikacji — oficjalne źródło danych do kontroli sankcyjnej.
• Wytyczne EBA w sprawie udzielania i monitorowania kredytów — proces kredytowy, jakość danych i kontrola modeli.
• BIK: Czym jest ocena punktowa i co na nią wpływa — czynniki oceny BIK i jej odróżnienie od decyzji kredytodawcy.