Hvem kontrollerer virkelig
selskapene du er avhengig av?

Kartlegging av eierskapskjeden er en rekursiv etterforskningsmetode som fastslår eierskap, kontroll og påvirkning i et ugjennomsiktig selskapsnettverk, og deretter følger avhengighetene som løper i motsatt retning. Det er den samme operative metodikken innen kjenn-din-kunde, hvitvaskingsbekjempelse og due diligence som regulerte selskaper bruker hver dag, formalisert som en gjentakbar syklus, rettet mot et annet spørsmål og skalert til nettverk bygget på tvers av jurisdiksjoner for å motstå nettopp denne typen gransking. Ikke er denne motparten i samsvar med reglene, men hvem står faktisk bak denne kapasiteten. Den avstamningen er ikke lånt teori: det er faget hele teamet arbeider i.

Be om en gjennomgang

Et selskap i midten av to kjeder. Kontrollkanter løper oppover gjennom holdingselskaper, postboksselskaper for markedsføring, finansieringsselskaper og ukjente selskaper til de endelige reelle eierne. Avhengighetskanter løper nedover gjennom opplyste leverandører, sky og hosting, underdatabehandlere, kodebiblioteker og avhengigheter på fjerde og femte nivå.

Problemet

Eierskap er skjult med hensikt

Tilskriving er ikke et faktum du kan slå opp. Der det betyr mest, er det nettopp det noen har betalt for å gjøre ugjennomsiktig. Enhver metode som starter med å navngi den parten du er bekymret for, er slått før den begynner, så denne starter med selskapet, kontrakten eller kapasiteten du har foran deg, og lar parten tre fram som resultatet.

Jurisdiksjoner med personvernskjerming

Eierskap rutet gjennom jurisdiksjoner som ikke offentliggjør det. Det meste av bruken av slike strukturer er fullt ut legitim, og det er nettopp det som gjør dem til nyttig dekke for det mindretallet som ikke er det.

Mellomliggende postboksselskaper

Et markedsføringsselskap plassert over et driftsselskap, som igjen ligger over en finansieringsavstamning. Hvert lag er en beslutning om å bruke penger på skjuling.

Uopplyste underdatabehandlere

En opplyst leverandør foran en uopplyst. Kontrakten navngir en part du kan sjekke; arbeidet utføres av en part du ikke kan se.

Posisjoner under tersklene for opplysningsplikt

Eierandeler bevisst dimensjonert under nivået der de må rapporteres, og påvirkning utøvd gjennom avtalevilkår i stedet for gjennom eierskap.

Metode

Noen få trekk, gjentatt i hver enkelt node

Styrken i metoden ligger ikke i noe enkelt trinn. Den ligger i at hele syklusen kjøres om igjen mot hvert selskap, hver investor og hver leverandør den bringer fram.

Syklusen for kartlegging av eierskapskjeden: selskapsidentifisering, så eierskap og kontroll, så nærhet, så søk etter belastende opplysninger, avsluttet av rekursjon, med en kritikalitetsport som avgjør hvilke noder som får en ny runde.

Hver leverandør, investor og tilknyttet part som kommer fram blir en ny node, og hele syklusen kjøres om igjen mot den. Skjuling er lagdelt med hensikt, så en undersøkelse i ett lag faller når det settes inn ett enkelt selskap til.

01

Selskapsidentifisering

Fastslå hvilket av selskapene med liknende navn som faktisk er det aktuelle, og identifiser konsernet det hører til. De fleste feil lenger ned starter som feil her.

02

Eierskap og kontroll

Valider den reelle eieren og partene som utøver kontroll. Eierskap, kontroll og påvirkning holdes atskilt hele veien. De ligger ofte ikke hos samme part.

03

Nærhet

Følg menneskene og pengene utover til andre selskaper, finansiører, leverandører og tilknyttede parter. Forbindelser som aldri ble opplyst, finnes her i stedet for å bli oppgitt.

04

Søk etter belastende opplysninger

Sanksjoner, politisk eksponering, rettssaker, tilsynsreaksjoner, immaterielle rettigheter og negativ mediedekning, kjørt mot hvert selskap og hver person som kommer fram, ikke bare mot subjektet.

05

Rekursjon

For hver leverandør, investor eller tilknyttet part som identifiseres, gjentas hele prosessen. Skjuling er lagdelt med hensikt, så en undersøkelse i ett lag faller når det settes inn ett enkelt selskap til.

06

Kritikalitetsport

En avhengighetsgraf har ingen naturlig kant, så noe må avgjøre hva som er verdt en ny runde. En node fortjener det ut fra hva den ville koste deg om den sviktet eller snudde: hvor mye av kapasiteten som går gjennom den, hvor raskt den kunne erstattes, hva den rekker fram til, og hva den avgjør på dine vegne. Hver runde rangerer grafen på nytt, og rangeringen styrer den neste. Prioritering avgjør hvor man ser; det å se endrer prioriteringene.

Eierskapsaksen

Eierskap er det første spørsmålet, ikke det siste

De fleste gjennomganger behandler reelt eierskap som målet, noe man kommer fram til når alt annet er katalogisert. Den rekkefølgen er snudd på hodet, for det er eierskapet som gjør alle andre vurderinger beregnelige.

Tenk på en avhengighet av én enkelt leverandør. Er den leverandøren en alminnelig kommersiell aktør, er avhengigheten et innkjøpsproblem: skaff en annen kilde, hold lager, reforhandle vilkårene. Er den samme leverandøren kontrollert av en part som har interesse av at du mislykkes, er den helt identiske avhengigheten en vesentlig risiko for virksomheten. Ingenting ved avhengigheten endret seg. Bare betydningen endret seg, og betydningen er en funksjon av hvem som står bak den.

Derfor starter metoden fra kapasiteten, kontrakten eller motparten du har foran deg, og fastslår eierskap bakover til en reell part trer fram. Det gjør metoden likegyldig til hvem parten viser seg å være, og det gjør de knepene som brukes for å holde seg skjult om til det bevissporet som avdekker dem: lagdelte strukturer, arbitrasje mellom jurisdiksjoner, substans forkledd som markedsføring.

Ett navngitt selskap løst nedover til partene bak det: et driftsselskap og et mellomliggende postboksselskap for markedsføring, deretter holdingselskaper i to jurisdiksjoner med personvernskjerming og et stråmannsstyremedlem, deretter to finansieringsselskaper og ett selskap som ikke kan løses, og til slutt to navngitte reelle eiere. En tredjepart kontrollerer driftsselskapet gjennom styrevilkår og vetorett samtidig som den bare eier 4 %, under terskelen for opplysningsplikt, og dermed dukker den aldri opp i eierskapskjeden i det hele tatt.

Ett navngitt selskap, løst opp i holdingselskapene, finansieringsselskapene og personene bak det. Illustrerende: formen er representativ for reelt arbeid, selskapene er ikke reelle.

Avhengighetsaksen

Avhengighet er transitiv på en måte eierskap ikke er

Eierskap er et kommandoforhold. Avhengighet er et eksponeringsforhold, og eksponering forflytter seg. En kunde som sitter tre lag over en innebygd underdatabehandler arver hele risikoen dens uten å ha noe forhold til den, noen kontrakt med den, og ofte uten å ha noen aning om at den finnes. Risiko forplanter seg nedstrøms automatisk, og partene som bærer den er som regel de siste til å se den.

Det er derfor avgjørende kontroll kan oppnås gjennom avhengighetsgrafen i stedet for gjennom eierskap. Ingen trenger å eie systemene du støtter deg på, dersom de kan sitte inne i dem som underdatabehandler. Eierskap fastslås først fordi det er det som gjør resten beregnelig, ikke fordi det er den eneste veien til kontroll.

Målet som betyr noe her er konsentrasjon veid mot erstattbarhet. Én enkelt ugjennomsiktig node som tar en kjernebeslutning for alle nedenfor seg er en flaskehals også når eierskapet er helt rent. Rent eierskap er ingen garanti, det er et øyeblikksbilde. Å kartlegge den eksponeringen bygger på et annet bevisgrunnlag enn foretaksregistrene: opplysninger om integrasjoner og partnere, databehandleravtaler og lister over underdatabehandlere, SOC 2-rapporter, programvarelister, varsler om brudd og anskaffelsesdokumenter. En underdatabehandler som skulle stått i en pålagt opplysning og ikke står der, er selv funnet.

En leverandørkjedegraf som viser ett kildedomene koblet utover til mer enn hundre tredjepartsdomener og verter.

SCVue kartlegger avhengighetsaksen for programvare og applikasjoner, og fanger opp de leverandørene en applikasjon faktisk laster. Utforsk SCVue.

«Kjenn din leverandør» er i ferd med å bli en regulatorisk plikt

Reglene er i ferd med å ta igjen denne eksponeringen. For definerte transaksjonskategorier forventes organisasjoner nå å gjennomføre risikobaserte rutiner som verifiserer hvem en leverandør faktisk er, i stedet for å ta navnet på kontrakten for god fisk. Det er en smalere plikt enn å sende inn en registermelding om en eierstruktur, men den peker samme vei: kjenn din leverandør, ikke bare kjenn din kunde. Organisasjoner som allerede forstår hvem som sitter under leverandørene sine, vil oppleve etterlevelse som en rapporteringsøvelse. De som ikke gjør det, vil oppleve den som en etterforskning.

Prinsipper

Hva som skiller dette fra screening

Metoden stammer fra etterlevelsesscreening. Tre ting gjør den til noe annet.

Det er ikke en sjekkliste

En sjekkliste har en definert slutt. En etterforskning slutter der bevisene slutter, og der hvert svar endrer det neste spørsmålet. Den samme kildelisten, kjørt uten skjønn, gir en mappe og ikke et funn.

Fravær er et spørsmål

Det som ikke finnes betyr like mye som det som finnes. Et nettverk av den størrelsen, alderen og aktivitetsgraden du har foran deg, burde gi et visst volum av alminnelige ansvarshendelser: tvister, registermeldinger, tilsynsreaksjoner, omtale. Når en sammenlignbar gruppe likeverdige selskaper gir slike hendelser og dette nettverket ikke gir noen, er det en grunn til å se nærmere på det. Det er ikke i seg selv en konklusjon om det: de fleste stille nettverk er stille fordi ingenting skjer.

Personvern er ikke tilsløring

Det finnes fullt ut legitime grunner til å eie verdier gjennom en jurisdiksjon med personvernskjerming, og å behandle hver slik struktur som mistenkelig gir støy og urimelige konklusjoner. Metoden skiller legitim bruk fra bevisst tilsløring av eierskap, og sier hvilken av dem den mener den ser på.

Leveranse

Hva du får

Arbeidsresultatet er et kart over eierskapskjeden: et nettverk av selskaper, personer og finansieringsselskaper, med kanter for kontroll og investering tegnet inn, oppløste selskaper merket, og sanksjonerte eller politisk eksponerte forbindelser flagget. Det starter fra ett enkelt selskap eller én kapasitet og løser en tilsynelatende enkelt identitet opp i den faktiske strukturen.

Det følger med noe like viktig: en klar beskjed om hvor det åpne sporet slutter. Lovlig innhentede, kommersielt tilgjengelige opplysninger tar en analytiker til en grense, og bortenfor den grensen er verdien en kort, prioritert liste over nøyaktig hvilke noder som betyr noe: hvilke bevisframleggelseskrav det er verdt å sette fram, hvilke mål det er verdt å navngi i et framleggelsespålegg, hvilke motparter det er verdt å stille et direkte spørsmål, og hvilke forbindelser det er verdt å sette under overvåking.

Dette gir indikatorer, ikke bevis. Det er en kraftmultiplikator, ikke en domsslutning, og det framstilles slik. Funn gis med opphav og konfidensgrad vedlagt, slik at de kan veies og ikke bare tros.

Bruksområder

Hvor den brukes

Den operative metodikken endrer seg ikke fra oppdrag til oppdrag. Bare kunden og leveransen gjør det.

Transaksjoner

Hvem som faktisk står bak motparten, medinvestoren eller oppkjøpsmålet, og hva som følger med dem.

Prosesstøtte

Strukturen fastslått før bevisframleggelsen, slik at kravene rettes mot de selskapene som har svarene og ikke mot dem som er navngitt i prosesskriftet.

Styrket due diligence på personer

Svært formuende personer, gründere, styremedlemmer og investorer, kartlagt gjennom de selskapene de eier verdier og påvirkning gjennom.

Leverandørnettverk

Flernivåleverandørbaser fastslått forbi det nivået der vanlig leverandørgjennomgang stopper, inkludert de underdatabehandlerne ingen inngikk kontrakt med direkte.

Screening av kapital og investorer

Finansieringsavstamninger sporet gjennom venture-, oppkjøpsfond- og fondsstrukturer, inkludert kapital som kommer inn flere runder og flere lag lenger ned.

Komplekse etterforskninger

Enhver sak der det avgjørende spørsmålet er hvem som virkelig eier, kontrollerer eller påvirker et nettverk som er bygget for ikke å svare på det.

To kjeder, ett spørsmål

Kartlegging av eierskapskjeden fastslår kontroll oppover. SCVue kartlegger avhengighet nedover. Til sammen svarer de på spørsmålet som ligger under hver leverandørbeslutning, hver investering og hver tvist: hvem kontrollerer virkelig de kapasitetene vi er avhengige av, og hva følger med dem?