Det finns en seglivad föreställning om att finansiella kriser beror på dålig styrning. Fel personer i styrelsen. Bristande kontroll. Svaga rutiner. Om man bara skärper governance, tillsätter fler riskkommittéer och skriver bättre policies så ska problemen försvinna.
Det är en bekväm tanke. Men den är fel.
Banker är inte vanliga bolag med lite extra reglering. De är högt belånade riskmaskiner inbäddade i staten. Deras affärsmodell bygger på skuld. Insättningar är garanterade. Kapital är billigt. Nedsidan bärs i praktiken av kreditgivare och samhället, medan uppsidan tillfaller aktieägare och ledning. Det skapar ett strukturellt incitament för risktagande som inte går att styra bort med klassisk bolagsrätt.
Formellt är det aktieägarna som kontrollerar banken via styrelsen. Reellt är det andra som tar smällen när det går fel. Redan där spricker idén om att traditionell shareholder governance skulle kunna fungera.
Styrelsen gör dessutom inte det många tror att den gör. Den hanterar inte risk operativt. Den sätter ramar, definierar riskaptit och ska se till att risk integreras i strategin. Det är en arkitektonisk roll, inte en exekutiv. Problemet är att risk i moderna banker rör sig snabbt, är icke-linjär och korsar affärsområden. Rapporteringen till styrelsen är nästan alltid statisk, aggregerad och bakåtblickande. Man styr med backspegeln medan exponeringen byggs upp i realtid.
Det här gör att styrelser i praktiken ofta styr abstraktioner, medan risk växer operativt ute i organisationen.
Riskaptit formuleras på hög nivå, men översätts inte till konkreta begränsningar på desk-, produkt- eller transaktionsnivå. Enterprise Risk Management finns på papper, men inte i kapitalallokering eller affärsbeslut. Non-executive directors förväntas utmana ledningen, men saknar både realtidsinsyn och ofta djup marknadsteknisk kompetens. Oberoende ersätter inte informationsasymmetri.
Samtidigt verkar incitamenten i motsatt riktning. Ersättningssystem belönar kortsiktig prestation, volatilitet och expansion. Vinster realiseras tidigt. Förluster socialiseras senare. Inga styrdokument i världen kan konkurrera med ett kompensationssystem som belönar risk.
Det är därför governance i banker inte kollapsar på grund av frånvaro av ramverk. Den kollapsar därför att ramverken är kosmetiska i förhållande till de ekonomiska drivkrafterna.
När detta blir tydligt inträder nästa lager: tillsynsrätten.
Bolagsrätten räcker inte. Därför kliver regulatorn in som medstyrande part. Fit and proper-prövningar, kapitalkrav, oberoende CRO-funktioner, interna styrningskrav och detaljerade tillsynsregimer är inte ett komplement till governance. De är ett substitut. Staten försöker tekniskt begränsa ett system som inte går att disciplinera genom ägarstyrning.
Regulatorn blir i praktiken co-governor.
Och ändå räcker inte detta heller. För även om interna risker hålls tillbaka återstår problemet med informationsasymmetri på marknaden. Där kommer insiderreglerna in. De fungerar som ett yttre skyddsskikt. Oavsett om man använder den amerikanska modellen med fiduciary duty eller den europeiska modellen med informationsparitet är syftet detsamma: att förhindra att aktörer exploaterar kunskapsövertag. När intern governance inte kan garantera rättvisa marknader tar lagstiftningen över.
Det är här helheten blir synlig.
Vi har inte fragmenterad reglering. Vi har ett lager-på-lager-system som försöker hålla strukturell instabilitet i schack.
Bolagsstyrning försöker ge riktning. Riskstyrning försöker översätta strategi till begränsningar. Incitamentsreglering försöker bromsa kortsiktighet. Tillsynsrätten försöker ersätta ägardisciplin. Marknadsmissbruksregler försöker skydda det externa systemet.
Allt detta är inte governance i klassisk mening.
Det är inneslutning.
Här uppstår dessutom ett växande problem som ännu inte riktigt fått språk. När finansiella system i allt högre grad drivs av algoritmer, maskininlärning och realtidsdata förskjuts makten ytterligare bort från mänsklig överblick. Risk uppstår, amplifieras och materialiseras snabbare än tillsynsmyndigheter hinner förstå modellernas beteende. Paradoxalt nog kan bättre teknik därför göra systemet svårare att kontrollera. Inneslutningen bygger fortfarande på mänsklig tolkning, medan affärslogiken i allt större utsträckning är maskinell.
Banker styrs inte. De hålls i schack.
Och det är en viktig insikt, inte bara för jurister och regulatorer, utan för alla som arbetar med teknik, compliance, säkerhet eller affärsutveckling i finansiella miljöer. För när man väl ser detta blir det uppenbart varför checklistor och policies aldrig räcker. Det handlar inte om bättre formuleringar. Det handlar om att förstå systemet.
Det är först då man kan ge råd som faktiskt betyder något.