¿Puede justificar sus resultados? 6 preguntas para evaluar su monitoreo de transacciones de AML

Un responsable de cumplimiento nos comentó hace poco que su director general lo llamó dos veces el día que salieron las últimas sanciones de prevención del blanqueo de capitales (AML). En todo el sector, los equipos de cumplimiento y directivos seguro se preguntaban: «¿Nos podría pasar a nosotros?».

En solo una semana, dos sanciones históricas de AML dejaron al descubierto un gran reto del sector. Ambas entidades contaban con tecnología, pero los sistemas fallaron. El problema: una lógica de monitoreo que nadie podía explicar del todo, probar ni defender.

Esto coincide con una tendencia que llevo tiempo observando. Las políticas y procedimientos siguen importando, pero los inspectores van mucho más allá. Estas multas dejan claro que limitarse a marcar casillas ya no sirve para justificarse. 

¿Cuáles son sus límites? ¿Son adecuados? ¿En qué se basan? 

El objetivo del enfoque basado en riesgos es que cada programa se adapte a la propia entidad, y los inspectores lo revisan con lupa, porque marcar casillas no es decidir. El riesgo es único para cada entidad, y su programa de AML también debería serlo.

Ya sean sus transacciones directas, el volumen de un socio de BaaS o la lógica de un tercero: son sus canales, su licencia y su responsabilidad.

Llevo años diciendo algo muy parecido. Si usa un proveedor, gestiona un programa de BaaS o externaliza parte de su cumplimiento, debe poder mirar a los ojos a un regulador y explicarle exactamente qué ocurre. 

Decir «de eso se encarga otro» no sirve, y dar respuestas vagas, tampoco. 

Por eso he recopilado seis preguntas que todo líder de AML debería saber responder sobre su propio programa.

En resumen: ¿qué suponen las recientes sanciones de AML para su monitoreo de transacciones?

Las sanciones recientes apuntan a la misma carencia: una lógica de monitoreo que la entidad no supo explicar ni defender. Los inspectores exigen justificar cada umbral, regla y decisión asistida por IA, no solo demostrar que existen controles. Esa responsabilidad sigue siendo de su entidad, incluso con proveedores o socios de por medio.

• Explique cada umbral y regla, incluso los que no haya diseñado usted. Debe poder defender cualquier lógica predefinida o de terceros adaptada a otros programas.

• Ajuste los sistemas según sus datos, no según su plantilla. Las reglas a medida y las pruebas retrospectivas reducen el ruido con motivos documentables.

• Solucione de inmediato los problemas detectados en las pruebas, aplicando soluciones probadas y un registro de aprobaciones.

• Ajuste la cobertura a su evaluación de riesgos en productos, zonas geográficas y clientes.

• Detecte la actividad sospechosa por su cuenta. Las notificaciones de las autoridades deben confirmar su monitoreo, no sustituirlo.

• Exija el mismo nivel a la IA. Si no puede ver cómo llegó a una conclusión, no podrá defenderla.

1. ¿Puede explicar cada umbral y regla de monitoreo de transacciones, incluidos los que no diseñó usted?

Las conclusiones de las inspecciones señalan umbrales fijados a ojo sin datos que los respalden, activos durante años, y reglas que silenciaban alertas sin supervisión real. Nadie podía explicar por qué se usaban esas cifras. Ese es el peligro de un programa estático. 

Veo el mismo problema desde otro ángulo: entidades con reglas que nunca se diseñaron para ellas. A veces es una plantilla predeterminada que se activó y nunca se ajustó. Otras veces es un proveedor de «caja negra» cuya lógica se creó para otra empresa. Uno de nuestros clientes describió así a un proveedor anterior: «Solo podías cambiar el umbral, nada más. No podías tocar la regla».

Las reglas predefinidas son un buen punto de partida. Nosotros también las ofrecemos. Pero deben ser una base, nunca la solución definitiva. Cada regla debe adaptarse a los límites de sus segmentos, clientes y productos.

En la práctica, un programa transparente («caja de cristal») le ofrece:

• Lógica de reglas comprensible para el responsable de cumplimiento sin tener que recurrir al proveedor o a científicos de datos

• Una justificación documentada para cada umbral

• Pruebas retrospectivas antes de aplicar cualquier cambio

• Un historial de versiones que muestra con exactitud qué estaba activo en una fecha determinada
  
  

«Un inspector me preguntará… ¿cómo llegó el sistema a esta conclusión? Y si no lo tengo por escrito, no podré defenderlo». — Responsable de cumplimiento, banco comunitario

2. ¿Se guía su monitoreo de AML por los datos o por el personal disponible?

Una de las conclusiones que más me llamó la atención describía un monitoreo diseñado según los analistas disponibles, manteniendo los recursos al mínimo. Entiendo la presión. Todos los equipos con los que he trabajado han tenido más alertas que personas en algún momento. Pero si la plantilla define los umbrales, la cobertura se reduce a lo que se alcanza a revisar.

Ajustar para reducir el ruido es positivo. Lo que importa es el motivo del ajuste. Las reglas personalizadas para su cartera, combinadas con pruebas sobre sus propios datos históricos, muestran qué reglas detectan riesgos reales y cuáles solo generan trabajo. Los datos de eficacia, como la conversión de alertas en reportes de actividad sospechosa (SAR), le indican dónde mirar. Es una decisión para reforzar su programa de cumplimiento, no para gestionar el volumen según el personal, y además se puede documentar.

Luego está la primera revisión. Un agente de revisión de alertas de AML puede evaluar cada alerta previamente, recopilar el contexto y sugerir una resolución argumentada, mientras su analista toma la decisión final. Reglas a medida y un agente en el primer filtro: dos pájaros de un tiro. Las reglas restantes ganan peso y su equipo se centra en el riesgo real, no en el ruido.

«Los datos cuantitativos son irrefutables… le aportan capacidad de defensa». — Responsable de cumplimiento, empresa global de pagos

3. Cuando las pruebas de los modelos de AML detectan un problema, ¿qué ocurre después?

Las inspecciones recientes reflejan pruebas que detectaron problemas graves sin que se tomaran medidas reales. Documentar un problema no es lo mismo que solucionarlo.

Si no ha trabajado dentro de un banco, le explico cómo funciona. Un problema suele empezar como una observación. Si no se arregla, pasa a ser un hallazgo formal. En ese punto, la entidad se compromete a un plan de subsanación: qué cambiará, cómo y cuándo. Comprometerse es fácil. Cumplirlo es donde suelen fallar los programas.

En un puesto anterior, no podía probar los cambios en las reglas. Todo iba directo a producción. 

Si quiere solucionar algo con cuidado, ese no es el camino.

Imaginemos que una regla satura la cola con falsos positivos y genera retrasos. Un modelo transparente («caja de cristal»):

• Usa sus datos para decidir la solución adecuada

• Prueba el cambio en paralelo antes de que afecte a las decisiones en vivo

• Se implementa con un registro de aprobaciones, sin esperar semanas a una solicitud de cambio

• Entrega la documentación a auditoría interna o al inspector

Lo que debe evitar a toda costa es decir: «Lo desactivamos porque nos desbordaba».

La transparencia también ayuda tras la corrección. Si se comprometió a resolver un retraso en seis meses, un panel con métricas de antigüedad permite que usted, los auditores y el consejo vean cómo se reduce la cola en tiempo real. La analítica con IA le permite hacer preguntas en lenguaje sencillo sobre el programa y consultar la consulta técnica detrás de cada respuesta.

4. ¿Cubre su monitoreo todos los productos de su evaluación de riesgos de AML?

En las recientes sanciones aparecieron lagunas de cobertura evidentes: monitoreo limitado de giros postales y otros instrumentos negociables, control deficiente en tarjetas de crédito y un exceso de atención en productos de depósito pequeños en detrimento de un negocio de tarjetas mucho mayor.

La cobertura del programa empieza en su evaluación de riesgos. Debe abarcar todos sus productos, operativas, servicios, riesgos geográficos y cartera de clientes. El monitoreo de transacciones debe alinearse directamente con estos aspectos. Por ejemplo, un banco del sur de Texas podría ponderar los giros postales de forma distinta a otros productos debido a exigencias regulatorias locales. Aun así, el resto de la oferta requiere una evaluación exhaustiva y un monitoreo a medida. El cumplimiento no puede limitarse a reaccionar a la novedad del momento. Mantener la visibilidad sobre todas las operativas y productos garantiza que su evaluación de riesgos analice cada área y ofrezca una cobertura dinámica e integral.

Un programa de caja de cristal organiza las reglas por tipología y las vincula a su evaluación de riesgos, lo que permite mostrar la cobertura de forma centralizada sin tener que recopilar datos de varios sistemas ante una inspección.

5. ¿Quién detecta la actividad sospechosa: su monitoreo o las autoridades?

En un caso reciente, más de un tercio de las investigaciones partieron de requerimientos externos (órdenes judiciales, peticiones policiales y consultas de otras entidades) y no del monitoreo propio de la entidad.

Es normal recibir solicitudes de las autoridades; en puestos anteriores colaboré con diversos organismos oficiales y siempre agradecía su contacto, sobre todo en casos ya reportados. Sin embargo, ese contacto debería confirmar lo que su sistema ya detectó, no ser su vía principal para descubrir actividades sospechosas. 

Tener un monitoreo de transacciones automatizado no significa que sea eficaz. Si no detecta actividad, es trabajo inútil. Mida la eficacia de detección regla por regla, conozca el origen de sus casos y controle las tendencias a lo largo del tiempo para actuar de forma proactiva, no reactiva.

6. ¿Puede explicar cómo funciona la IA en su programa de AML?

El gobierno de la IA es un tema clave para los equipos de cumplimiento hoy en día, y con razón. Saben que deben defender cada decisión, y no se puede justificar lo que no se comprende. Algunos grandes bancos están bloqueando los agentes de IA por completo al no poder explicar la lógica con la que operan.

«Nuestro equipo de gestión del riesgo de modelos quiere ver el interior de la caja negra». — Responsable de gobierno del programa de prevención, banco regional

La solución no es evitar la IA, sino exigirle el mismo nivel que a las reglas. El modelo que veo funcionar, y el que más piden nuestros clientes, cuenta con supervisión humana: el agente hace recomendaciones con una justificación escrita, una persona toma la decisión y se registra cualquier cambio de criterio. 

La automatización puede crecer a medida que aumenta la confianza. Cuando un inspector pregunte cómo se tomó una decisión, podrá mostrar las pruebas que usó el agente, su propuesta y quién tuvo la última palabra.

El monitoreo de AML transparente es la clave ante una inspección

Ninguna de estas preguntas es nueva. Lo que ha cambiado es la firmeza de los inspectores al plantearlas y lo poco que aceptan respuestas como «es que el sistema funciona así».

El monitoreo de caja de cristal es su mejor defensa cuando un inspector le pregunte cómo determinó algo el sistema. No es una simple función de software ni una lista de verificación genérica: es la forma de demostrar su trabajo en lugar de confiar en que un tercero lo haya hecho bien. 

Al fin y al cabo, la licencia y la responsabilidad son suyas; por eso debe poder explicar y defender cada umbral, regla y decisión asistida por IA.

Si desea ver cómo funciona esto en la práctica, descubra el enfoque de Oscilar para el monitoreo de transacciones de AML.

Preguntas frecuentes

¿Qué significa el monitoreo de transacciones de AML de «caja de cristal»?

Significa que los responsables del programa de AML pueden ver y explicar cómo funciona: la lógica de cada regla, los motivos de cada umbral, los cambios realizados (y cuándo) y cómo se llegó a las decisiones asistidas por IA. Lo opuesto es una caja negra, donde surgen alertas sin que la entidad pueda explicar cómo se generaron.

¿Por qué los reguladores exigen explicabilidad en los programas de AML?

Un programa basado en el riesgo debe adaptarse a los riesgos específicos de cada entidad. Los inspectores lo comprueban preguntando cómo se fijaron los umbrales, cómo se ajustaron las reglas y cómo se miden los resultados. Sin documentación que justifique esas decisiones, la entidad no puede demostrar que el programa se aplica según lo estipulado en sus políticas.

¿Es responsable un banco de los controles de AML gestionados por un proveedor o socio de BaaS?

Sí. Un banco puede apoyarse en proveedores y socios, pero el programa de cumplimiento y la responsabilidad final recaen en la entidad titular de la licencia. Por eso el banco debe entender y poder justificar toda la lógica en la que se basa, incluida la desarrollada por terceros.

¿Cómo pueden los bancos reducir los falsos positivos de AML sin asumir riesgos?

Ajustando los sistemas según los datos, no el volumen de personal. Adapte las reglas a sus productos y clientes, pruebe los cambios con datos históricos antes de implementarlos, mida la eficacia de las reglas (como la tasa de reportes de actividad sospechosa que generan) y documente los motivos de cada ajuste. Así reducirá el ruido con criterios defendibles.

¿Pueden los bancos usar IA en el cumplimiento de AML si los inspectores exigen explicabilidad?

Sí, siempre que la IA sea explicable y esté bien regulada. Un método habitual es la supervisión humana: el agente de IA sugiere una resolución con su razonamiento, un analista toma la decisión y cada resultado o modificación queda registrado para fines de auditoría e inspección.