Flujos de trabajo de prevención de lavado de dinero (PLD) transfronterizos, por corredor y jurisdicción

Última actualización: Septiembre de 2026

Los flujos de trabajo de prevención de lavado de dinero (PLD) transfronterizos deben soportar una carga mayor que la de un programa nacional: datos de riesgo que varían según la jurisdicción, información de pago que debe viajar con cada transferencia, tipologías específicas para cada corredor y un reporte de actividad sospechosa que se envía a una autoridad diferente según el lugar de la obligación. Un programa que crea un flujo de trabajo independiente para cada corredor multiplica las reglas, las colas y las pruebas, hasta que suspender los corredores parece la única manera de salir del paso. La alternativa consiste en tratar cada corredor como una configuración dentro de un único programa, donde los investigadores trabajan en una sola cola y el contexto de la jurisdicción se asocia a cada alerta.

TL;DR

• Cada nuevo corredor añade reglas, listas, tipologías, un destino de reporte y pruebas. Si se diseña como un programa independiente, cada uno añade su propia cola y su propio estándar de prueba.

• Trate un corredor como un conjunto de parámetros con fecha y versión: datos de riesgo de la jurisdicción, límites y escenarios, datos de pago obligatorios, alcance de la verificación y destino del reporte.

• Una jurisdicción de alto riesgo es un dato de entrada que debe calibrarse con respecto a la actividad prevista de la empresa. La declaración de junio de 2026 del GAFI señala que sus estándares no contemplan la exclusión del sistema financiero o "de-risking".

• La Recomendación 16 revisada del GAFI (junio de 2025) estandariza la información del ordenante y del beneficiario que viaja con los pagos transfronterizos superiores a 1.000 USD/EUR, y entrará en vigor a finales de 2030.

• El reporte es un SAR en EE. UU. y el Reino Unido, y un STR bajo la terminología del GAFI y en Canadá. Realice una única investigación y envíe el reporte donde resida la obligación.

• Dirija cada alerta de un cliente a un solo investigador, independientemente del corredor. Los agentes pueden reunir el contexto y recomendar; los analistas deciden.

Qué debe gestionar un flujo de trabajo PLD transfronterizo

Un flujo de trabajo PLD transfronterizo es el camino que sigue una alerta, desde un pago que cruza una frontera hasta una decisión documentada. Debe gestionar el riesgo de la jurisdicción, que varía según el país y cambia con regularidad, los datos de pago que deben viajar con la transferencia, las tipologías específicas de cada corredor y un destino de reporte que depende de la jurisdicción. También debe dejar un rastro de pruebas por cada decisión que un supervisor de cualquiera de esas jurisdicciones pueda auditar.

Nada de esto requiere un programa independiente.

Un vicepresidente de ingeniería de riesgo y cumplimiento en una empresa de remesas lo describió de esta manera: "Nuestro proceso a nivel global no es diferente... Solo cambia el agente de reporte o la forma de presentarlo, ¿verdad? Es decir, los formularios son diferentes y los sitios web de los reguladores también".

Ese es el modelo que describe esta guía: un único proceso de investigación, configurado por corredor, con un resultado adaptado a la jurisdicción.

Por qué cada nuevo corredor multiplica el trabajo

Cada nuevo corredor multiplica el trabajo cuando se incorpora como un nuevo reglamento en lugar de como un nuevo conjunto de parámetros. Las reglas independientes por corredor se convierten en colas de alertas separadas, ciclos de ajuste independientes y estándares de prueba distintos. Así, un cliente que realiza envíos a través de tres corredores puede generar alertas que tres analistas revisan sin ver el trabajo de los demás.

Un director de cumplimiento de una empresa de criptoactivos y remesas describió esta dificultad: una misma entidad recibía transacciones de muchas jurisdicciones, lo que imposibilitaba aplicar un estándar único para los documentos recopilados por transacción, mientras que el regulador local seguía exigiendo registros estandarizados. La carga de trabajo aumenta con cada corredor porque no se comparte información entre ellos.

La visibilidad también disminuye a lo largo de la cadena de pago. En una relación de corresponsalía indirecta o anidada, el corresponsal procesa un pago para los clientes del representado y ve la transferencia, pero no a la persona detrás de ella. Un gerente de producto principal en una firma de pagos B2B transfronterizos lo expresó con claridad: "El mayor desafío con las instituciones financieras es que tienen clientes finales que tal vez son quienes realizan actividades de riesgo, no las instituciones financieras en sí mismas".

El error fatal: la exclusión financiera (de-risking)

Cuando el trabajo se vuelve inmanejable, la salida fácil es cortar un corredor o una categoría de clientes. La declaración del GAFI sobre jurisdicciones bajo mayor supervisión, con fecha del 19 de junio de 2026, descarta esta opción. Señala que los Estándares del GAFI "no contemplan la exclusión de clientes (de-risking) o el corte de categorías enteras de clientes, sino que exigen la aplicación de un enfoque basado en riesgos", y solicita que los flujos de remesas "no se vean interrumpidos ni desalentados".

Un enfoque basado en riesgos también significa que el riesgo de la jurisdicción no puede definirlo todo. Un director de cumplimiento en una empresa de remesas afirmó: "De todos los indicadores de riesgo y señales de alerta, lidiamos principalmente con países de alto riesgo. Y ese factor por sí solo casi nunca es un buen indicador de actividad sospechosa. Probablemente sea el peor indicador para nosotros porque representa la mayor parte de nuestro negocio".

Un director de cumplimiento de la filial de un banco extranjero describió el mismo problema desde el otro lado: la oficina central clasificaba al país de la filial como de alto riesgo, por lo que la actividad misma para la que existe el negocio elevaba las puntuaciones de riesgo de los clientes.

Errores comunes que convierten los corredores en programas independientes

• Un conjunto de reglas copiado por corredor, por lo que la corrección de una tipología en un corredor nunca llega a los demás.

• El riesgo de jurisdicción como un multiplicador directo, lo que satura la cola de alertas para un negocio cuya actividad habitual se desarrolla en corredores de alto riesgo.

• Cambios de listas y calificaciones sin fecha, por lo que nadie puede saber qué versión de la configuración produjo una decisión en el pasado.

• Asignación de alertas por turnos (round-robin), lo que distribuye la actividad de un mismo cliente entre varios investigadores.

• Pruebas almacenadas por corredor, lo que obliga al analista a reconstruir el perfil del cliente para cada caso.

Canales: banca corresponsal, corredores de remesas y pagos de fintechs

El dinero transfronterizo se mueve a través de tres canales principales, y cada uno modifica lo que la institución de monitoreo puede ver. El flujo de trabajo sigue siendo el mismo en los tres; lo que cambia son los parámetros.

Banca corresponsal y relaciones anidadas

En la banca corresponsal, un banco ofrece cuentas y servicios de pago a otro banco (el representado), para que los clientes de este último puedan enviar y recibir dinero en mercados donde no tiene presencia física. El cumplimiento PLD en la banca corresponsal es complejo debido al anidamiento: un banco representado puede permitir que sus propios clientes u otros bancos accedan a los servicios del corresponsal. Así, el corresponsal ve el pago pero no al cliente final, por lo que su monitoreo depende de la debida diligencia del representado y de los datos de pago que viajan con cada transferencia.

Por eso, las reglas de jurisdicción deben estar vinculadas al pago y no a una relación de cuenta. Un vicepresidente y oficial de cumplimiento normativo (BSA) en un banco de bancos comentó: "Cualquiera de las reglas jurisdiccionales o similares debería alertar independientemente de si existe o no un número de cuenta". Un director de cumplimiento de la filial de un banco describió la incorporación de reglas específicas para la banca corresponsal dentro del programa existente, revisando y justificando los resultados de las alertas cada año. Los bancos que operan este tipo de programas necesitan un monitoreo de transacciones de PLD para bancos que gestione el canal como un conjunto más de reglas dentro del mismo sistema.

Corredores de remesas y transmisores de dinero

Las empresas de servicios monetarios (MSB) y los transmisores de dinero operan a través de redes de agentes, a menudo con efectivo en uno de los extremos, por lo que los programas PLD de estas empresas conllevan obligaciones específicas por corredor que cambian de forma programada. Dos ejemplos de EE. UU.: desde el 1 de enero de 2026, se aplica un impuesto federal del 1% a las transferencias de remesas enviadas al extranjero cuando se financian con efectivo, giros postales, cheques de caja u otros instrumentos físicos similares. FinCEN volvió a emitir su Orden de Focalización Geográfica para la frontera suroeste para empresas de servicios monetarios el 2 de septiembre de 2026, la cual exige reportar ciertas transacciones en efectivo en las zonas cubiertas.

Ninguna de estas obligaciones requiere un nuevo flujo de trabajo. El instrumento de financiación y la ubicación de la transacción se convierten en puntos de datos que el programa captura y parámetros que aplica en los corredores donde corresponde.

Pagos transfronterizos desde plataformas fintech

Las plataformas de pago envían dinero de un ordenante a muchos destinatarios en diferentes países, y el lado del receptor suele ser nuevo. Un científico de datos de fraude en una plataforma global de pagos transfronterizos describió los patrones de red que importaban: pagos distribuidos en montos menores a muchos receptores, URLs compartidas entre cuentas y grupos de cuentas registradas casi al mismo tiempo. Estas señales son independientes del corredor, lo que es otra razón para mantener un único modelo de cliente y contraparte en todos los corredores. Cuando estos pagos se realizan a través de un banco patrocinador, la supervisión de este sobre los programas se detalla en una guía independiente sobre la supervisión PLD de bancos patrocinadores.

Trate cada corredor como una configuración, no como un programa independiente

Tratar un corredor como una configuración significa que sus datos de riesgo de la jurisdicción, límites, datos de pago requeridos, alcance de la verificación y destino de reporte son parámetros dentro de un único programa, cada uno con su fecha y versión. El proceso de investigación, el registro del cliente y el estándar de pruebas se mantienen constantes. Añadir un corredor significa añadir un conjunto de parámetros, no una nueva cola de trabajo.

La tabla muestra esta idea: solo la columna de la izquierda cambia cuando se añade un corredor.

Convierta el riesgo de la jurisdicción en un dato de entrada con fecha

El GAFI actualiza sus listas de jurisdicciones bajo mayor supervisión después de cada sesión plenaria, y la declaración más reciente tiene fecha del 19 de junio de 2026. Un cambio en la lista debe ingresar al programa como una nueva versión del parámetro de jurisdicción con su fecha de entrada en vigor, no como una modificación de las reglas activas. Cuando un supervisor pregunte por qué cambió el riesgo de un cliente, la respuesta será la versión que estaba vigente el día de la decisión.

Los supervisores también esperan que la institución conozca sus propios corredores. Una ejecutiva de cumplimiento normativo en un banco comunitario comentó que los supervisores quieren ver los países con los que opera la institución normalmente y la proporción de actividad que representa cada uno, y que actualmente recopila esta información de forma manual. Un perfil de corredor previsto guardado como configuración responde a esa solicitud y proporciona una línea base para medir cualquier desviación.

Ajuste las reglas al comportamiento del corredor

Las tipologías varían según el corredor, por lo que los límites y escenarios también deberían hacerlo. Un director de cumplimiento en una fintech de pagos transfronterizos con múltiples licencias señaló: "Debido a las particularidades de las transacciones que vemos en múltiples jurisdicciones, se vuelve realmente necesario para nosotros adaptar algunas reglas para incluir evaluaciones de riesgo conductual". El mismo director de cumplimiento en la empresa de criptoactivos y remesas describió límites que varían según el tramo de la operación, y una entidad del grupo que puede operar con una jurisdicción con la que otra entidad del grupo no puede. Ambos casos son configuración: una variante de regla por corredor y un permiso por entidad.

Cada cambio de límite necesita un registro de lo que se probó y la cobertura que mantiene. La prueba y documentación de un cambio de límite para garantizar que se mantenga la cobertura de la tipología se detalla en una guía independiente sobre cómo reducir los falsos positivos en PLD.

Verifique en el momento de la transacción y defina el alcance por riesgo

La verificación y el monitoreo funcionan mejor como un único paso en el momento de la transacción en lugar de como revisiones secuenciales. Un banco global describió la transición para combinar la verificación de fraude y PLD "en el mismo instante. Es decir, en el momento de la transacción". Eso requiere una plataforma lo suficientemente rápida para decidir dentro del flujo de pago; la plataforma de Oscilar ofrece decisiones en menos de 100 ms.

Verificar absolutamente todo no es el objetivo. Un responsable de riesgos en una empresa de pagos transfronterizos cuestionó la idea de pasar cada transacción por una verificación de PEP y preguntó cómo separar los flujos que deben verificarse de los que no. El alcance de la verificación es un parámetro de corredor como cualquier otro. El mantenimiento de las listas de la OFAC y otras sanciones detrás de ese paso de verificación es un tema en sí mismo, abordado en una guía específica sobre la gestión de listas de sanciones.

Datos de pago que viajan con la transferencia

Los datos que viajan con un pago transfronterizo son una entrada del flujo de trabajo, y el GAFI ha endurecido los requisitos sobre lo que deben contener. En su Sesión Plenaria de junio de 2025, el GAFI revisó la Recomendación 16 sobre la transparencia de los pagos. La revisión aclara quién en la cadena de pago es responsable de incluir la información y mantenerla inalterada, estandariza la información del ordenante y del beneficiario para los pagos transfronterizos persona a persona superiores a 1.000 USD/EUR (nombre, dirección y fecha de nacimiento) y exige herramientas que protejan contra el fraude y el error, como la verificación de los datos bancarios de los destinatarios. Los cambios entrarán en vigor a finales de 2030.

Hasta entonces, los datos seguirán siendo irregulares. Un director de cumplimiento y riesgos en un agregador de pagos transfronterizos que presta servicios a transmisores de dinero señaló que el lado del remitente incluye nombre, fecha de nacimiento, nacionalidad e identificación, mientras que el lado del receptor a menudo solo incluye un nombre y un número de cuenta, y que de ahí proviene la mayor parte del ruido en la verificación. Los campos obligatorios deben estar en la configuración del corredor, de modo que el programa sepa qué esperar de cada corredor y tipo de pago.

La falta de datos o la información incompleta es, en sí misma, una señal de alerta. Cuando falta un atributo clave, la alerta debe dirigirse a un analista indicando la falta de información, en lugar de descartarse automáticamente, ya que cerrar una alerta sin pruebas de respaldo aumenta el riesgo regulatorio. La aplicación de estas mismas reglas de transparencia de pagos a las transferencias de criptomonedas y monedas estables (la regla de viaje o "travel rule") se aborda en una guía independiente.

STR o SAR: el reporte depende de la jurisdicción

El nombre del reporte depende de dónde se presente. Las instituciones financieras de EE. UU. presentan un Reporte de Actividad Sospechosa (SAR) ante la FinCEN. La Recomendación 20 del GAFI y la entidad FINTRAC de Canadá utilizan el término Reporte de Transacción Sospechosa (STR), mientras que el Reino Unido utiliza SAR, presentado ante la Unidad de Inteligencia Financiera de la Agencia Nacional contra el Crimen (NCA).

La obligación de fondo es la misma en todas partes: reportar la sospecha a la unidad de inteligencia financiera (UIF) nacional. Los límites, plazos, formularios y factores desencadenantes varían. Un director de cumplimiento en una empresa global de pagos resumió la diferencia en una frase: "No presentamos SAR, presentamos STR, pero el proceso es un poco diferente". Un oficial principal de BSA en un banco comunitario que opera en varias jurisdicciones señaló que "el plazo de presentación es mucho más corto que el de FinCEN para estas jurisdicciones".

La solución en el flujo de trabajo es una sola investigación y un solo caso, con la jurisdicción registrada en el expediente y el reporte preparado para la autoridad donde reside la obligación. Un grupo de remesas que opera entidades reguladas en más de un país también debe mantener separada la actividad de cada entidad, de modo que una auditoría en una jurisdicción solo vea los clientes y casos de esa entidad. Los requisitos de presentación en EE. UU., incluidos límites y plazos, se detallan en una guía específica sobre los requisitos de presentación de SAR.

Una única cola de investigadores con la jurisdicción asociada

Una cola única de investigadores significa que cada alerta de un cliente o contraparte se dirige al mismo investigador, sin importar el corredor que la haya generado. Un director de BSA/OFAC en una gran cooperativa de ahorro y crédito de EE. UU. lo resumió así: varias alertas de un mismo miembro no deberían distribuirse por turnos entre varios investigadores. Un solo investigador ve el patrón completo y el registro del caso muestra una única línea de razonamiento.

La alerta debe llegar con contexto. Una alerta que solo indica que algo parece anómalo no es útil; lo que la hace procesable es el corredor, los parámetros de la jurisdicción vigentes, la actividad prevista del cliente y las contrapartes vinculadas. Ese contexto debe provenir de un único perfil de riesgo del cliente compartido entre todos los corredores.

Los agentes que preparan el caso y recomiendan una decisión pueden reunir ese contexto de distintas jurisdicciones, pero la decisión final sigue en manos del analista. La página de agentes de Oscilar indica que "cada recomendación es revisada y confirmada por un analista humano antes de tomar cualquier medida". En la gestión de casos, cada decisión debe registrar la versión de la configuración del corredor que produjo la alerta, de modo que pueda reconstruirse posteriormente en cualquier jurisdicción.

Cómo lo aborda Oscilar

Oscilar ejecuta el cumplimiento PLD transfronterizo en una plataforma unificada: estructura de datos en tiempo real, inteligencia de dispositivos y comportamiento, reglas y gestión de casos en una sola solución tecnológica, con agentes integrados de forma nativa. Este es el diseño que requiere el modelo de configuración: las decisiones de fraude, alta de clientes y cumplimiento se basan en un único perfil de riesgo del cliente, por lo que añadir un corredor simplemente suma parámetros a ese perfil en lugar de crear un segundo registro.

La página de Oscilar sobre PLD para fintechs que operan en múltiples productos y geografías lo explica así: "Adáptese fácilmente a los diversos tipos de pago, clientes, productos y geografías de su fintech con los escenarios, plantillas y modelos preestablecidos de Oscilar". Oscilar mantiene un historial de auditoría completo de cada decisión con la justificación almacenada, integrando la supervisión humana por diseño.

La evaluación previa a la puesta en producción se organiza como una colaboración de diseño de cuatro semanas: configuración de datos en la primera semana, prueba retrospectiva de alertas históricas, modo de prueba en paralelo (shadow mode) y presentación de resultados con revisión humana en la cuarta semana.

Preguntas frecuentes

¿Cuál es la diferencia entre un STR y un SAR?

Un STR (reporte de transacción sospechosa) y un SAR (reporte de actividad sospechosa) cumplen el mismo propósito bajo nombres diferentes. El GAFI y FINTRAC de Canadá utilizan STR; EE. UU. (ante FinCEN) y el Reino Unido (ante la UKFIU de la NCA) utilizan SAR. La obligación de reportar sospechas a la UIF nacional es común, pero los límites, plazos, formularios y factores desencadenantes varían según la jurisdicción.

¿Cómo debe variar el monitoreo de PLD según el corredor de pago?

El monitoreo de PLD debe variar según el corredor en sus parámetros, no en su proceso. Cada corredor cuenta con sus propios datos de riesgo de la jurisdicción, límites, reglas de tipología, datos de pago requeridos y destino de reporte, todo con fecha y versión. El proceso de investigación, el registro del cliente y el estándar de pruebas siguen siendo los mismos para todos los corredores.

¿Cómo debe integrarse un cambio en la lista gris del GAFI en un programa PLD?

Un cambio en la lista gris del GAFI debe incorporarse al programa como una nueva versión con fecha del parámetro de riesgo de la jurisdicción, no como una edición de las reglas activas. La declaración más reciente del GAFI, con fecha del 19 de junio de 2026, no exige una debida diligencia reforzada para las jurisdicciones de la lista y señala que sus estándares no contemplan la exclusión financiera (de-risking). Recalibre los datos de riesgo, registre la fecha de entrada en vigor y conserve la versión anterior para las decisiones tomadas antes del cambio.

¿Por qué se considera que la banca corresponsal es de alto riesgo?

La banca corresponsal se considera de alto riesgo porque el corresponsal procesa pagos de clientes que no conoce. En las relaciones anidadas, los clientes del banco representado u otros bancos acceden a los servicios del corresponsal, por lo que este ve la transferencia pero no al cliente final. Su monitoreo depende de la debida diligencia del representado y de los datos de pago que viajan con cada transferencia.

¿Pueden los agentes de IA ayudar a los investigadores con alertas multijurisdiccionales manteniendo la aprobación humana?

Sí. Los agentes de IA pueden reunir el contexto del corredor y de la jurisdicción para una alerta (incluidos los parámetros vigentes, la actividad prevista del cliente y los datos faltantes) y recomendar una resolución. El analista revisa y confirma cada recomendación antes de tomar cualquier medida, y el caso registra la justificación y la versión de la configuración aplicada.

Un solo programa, múltiples corredores

Un programa PLD transfronterizo escala de manera eficiente cuando cada nuevo corredor añade parámetros en lugar de un nuevo flujo de trabajo. Conserve el riesgo de la jurisdicción como un dato de entrada con fecha, configure los datos de pago requeridos y los destinos de reporte, y envíe cada alerta de un cliente a un único investigador con todo el contexto asociado. Si su equipo está analizando cómo estructurar esto en distintos corredores, las páginas de soluciones mencionadas anteriormente para fintechs y bancos son el lugar ideal para comenzar, y tiene a su disposición una demostración personalizada para sus propios corredores si la solicita.