Última actualización: octubre de 2026

El control de sanciones de la OFAC consiste en verificar a clientes, contrapartes y transacciones frente a las listas de sanciones de la Oficina de Control de Activos Extranjeros (OFAC) y frente a entidades que pertenezcan en un 50 % o más a personas bloqueadas, de modo que una entidad nunca opere con una persona bloqueada. La OFAC no exige una herramienta ni un calendario de revisión concretos, pero la responsabilidad es objetiva, por lo que cada institución diseña y documenta su propio programa: qué listas usar, con qué rapidez aplicar las actualizaciones, qué se analiza y cómo se evalúan las coincidencias. Lo que la OFAC sí fija es la obligación de informar en un plazo de 10 días hábiles y conservar los registros durante al menos 10 años.

Resumen rápido

• La OFAC establece el resultado y deja el método a criterio de la entidad: nunca operar con una persona bloqueada y nunca completar una transacción antes de analizar una coincidencia. La responsabilidad es objetiva.

• Revise la lista SDN, decida según el riesgo cómo abordar las seis listas que no son SDN y recuerde que algunas partes bloqueadas no figuran en ninguna lista.

• Ninguna norma de la OFAC fija un plazo límite para aplicar las actualizaciones de las listas; la institución define el suyo propio y lo justifica con pruebas.

• Analice tanto los pagos y las contrapartes como a los clientes.

• Bloquee si una persona bloqueada tiene algún interés económico; rechace si una transacción está prohibida sin que exista dicho interés. Notifique cualquiera de los casos en un plazo de 10 días hábiles.

• Conserve los registros durante al menos 10 años y alinee su programa con los cinco componentes del Marco de la OFAC.

Qué debe detectar el control de sanciones de la OFAC

El control de sanciones de la OFAC debe evitar que una institución procese transacciones para una persona bloqueada —o para una entidad bloqueada por titularidad—, así como retener sus bienes. También debe detectar transacciones que un programa de la OFAC prohíba expresamente, de forma que puedan rechazarse. Todo lo demás en un programa de cumplimiento de la OFAC está al servicio de estos dos objetivos.

La OFAC no impone el método a seguir. La Pregunta Frecuente (FAQ) 124 señala que «la normativa de la OFAC no exige de forma explícita ningún régimen de control específico», la FAQ 43 indica que no hay obligación legal de usar software ni de escanear, y el informe del Tesoro de marzo de 2026 al Congreso sobre tecnologías innovadoras confirma que la OFAC no exige ninguna herramienta concreta de control. Lo que la FAQ 43 sí exige es que la institución no opere con un objetivo sancionado, que no deje de bloquear bienes y que no liquide ninguna transacción antes de haber analizado la coincidencia.

La responsabilidad es objetiva. Según la FAQ 65 y la guía de introducción de junio de 2026 de la OFAC, una persona puede incurrir en responsabilidad civil sin saber que la transacción estaba prohibida, aunque la OFAC puede considerar atenuante contar con un programa de cumplimiento basado en el riesgo. La misma guía señala que el control de clientes, intermediarios, contrapartes, documentos y transacciones —habitualmente mediante software— es el control interno más común.

Qué listas de la OFAC se deben verificar

Revise la Lista de Nacionales Especialmente Designados (SDN) y luego decida, en función del riesgo, cómo gestionar las listas no SDN de la OFAC.

La obligación de bloquear puede derivarse de una inclusión en listas, de la cadena de titularidad o de las propias definiciones de un programa.

Las seis listas no SDN son: la lista de Identificaciones de Sanciones Sectoriales (SSI), la lista de Evasores de Sanciones Extranjeras (FSE) —vacía desde el 18 de diciembre de 2025— y las listas NS-PLC, CAPTA, NS-MBS y NS-CMIC. La FAQ 10 de la OFAC, modificada el 26 de octubre de 2026, las describe como listas con «prohibiciones no sujetas a bloqueo sobre las personas designadas». La OFAC no aclara si es obligatorio revisarlas; su guía de introducción de junio de 2026 solo apunta que las medidas «varían según la lista aplicable». La FAQ 91 añade que ciertas sanciones bloquean categorías enteras de personas, como gobiernos bloqueados, figuren o no en una lista.

Las listas ajenas a la OFAC responden a otras obligaciones de la entidad. El director de riesgos y responsable de BSA de un banco comunitario (con programas fintech de tarjetas y tesorería) afirmó que sus listas esenciales son las de la OFAC, la ONU y la UE, sumando las del Reino Unido en parte de su operativa con tarjetas por exigencias de la red. Las personas expuestas políticamente no forman una lista de sanciones; nuestro artículo explicativo sobre control de PEP detalla las exigencias normativas en EE. UU.

La regla del 50 por ciento de la OFAC

En virtud de la regla del 50 por ciento de la OFAC, cualquier entidad que pertenezca en un 50 % o más en conjunto, de forma directa o indirecta, a una o varias personas bloqueadas se considera automáticamente bloqueada, figure o no en una lista. La norma surge de la guía revisada de la OFAC del 13 de agosto de 2014, y la propia OFAC la ha incorporado a las regulaciones de sus programas, como 31 CFR 594.412.

La OFAC suma las participaciones de todas las personas bloqueadas, incluso si están sancionadas bajo programas distintos: según la FAQ 399, si dos personas bloqueadas poseen un 25 % cada una, la entidad queda bloqueada. La titularidad indirecta solo computa a través de entidades que, a su vez, pertenezcan en un 50 % o más a personas bloqueadas (FAQ 401).

El mero control de una entidad no implica su bloqueo. La FAQ 398 precisa que la regla «se refiere únicamente a la propiedad y no al control», si bien la OFAC puede designar igualmente a una entidad controlada y recomienda actuar con cautela. La FAQ 400 añade que las personas estadounidenses no pueden negociar con una entidad no bloqueada a través de un individuo bloqueado, por ejemplo, firmando un contrato formalizado por este último.

Una desinversión ejecutada íntegramente fuera de la jurisdicción de EE. UU. que sitúe la participación de las personas bloqueadas por debajo del 50 % levanta el bloqueo automático, pero los bienes ya bloqueados siguen estando bloqueados (FAQ 402). La advertencia sobre sanciones de la OFAC del 31 de marzo de 2026 relativa a transacciones simuladas detalla los factores para verificar si la desinversión fue real o ficticia.

Es posible que los datos de titularidad existentes no resuelvan la cuestión por completo. La norma de diligencia debida con el cliente (CDD) del 31 CFR 1010.230 identifica a personas físicas con una participación igual o superior al 25 % en un cliente que sea persona jurídica —un criterio diferente al de la OFAC—, y la base de datos de titularidad real (BOI) del FinCEN no sirve para verificar cadenas de propiedad en EE. UU., ya que las empresas estadounidenses están exentas de declarar según la norma definitiva del FinCEN del 14 de agosto de 2026. En nuestra guía sobre el mejor software para el control de sanciones explicamos cómo evaluar una herramienta de filtrado en función de los datos de propiedad y otros criterios relevantes.

Con qué rapidez deben aplicarse las actualizaciones de las listas

Ningún reglamento, guía o FAQ de la OFAC fija un plazo específico de horas o días para incorporar las listas actualizadas al sistema de control. La OFAC deja esta frecuencia a la evaluación de riesgos de cada institución y advierte de que las actualizaciones son cada vez más frecuentes: según la FAQ 88, las instituciones «deciden con qué frecuencia deben descargar las listas para cumplir con la legislación estadounidense», y «la OFAC actualiza sus listas de sanciones a un ritmo cada vez mayor».

La lista SDN cambia «sin un calendario predeterminado» (FAQ 20). El Servicio de Listas de Sanciones de la OFAC ofrece archivos completos, un archivo delta con los cambios y una API (las FAQ 89 y 90 abordan los archivos completos y delta), y la OFAC notifica por correo electrónico a sus suscriptores cuando se modifican las listas (FAQ 86).

El documento de la OFAC Marco para los compromisos de cumplimiento (mayo de 2019) exige un programa «capaz de adaptarse rápidamente a los cambios publicados por la OFAC» y señala que no actualizar el software de control ante cambios en las listas ha sido una de las causas directas de infracciones anteriores. La sección sobre la OFAC del Manual de examen FFIEC BSA/AML exige a los bancos una actualización oportuna de las listas en todas sus operaciones, igualmente sin marcar un límite temporal estricto.

Gestione las listas como un control independiente

Dado que la OFAC impone el resultado y no el calendario, la gestión de las listas de sanciones funciona mejor como un control propio, separado de la monitorización y del análisis de alertas. La gestión de listas abarca determinar qué listas entran en el alcance, cómo se traslada cada alta, baja y modificación al sistema, cuándo se vuelve a evaluar a los clientes y qué versión de la lista se aplicó en cada fecha. Un arquitecto principal de delitos financieros de una gran entidad bancaria describió así esta separación: «Hay una aplicación encargada de gestionar las listas y otra dedicada a la ingesta de datos de múltiples fuentes. Luego, hay una tercera aplicación responsable de generar las alertas en sí».

Cuándo volver a evaluar a los clientes

Compruebe a los clientes nuevos antes de abrir una cuenta o inmediatamente después, y vuelva a evaluar a los existentes cuando las listas cambien, con una periodicidad definida según su evaluación de riesgos. La sección sobre la OFAC del manual del FFIEC no permite procesar más transacciones que el depósito inicial hasta que se complete la verificación posterior a la apertura, y la FAQ 28 de la OFAC deja la frecuencia de escaneo en manos de las «políticas y procedimientos internos» de la organización.

La indicación más clara de la OFAC para reevaluar se halla en la FAQ 65 sobre el sector asegurador, que menciona las actualizaciones de listas como un hito de revisión y advierte de que «revisar únicamente al emitir la póliza puede exponer a las aseguradoras al riesgo de sanciones». Aunque la FAQ 65 se dirija a aseguradoras, la lógica se aplica a cualquier tipo de clientes: un cliente que superó el alta puede ser sancionado más adelante.

Un solicitante bloqueado nunca debe acceder a una cuenta. La FAQ 42 de la OFAC, modificada el 26 de octubre de 2026, señala que un banco que reciba una solicitud y un depósito inicial de una persona en la lista SDN «está obligado a rechazar la apertura de la cuenta y a bloquear el depósito inicial», una vez confirmado que se trata de la persona listada.

Algunos programas se detienen tras el alta: un director de tesorería y cumplimiento en una fintech de pagos y adquirencia explicó que solo revisaban a los clientes en el alta para luego enviar la lista mensual a revisión manual. Limitar el control de la OFAC a la admisión deja la puerta abierta al riesgo que describe la FAQ 65. Bien implementada, la reevaluación periódica es también más eficiente: el responsable de OFAC de un banco señalaba que una coincidencia ya descartada no debería volver a generar avisos a menos que cambien los datos del cliente o la entrada de la lista.

Supervisar pagos y contrapartes, no solo a los clientes

Las normas de la OFAC afectan tanto a las transacciones como a los titulares de las cuentas. La FAQ 45 afirma que «toda transacción que realice una institución financiera estadounidense está sujeta a las regulaciones de la OFAC», y la sección de la OFAC del manual FFIEC exige verificar las transferencias de fondos y las operaciones de no clientes antes de ejecutarlas. Los puntos clave de revisión son:

• Beneficiarios. La FAQ 95 considera prudente verificar a los beneficiarios de la cuenta al abrirla, en cada actualización, en revisiones periódicas y, «sin duda alguna, al desembolsar fondos».

• Bancos intermediarios. La FAQ 116 indica que a un banco intermediario sin relación con una parte no titular en una transferencia, y sin conocimiento de que esté bloqueada, no se le exige investigar a partes no titulares que no aparezcan en la lista SDN. El banco sigue obligado a conocer a sus propios clientes.

• ACH. Según el manual del FFIEC, el banco originador (ODFI) comprueba al ordenante y el banco receptor (RDFI) al beneficiario, siendo el RDFI responsable de las transacciones ACH internacionales entrantes (IAT).

• Pagos instantáneos. La guía de la OFAC de septiembre de 2022 sobre sistemas de pago instantáneo deja a criterio de la evaluación de riesgos de cada entidad si se deben supervisar y cómo hacerlo.

Por tanto, un programa debe abarcar todo lo que exige la normativa: clientes al darse de alta o cuando cambien las listas o sus datos, y pagos y contrapartes a medida que se procesan. Las contrapartes suelen ser la parte más compleja. El mismo responsable de OFAC en un banco comentaba que el equipo recibe «alertas tanto de nuestros clientes como de las contrapartes» y que «a veces la información de la contraparte es más difícil» de conseguir, por lo que las alertas de transferencias suelen implicar investigar a la contraparte desde cero.

Ajuste de coincidencias y falsos positivos

La OFAC deja la valoración de cada posible coincidencia en manos de la institución. La FAQ 5, actualizada el 9 de septiembre de 2026, pide a las organizaciones usar toda la información a su alcance «para tomar una decisión basada en el riesgo sobre la validez de una posible coincidencia» conforme a sus políticas y perfil de riesgo, guardando el registro de la investigación. La OFAC no se encarga de confirmar posibles coincidencias ni falsos positivos.

Los alias débiles reciben un tratamiento más flexible. La OFAC no exige filtrar por alias débiles (FAQ 124). Procesar una transacción no autorizada ligada a una entrada de la lista sigue constituyendo una infracción, pero la OFAC no suele imponer sanciones civiles si un alias débil es la única referencia sancionadora y la entidad mantiene un programa riguroso basado en el riesgo (FAQ 125).

El propio buscador de sanciones de la OFAC combina coincidencias de texto y fonéticas en los nombres (FAQ 246 y 249). El Marco exige que la tecnología de filtrado esté calibrada según el perfil de riesgo de la institución y se pruebe de forma periódica, responsabilizando a la entidad de subsanar los fallos que detecten las pruebas.

Las reglas de coincidencia demasiado laxas son una causa habitual de falsos positivos. Un responsable de BSA en una cooperativa de crédito describió un ejemplo: «es literalmente lo que llamaríamos una alerta basura. Se basa únicamente en una cadena de texto y salta solo porque coincide una letra dentro de esa cadena». Cómo se analizan y descartan las alertas, incluso con agentes automatizados, se explica en detalle en nuestra guía sobre agentes de IA para el control de sanciones.

Bloquear o rechazar: qué hacer ante una coincidencia confirmada

Una coincidencia confirmada se bloquea o se rechaza, y cada medida exige una notificación específica.

Ambas notificaciones se gestionan a través del Sistema de Notificaciones de la OFAC (ORS), y los registros correspondientes deben guardarse al menos durante 10 años.

Los bienes bloqueados se congelan, no se confiscan. La FAQ 32, modificada el 26 de octubre de 2026, señala que los fondos bloqueados «deben depositarse en una cuenta separada y remunerada en los libros de una entidad financiera de EE. UU., de la que solo podrán realizarse cargos autorizados por la OFAC». La exigencia de devengar intereses figura en la normativa de cada programa específico, como 31 CFR 594.203, y no en las normas generales de notificación de la Parte 501 de la OFAC.

El rechazo se aplica cuando la transacción está prohibida pero no hay ningún elemento que deba ser bloqueado. La FAQ 36, modificada el 26 de octubre de 2026, explica que dicha transacción «debe rechazarse y devolverse al ordenante». Sus ejemplos aclaran el límite: un pago dirigido a un banco iraní bloqueado se bloquea; un pago a una empresa no bloqueada en Teherán se rechaza.

Una consulta de un cliente no equivale a una orden de pago. La FAQ 53, modificada el 26 de octubre de 2026, aclara que si un cliente solo pregunta si puede enviar dinero a un territorio sancionado, esto no se rechaza formalmente; en cambio, una orden directa de pagar a una persona bloqueada sí se bloquea y se notifica.

Notificaciones a la OFAC: plazos e informe anual

Notifique los bienes bloqueados a la OFAC en el plazo de 10 días hábiles a partir de la fecha del bloqueo (31 CFR 501.603); comunique cualquier transacción rechazada en los 10 días hábiles posteriores al rechazo (31 CFR 501.604); y presente antes del 30 de septiembre un informe anual con todos los bienes bloqueados a fecha de 30 de junio. Estos son los requisitos esenciales de notificación de la OFAC.

Todos estos informes se envían a través del Sistema de Notificaciones de la OFAC (ORS), obligatorio desde la entrada en vigor de una norma final provisional el 8 de agosto de 2024. La FAQ 49, modificada el 26 de octubre de 2026, establece que los informes deben remitirse por el ORS «en un plazo de 10 días hábiles a partir de la fecha de la acción», adjuntando copias de los justificantes pertinentes, como las órdenes de pago. Desde la norma vigente desde el 21 de junio de 2019, la notificación de rechazos abarca cualquier transacción rechazada, no solo las transferencias de fondos.

El informe anual se suele pasar por alto con facilidad. El recordatorio de la OFAC del 1 de julio de 2026 advierte de que «no presentar el ARBP antes del 30 de septiembre constituye una infracción del RPPR» (Reglamento de Notificaciones, Procedimientos y Sanciones de la OFAC). La FAQ 50, modificada el 26 de octubre de 2026, reitera esta obligación.

La notificación es una de las fases más complejas para muchos programas. El director sénior de cumplimiento (responsable de OFAC) en una fintech de pagos de consumo y tarjetas prepago admitió: «La notificación es mi mayor dolor de cabeza ahora mismo». Si una actividad resulta sospechosa pero no coincide con una lista de sanciones, surge otra duda: si procede emitir un Reporte de Actividad Sospechosa (SAR); nuestra guía sobre requisitos para presentar SAR detalla los importes mínimos y los plazos aplicables.

Conservación de registros: 10 años

Conserve los registros de transacciones sujetas a las normas de la OFAC a disposición de los inspectores durante al menos 10 años tras la operación, y los registros de bienes bloqueados mientras dure el bloqueo y durante al menos 10 años tras su desbloqueo (31 CFR 501.601). La guía de introducción de junio de 2026 de la OFAC ratifica este mismo plazo de 10 años.

Los requisitos de conservación de registros de la OFAC cambiaron en 2025. Una norma provisional publicada el 13 de septiembre de 2024 amplió el periodo de cinco a 10 años con efecto desde el 12 de marzo de 2025, y una norma definitiva vigente desde el 21 de marzo de 2025 lo confirmó sin cambios. Esta modificación se alinea con el plazo de prescripción de 10 años fijado por la Ley de Paz mediante la Fuerza del Siglo XXI (aprobada el 24 de abril de 2024) para las infracciones de las leyes de sanciones que aplica la OFAC. Las directrices antiguas que todavía señalan un plazo de cinco años son previas a esta norma de 10 años.

El registro también debe permitir responder con claridad ante una inspección: cuándo se revisó a un cliente o un pago, frente a qué versión de la lista, cómo se resolvió cada coincidencia y quién tomó la decisión. Sin un sistema adecuado, estas pruebas se acaban improvisando: el responsable legal de una plataforma emergente (no bancaria) explicaba que hacían las búsquedas a mano en la web de cada organismo y guardaban capturas de pantalla de los resultados vacíos a modo de justificante.

Marco para los compromisos de cumplimiento de la OFAC

El documento Marco para los compromisos de cumplimiento, publicado por la OFAC el 2 de mayo de 2019, recoge que todo programa de cumplimiento de sanciones basado en el riesgo debe estructurarse en torno a cinco componentes esenciales:

1. Compromiso de la dirección

2. Evaluación del riesgo

3. Controles internos

4. Pruebas y auditoría

5. Formación

La guía de introducción de la OFAC de junio de 2026 continúa remitiendo al Marco y reitera estos cinco componentes, por lo que el documento sigue siendo la referencia actual para cualquier programa de cumplimiento de la OFAC.

La monitorización se encuadra en los controles internos. En el apartado de pruebas y auditoría, el Marco responsabiliza a la entidad de «mejorar su programa —incluidos el software, los sistemas y demás tecnología asociados— para corregir las deficiencias de cumplimiento detectadas». La lista de causas directas de sanciones anteriores incluye fallos en filtros o en el software de control: no incorporar a tiempo las actualizaciones de las listas SDN o SSI, omitir datos identificativos de bancos designados o pasar por alto variantes ortográficas.

El programa también influye en caso de sanción. Las Pautas de aplicación de sanciones económicas (Apéndice A de 31 CFR Parte 501) incluyen la existencia, naturaleza y adecuación de un programa de cumplimiento como factor general atenuante, y el Reglamento de sanciones de la OFAC (31 CFR Parte 505, vigente desde el 25 de septiembre de 2026) mantiene estas directrices sin cambios.

Cómo encaja Oscilar

Oscilar es la plataforma de riesgo basada en agentes para fraude, crédito, altas de clientes y cumplimiento normativo que utilizan bancos, cooperativas de crédito y fintechs. Se trata de una solución integral: estructura de datos en tiempo real, inteligencia sobre dispositivos y comportamiento, motor de reglas y gestión de casos en un único entorno, con agentes nativos integrados.

En un programa de sanciones, lo más determinante es la trazabilidad. Oscilar mantiene un registro de auditoría completo de cada decisión con sus argumentos documentados, diseñado con intervención humana en el proceso («human-in-the-loop»), lo que permite demostrar cómo se resolvió una coincidencia y quién lo hizo. Descubra cómo ayuda Oscilar al cumplimiento de PBC para bancos.

Preguntas frecuentes

¿Es obligatorio por ley el control de la OFAC?

Ninguna ley ni normativa de la OFAC impone un sistema de control o un software específico (FAQ 43 y 124 de la OFAC). Lo que la ley exige es que la entidad no opere jamás con una persona bloqueada ni deje de bloquear bienes, siendo la responsabilidad por incumplimiento objetiva.

¿Es obligatorio revisar las listas no SDN?

La OFAC no lo impone explícitamente. Las listas no SDN implican prohibiciones que no conllevan bloqueo y que varían según la lista, por lo que la medida adecuada ante una coincidencia depende de cada caso y su normativa. Decidir si se revisa cada una es una decisión basada en el riesgo que debe documentarse.

¿Basta el control sobre una entidad para bloquearla según la regla del 50 por ciento?

No. La FAQ 398 de la OFAC aclara que la regla del 50 por ciento atañe a la propiedad y no al control; por tanto, una entidad controlada por personas bloqueadas, pero en la que no posean el 50 % o más, no queda bloqueada de forma automática. No obstante, la OFAC puede designarla expresamente.

¿Con qué frecuencia deben reevaluarse los clientes frente a las listas de la OFAC?

La OFAC no marca una frecuencia fija. Vuelva a evaluar a los clientes cuando las listas cambien, con la periodicidad que determinen la evaluación de riesgos y las políticas por escrito de la entidad (FAQ 28 y 88 de la OFAC).

¿Qué plazo tiene un banco para notificar una transacción bloqueada a la OFAC?

En el plazo de 10 días hábiles a partir de la fecha de bloqueo (31 CFR 501.603), tramitado a través del Sistema de Notificaciones de la OFAC (ORS). Las transacciones rechazadas cuentan con el mismo plazo según el 31 CFR 501.604.

¿Cuánto tiempo deben conservarse los registros de cumplimiento de la OFAC?

Al menos 10 años. Desde el 12 de marzo de 2025, el 31 CFR 501.601 exige guardar los registros de transacciones durante al menos 10 años tras su realización, y los de bienes bloqueados durante 10 años tras su desbloqueo; con anterioridad, el plazo era de cinco años.

¿Cuáles son los cinco componentes de un programa de cumplimiento de la OFAC?

El Marco para los compromisos de cumplimiento de 2019 de la OFAC define cinco: compromiso de la dirección, evaluación del riesgo, controles internos, pruebas y auditoría, y formación.

¿El control de PEP forma parte de la verificación de sanciones de la OFAC?

No. Las personas expuestas políticamente no integran una lista de sanciones, por lo que una coincidencia de PEP por sí sola no exige bloquear ni rechazar operaciones. El control de PEP es un requisito independiente de diligencia debida, explicado en nuestra guía sobre control de PEP.