PBC/FT, fraude y controles de delincuencia financiera bajo un escrutinio reforzado

Eficacia de los controles de PBC/FT bajo una supervisión más intensa y basada en datos

En 2027, la supervisión en materia de PBC/FT evoluciona cada vez más hacia una evaluación de la reducción efectiva del riesgo. Para su organización, esto significa que una autoridad supervisora difícilmente se limitará a comprobar que existe una evaluación global de riesgos, que los clientes son clasificados por nivel de riesgo, que la diligencia debida reforzada está formalmente prevista o que las transacciones son procesadas mediante una plataforma de monitorización. La cuestión más profunda consiste en determinar si estos elementos, considerados conjuntamente, permiten identificar realmente los riesgos presentes en la actividad y si los controles basados en tales evaluaciones producen efectos demostrables sobre la exposición real. Ello exige, por ejemplo, analizar si la evaluación global de riesgos refleja adecuadamente la población efectiva de clientes, las características de los productos, los canales de distribución, las exposiciones geográficas, los flujos transaccionales, los métodos de pago y las tipologías delictivas relevantes. Cuando una evaluación formal clasifica un sector como de riesgo relativamente bajo mientras los datos de incidentes, los informes de actividad inusual, la inteligencia procedente de las autoridades o los resultados de investigaciones internas indican de forma reiterada una exposición mayor, surge un problema de credibilidad. Lo mismo ocurre cuando determinadas categorías de clientes se clasifican formalmente como de alto riesgo, pero la revisión de expedientes demuestra que la diligencia debida reforzada se realiza de manera superficial o que las revisiones periódicas permanecen vencidas durante periodos prolongados. La eficacia se convierte así en una cuestión de coherencia entre la representación declarada del riesgo, la toma de decisiones y la ejecución operativa. Su organización debe poder demostrar que las diferencias entre el marco normativo y la realidad operativa son identificadas, analizadas y corregidas. Las autoridades pueden comprobar cada vez más esta coherencia mediante análisis de poblaciones, solicitudes estructuradas de datos, muestreo de expedientes, pruebas a nivel transaccional y comparación directa entre políticas y datos generados por los sistemas. En consecuencia, resulta progresivamente más difícil que un marco de control documentalmente sofisticado oculte deficiencias estructurales en la ejecución.

Una segunda evolución se refiere al vínculo cada vez más explícito entre la eficacia de PBC/FT y la responsabilidad de la dirección. La primera línea debe asumir realmente la responsabilidad de los riesgos derivados de clientes, productos, mercados y transacciones, en lugar de trasladar de facto dicha responsabilidad a Compliance. La segunda línea debe disponer de suficiente independencia, autoridad, acceso a información y capacidad analítica para cuestionar de manera sustantiva las decisiones comerciales. La tercera línea debe posteriormente evaluar de forma independiente no solo si existen procedimientos, sino también si la información de gestión, las attestations de control y las autoevaluaciones ofrecen una imagen fiable del entorno real de control. Esto genera mayores exigencias internas de información para el consejo de administración y la alta dirección. Cuando existen, por ejemplo, retrasos estructurales en CDD, revisiones activadas por eventos pendientes, elevados volúmenes de alertas de monitorización, fallos recurrentes en quality assurance o hallazgos de auditoría abiertos durante largos periodos, la atención se dirige también a la forma en que estas cuestiones fueron representadas en la información de gestión. ¿Eran suficientemente claros los indicadores? ¿Se mostraban los volúmenes absolutos junto con los porcentajes? ¿Se diferenciaba adecuadamente entre retraso administrativo y posible exposición material al riesgo? ¿Se vinculaban expresamente las deficiencias significativas a determinados segmentos de clientes, productos o jurisdicciones? ¿Se reevaluó el riesgo residual cuando la remediación sufrió retrasos? ¿Asignó la alta dirección recursos adicionales, impuso restricciones o redujo temporalmente determinadas actividades? Estas preguntas demuestran que la eficacia de PBC/FT ya no es exclusivamente una cuestión de compliance. Se trata de gobierno corporativo, juicio de gestión, asignación de recursos, apetito de riesgo y capacidad de demostrar la intervención efectiva de la dirección.

Su organización debe, por consiguiente, medir el rendimiento de PBC/FT con un nivel sensiblemente mayor de granularidad. Los indicadores genéricos, como el porcentaje de revisiones completadas dentro de plazo o el número total de alertas cerradas, ofrecen una visibilidad limitada cuando no muestran la distribución del riesgo subyacente. Un modelo más eficaz distingue, por ejemplo, entre poblaciones de alto riesgo y de riesgo estándar, unidades de negocio, jurisdicciones, tipos de cliente, productos, categorías de alertas, motivos de override, hallazgos de quality assurance y naturaleza de la información ausente o poco fiable. También debe ser posible determinar si las debilidades recurrentes derivan de personas, sistemas, datos, diseño de procesos, capacidad, gobierno o una atribución insuficientemente clara de responsabilidades. La Gestión Integrada de los Riesgos de Delincuencia Financiera requiere, por tanto, una conexión continua entre identificación del riesgo, rendimiento de los controles, información procedente de incidentes y toma de decisiones. Un aumento del porcentaje de falsos positivos, por ejemplo, no puede tratarse únicamente como una molestia operativa si consume la capacidad de los analistas y reduce la atención disponible para señales realmente materiales. Un backlog creciente de CDD no puede evaluarse exclusivamente como una cuestión de productividad cuando se desconoce cuántas de las relaciones afectadas presentan una exposición elevada a sanciones, fraude o corrupción. La evaluación de la eficacia exige, por tanto, una perspectiva combinada jurídica, operativa, forense, analítica y de gobierno. Para empresas sometidas a supervisión intensa, en rápido crecimiento, en proceso de expansión internacional, introduciendo nuevas tecnologías o gestionando poblaciones complejas de clientes, este enfoque integrado se convierte en 2027 en un componente cada vez más importante de la defendibilidad del conjunto del sistema de control de la delincuencia financiera.

Controles del riesgo de fraude y un marco preventivo capaz de influir realmente en el comportamiento

En 2027, la prevención del fraude trasciende ampliamente la existencia de una política antifraude, un canal de denuncias, una matriz de autorizaciones o un modelo de segregación de funciones. La cuestión central pasa a ser cada vez más si su organización comprende realmente sus exposiciones al fraude y puede demostrar que los controles preventivos influyen de forma efectiva en el comportamiento y en la toma de decisiones dentro de los procesos más sensibles. Los fraudes materiales rara vez se producen simplemente porque falte una determinada regla. Muchos casos graves se desarrollan en entornos en los que existen controles formales, pero empleados, proveedores, directivos o contrapartes externas encuentran formas de eludir procedimientos, normalizar excepciones, ocultar información relevante o utilizar estratégicamente las facultades y delegaciones existentes. El análisis se desplaza, por tanto, desde los controles individuales hacia la interacción más amplia entre oportunidad, acceso, autorización, datos, incentivos, supervisión y challenge. Para su organización, esto implica que la evaluación del riesgo de fraude debe reflejar con mucha mayor precisión los procesos empresariales reales. Compras, onboarding de proveedores, tesorería, cuentas a pagar, aprobación de crédito, gestión de siniestros, reembolsos a clientes, nóminas, gastos, reconocimiento de ingresos, incentivos comerciales, fusiones y adquisiciones y relaciones con terceros presentan cada uno vulnerabilidades distintas. Una matriz genérica de riesgo de fraude resulta insuficiente si no examina qué funciones pueden influir en fases críticas del proceso, dónde se concentran las facultades de excepción, cómo pueden modificarse los datos maestros, qué transacciones pueden procesarse fuera de los flujos estándar y qué empleados o terceros combinan varias funciones sensibles. La credibilidad de la prevención del fraude depende, por tanto, de la medida en que el modelo de control refleje la manera en que la actividad se desarrolla realmente.

La atención se desplaza asimismo hacia controles preventivos que sean capaces de resistir overrides, en lugar de limitarse a existir formalmente. Un mecanismo de doble aprobación tiene un valor limitado si el segundo aprobador confirma de manera rutinaria las transacciones sin verificación sustantiva. El screening de proveedores ofrece poca protección cuando las unidades de negocio pueden invocar presión comercial para acelerar el onboarding o cuando las excepciones son aprobadas de forma repetitiva sin challenge significativo. Una declaración de conflicto de intereses ofrece una assurance limitada si los cambios en los intereses económicos no se revisan periódicamente y no se utilizan fuentes externas para verificar la información. La prevención del fraude requiere, por consiguiente, comprender tanto el bypass de controles como el comportamiento humano. Su organización debe saber no solo si un control funciona técnicamente, sino también si los empleados pueden eludirlo, en qué circunstancias ocurre y si los patrones de excepción se hacen visibles con suficiente antelación. El análisis de datos sobre overrides, autorizaciones excepcionales, accesos inusuales, modificaciones de proveedores, cambios en pagos, transacciones realizadas durante fines de semana, asientos manuales, facturas duplicadas y patrones atípicos de autorización adquiere así una importancia creciente. La Gestión Integrada de los Riesgos de Delincuencia Financiera combina esta información con señales procedentes de PBC/FT, sanciones, ciberseguridad, anticorrupción y monitorización de conductas. Un empleado que realice cambios inusuales en los datos maestros de proveedores puede, por ejemplo, resultar relevante desde la perspectiva del fraude, mientras que el mismo patrón puede también ser indicativo de corrupción, elusión de sanciones o uso indebido de accesos privilegiados. La evaluación combinada de estas señales genera una visión del riesgo mucho más completa que la que puede obtenerse mediante silos separados de compliance.

La evolución posiblemente más significativa en 2027 se refiere a la dimensión de gobierno atribuida al riesgo de fraude. Cuando se produce un fraude material, el análisis retrospectivo ya no se limita a identificar a la persona responsable. El escrutinio se extiende también a qué señales preventivas estaban disponibles y cómo respondió a ellas el entorno de control. La información de gestión, incidentes previos, hallazgos de auditoría interna, denuncias internas, información de recursos humanos, datos sobre conflictos de interés y análisis de transacciones inusuales pueden, considerados conjuntamente, revelar un patrón que indique que la organización pudo haber intervenido antes. La calidad del análisis de causa raíz se convierte, por ello, en un elemento esencial. Un incidente no debería cerrarse simplemente con la conclusión de que un empleado incumplió un procedimiento cuando ese mismo procedimiento incorporaba un nivel insuficiente de challenge, los incentivos favorecían conductas inadecuadas o los directivos aceptaban habitualmente excepciones. Una remediación efectiva debe analizar tanto la conducta individual como las condiciones organizativas que la hicieron posible. Para su organización, la gestión del riesgo de fraude queda así cada vez más vinculada a la cultura, la remuneración, la gestión del desempeño, la delegación de autoridad, la presión comercial y la supervisión ejecutiva. La cuestión central en términos de defendibilidad pasa a ser, en última instancia, si los riesgos de fraude conocidos fueron traducidos sistemáticamente en medidas preventivas, si las desviaciones se hicieron visibles a tiempo, si la dirección reaccionó de manera efectiva a las señales de alerta y si las lecciones aprendidas fueron incorporadas estructuralmente al marco más amplio de Gestión Integrada de los Riesgos de Delincuencia Financiera.

La diligencia debida sobre clientes como obligación continua durante todo el ciclo de vida de la relación

En 2027, la Customer Due Diligence continúa evolucionando desde un ejercicio puntual realizado en el onboarding hacia una evaluación continua de si la comprensión inicial del cliente sigue correspondiendo con la realidad actual. Para su organización, ello tiene consecuencias importantes. Al inicio de una relación, un cliente puede presentar una estructura de propiedad relativamente transparente, un modelo de negocio claro y un perfil transaccional previsible, mientras que a lo largo del tiempo puede cambiar la propiedad, incorporarse nuevas sociedades holding, desplazarse la actividad geográfica, sustituirse administradores, surgir exposición política, aumentar el riesgo de sanciones o transformarse radicalmente el comportamiento transaccional. Cuando el CDD continúa basándose principalmente en información recopilada años antes durante el onboarding, la distancia entre el expediente formal del cliente y la exposición real aumenta progresivamente. Las revisiones periódicas, las revisiones activadas por eventos y la monitorización continua se convierten, por ello, en componentes cada vez más importantes de la eficacia demostrable del CDD en 2027. La frecuencia de las revisiones periódicas no es, por sí sola, determinante. Más importante aún es la capacidad de su organización para identificar aquellos acontecimientos que exigen una reevaluación y garantizar que tales acontecimientos conduzcan efectivamente a un nuevo análisis del riesgo. Cambios en la información sobre titulares reales, adverse media, aparición de una nueva condición de PEP, flujos de pagos inusuales, cambios en la actividad empresarial, nuevas exposiciones geográficas, transferencias de propiedad, modificación de datos de contacto o patrones atípicos de utilización pueden justificar una reevaluación.

La calidad del CDD se evalúa además cada vez más en función de la sustancia y no únicamente de la documentación. Recopilar documentos no equivale a comprender a un cliente. Una estructura societaria puede estar plenamente documentada desde una perspectiva formal mientras la propiedad económica, el control, el origen del patrimonio, el origen de los fondos o la justificación comercial continúan siendo insuficientemente comprendidos. Su organización debe, por tanto, diferenciar entre cumplimiento documental y comprensión real del riesgo. Una copia del libro registro de accionistas no explica, por sí sola, por qué se han interpuesto varias entidades jurídicas entre la sociedad operativa y el titular real. Una declaración sobre el origen del patrimonio no es automáticamente suficiente cuando no concuerda con información pública, ingresos históricos, actividades económicas o transacciones conocidas. Una finalidad comercial declarada no debería aceptarse automáticamente cuando el uso real del producto se aparta de forma significativa de dicha descripción. En 2027, adquieren así mayor importancia el análisis de plausibilidad, la corroboración y el challenge basado en evidencias. La información proporcionada por el front office debería poder contrastarse con datos transaccionales, fuentes externas, registros mercantiles, adverse media, intelligence sobre sanciones e información interna sobre el comportamiento del cliente. Cuando surgen inconsistencias, el expediente debe permitir identificar qué empleado las examinó, qué información adicional fue solicitada y por qué motivo la relación fue finalmente mantenida, restringida o terminada. Para las relaciones de alto riesgo se aplica una exigencia probatoria superior, no porque un riesgo elevado esté necesariamente prohibido, sino porque su organización debe poder explicar de forma más convincente por qué el riesgo residual permanece dentro del apetito de riesgo aprobado tras aplicar medidas reforzadas.

La eficacia del CDD a lo largo de todo el ciclo de vida está también directamente relacionada con el gobierno y la asignación de recursos. Los retrasos en las revisiones periódicas son frecuentemente descritos como problemas de capacidad operativa, cuando en realidad pueden representar una exposición material al riesgo. Un backlog de miles de expedientes dice relativamente poco si se desconoce cuántos corresponden a clientes de alto riesgo, PEP, estructuras de propiedad complejas, negocios intensivos en efectivo, exposición a jurisdicciones sancionadas u otros factores de riesgo elevado. Su organización debe, por tanto, ser capaz de analizar y priorizar los atrasos de CDD conforme a criterios verdaderamente basados en riesgo. Lo mismo se aplica a las revisiones activadas por eventos. Cuando un sistema genera miles de alertas pero la lógica de activación es imprecisa o el seguimiento se retrasa estructuralmente, el proceso de lifecycle puede existir formalmente mientras su eficacia real permanece reducida. La Gestión Integrada de los Riesgos de Delincuencia Financiera exige, por consiguiente, que el CDD sea evaluado en conexión con los demás controles. La calidad de los datos de clientes afecta a la monitorización de transacciones, el filtrado de sanciones, la detección del fraude, los controles anticorrupción, la integridad fiscal y la capacidad de investigación. Un titular real registrado incorrectamente puede debilitar múltiples controles posteriores. Una clasificación sectorial errónea puede influir en los umbrales de monitorización. Datos poco fiables sobre actividad esperada pueden reducir la eficacia de la detección de anomalías. El CDD constituye, por tanto, una base informativa esencial del sistema más amplio de control de la delincuencia financiera y, en 2027, las deficiencias de esa base serán cada vez más visibles a través de las debilidades de los controles que dependen de ella.

Monitorización de transacciones bajo el examen de la capacidad de detección, la rapidez y la calidad del seguimiento

En 2027, la monitorización de transacciones está sometida a una presión creciente para demostrar mucho más que elevados volúmenes de alertas. La cuestión central pasa a ser la capacidad de detección: qué comportamientos relevantes se identifican, qué riesgos materiales no se detectan, cuánta capacidad se destina a señales de escaso valor y con qué rapidez se investigan patrones potencialmente urgentes. Para su organización, esto significa que la eficacia de la monitorización de transacciones no puede demostrarse de forma convincente únicamente mediante volúmenes de alertas, tasas de cierre o tiempos medios de tramitación. Estos indicadores siguen siendo relevantes, pero no responden a la cuestión fundamental de si los escenarios, umbrales, segmentaciones y datos de entrada están alineados con los riesgos de delincuencia financiera presentes en la actividad. Un marco de monitorización puede generar cientos de miles de alertas y seguir siendo materialmente inadecuado si no detecta las tipologías relevantes. Por el contrario, un volumen relativamente reducido de alertas puede resultar adecuado cuando los escenarios están correctamente calibrados, la segmentación de clientes es sofisticada y la calidad de las alertas es elevada. La eficacia exige, por tanto, análisis a nivel de escenario. Su organización debe comprender qué riesgos pretende cubrir cada escenario, qué casos históricos ha detectado, qué tasas de falsos positivos produce, qué segmentos resultan afectados de forma desproporcionada y qué tipos de transacciones relevantes pueden quedar fuera de la lógica de detección. La calibración de escenarios se convierte así en algo más que un ejercicio técnico; requiere la combinación de conocimiento jurídico, conocimiento de tipologías, ciencia de datos, operaciones y experiencia investigadora.

La calidad de la investigación de alertas es igualmente determinante. Un sistema de detección puede identificar una señal material, pero si el análisis posterior es superficial, el efecto protector del control se reduce sustancialmente. El cierre de una alerta debería, por tanto, demostrar más que el simple hecho de que un analista la haya revisado. Debería reflejar qué datos se examinaron, qué hipótesis se puso a prueba, qué transacciones históricas se tuvieron en cuenta, qué información del cliente se incorporó y por qué motivo el comportamiento fue finalmente considerado explicable o sospechoso. Las narrativas basadas en plantillas representan un riesgo creciente cuando formulaciones estandarizadas crean una apariencia de revisión consistente mientras el análisis subyacente es limitado. La quality assurance debe, por ello, hacer algo más que verificar si los campos obligatorios están cumplimentados. Debe evaluar si la conclusión se deriva lógicamente de los elementos revisados, si la información contradictoria fue tratada y si los criterios de escalado fueron aplicados correctamente. La competencia de los analistas, la carga de trabajo, las herramientas de gestión de casos, el acceso a información y la revisión supervisora se convierten así en componentes integrales de la eficacia de la monitorización de transacciones. Una carga de casos estructuralmente elevada puede, por ejemplo, permitir el cumplimiento formal de los niveles de servicio mientras se deteriora la profundidad del análisis. Una tasa reducida de escalado puede reflejar un modelo bien calibrado, pero también puede indicar que los analistas cierran señales con demasiada rapidez. Sin análisis cualitativo adicional, la dirección puede extraer conclusiones incorrectas de indicadores de rendimiento aparentemente positivos.

Una tercera dimensión se refiere a la relación entre la monitorización de transacciones y el marco más amplio de Gestión Integrada de los Riesgos de Delincuencia Financiera. La monitorización de transacciones no debería operar como un sistema cerrado limitado al análisis del comportamiento histórico de los pagos. La información relevante procedente de investigaciones, casos de fraude, incidentes de sanciones, solicitudes de autoridades, feedback de Unidades de Inteligencia Financiera, salidas de clientes, denuncias internas e intelligence externa debería reintegrarse en el diseño de escenarios y en el desarrollo de tipologías. Si una investigación interna identifica un nuevo método de transferencia fraudulenta de valor, la organización debería evaluar si los mecanismos de monitorización existentes podrían haber detectado esa actividad anteriormente. Si un caso de elusión de sanciones se apoya en determinados intermediarios, jurisdicciones o estructuras transaccionales, ello puede justificar nuevas reglas de detección. Cuando varios casos de falsos negativos ponen de manifiesto la misma debilidad, puede ser necesaria una revisión del modelo. De este modo se crea un ciclo continuo de mejora en el que detección, investigación, intelligence y mejora de controles se refuerzan mutuamente. Para su organización, la dimensión probatoria es especialmente importante. En 2027, las autoridades pueden preguntar no solo qué escenarios están activos, sino cuándo fueron validados por última vez, qué cambios se introdujeron tras determinados incidentes, qué limitaciones del modelo son conocidas, quién aceptó el riesgo residual y qué controles compensatorios se implantaron. La monitorización de transacciones se convierte así cada vez más claramente en una competencia de gestión del riesgo a escala empresarial, en la que la tecnología constituye únicamente una parte de un sistema mucho más amplio formado por datos, juicio humano, gobierno y challenge.

Filtrado de sanciones y controles de elusión sometidos a una prueba de eficacia más exigente

En 2027, el filtrado de sanciones ya no resulta convincente por el mero hecho de que su organización pueda demostrar que los nombres de clientes y contrapartes se comparan periódicamente con las listas de sanciones relevantes. La exposición a sanciones surge cada vez con mayor frecuencia a través de titularidades indirectas, intermediarios, estructuras societarias complejas, rutas comerciales cambiantes, sociedades pantalla, reexportaciones, transbordos, circuitos alternativos de pago y otros mecanismos mediante los cuales la exposición real puede permanecer fuera de un simple name match. El control de sanciones se convierte así en una cuestión investigadora y de datos mucho más amplia. Un cliente puede no figurar directamente en una lista de sanciones mientras el interés económico final, el control efectivo, la ruta de la transacción, el destino de los bienes o la participación de terceros generan, no obstante, una exposición material. Para su organización, el filtrado de sanciones debe integrarse de forma creciente con la identificación de titulares reales, el análisis de la propiedad y el control, la monitorización de transacciones, los datos comerciales, la diligencia debida sobre terceros, la evaluación de riesgo país y la información adversa. La eficacia del sistema depende, por tanto, en parte de la calidad de los datos procedentes de otros procesos. Si los datos de titularidad son incompletos, las relaciones indirectas con personas sancionadas pueden permanecer invisibles. Si los datos de dirección no están suficientemente normalizados, pueden producirse falsos negativos. Si la información sobre productos o mercancías es deficiente, el riesgo de sanciones asociado al comercio puede no ser identificado adecuadamente. La Gestión Integrada de los Riesgos de Delincuencia Financiera no constituye, por tanto, en el ámbito de las sanciones, un concepto abstracto, sino una necesidad práctica, ya que los indicadores relevantes se encuentran distribuidos entre múltiples fuentes de datos y procesos operativos.

El rendimiento técnico del screening también está sometido a un escrutinio más riguroso. El fuzzy matching, la transliteración, los alias, los nombres de embarcaciones, los cambios de propiedad, las actualizaciones de listas y las reglas de supresión pueden influir de forma sustancial en los resultados. Un sistema configurado de forma excesivamente restrictiva puede generar enormes volúmenes de falsos positivos, consumir la capacidad de los analistas y reducir la atención disponible para las alertas verdaderamente materiales. Por el contrario, tolerancias de matching demasiado amplias pueden generar falsos negativos con consecuencias jurídicas y operativas potencialmente graves. La validación periódica se convierte, por tanto, en un elemento esencial. Su organización debería poder demostrar cómo fueron determinados los parámetros de coincidencia, qué datos de prueba se utilizaron, cómo se detectan nombres conocidos de personas sancionadas, qué variantes ortográficas se incluyen y cómo se gobiernan los cambios de modelo. Las listas de supresión merecen especial atención. Las supresiones acumuladas históricamente pueden resultar operativamente convenientes, pero deben revisarse periódicamente para evitar que una coincidencia previamente considerada inocua se convierta posteriormente en material debido a un cambio de circunstancias. El tiempo de respuesta también es relevante. Una alerta de screening analizada únicamente después de que la transacción haya sido ejecutada puede comprometer de forma sustancial la función preventiva del control. Los controles en tiempo real, previos a la transacción y posteriores a ella deben, por tanto, estar expresamente alineados con el riesgo subyacente y el contexto operativo.

La elusión de sanciones representa, por último, uno de los ámbitos más exigentes del control de sanciones en 2027. La existencia de tecnología sofisticada de screening no impide que la exposición pueda surgir a través de estructuras económicas o comerciales formalmente situadas fuera de los parámetros iniciales del control. Su organización debe, por tanto, aprender a analizar con creciente profundidad el comportamiento y el contexto. Nuevos distribuidores en jurisdicciones vecinas, cambios inesperados en rutas de transporte, intermediarios de pago inusuales, cambios repentinos de usuarios finales, volúmenes comerciales incompatibles con fundamentos económicos o reestructuraciones societarias efectuadas poco después de la adopción de nuevas medidas restrictivas pueden justificar un análisis reforzado. Ello exige competencias especializadas que superan ampliamente el simple filtrado de nombres. Interpretación jurídica, corporate intelligence, análisis del comercio, análisis forense de datos y conocimiento de tipologías de elusión deben operar de forma combinada. El gobierno adquiere asimismo mayor relevancia cuando la potencial exposición a sanciones genera consecuencias comerciales significativas. Las decisiones relativas al bloqueo de transacciones, la suspensión de suministros, la terminación de relaciones o la aceptación del riesgo residual deben ser trazables, estar adecuadamente justificadas y ser coherentes. Una organización sometida a escrutinio externo en 2027 debe, por consiguiente, poder demostrar que el control de sanciones no se limitó a un filtrado automatizado de listas, sino que los riesgos conocidos de elusión fueron sistemáticamente traducidos en detección, diligencia debida reforzada, escalado y decisiones de la dirección. La eficacia de los controles de sanciones constituye así uno de los ejemplos más claros de la transformación más amplia de la Gestión Integrada de los Riesgos de Delincuencia Financiera: del mero hecho de que los controles existan a la capacidad demostrable de identificar oportunamente riesgos complejos de delincuencia financiera e intervenir de forma efectiva cuando dichos riesgos se materializan.

Anticorrupción, diligencia debida sobre terceros y controles de compras como cuestión integrada de integridad

En 2027, aumentará aún más la presión sobre su organización para que los riesgos de corrupción, los riesgos vinculados a terceros y los riesgos asociados a compras dejen de tratarse como ámbitos separados de cumplimiento y pasen a considerarse componentes estrechamente interrelacionados de la Gestión Integrada de los Riesgos de Delincuencia Financiera. Una parte significativa de los incidentes materiales de integridad no surge dentro del perímetro claramente definido de un único control, sino en la intersección entre la toma de decisiones comerciales, la selección de proveedores, la contratación, el uso de intermediarios, los pagos, las prácticas locales de mercado y una visibilidad insuficiente sobre los intereses económicos que subyacen a una relación. Un distribuidor puede ser simultáneamente una contraparte comercial, un representante, un receptor de pagos y un punto de acceso a funcionarios públicos. Un consultor puede prestar formalmente servicios legítimos mientras unas comisiones de éxito elevadas, una insuficiente acreditación de los servicios prestados, estructuras opacas de subcontratación o pagos dirigidos a otras jurisdicciones generan indicadores adicionales de riesgo. Un proveedor puede cumplir los criterios ordinarios de procurement y, al mismo tiempo, estar vinculado a un empleado, administrador, figura política u otro interesado cuya relación no aparezca en la información inicial de onboarding. En 2027, su organización debe, por tanto, ir mucho más allá de la mera existencia de una política anticorrupción, un código de conducta para proveedores o un proceso formal de diligencia debida sobre terceros. La cuestión decisiva es si el conjunto del sistema de control puede identificar relaciones, transacciones y circunstancias comerciales en las que puedan materializarse sobornos, conflictos de interés, facturación fraudulenta, elusión de sanciones u otros riesgos de delincuencia financiera. Esto exige que la evaluación del riesgo no se limite a la fase anterior a la contratación, sino que continúe durante toda la vida de la relación. Los cambios en el accionariado, la dirección, los intermediarios utilizados, la exposición geográfica, las estructuras de pago, el alcance contractual o los esquemas de comisiones pueden justificar cada uno una nueva evaluación. La calidad de la Gestión Integrada de los Riesgos de Delincuencia Financiera dependerá, por tanto, cada vez más de la capacidad de su organización para detectar oportunamente cambios en el riesgo de terceros y traducirlos en medidas reforzadas de diligencia debida, salvaguardas contractuales adicionales, aprobaciones más estrictas o terminación de la relación.

Las compras constituyen un área especialmente sensible dentro de esta evolución, porque la urgencia comercial, la presión temporal y la dependencia operativa pueden llevar fácilmente a excepciones respecto de los controles existentes. Las compras de emergencia, los contratos con proveedor único, las excepciones de onboarding, los procesos acelerados de incorporación o las aprobaciones retroactivas pueden resultar explicables desde el punto de vista operativo y, al mismo tiempo, incrementar el riesgo de que el challenge previsto sea eludido de facto. Para su organización resulta, por ello, esencial no solo registrar que se producen excepciones, sino analizar por qué se producen, quién las aprueba, quién se beneficia de ellas y si determinadas personas, equipos, proveedores, regiones o categorías utilizan de manera estructuralmente desproporcionada estas vías de excepción. La conexión entre los datos de compras, cuentas a pagar, gestión contractual, recursos humanos, declaraciones de conflicto de interés, viajes y gastos y modificaciones de datos maestros puede revelar patrones que permanecerían invisibles en sistemas separados. Compras fraccionadas de forma recurrente justo por debajo de los umbrales de aprobación, proveedores cuyo volumen de negocio aumenta abruptamente poco después del onboarding, modificaciones frecuentes de cuentas bancarias, facturas sin evidencia suficiente de la prestación realizada, importes redondos o concentraciones inusuales de contratos con determinados proveedores pueden justificar una revisión adicional. Cuando estos indicadores se combinan con información sobre relaciones personales de empleados, condición de PEP, exposición geográfica, adverse media o incidentes previos, emerge una visión de integridad mucho más completa. La Gestión Integrada de los Riesgos de Delincuencia Financiera exige, por tanto, que el análisis de compras no se utilice únicamente para mejorar la eficiencia o controlar costes, sino también como fuente de monitorización de integridad. Para el consejo de administración y la alta dirección, resulta igualmente importante que los resultados de estos análisis no permanezcan confinados al nivel operativo. Las desviaciones estructurales deben traducirse en información de gestión capaz de mostrar dónde confluyen intereses económicos, presión comercial y debilidades de control y qué intervenciones son necesarias para reducir efectivamente la exposición.

La carga probatoria asociada a la anticorrupción y al gobierno de terceros se intensifica además cuando se produce un incidente. Una organización que posteriormente se enfrente a acusaciones de soborno, kickbacks, conflictos de interés o utilización indebida de intermediarios debe poder reconstruir qué información estaba disponible con anterioridad, qué diligencia debida se realizó, qué señales de alerta fueron detectadas, qué escalados tuvieron lugar y sobre qué base la relación fue aprobada o mantenida. La mera existencia de un expediente de due diligence es insuficiente si no demuestra que la información contradictoria o adversa fue realmente analizada. Del mismo modo, las cláusulas contractuales anticorrupción tienen un valor defensivo limitado si la organización no verifica si la tercera parte cumple efectivamente esas obligaciones durante la relación. Para su organización, el gobierno de terceros adquiere así una función probatoria continua. La toma de decisiones debe ser trazable, las excepciones deben estar sustantivamente justificadas y las aceptaciones de riesgo relevantes deben ser visibles en el nivel donde realmente residen la autoridad y la responsabilidad. La formación también debe ser mucho más específica por función. Una formación anual y general en materia anticorrupción ofrece una assurance limitada si los empleados que trabajan en compras, ventas, relaciones institucionales o expansión de mercado no reciben preparación específica sobre los riesgos asociados a sus funciones. En 2027, será, por tanto, cada vez más importante conectar conocimiento, controles, datos y toma de decisiones. Un marco creíble de Gestión Integrada de los Riesgos de Delincuencia Financiera demuestra que su organización no se ha limitado a implementar requisitos formales anticorrupción, sino que comprende activamente dónde pueden surgir influencias indebidas, conflictos de interés e incentivos económicos atípicos y qué intervenciones demostrables aplica para reducir esos riesgos.

Calidad de los datos, dependencias entre controles y debilidades sistémicas como núcleo de la gestión de la delincuencia financiera

En 2027, la calidad de los datos se convertirá en uno de los factores más determinantes de la fiabilidad del control de la delincuencia financiera. Prácticamente todos los controles materiales dependen de información recopilada, enriquecida, almacenada o transmitida en otras partes de la organización. La clasificación del riesgo de cliente depende de que las características del cliente sean correctas. El filtrado de sanciones depende de nombres completos, fechas de nacimiento, domicilios, nacionalidades y datos de titularidad fiables. La monitorización de transacciones depende de información coherente sobre productos, canales y contrapartes. La detección del fraude se basa en datos fiables sobre empleados, proveedores y pagos. Los controles anticorrupción dependen de información sobre intermediarios, titularidad, contratos y flujos financieros. Cuando una de estas fuentes de datos es incompleta, obsoleta, está mal mapeada o resulta internamente inconsistente, varios controles pueden debilitarse simultáneamente. La calidad de los datos deja así de ser una cuestión meramente tecnológica u operativa y se convierte en un componente material de la Gestión Integrada de los Riesgos de Delincuencia Financiera. Para su organización, ello significa que la eficacia de los controles no puede evaluarse de manera convincente sin comprender la trazabilidad de los datos sobre los que dichos controles descansan. Debe ser posible determinar dónde se originan los datos críticos, qué transformaciones sufren, qué sistemas dependen de ellos, qué conciliaciones se realizan y qué limitaciones conocidas persisten. Un escenario de monitorización de transacciones puede, por ejemplo, estar correctamente diseñado desde un punto de vista sustantivo y seguir siendo ineficaz si determinados campos de pago relevantes no se transmiten íntegramente. Un motor de sanciones puede funcionar adecuadamente desde una perspectiva técnica y, sin embargo, no detectar la titularidad indirecta si los datos de UBO no se actualizan oportunamente. La evaluación de la eficacia se convierte así inevitablemente en una evaluación de la procedencia, integridad, exactitud, actualidad y consistencia de los datos.

La misma lógica se aplica a las dependencias entre sistemas. El control de la delincuencia financiera rara vez funciona dentro de un único entorno tecnológico plenamente integrado. Muchas organizaciones siguen dependiendo de plataformas heredadas, múltiples sistemas regionales, intervenciones manuales, hojas de cálculo, bases de datos locales e interfaces implantadas en diferentes momentos. Esta fragmentación puede generar riesgos ocultos que permanecen invisibles mientras los controles se evalúen únicamente a nivel de proceso. Un modelo de clasificación de riesgo puede, por ejemplo, producir resultados distintos cuando los datos se codifican de manera diferente en dos sistemas legacy. Una decisión de salida de cliente puede registrarse correctamente en una plataforma mientras otros sistemas siguen mostrando la relación como activa. Una alerta de filtrado puede cerrarse sin que el analista haya tenido acceso a información relevante almacenada en una plataforma separada de investigaciones. Las cargas manuales o los flujos periódicos de datos pueden introducir retrasos que hagan que la monitorización vaya por detrás de las transacciones efectivamente realizadas. Su organización debe, por tanto, verificar no solo los sistemas individualmente, sino también la transferencia de información entre ellos. Los fallos de interfaz, errores de mapeo, rupturas de conciliación y datos obsoletos deben integrarse en la evaluación de la eficacia de los controles. Esto exige un inventario claro de los elementos críticos de datos y de las dependencias críticas entre controles. Cuando, por ejemplo, un único identificador de entidad jurídica se utiliza para CDD, sanciones, monitorización y reporting, debe entenderse qué impacto puede tener un error en dicho identificador sobre múltiples controles. La Gestión Integrada de los Riesgos de Delincuencia Financiera exige así una perspectiva transversal a los sistemas, en la que las dependencias técnicas se evalúen atendiendo a su impacto potencial sobre los riesgos de delincuencia financiera.

El consejo de administración y la alta dirección asumen además una responsabilidad cada vez más explícita para evitar que las limitaciones conocidas de datos sean tratadas simplemente como deficiencias técnicas. Cuando una organización sabe que un determinado flujo de datos es incompleto, debe evaluar el riesgo residual resultante, identificar controles compensatorios y establecer un calendario de remediación creíble. Un problema recurrente de gobierno se produce cuando determinadas deficiencias sistémicas de larga duración se registran como limitaciones conocidas en documentación de proyecto, pero no se trasladan adecuadamente al perfil de riesgo presentado a los órganos de gobierno o supervisión. Un problema puede ser técnicamente conocido desde hace años y, en la práctica, afectar a miles de expedientes, transacciones u operaciones de screening que no han sido evaluadas de manera completa. En esas circunstancias, su organización debe poder demostrar que se analizó el significado material de la deficiencia. ¿Cuántos clientes se vieron afectados? ¿Qué categorías de riesgo están implicadas? ¿Qué periodo es relevante? ¿Pudieron decisiones anteriores haberse basado en información incompleta? ¿Es necesario realizar un lookback? ¿Deben informarse las autoridades? ¿Debe ajustarse temporalmente el apetito de riesgo? Preguntas de esta naturaleza muestran que, en 2027, el gobierno del dato se conecta directamente con la exposición jurídica, la remediación y la responsabilidad ejecutiva. Un marco creíble de Gestión Integrada de los Riesgos de Delincuencia Financiera exige, por tanto, que su organización no solo conozca dónde existen problemas de datos, sino que también pueda cuantificar su impacto sobre los controles, asignar la prioridad adecuada a su remediación y aplicar medidas compensatorias mientras se alcanza una solución estructural.

Testing de controles, validación y assurance independiente como prueba de la eficacia real

En 2027, el testing de controles se convertirá en uno de los principales instrumentos mediante los cuales su organización podrá demostrar que la gestión de la delincuencia financiera funciona efectivamente. La existencia de políticas, mapas de procesos y descripciones de controles ofrece poca información sobre si los empleados aplican las medidas de forma consistente, si los sistemas funcionan como se espera y si las desviaciones se detectan a tiempo. Un testing eficaz debe, por tanto, ir mucho más allá de un muestreo periódico destinado únicamente a comprobar si los campos obligatorios están cumplimentados. La prueba debe estar directamente vinculada con el riesgo que el control pretende mitigar y debe establecer si el control alcanza realmente el resultado previsto. En materia de CDD, por ejemplo, no basta con verificar que existe un formulario de UBO; también debe analizarse si el UBO identificado resulta plausible, si se han examinado los niveles relevantes de titularidad, si se tuvo en cuenta adverse information y si la calificación de riesgo asignada se deriva lógicamente de las evidencias disponibles. En la monitorización de transacciones, no basta con comprobar que las alertas fueron cerradas dentro de plazo; también debe evaluarse si los escenarios detectan las tipologías relevantes, si las investigaciones presentan suficiente profundidad y si los criterios de escalado se aplican correctamente. En el filtrado de sanciones, deben someterse a prueba tanto el rendimiento técnico del matching como la calidad de la respuesta organizativa. El testing de controles se convierte así en una forma de assurance sustantiva: su organización debe poder demostrar que el sistema de control no existe solo formalmente, sino que reduce realmente los riesgos de delincuencia financiera.

La calidad del testing depende en gran medida de su independencia, metodología y profundidad. El testing de primera línea puede aportar un control de calidad útil en el día a día, pero no proporciona automáticamente suficiente assurance sobre la eficacia estructural. La segunda línea debe, por tanto, ser capaz de realizar revisiones temáticas basadas en riesgo que comparen unidades de negocio, productos, segmentos de clientes y jurisdicciones. La tercera línea debe posteriormente evaluar de forma independiente si el gobierno, el diseño de controles y la eficacia operativa, considerados conjuntamente, ofrecen una imagen fiable del entorno de control. Es importante que las diferentes capas de assurance no se limiten a repetir exactamente las mismas pruebas. Si primera línea, Compliance y Auditoría Interna utilizan todos la misma checklist, una organización puede parecer muy activa en materia de assurance sin llegar a detectar debilidades más profundas. La Gestión Integrada de los Riesgos de Delincuencia Financiera exige, por ello, un enfoque coordinado de assurance en el que esté claro qué riesgos prueba cada función, dónde existen lagunas de assurance y cómo se interpretan colectivamente los hallazgos. El análisis de datos puede reforzar significativamente este proceso. Los análisis de población completa pueden identificar patrones que el muestreo no detecta, como concentraciones de overrides, diferencias entre equipos, revisiones recurrentemente tardías o tasas de excepción inusualmente elevadas. El testing puede, por tanto, evolucionar desde una revisión episódica del control hacia una capacidad más continua para detectar desviaciones y deterioros.

La validación adquiere además una importancia creciente en relación con modelos, escenarios, metodologías de scoring y decisiones automatizadas. Cuando su organización utiliza modelos de clasificación de riesgo, escenarios de monitorización, aplicaciones de machine learning o sistemas automatizados de screening, debe quedar claro si dichas herramientas siguen alineadas con el perfil de riesgo actual. Un modelo puede funcionar correctamente desde un punto de vista técnico y, sin embargo, quedar sustantivamente obsoleto porque han cambiado el comportamiento de los clientes, las tipologías delictivas, los productos o las circunstancias externas. La validación periódica debe, por tanto, examinar los datos de entrada, las hipótesis, los umbrales, los resultados y las limitaciones conocidas. También resulta crítica la gobernanza de los cambios de modelo. ¿Quién puede modificar parámetros? ¿Qué análisis de impacto se realiza? ¿Qué aprobaciones son necesarias? ¿Cómo se prueban las modificaciones antes de su implantación? ¿Cómo se comprueba que un cambio no haya generado involuntariamente nuevas lagunas de detección? Para su organización, la validación no constituye así un mero ejercicio técnico, sino un componente esencial de gobierno y de preparación probatoria. Si posteriormente surgen cuestiones relativas a señales no detectadas, su organización debe poder demostrar que el modelo relevante fue sometido periódicamente a challenge, que sus limitaciones conocidas estaban documentadas y que la dirección adoptó decisiones conscientes respecto del riesgo residual. En 2027, la assurance independiente se convierte, por ello, en un instrumento defensivo cada vez más importante, porque demuestra que su organización no confía acríticamente en su propio entorno de control, sino que examina sistemáticamente dónde pueden fallar las hipótesis, los procesos y la tecnología.

Análisis de causa raíz, lookbacks y exposición histórica como fundamento de una remediación creíble

Cuando se identifica una deficiencia material, en 2027 la atención se desplazará casi inmediatamente hacia la cuestión de si el problema es aislado o sistémico. Una clasificación incorrecta del riesgo cliente puede derivar de un error individual de juicio, pero también puede revelar deficiencias en formación, diseño del modelo, calidad de datos o incentivos comerciales. Un match de sanciones no detectado puede ser consecuencia de una variante ortográfica excepcional, pero también puede reflejar problemas estructurales de transliteración, lógica de supresión o datos de UBO. Un caso de fraude puede derivar de una manipulación individual y, al mismo tiempo, encontrar su origen en una segregación de funciones insuficiente, una revisión supervisora inadecuada o una cultura en la que los overrides son tolerados de forma sistemática. El análisis de causa raíz debe, por tanto, ir mucho más allá de la identificación del error inmediato. Para su organización, toda cuestión material debería examinarse desde múltiples perspectivas: personas, procesos, datos, sistemas, gobierno, incentivos, capacidad y competencias. Solo cuando esté claro tanto por qué pudo producirse la deficiencia como por qué los mecanismos de detección y assurance existentes no la identificaron antes puede diseñarse una remediación creíble. De lo contrario, existe un riesgo significativo de que se introduzcan nuevas políticas, formación adicional o equipos temporales de remediación sin abordar la causa subyacente. La Gestión Integrada de los Riesgos de Delincuencia Financiera exige, por el contrario, que los hallazgos se remonten hasta los factores estructurales capaces de afectar simultáneamente a varios riesgos de delincuencia financiera.

Los lookbacks adquieren, en consecuencia, una importancia creciente. Una vez identificado un fallo de control, las preguntas siguientes son desde cuándo existe la deficiencia, qué población puede haber resultado afectada y si determinadas decisiones históricas deben revisarse. Las consecuencias pueden ser considerables. Un error en la lógica de clasificación de riesgo puede afectar a miles de expedientes de clientes. Un defecto de screening puede convertir en relevantes determinadas transacciones históricas. Un escenario deficiente de monitorización puede exigir volver a analizar transacciones ya procesadas. Una identificación incompleta de UBO puede obligar a revisar decisiones de aceptación de clientes, condición de PEP, exposición a sanciones y análisis de origen de fondos. Para su organización resulta, por tanto, esencial definir cuidadosamente el alcance y la metodología del lookback. Un alcance demasiado limitado puede ser posteriormente criticado por insuficiente rigor, mientras que una revisión innecesariamente amplia puede resultar costosa y desproporcionada. El perímetro debería basarse en hipótesis concretas relativas al periodo, la población, el producto, la jurisdicción, la versión del sistema y las dependencias de control relevantes. El análisis de datos puede ayudar a cuantificar la exposición y establecer prioridades basadas en riesgo. Las consideraciones jurídicas también desempeñan un papel central, incluidas las relativas a privilegio, obligaciones de notificación, protección de datos, derechos individuales y relación con las autoridades. Un lookback no constituye, por tanto, una mera revisión operativa, sino un proceso integrado de investigación y gobierno.

La exposición histórica también adquiere relevancia en la forma en que las autoridades evalúan la gravedad de una deficiencia. Una organización que identifica autónomamente un problema, investiga de manera transparente su alcance, reevalúa los clientes o transacciones afectados y aplica mejoras estructurales demostrables se encuentra en una posición sustancialmente distinta de aquella que minimiza la cuestión o limita la remediación únicamente a procesos futuros. Ello no significa que toda deficiencia deba conducir automáticamente a una reconstrucción histórica ilimitada. La proporcionalidad, la materialidad y la delimitación basada en riesgo siguen siendo esenciales. Para el consejo de administración y la alta dirección, esto significa que las decisiones relativas al alcance del lookback, la remediación y una eventual disclosure deben quedar cuidadosamente documentadas. ¿Qué hechos se conocían? ¿Qué alternativas se consideraron? ¿Por qué se eligió un determinado periodo o una determinada población? ¿Qué incertidumbres permanecían? ¿Se implicaron asesores externos o revisores independientes? Tales decisiones pueden convertirse posteriormente en objeto de revisión supervisora, investigación o litigio. La Gestión Integrada de los Riesgos de Delincuencia Financiera exige, por tanto, que el análisis de causa raíz y los lookbacks no se consideren simples actividades de cierre de un programa de remediación, sino mecanismos esenciales mediante los cuales su organización aprende de los incidentes, gestiona la exposición histórica y refuerza de manera demostrable la eficacia futura de sus controles.

Del diseño de controles a la eficacia demostrable de la Gestión Integrada de los Riesgos de Delincuencia Financiera

La evolución más fundamental en 2027 consiste en que su organización dejará de ser evaluada principalmente por la mera razonabilidad del diseño de sus controles individuales. El análisis se desplaza hacia una cuestión combinada: ¿permite realmente la Gestión Integrada de los Riesgos de Delincuencia Financiera detectar riesgos a tiempo, generar challenge significativo, escalar eficazmente y producir resultados distintos cuando surge un riesgo elevado? Esta evolución modifica profundamente el estándar aplicable a un sistema de control creíble. Una organización puede disponer formalmente de políticas, comités, líneas de reporting, evaluaciones de riesgo y sistemas de monitorización y, aun así, resultar deficiente si las señales materiales de alerta no influyen de forma consistente en la toma de decisiones. La cuestión relevante pasa a ser, por tanto, qué comportamientos concretos produce el framework. ¿Se trata realmente de manera distinta a los clientes de alto riesgo frente a los clientes de riesgo estándar? ¿La adverse information conduce efectivamente a diligencia debida reforzada? ¿Se bloquean realmente transacciones cuando el riesgo no puede explicarse adecuadamente? ¿Se limita el crecimiento comercial cuando la capacidad de control resulta insuficiente? ¿Los hallazgos recurrentes de auditoría conducen a cambios estructurales? ¿Se rechazan efectivamente las excepciones? ¿Se terminan relaciones cuando el riesgo residual supera el apetito de riesgo aprobado? La eficacia se materializa precisamente en estos momentos de decisión. Su organización debe, por tanto, poder presentar una cadena probatoria que vaya desde la identificación del riesgo hasta la respuesta de control, desde la respuesta de control hasta la actuación de la dirección y desde esta actuación hasta una reducción demostrable del riesgo.

Esta evolución exige una calidad distinta de información de gestión. Los dashboards tradicionales con volúmenes de alertas, revisiones pendientes, tasas de finalización de formación o hallazgos de auditoría siguen siendo relevantes, pero resultan insuficientes si no explican la verdadera significación del riesgo subyacente. Un consejo de administración debe poder comprender qué segmentos de clientes representan el mayor riesgo residual, dónde se está deteriorando la eficacia de los controles, qué programas de remediación sufren retrasos, qué limitaciones de datos afectan simultáneamente a varios controles y dónde se producen decisiones materiales de aceptación de riesgo. La Gestión Integrada de los Riesgos de Delincuencia Financiera exige, por tanto, información capaz de conectar distintos ámbitos de práctica. Un aumento del número de clientes de alto riesgo debería, por ejemplo, analizarse conjuntamente con la capacidad de CDD, los volúmenes de monitorización de transacciones, la exposición a sanciones y la carga de trabajo de los equipos de investigación. Un incremento de las excepciones de procurement puede relacionarse con indicadores de fraude, third-party risk y datos sobre conflictos de interés. Un aumento de incidentes cibernéticos puede tener consecuencias sobre el fraude de pagos, el riesgo interno y la integridad de los datos. De este modo se crea una visión de gobierno más integrada en la que el número de issues de control considerados individualmente resulta menos importante que la forma en que los riesgos de delincuencia financiera interactúan, se acumulan y se refuerzan entre sí. Ello impone mayores exigencias en materia de agregación de riesgos, análisis de escenarios y gobierno. La alta dirección no debe únicamente saber dónde están los problemas, sino también comprender cómo distintas deficiencias pueden amplificarse mutuamente y qué prioridades deben derivarse de esa interacción.

En última instancia, en 2027 la defendibilidad de la gestión de la delincuencia financiera dependerá cada vez más de su capacidad de demostración. Su organización debe poder reconstruir qué riesgos eran conocidos, qué información estaba disponible, qué decisiones se adoptaron, quién era responsable, qué alternativas se consideraron y qué resultados se derivaron de las medidas aplicadas. Los registros de gobierno, los documentos de comités, las decisiones de aceptación de riesgo, los resultados de testing, los análisis de incidentes, las decisiones de remediación y las intervenciones de la dirección pasan así a formar parte de la base probatoria mediante la cual la eficacia será posteriormente evaluada. La Gestión Integrada de los Riesgos de Delincuencia Financiera adquiere, en este contexto, una relevancia claramente estratégica y jurídica. El framework no debería limitarse a prevenir incumplimientos de las obligaciones aplicables; también debería permitir a su organización explicar de forma convincente ante autoridades supervisoras, órganos de investigación, auditores, accionistas, entidades financieras y otros stakeholders por qué su entorno de control era proporcionado y efectivo. Una organización que intente construir esta posición probatoria únicamente después de producirse un incidente se encontrará estructuralmente en una posición más débil. Por el contrario, una organización que documente de forma continua y conecte entre sí el rendimiento de los controles, el testing, el análisis de causa raíz, la remediación y el challenge ejecutivo dispondrá de una base mucho más sólida para demostrar que los riesgos de delincuencia financiera son comprendidos y gestionados de forma efectiva. La eficacia demostrable se convierte así, en 2027, no simplemente en el punto final del cumplimiento en materia de delincuencia financiera, sino en el criterio central conforme al cual será evaluada en su conjunto la Gestión Integrada de los Riesgos de Delincuencia Financiera.