Bancos, instituciones financieras y fintech

AML/CFT, KYC y riesgos de integridad en la relación con el cliente

AML/CFT, KYC y customer integrity constituyen la base de una gestión coordinada de los riesgos de delincuencia financiera, porque prácticamente cualquier evaluación posterior del riesgo depende de la calidad con la que su organización comprende quién es el cliente, quién ejerce efectivamente el control, quién obtiene en última instancia el beneficio económico, por qué se establece la relación, de dónde proceden el patrimonio y los fondos y si las transacciones siguen siendo coherentes con el perfil definido del cliente. La Customer Due Diligence no puede reducirse a la recopilación de documentos de identidad, la cumplimentación de cuestionarios digitales o la realización de un screening puntual durante el onboarding. Una evaluación efectiva requiere un análisis conjunto de la identidad, la forma jurídica, las estructuras de propiedad y control, las actividades económicas, la presencia geográfica, los productos utilizados, los flujos transaccionales esperados, la source of funds, la source of wealth, la posición fiscal, las relaciones comerciales, los intermediarios, las personas políticamente expuestas, la exposición a sanciones y otros indicadores relevantes de integridad. En el caso de personas físicas puede ser necesaria una atención reforzada cuando el patrimonio no guarda relación con los ingresos conocidos, cuando las transacciones se canalizan a través de empresas vinculadas, cuando las fuentes de ingresos extranjeras no resultan suficientemente claras, cuando existe un uso frecuente de efectivo, cuando se observan transferencias atípicas entre cuentas personales y empresariales o cuando el comportamiento financiero cambia de forma repentina. En el caso de personas jurídicas, el riesgo puede derivarse de múltiples capas societarias, holdings sin una función económica aparente, trusts, fundaciones, nominees, entidades offshore, derechos de voto complejos, estructuras de administración inusuales, cambios rápidos en el accionariado o actividades que no se corresponden con los flujos de pago observados. Una gestión transversal de los riesgos conecta esta información con la monitorización de transacciones y la revisión continua de la relación con el cliente. La pregunta central no consiste, por tanto, únicamente en determinar si el cliente podía ser formalmente aceptado durante el onboarding, sino también en comprobar si las premisas en las que se basó esa aceptación siguen siendo válidas durante toda la relación comercial.

Para su organización, el KYC debe considerarse, por consiguiente, no solo como una obligación de compliance, sino como un instrumento esencial de gestión empresarial basada en el riesgo. La Primera Línea de Defensa debe mantener la responsabilidad sobre la fiabilidad de la información relativa a los clientes, actividades, productos y transacciones que acepta y facilita. Relationship managers, account managers, equipos operativos, funciones de onboarding, especialistas en pagos y responsables de producto suelen disponer de información contextual que no puede derivarse directamente de sistemas automatizados. Pueden saber por qué una empresa ha comenzado repentinamente a operar en nuevos mercados extranjeros, por qué los volúmenes de pagos han aumentado de manera significativa, por qué un cliente cambia frecuentemente de cuentas de contraparte o por qué una determinada estructura responde a una necesidad comercial real. Ese conocimiento solo aporta valor a la gestión de los riesgos si se documenta oportunamente, se hace accesible a las funciones relevantes y se incorpora a las evaluaciones de riesgo. La Segunda Línea de Defensa debe establecer criterios, metodologías, factores de riesgo, estándares de calidad y reglas de escalado, y evaluar de forma independiente si la Primera Línea identifica y gestiona adecuadamente los riesgos. Esto exige un challenge efectivo: una relación comercialmente atractiva no puede conducir automáticamente a un menor nivel de escrutinio, del mismo modo que un cliente no debe ser considerado mecánicamente inaceptable por razón de una categoría de riesgo o de su nacionalidad sin una evaluación sustantiva y proporcionada. La Tercera Línea de Defensa debe, finalmente, poder determinar si los customer risk assessments, las revisiones periódicas, las event-driven reviews, los escalados, la documentación de expedientes y la monitorización funcionan en la práctica conforme a lo previsto. El Modelo de las Tres Líneas de Defensa queda así directamente conectado con la calidad del AML/CFT, del KYC y de la gestión de los riesgos de integridad del cliente.

Un elemento esencial de este enfoque reside en pasar de una aceptación estática del cliente a una evaluación continua de su integridad. Los clientes cambian, las empresas modifican sus actividades, nuevos accionistas se incorporan a la estructura de propiedad, los riesgos país evolucionan, los regímenes de sanciones se modifican, los administradores son sustituidos y nueva información puede alterar de manera sustancial un perfil anteriormente considerado aceptable. Un enfoque efectivo requiere, por tanto, event-driven monitoring además de revisiones periódicas. Señales como un cambio repentino en los países de transacción, la aparición de un nuevo titular real, un aumento significativo de los volúmenes de pago, múltiples nuevas contrapartes, actividad inesperada en criptoactivos, un cambio en la residencia fiscal, aportaciones de capital no explicadas, implicación en una investigación penal, adverse media de especial gravedad o una nueva relación con personas políticamente expuestas pueden justificar una reevaluación inmediata. Su organización debe establecer claramente qué acontecimientos desencadenan un nuevo customer risk assessment, quién es responsable de realizarlo, qué información adicional debe obtenerse, cuánto tiempo puede permanecer abierta la revisión y en qué momento la relación debe ser restringida, escalada o terminada. Igualmente importante es la posición probatoria. Si, años después, la decisión de aceptar o mantener una relación es examinada por un supervisor, un tribunal, una autoridad investigadora o un banco corresponsal, su organización debería poder reconstruir qué información estaba disponible en el momento relevante, qué factores de riesgo fueron identificados, qué información adicional se obtuvo, qué preguntas se formularon y por qué la decisión final se consideró defendible. Una documentación KYC de alta calidad no constituye, por tanto, una mera disciplina administrativa. Es un componente esencial de la regulatory defensibility y protege tanto a la organización como a los decisores individuales frente a la alegación de que señales materiales no fueron reconocidas, investigadas o suficientemente ponderadas.

Prevención, detección e investigación del fraude

El fraude constituye un ámbito de riesgo amplio y en evolución constante para bancos, instituciones financieras y empresas FinTech, y no se limita a un solo producto, segmento de clientes o canal tecnológico. Su organización puede enfrentarse a fraude en pagos, fraude de identidad, account takeover, fraude documental, fraude crediticio, application fraud, fraude interno, fraude de facturas, social engineering, phishing, spoofing, mule accounts, identidades sintéticas, merchant fraud, investment fraud, cyber-enabled fraud y estructuras organizadas en las que se combinan distintas formas de fraude. La digitalización incrementa tanto la velocidad con la que puede ejecutarse un fraude como la escala a la que los delincuentes pueden explotar víctimas, cuentas e infraestructuras de pago. Un patrón fraudulento que anteriormente afectaba a decenas de transacciones puede, mediante scripts automatizados, credenciales comprometidas o redes organizadas de money mules, involucrar hoy miles de cuentas y pagos en un periodo extremadamente corto. La gestión coordinada de los riesgos exige, por tanto, que la prevención del fraude funcione en conexión directa con AML/CFT, KYC, transaction monitoring, ciberseguridad, sanciones, gestión de reclamaciones y criminal intelligence. Una cuenta utilizada como mule account puede ser relevante simultáneamente para una investigación por fraude, para la monitorización AML, para la identificación de víctimas y para una network analysis más amplia. Un account takeover puede generar no solo pagos no autorizados, sino también servir para transferir productos del delito o dificultar aún más la reconstrucción de los flujos financieros. Cuando los equipos de fraude y AML investigan por separado las mismas señales sin compartir información, las redes subyacentes pueden permanecer sin detectar durante mucho más tiempo del necesario.

Una gestión eficaz del fraude comienza en el diseño de productos, procesos y customer journeys. La Primera Línea de Defensa debe asumir, por tanto, la responsabilidad sobre los riesgos de fraude presentes en el onboarding digital, los pagos, el crédito, el merchant acquiring, las tarjetas, las aplicaciones móviles, los procesos de autenticación, el customer service y otras actividades operativas. El desarrollo de productos debe evaluar con antelación qué formas de fraude puede facilitar un nuevo servicio y qué controles deben implantarse antes de alcanzar una escala comercial significativa. En los pagos instantáneos, por ejemplo, la velocidad puede reducir considerablemente el tiempo disponible para intervenir. Un onboarding completamente digital puede requerir salvaguardas adicionales frente a deepfakes, documentos de identidad robados, biometría manipulada o identidades sintéticas. En la embedded finance, su organización puede depender de información del cliente recogida y suministrada por una plataforma comercial u otro tercero. Los servicios basados en API pueden crear nuevos vectores de ataque en relación con autenticación, autorización y acceso a datos. La Segunda Línea de Defensa debe evaluar estos riesgos desde una perspectiva independiente, establecer estándares mínimos, someter los escenarios a challenge y monitorizar si la exposición al fraude permanece dentro de la risk appetite aprobada. Fraude, ciberseguridad, privacidad, legal, funciones especializadas en criminalidad financiera y riesgo de datos deben evaluarse conjuntamente. Una medida antifraude técnicamente eficaz puede presentar límites jurídicos o de protección de datos; a la inversa, una utilización excesivamente restrictiva de la información puede conducir a una capacidad de detección insuficiente cuando el marco jurídico permita un uso más amplio pero proporcionado de los datos. La gestión integrada exige, por tanto, una evaluación explícita del equilibrio entre efectividad, proporcionalidad, impacto sobre el cliente y solidez jurídica.

Cuando surge una sospecha de fraude, el centro de gravedad se desplaza desde la prevención y la monitorización hacia la investigación, la preservación de pruebas y la toma de decisiones. Un sistema de investigación sólido requiere que su organización haya definido previamente quién puede iniciar una investigación, qué funciones deben ser informadas, cómo se preserva la independencia, qué datos pueden asegurarse, qué limitaciones jurídicas resultan aplicables y cuándo deben intervenir especialistas externos. Datos bancarios, información de pagos, historiales de inicio de sesión, datos de dispositivos, direcciones IP, grabaciones de llamadas, correos electrónicos, chats, registros transaccionales, información de onboarding digital, imágenes de videovigilancia y documentación sobre decisiones internas pueden, conjuntamente, permitir reconstruir lo que realmente ocurrió. La rapidez suele ser esencial, pero actuar con rapidez sin disciplina jurídica puede debilitar la posición probatoria y generar complicaciones en materia de privacidad, derecho laboral o enforcement. Por ello, el control coordinado de estos riesgos conecta forensic fact-finding, estrategia jurídica, gobernanza interna y remediation. La investigación no debería limitarse a determinar quién realizó una determinada actuación, sino también por qué los controles existentes no impidieron o detectaron la conducta a tiempo. Las causas pueden residir en reglas de detección inadecuadas, insuficiente segregación de funciones, controles de acceso débiles, supervisión gerencial ineficaz, presión comercial, derechos de excepción excesivamente amplios, mala calidad de los datos o desviaciones estructurales respecto de los procedimientos internos. Los resultados de la investigación deben traducirse posteriormente en medidas concretas de remediation, que pueden incluir revisión de umbrales transaccionales, modificación de autorizaciones, monitorización reforzada, cambios de producto, medidas disciplinarias, compensación a clientes, actuaciones civiles, denuncia penal, notificación a autoridades competentes o una revisión más amplia de expedientes comparables. La investigación del fraude se convierte así no solo en una respuesta frente a un incidente individual, sino en una fuente fundamental de inteligencia para reforzar estructuralmente el control de la delincuencia financiera.

Sanciones, pagos y controles transaccionales

El riesgo de sanciones constituye uno de los componentes más dinámicos de la gestión de los riesgos de delincuencia financiera porque las sanciones pueden afectar directamente a clientes, titulares reales, estructuras societarias, buques, bienes, servicios, países, sectores económicos, rutas de pago y relaciones de correspondent banking. Su organización debe, por consiguiente, ir mucho más allá de la simple comparación de nombres con listas de sanciones. La cuestión sustantiva consiste en determinar si un cliente, una transacción, una participación, una actividad económica o una estructura de pago puede quedar directa o indirectamente dentro del ámbito de un régimen sancionador aplicable. La propiedad y el control pueden ser determinantes incluso cuando la contraparte contractual directa no figure individualmente en una lista de sanciones. Estructuras holding complejas, trusts, sociedades intermedias, joint ventures, nominee arrangements y modificaciones del accionariado pueden hacer esta evaluación considerablemente más compleja. Los pagos pueden, además, atravesar distintas instituciones financieras, rutas de pago y divisas, lo que puede implicar varios ordenamientos jurídicos y requisitos de compliance. Un enfoque integrado exige, por tanto, una visión combinada de la información sobre clientes, titulares reales, datos de pago, exposición geográfica, finalidad de la transacción, flujos de bienes o servicios, bancos corresponsales y relaciones económicas relevantes. Un screening técnicamente correcto representa únicamente una parte de la evaluación. Si los datos están incompletos, los nombres presentan problemas de transliteración, la información de propiedad no está actualizada o los conceptos de pago aportan un contexto insuficiente, incluso un sistema de sanciones técnicamente sofisticado puede no detectar una exposición material.

En materia de pagos, la calidad de los datos y de las decisiones resulta, por ello, determinante. Su organización puede procesar cada día miles o millones de pagos, de los cuales solo una pequeña parte necesita revisión adicional. Esto exige risk-based filtering, una priorización efectiva de los alert, workflows claros y decisiones de alta calidad. Los sistemas de detección deben ser suficientemente sensibles para identificar coincidencias y patrones relevantes, pero no deberían generar un volumen de alertas irrelevantes tan elevado que los analistas queden estructuralmente saturados. Un número excesivo de alertas incrementa el riesgo de que las revisiones se conviertan en mecánicas y de que el contexto sustantivo reciba una atención insuficiente. La Primera Línea de Defensa debe seguir siendo responsable de los procesos de pago, la calidad de los datos, las excepciones y los controles operativos. La Segunda Línea debe establecer estándares para el screening, la aceptación de riesgos, los umbrales de escalado y la evaluación periódica de la efectividad. La auditoría interna, como Tercera Línea de Defensa, debe poder evaluar de manera independiente si los sistemas, la gobernanza, los modelos, los procedimientos y el management information funcionan realmente conforme a lo previsto. El Modelo de las Tres Líneas de Defensa evita así que el riesgo de sanciones se considere una responsabilidad exclusiva de un equipo especializado de compliance. Cuando los datos de pago son estructuralmente incompletos, operations debe asumir la responsabilidad correspondiente. Cuando las funciones comerciales recogen información insuficiente sobre las contrapartes, esa deficiencia debe corregirse dentro de la Primera Línea. Cuando las políticas ofrecen una orientación insuficiente, la responsabilidad recae en la Segunda Línea. Cuando las debilidades sistémicas no son detectadas o corregidas, el aseguramiento independiente debe hacerlas visibles.

El control integrado requiere asimismo que sanciones y transaction monitoring no se traten como mecanismos completamente separados. Un pago puede ser simultáneamente relevante desde la perspectiva de sanciones, blanqueo de capitales, fraude, integridad fiscal y riesgo reputacional. Un pago a una empresa no sancionada puede, por ejemplo, generar indirectamente un beneficio económico para una persona sujeta a medidas restrictivas o estar estructurado para eludir determinadas limitaciones económicas. Los pagos pueden fraccionarse, canalizarse a través de múltiples jurisdicciones, incluir conceptos poco claros o pasar por intermediarios sin una función económica aparente. También pueden surgir discrepancias entre flujos comerciales, datos de transporte e información de pago. En determinadas circunstancias, ello exige un análisis que vaya más allá del name screening tradicional e incluya relaciones de red, titularidad real, patrones transaccionales, documentación comercial y lógica económica. Para su organización es igualmente esencial documentar cuidadosamente las decisiones. Cuando un pago se autoriza después del análisis de un sanctions alert, debe ser posible establecer posteriormente qué información estaba disponible, qué norma jurídica se aplicó, qué análisis se realizó, quién adoptó la decisión y por qué la ejecución del pago se consideró defendible. Lo mismo se aplica cuando un pago se congela, se rechaza o se escala. Esta documentación no es necesaria únicamente para el control operativo, sino que constituye también un componente importante de la posición probatoria cuando DNB, AFM, autoridades extranjeras, bancos corresponsales u otros stakeholders evalúan la calidad de los controles de sanciones.

FinTech, finanzas integradas y servicios financieros digitales

La FinTech está transformando la forma en que los servicios financieros se desarrollan, distribuyen e integran en procesos comerciales cotidianos. La embedded finance permite ofrecer pagos, crédito, seguros, cuentas y otras funciones financieras dentro de plataformas cuya actividad principal no tiene necesariamente carácter financiero. El banking-as-a-service puede poner infraestructuras reguladas a disposición de empresas tecnológicas y plataformas que controlan una parte significativa de la interacción con el cliente. Las API conectan instituciones financieras con plataformas comerciales, comercios electrónicos, servicios de movilidad, marketplaces, software contable y otros ecosistemas digitales. Estos modelos generan oportunidades comerciales importantes, pero crean al mismo tiempo nuevas dependencias y nuevos riesgos de delincuencia financiera. Su organización puede seguir siendo jurídicamente responsable de la aceptación de clientes, el transaction monitoring y las obligaciones regulatorias mientras información esencial del cliente, interfaces de usuario, fases del onboarding o datos transaccionales son en la práctica recopilados o controlados por un tercero. La gestión coordinada de los riesgos requiere, por tanto, una claridad absoluta sobre la distribución de responsabilidades. ¿Qué parte conoce realmente al cliente? ¿Quién recoge los datos de identificación? ¿Quién realiza la verificación? ¿Quién monitoriza las transacciones? ¿Quién investiga los alert? ¿Quién puede bloquear una cuenta? ¿Quién gestiona las reclamaciones de fraude? ¿Quién notifica los incidentes? ¿Quién dispone de los datos necesarios cuando comienza una investigación? La mera asignación contractual de responsabilidades resulta insuficiente cuando el diseño efectivo de los procesos no garantiza que su organización pueda cumplir realmente sus propias obligaciones legales y regulatorias.

La escalabilidad constituye, en este contexto, una cuestión central de gobernanza. Las empresas FinTech pueden pasar en poco tiempo de miles a cientos de miles o millones de usuarios, mientras que las funciones de risk, compliance, legal, operations e internal audit no necesariamente crecen al mismo ritmo. Un control que era efectivo con volúmenes limitados puede resultar insuficiente durante una expansión internacional o un rápido crecimiento de la base de clientes. Las revisiones manuales pueden volverse insostenibles, pueden acumularse alert backlogs, aumentar las excepciones y aplicarse soluciones tecnológicas bajo presión comercial antes de haber sido plenamente validadas. La gestión transversal de estos riesgos exige, por tanto, vincular directamente el crecimiento comercial con la capacidad de control. La Primera Línea debe demostrar que productos y procesos siguen siendo controlables cuando aumentan los volúmenes. La Segunda Línea debe evaluar de manera independiente si la risk appetite, el monitoring, los recursos, los modelos, el staffing y el management information permanecen alineados con la verdadera escala y complejidad del negocio. La Tercera Línea debe, posteriormente, verificar de forma independiente si esos controles funcionan realmente. Esto implica también que los órganos de dirección no deberían limitarse a monitorizar ingresos, crecimiento de clientes, valor transaccional y penetración de mercado, sino recibir asimismo indicadores sobre KYC backlogs, volúmenes de alertas, capacidad investigadora, pérdidas por fraude, sanctions hits, tasas de falsos positivos, rendimiento de modelos, incidentes de terceros, reclamaciones, excepciones y medidas de remediation pendientes. Un crecimiento no acompañado de un refuerzo visible de los controles puede conducir a una situación en la que la escala comercial aumente mientras la efectividad de la gestión de riesgos queda estructuralmente rezagada.

Los terceros constituyen, por ello, un ámbito de riesgo especialmente relevante dentro de la FinTech y la embedded finance. Cloud providers, proveedores de verificación de identidad, payment processors, fraud technology vendors, data aggregators, proveedores de software, proveedores de screening, card processors y otros socios tecnológicos pueden soportar elementos esenciales de su entorno de control. Externalizar un proceso no significa, sin embargo, externalizar automáticamente la responsabilidad. Su organización debe comprender qué datos utiliza el proveedor, qué supuestos están incorporados en sus modelos, qué subcontratistas intervienen, qué medidas de seguridad se aplican, cómo se notifican los incidentes, qué audit rights existen y cómo se garantiza la continuidad del servicio si falla el proveedor. Desde la perspectiva de los riesgos de delincuencia financiera, resulta igualmente esencial determinar si su organización dispone de acceso suficiente a los datos subyacentes y a la lógica de decisión. Cuando un proveedor externo únicamente facilita un risk score o un resultado verde-rojo sin explicar las señales que han determinado ese resultado, pueden surgir dificultades importantes en materia de investigation, explainability y supervisión regulatoria. Los contratos deben, por tanto, conectarse directamente con el control operativo, la data governance, la auditability y el exit planning. Un enfoque integrado reúne alrededor del mismo proveedor a legal, tecnología, ciberseguridad, datos, procurement, compliance y business ownership. De este modo se evita que la selección de un tercero se realice exclusivamente en función del precio, la funcionalidad o la velocidad de implementación, mientras los riesgos de delincuencia financiera, los riesgos de datos, la continuidad, las necesidades investigadoras y la regulatory defensibility reciben una atención insuficiente.

Criptoactivos, activos digitales y riesgos vinculados a blockchain

Los criptoactivos, stablecoins, activos tokenizados, wallets digitales, infraestructuras blockchain y otras formas de servicios financieros digitales han creado nuevas posibilidades para la transferencia de valor, la inversión, el settlement y la innovación, pero han introducido al mismo tiempo riesgos específicos de delincuencia financiera. Las transacciones pueden realizarse directamente entre direcciones digitales, atravesar múltiples plataformas y blockchains y utilizar servicios que dificultan determinar el origen o el destino de los activos. Su organización puede encontrarse con clientes que han acumulado patrimonio en criptoactivos, empresas que aceptan activos digitales, flujos de pagos procedentes de exchanges o wallets, o estructuras de inversión en las que los activos digitales desempeñan un papel material. La gestión coordinada de estos riesgos exige, por tanto, adaptar las preguntas tradicionales sobre identidad, titularidad real, source of wealth, source of funds y finalidad de la transacción a las características específicas de los activos digitales. El hecho de que determinadas transacciones sean visibles en una blockchain pública no significa que la realidad económica subyacente sea automáticamente transparente. Una wallet address no contiene el nombre de una persona física y una secuencia de transacciones puede implicar diversos servicios, custodians, exchanges, bridges y smart contracts. A la inversa, la blockchain analysis puede aportar información adicional sobre el historial transaccional, la exposición a categorías de riesgo conocidas y las relaciones entre distintas direcciones. El valor de esa información depende, no obstante, de la calidad de los datos, la fiabilidad de la metodología, la corrección de la interpretación y el contexto general en el que se utiliza.

Para los clientes con una actividad significativa en criptoactivos, su organización debería aplicar una metodología clara para evaluar procedencia, legitimidad y perfil de riesgo. Un cliente que recibe importes sustanciales de una plataforma crypto puede haber adquirido esos activos de forma completamente legítima mediante inversiones a largo plazo, trading, mining, staking, actividades empresariales o la venta de activos digitales. Los mismos flujos pueden, sin embargo, estar conectados con plataformas fraudulentas, hacking, ransomware, actividades en darknet, layering, sanctions evasion o transferencia de activos robados. Un proceso efectivo requiere, por tanto, algo más que una mera declaración del cliente. Según las circunstancias, las evidencias relevantes pueden incluir datos de cuentas mantenidas en plataformas reguladas, historiales transaccionales, información de wallets, documentación de adquisición, documentación fiscal, contratos, correspondencia o análisis blockchain. La proporcionalidad de la verificación debe depender del tamaño, la naturaleza y el perfil de riesgo de la relación. Un enfoque integrado evita tanto que los clientes vinculados a criptoactivos sean considerados automáticamente inaceptables como que sean aceptados con controles insuficientes simplemente porque las transacciones pasan por un exchange conocido. La evaluación debe considerar conjuntamente el perfil del cliente, el volumen de las operaciones, el trading history, el riesgo de la plataforma, la exposición geográfica, el comportamiento de los wallets, la lógica económica y cualquier otra información disponible.

Para las instituciones financieras que ofrecen directamente servicios crypto, custody, funcionalidades de trading, settlement o productos vinculados a activos digitales, la gobernanza adquiere todavía mayor importancia. Product design, wallet management, acceso a private keys, autorización de transacciones, ciberseguridad, blockchain analytics, screening de sanciones, integridad de mercado, protección del cliente e incident response deben integrarse dentro de un único sistema de control. La Primera Línea de Defensa sigue siendo responsable de los riesgos derivados del diseño de productos, de su ejecución, de la aceptación del cliente y de la operativa diaria. La Segunda Línea debe definir estándares, ejercer challenge independiente y evaluar si los umbrales de riesgo, el monitoring y los mecanismos de escalado siguen siendo adecuados. La Tercera Línea debe verificar de forma independiente si la ejecución real se corresponde con las políticas, los objetivos de control y la risk appetite. Esta distribución de responsabilidades es especialmente importante cuando se utilizan tecnologías especializadas de blockchain analytics o wallet monitoring. La alta dirección no debe limitarse a saber que estas herramientas han sido implantadas, sino que debe comprender qué blockchains cubren, qué datos están disponibles, cómo se determinan los risk scores, qué limitaciones existen, cómo se gestionan las direcciones desconocidas y cómo se toman decisiones cuando la información técnica no permite alcanzar una conclusión inequívoca. La gestión coordinada de los riesgos conecta así las competencias tecnológicas con la evaluación jurídica, los controles operativos, la gobernanza, las investigations y la regulatory defensibility. Para su organización, el criterio decisivo no consiste en el mero uso de tecnología innovadora, sino en la capacidad de demostrar que los activos digitales están sometidos al mismo nivel de responsabilidad de los órganos de dirección, escrutinio crítico y control demostrable de los riesgos de delincuencia financiera que los productos financieros tradicionales.

Análisis de datos, monitorización de transacciones y efectividad de los modelos

Los datos constituyen uno de los fundamentos más importantes de la gestión de los riesgos de delincuencia financiera dentro de los bancos, las instituciones financieras y las empresas FinTech, ya que prácticamente toda forma de control depende de la integridad, fiabilidad, actualidad, trazabilidad y utilidad de la información disponible. La Customer Due Diligence, el KYC, el transaction monitoring, el screening de sanciones, la detección del fraude, el customer risk scoring, el network analysis, la behavioural analytics, las evaluaciones de source of funds, las investigaciones sobre source of wealth y el management reporting solo pueden funcionar eficazmente cuando los datos subyacentes ofrecen una imagen suficientemente fiable de los clientes, las transacciones, los titulares reales, los productos, los países, las contrapartes, los canales de pago y los acontecimientos relevantes. Su organización puede disponer de software de monitorización avanzado y de modelos analíticos sofisticados, pero si los datos de clientes están incompletos, la información transaccional se clasifica de manera incorrecta, los datos relativos a los titulares reales no están actualizados, los códigos de producto se aplican de forma inconsistente o la información procedente de distintos sistemas no puede relacionarse de manera fiable, surge una debilidad fundamental en el control de la criminalidad financiera. Un escenario de monitorización puede, por ejemplo, funcionar técnicamente conforme a su diseño y, aun así, no detectar riesgos materiales porque los pagos vinculados a una determinada categoría de productos no forman parte del análisis. Un customer risk model puede ejecutarse formalmente mientras faltan datos esenciales relativos a las actividades empresariales, la exposición geográfica o los vínculos políticos. Un sistema de sanciones puede comparar correctamente nombres y seguir siendo insuficiente si aliases, transliteraciones o datos de propiedad no han sido registrados de forma adecuada. La data governance debe considerarse, por tanto, no como una cuestión exclusivamente tecnológica o de data management, sino como una dimensión directa del compliance, el risk management, la responsabilidad jurídica y la supervisión de los órganos de dirección. Su organización debe saber qué datos son necesarios para qué controles, dónde se originan, cómo se modifican, qué sistemas los utilizan, qué funciones responden de su calidad y qué consecuencias pueden derivarse de una información ausente o incorrecta. Data lineage, reconciliation, data ownership, quality controls, exception reporting y validaciones periódicas no constituyen, por ello, simples requisitos técnicos, sino componentes de una gestión demostrable de los riesgos de delincuencia financiera.

El transaction monitoring y los modelos automatizados de detección requieren igualmente una evaluación continua de su efectividad. La mera existencia de reglas de monitorización, escenarios, thresholds o modelos de machine learning no demuestra por sí sola que los riesgos relevantes sean realmente detectados. Su organización debe ser capaz de explicar por qué se han seleccionado determinados escenarios, qué conductas se pretende identificar con ellos, qué grupos de clientes y productos están cubiertos, qué umbrales se aplican y qué limitaciones son conocidas. Esto exige una conexión directa entre el enterprise-wide risk assessment, los riesgos de producto, la segmentación de clientes, la exposición geográfica, las tipologías de delincuencia financiera, las conclusiones de investigaciones internas y la configuración de los sistemas de monitorización. Cuando trade finance, private banking, correspondent banking, instant payments y retail banking presentan perfiles de riesgo sustancialmente distintos, no puede asumirse sin una justificación específica que la misma lógica de monitorización sea eficaz para todas esas actividades. Los falsos positivos y falsos negativos también deben evaluarse de forma estructurada. Un volumen excepcionalmente elevado de alertas puede indicar que los escenarios no son suficientemente selectivos y que la capacidad investigadora se está empleando en grandes cantidades de señales de escaso valor. Un número inusualmente reducido de alertas puede, por el contrario, indicar que los thresholds son demasiado altos, que faltan datos o que determinados riesgos no se están detectando. Una gestión sólida exige, por tanto, model validation periódica, scenario tuning, back-testing, outcome analysis, controles de calidad y thematic reviews. La evaluación no debe limitarse al rendimiento técnico, sino abarcar también la calidad sustantiva de las decisiones adoptadas sobre la base de los resultados de los modelos. ¿Con qué frecuencia se cierran las alertas sin investigación adicional? ¿Qué motivaciones se utilizan? ¿Se valoran de manera coherente hechos comparables? ¿Conducen determinados indicadores de forma recurrente a comunicaciones de operaciones sospechosas, fraud investigations o terminación de relaciones con clientes? ¿Se reincorporan los resultados de las investigaciones a los mecanismos de monitorización? Este feedback loop permite mejorar continuamente la capacidad de detección y reduce el riesgo de que los sistemas permanezcan prácticamente inalterados durante años mientras evolucionan los métodos criminales, los productos financieros y el comportamiento de los clientes.

El Modelo de las Tres Líneas de Defensa permite asignar responsabilidades claras también en materia de análisis de datos y efectividad de los modelos. La Primera Línea de Defensa sigue siendo responsable de los procesos, productos, transacciones y datos en los que se originan los riesgos de delincuencia financiera. Operations, product teams, payment functions, personal en contacto con clientes y funciones tecnológicas deben garantizar que la información se registre de forma completa y correcta, que los controles operativos funcionen conforme a lo previsto y que las deficiencias conocidas en la calidad de los datos se escalen a tiempo. La Segunda Línea de Defensa establece requisitos en materia de calidad de datos, uso de modelos, scenario governance, risk tolerances, efectividad del monitoring y challenge independiente. Risk management, compliance, funciones especializadas en delincuencia financiera, privacidad, ciberseguridad, legal y otras funciones de supervisión deben poder evaluar conjuntamente si los modelos se utilizan de forma jurídicamente, metodológicamente y operativamente sólida. La inteligencia artificial merece una atención particular. Los modelos de detección basados en IA pueden identificar patrones difíciles de detectar mediante sistemas tradicionales rules-based, pero también pueden crear nuevos riesgos relacionados con explainability, bias, data quality, model drift, accountability e intervención humana. Un modelo que clasifica a clientes o transacciones como de alto riesgo debe ser suficientemente explicable para respaldar decisiones sobre enhanced due diligence, retraso en pagos, limitaciones de cuenta o terminación de relaciones. La Tercera Línea de Defensa debe después evaluar de forma independiente si la gobernanza, la model validation, la calidad de los datos, los procesos de monitorización, las escaladas y la remediation funcionan realmente. Para los consejos de administración y los órganos de supervisión, esto significa que el reporting debe ir mucho más allá del mero número de alertas o revisiones completadas. El management information relevante debe ofrecer visibilidad sobre model performance, problemas de datos, backlogs, excepciones, scenario coverage, tendencias emergentes, tipologías de riesgo, resultados de investigations y debilidades estructurales. Solo así puede su organización demostrar que los datos y los modelos no se utilizan únicamente para automatizar procesos, sino que contribuyen de forma efectiva a una gestión explicable, defendible y sustancialmente eficaz de los riesgos de delincuencia financiera.

Integridad fiscal, titularidad real y transparencia financiera

La integridad fiscal, la titularidad real y la transparencia financiera están estrechamente vinculadas con la gestión de los riesgos de delincuencia financiera porque las estructuras fiscales, la planificación patrimonial, las estructuras societarias internacionales y los servicios financieros pueden servir a finalidades económicas plenamente legítimas, pero también pueden utilizarse para ocultar activos, propiedad, flujos de ingresos o beneficiarios. Su organización debe, por tanto, ser capaz de distinguir entre planificación fiscal legítima, estructuras internacionales complejas pero lícitas y situaciones en las que la propia estructura se convierte en un indicador relevante de riesgo de integridad. Un cliente puede utilizar holdings, trusts, fundaciones, family offices, special purpose vehicles, partnerships o entidades en distintas jurisdicciones por razones comerciales, jurídicas, fiscales o patrimoniales perfectamente válidas. La complejidad por sí sola no constituye prueba de delincuencia financiera. Sin embargo, esa misma complejidad puede generar un riesgo material cuando no resulte posible determinar de forma convincente quién obtiene finalmente el beneficio económico, por qué determinadas entidades están establecidas en jurisdicciones específicas, qué actividad económica se desarrolla realmente, cómo circulan los fondos dentro de la estructura y si la posición fiscal se corresponde con la realidad económica. Una gestión integrada exige, por tanto, una evaluación que vaya más allá de registrar a un titular real sobre la base de la documentación facilitada. Su organización debe comprender qué personas ejercen efectivamente el control, qué derechos contractuales existen, si se utilizan nominee shareholders o directors, qué relaciones con trusts o fundaciones resultan relevantes, dónde se adoptan realmente las decisiones importantes y si las relaciones de propiedad formal se corresponden con los intereses económicos efectivos. Cuando ese panorama siga siendo insuficientemente claro, deberá obtenerse información adicional antes de poder establecer un perfil de riesgo cliente o transaccional suficientemente fiable.

La transparencia fiscal también está directamente relacionada con la source of wealth, la source of funds, el transaction monitoring y el riesgo reputacional. Un cliente puede disponer de activos sustanciales mientras los ingresos conocidos o las fuentes empresariales declaradas no explican inmediatamente el nivel de patrimonio. Esto no significa automáticamente que los activos tengan un origen ilícito, pero sí genera una cuestión investigadora que debe abordarse de manera proporcionada. Su organización debe ser capaz de distinguir entre patrimonio derivado de actividades empresariales, dividendos, venta de empresas, inversiones, inmuebles, herencias, donaciones, carried interest, private equity, criptoactivos u otras fuentes legítimas, por un lado, e indicadores que puedan apuntar a blanqueo de capitales, fraude, corrupción, delitos fiscales u ocultación del beneficiario real, por otro. La documentación fiscal puede aportar un contexto importante, pero las declaraciones tributarias o los dictámenes profesionales no deben considerarse automáticamente una prueba concluyente de integridad. La evaluación debe contrastarse con información bancaria, transacciones, datos societarios, estructuras de propiedad, contratos, registros públicos y otras fuentes disponibles. Los pagos transfronterizos requieren asimismo especial atención cuando las entidades jurídicas, la residencia fiscal, la actividad económica y los flujos bancarios no guardan una lógica coherente. Cuando, por ejemplo, una sociedad apenas tiene presencia operativa en una jurisdicción pero recibe o retransfiere regularmente importes significativos, puede ser necesaria una revisión adicional. Lo mismo ocurre con pagos a cuentas personales de administradores, préstamos sin condiciones claras, flujos de dividendos atípicos, round-tripping, pagos entre partes vinculadas sin una justificación económica aparente o movimientos financieros que se apartan significativamente del modelo de negocio conocido. Un enfoque coordinado conecta conocimientos fiscales, KYC, transaction monitoring, análisis jurídico, finance y forensic review para valorar estos patrones dentro de su contexto económico real.

La distribución de responsabilidades conforme al Modelo de las Tres Líneas de Defensa resulta igualmente esencial en este ámbito. La Primera Línea debe disponer de un conocimiento suficiente del cliente, del producto, de las transacciones y de la lógica económica para reconocer cuándo determinadas estructuras financieras o fiscales requieren un análisis más profundo. Los client-facing teams no deben asumir que las estructuras fiscales complejas son exclusivamente responsabilidad de tax, legal o compliance. Cuando no resulta claro por qué un pago circula a través de varias entidades vinculadas, quién obtiene realmente el beneficio económico o por qué la actividad efectiva no coincide con la estructura declarada, esas cuestiones deben investigarse y documentarse. La Segunda Línea debe establecer estándares claros sobre beneficial ownership, tax integrity, source of wealth, source of funds, high-risk jurisdictions, complex structures y escalado. Puede ser necesaria una expertise fiscal especializada para valorar si una estructura es explicable desde un punto de vista económico y jurídico, mientras que compliance y las funciones especializadas en criminalidad financiera deben evaluar qué riesgos de integridad pueden persistir pese a la licitud fiscal formal. La Tercera Línea debe determinar de manera independiente si los procesos relativos a titularidad real, transparencia fiscal y estructuras de clientes complejas funcionan efectivamente. Los órganos de administración y supervisión deben, además, tener visibilidad sobre patrones estructurales. Si, por ejemplo, un número significativo de clientes de alto riesgo utiliza las mismas jurisdicciones offshore, intermediarios, trustees, asesores o corporate service providers, ello puede generar inteligencia relevante a nivel de cartera que no sea inmediatamente visible en expedientes individuales. La gestión coordinada conecta, por ello, las evaluaciones individuales con data analytics, network analysis y portfolio monitoring. De este modo, su organización puede no solo identificar quién está formalmente detrás de una estructura, sino también demostrar que la realidad económica, los flujos financieros, el contexto fiscal y los riesgos de integridad han sido analizados de forma sustantiva.

DNB, AFM y enforcement coordinado entre múltiples supervisores

Los bancos, las instituciones financieras y las empresas FinTech operan dentro de un entorno supervisor en el que distintas autoridades nacionales e internacionales pueden examinar, de forma simultánea o sucesiva, los mismos hechos, procesos o deficiencias de control. DNB puede centrar su atención en la gestión prudencial, la integridad, las obligaciones AML, el cumplimiento de sanciones, la gobernanza y la efectividad de los controles. La AFM puede, dependiendo del tipo de entidad y servicio, analizar market conduct, protección del cliente, product governance, disclosure, gestión controlada del negocio e integridad de los mercados financieros. Asimismo, FIOD, el Ministerio Fiscal, FIU-Nederland, la Autoridad Neerlandesa de Protección de Datos, supervisores extranjeros, autoridades europeas, administraciones tributarias, autoridades de competencia y otros organismos pueden disponer de sus propias competencias legales y necesidades de información. Un único incidente puede, por tanto, activar distintos procesos de supervisión y enforcement. Una deficiencia en transaction monitoring puede, por ejemplo, generar preguntas en materia de AML compliance, posibles operaciones inusuales, gobernanza, calidad de datos, reporting interno y responsabilidad individual de determinados directivos. Un asunto de fraude puede tener simultáneamente consecuencias penales, civiles, regulatorias, de protección de datos y reputacionales. Una gestión integrada de estos riesgos exige, por ello, que el regulatory engagement no sea tratado como un proceso aislado de compliance, sino que se integre con estrategia jurídica, fact-finding, data analysis, gobernanza, comunicación y remediation. Desde el primer momento, su organización debe comprender qué autoridades pueden ser competentes, qué obligaciones de información resultan aplicables, qué protecciones jurídicas pueden ser relevantes y qué consecuencias pueden producir las declaraciones o documentos entregados en un procedimiento sobre otros procesos paralelos.

La calidad de la respuesta a la supervisión depende en gran medida de la calidad de la gobernanza subyacente y de la posición probatoria. Cuando DNB, AFM u otra autoridad pregunta por qué se aceptó un riesgo determinado, por qué un sistema fue diseñado de una determinada manera o por qué una deficiencia no fue identificada antes, su organización debe poder mostrar mucho más que policies y descripciones de procedimientos. La cuestión relevante suele ser cómo funcionaba realmente el sistema de control. ¿Qué management information estaba disponible? ¿Qué warning signs eran conocidos? ¿Qué decisiones se adoptaron? ¿Quién tenía la responsabilidad? ¿Qué challenge se ejerció? ¿Qué excepciones fueron autorizadas? ¿Qué medidas de remediation se pusieron en marcha? ¿Cómo se verificó posteriormente que dichas medidas eran efectivas? Una gestión sólida de los riesgos de delincuencia financiera requiere, por tanto, una toma de decisiones trazable. Board minutes, risk committee papers, issue logs, audit findings, compliance reviews, model validation reports, investigation reports, management attestations, remediation plans y otros documentos internos deben permitir, en conjunto, reconstruir de forma coherente cómo se identificaron y gestionaron los riesgos. Esto no significa que toda discusión interna deba orientarse exclusivamente a un posible enforcement futuro. Sí significa que las decisiones materiales deben ser verificables, reconstruibles y estar sustantivamente fundamentadas. Cuando existen diferencias entre la documentación formal y la ejecución real, las autoridades tenderán a centrarse en la realidad operativa. Un procedimiento que establezca que los clientes de alto riesgo son revisados anualmente ofrece escasa protección si los sistemas muestran que miles de revisiones acumulan retrasos estructurales. La regulatory defensibility surge, por tanto, de la efectividad demostrable del sistema y no de la simple existencia formal de políticas.

El enforcement coordinado exige además una toma de decisiones internas especialmente disciplinada. Cuando intervienen varios supervisores o autoridades investigadoras, la posición jurídica, el análisis de los hechos, las comunicaciones y la producción documental deben estar estrechamente alineados. Una respuesta facilitada a una autoridad puede generar consecuencias en otro procedimiento. Un internal investigation report puede contener hechos relevantes para supervisión, evaluación penal, reclamaciones civiles, medidas laborales o responsabilidad de administradores. Una declaración pública puede resultar posteriormente inconsistente con información proporcionada a un supervisor. Un enfoque integrado conecta, por ello, legal, compliance, risk, investigations, finance, tax, data, communications y senior management dentro de un único response framework gobernado de manera coherente. La Primera Línea debe proporcionar hechos e información operativa de forma completa y oportuna. La Segunda Línea debe supervisar la evaluación de riesgos, las obligaciones de compliance y la remediation, y ejercer challenge cuando el management subestime la gravedad de una deficiencia. La Tercera Línea debe evaluar independientemente si las debilidades estructurales han sido realmente corregidas y si los audit findings anteriores han sido tratados dentro de plazos adecuados. Para su organización, la cuestión esencial es que la regulatory readiness no debe comenzar únicamente cuando llega una solicitud formal de información. Un modelo sólido monitoriza de forma continua open control issues, material incidents, overdue remediation, recurring findings, management overrides y diferencias entre los frameworks formales y la ejecución diaria. De este modo, la organización puede no solo responder a preguntas individuales de los supervisores, sino demostrar de forma convincente que la gestión de los riesgos de delincuencia financiera está estructuralmente integrada en la gobernanza, la toma de decisiones y las operaciones cotidianas.

Responsabilidad de los órganos de dirección, Modelo de las Tres Líneas de Defensa y efectividad demostrable de los controles

La responsabilidad de los órganos de dirección constituye el principal punto de convergencia entre estrategia, risk appetite, ejecución operativa y gestión de los riesgos de delincuencia financiera. Un consejo de administración puede delegar determinadas tareas, pero no puede reducir su responsabilidad final sobre una gobernanza efectiva y una gestión controlada del negocio a la mera existencia de funciones de compliance, risk o audit. Para bancos, instituciones financieras y empresas FinTech, ello significa que administradores y senior management deben poseer un conocimiento suficiente de los principales riesgos de delincuencia financiera a los que está expuesta su organización, de la manera en que dichos riesgos son controlados, de las limitaciones de los controles existentes y de las áreas en las que se requieren medidas adicionales. La board oversight exige, por tanto, mucho más que la recepción periódica de dashboards. Los administradores deben comprender qué información subyace a los principales indicadores, qué supuestos se utilizan en los risk assessments, dónde existen backlogs materiales, qué modelos ofrecen un rendimiento insuficiente, qué expedientes de alto riesgo están siendo escalados, qué incidentes pueden tener causas estructurales y qué programas de remediation están quedando rezagados respecto de sus plazos. Un dashboard en el que casi todos los indicadores aparecen en verde mientras persisten KYC backlogs relevantes, alert queues, deficiencias de datos o audit findings materiales puede ser más indicativo de un management information inadecuado que de una gestión realmente efectiva. La gobernanza de estos riesgos requiere, por tanto, información que no se limite a contar actividades, sino que proporcione una visión real de los riesgos, las tendencias, las causas subyacentes y los resultados. El board reporting debe responder a qué necesitan saber los administradores para adoptar decisiones verdaderamente informadas, no simplemente a qué datos resultan más fáciles de producir.

El Modelo de las Tres Líneas de Defensa proporciona a esta responsabilidad una estructura clara y fácilmente comprensible. La Primera Línea posee y gestiona los riesgos. Los directivos operativos, el business management, operations, product functions, client-facing teams, payment functions y otras funciones operativas son responsables de los riesgos derivados de la estrategia, las actividades comerciales, los productos, los clientes, las transacciones, la tecnología y la toma de decisiones cotidiana. Deben identificar, evaluar, controlar, documentar, monitorizar y escalar esos riesgos de forma oportuna. La Segunda Línea fija directrices, asesora, supervisa y ejerce challenge crítico. Risk management, compliance, funciones especializadas en delincuencia financiera, sanctions, fraud risk, privacy, cybersecurity, legal, tax y otras funciones de supervisión establecen frameworks, evalúan riesgos, cuestionan supuestos, monitorizan cumplimiento y escalan deficiencias materiales. La Tercera Línea evalúa de manera independiente si la Primera y la Segunda Línea funcionan realmente y proporciona assurance al consejo y a los órganos de supervisión. Esta distribución solo funciona cuando las responsabilidades están claramente delimitadas. Compliance no debe convertirse de facto en propietario de los riesgos operativos porque el negocio no asuma una responsabilidad suficiente. Del mismo modo, la Primera Línea no debe trasladar decisiones a compliance con la única finalidad de transferir la responsabilidad de una elección comercial. La Segunda Línea debe disponer de suficiente independencia, conocimiento técnico y autoridad para cuestionar de forma efectiva la toma de decisiones comerciales. Internal audit debe mantener una independencia suficiente tanto respecto del negocio como de las funciones risk y compliance para poder informar de debilidades sin restricciones. La gestión integrada de estos riesgos exige, por tanto, no solo que las Tres Líneas estén formalmente descritas, sino que su interacción resulte visible en expedientes concretos, incidentes, decisiones de producto, risk assessments y procesos de escalado.

La control effectiveness distingue una gestión real de una gestión puramente documental. Una institución puede disponer de extensas policies, múltiples controles, comités y sistemas de monitoring y, aun así, no mantener un control suficiente sobre sus riesgos de delincuencia financiera cuando los controles no se ejecutan a tiempo, las excepciones no se investigan adecuadamente, los findings se aplazan de forma recurrente, el management information es incompleto o las mismas debilidades estructurales reaparecen. Su organización debe, por tanto, evaluar no solo si un control existe, sino también si está adecuadamente diseñado, si se ejecuta de forma coherente, si reduce realmente el riesgo para el que fue implantado y si se adapta a tiempo cuando cambian las circunstancias. Esto requiere control owners claramente identificados, testing methodologies, performance indicators, issue management, remediation governance y assurance independiente. Los findings procedentes de compliance monitoring, internal audit, incidentes, reclamaciones de clientes, fraud investigations, regulator reviews y external assurance deben analizarse conjuntamente para comprobar si las mismas causas subyacentes aparecen en distintas áreas. Si, por ejemplo, KYC quality, transaction monitoring y sanctions screening sufren todos las mismas deficiencias en customer data, medidas de remediation separadas para cada control pueden resultar insuficientes. En ese caso debe corregirse el problema de datos en su origen. Si distintos incidentes surgen repetidamente de excepciones autorizadas bajo presión comercial, puede existir una cuestión más profunda de gobernanza o cultura. Una gestión transversal hace visibles estas conexiones. Para los administradores, esto significa que accountability, supervisión y eventual responsabilidad no dependen únicamente de si una política fue formalmente aprobada, sino también de si los warning signs fueron atendidos, si se formularon preguntas críticas, si se asignaron recursos suficientes y si las deficiencias detectadas fueron corregidas con la diligencia y rapidez necesarias.

Gobernanza integrada de la criminalidad financiera y defendibilidad demostrable frente a supervisores y autoridades de investigación

La gestión de los riesgos de delincuencia financiera alcanza su mayor valor cuando AML, KYC, fraude, sanciones, integridad fiscal, cyber risk, data governance, investigations, legal, compliance, risk management, finance e internal audit dejan de funcionar como silos separados y pasan a operar como ámbitos interconectados dentro de un mismo sistema de gobernanza y control. Los riesgos de delincuencia financiera rara vez siguen el organigrama formal de una entidad. Un mismo cliente puede ser simultáneamente relevante desde la perspectiva de KYC, fraud monitoring, sanctions exposure, integridad fiscal, cyber investigation y riesgo reputacional. Un pago puede generar un transaction-monitoring alert, resultar inusual desde la perspectiva de fraude, involucrar una región sujeta a sanciones y estar relacionado con una persona jurídica cuya titularidad real no resulta suficientemente transparente. Un empleado interno puede estar implicado en overrides de fraud controls, decisiones inusuales de customer acceptance y manipulación de datos. Cuando cada función analiza únicamente sus propias señales, determinados indicadores pueden parecer poco materiales de forma aislada aunque el cuadro combinado sea sustancialmente más preocupante. Una gobernanza integrada debe, por ello, construir verdadera inteligencia de riesgo. Información sobre clientes, transacciones, alertas, investigations, adverse media, fraud cases, sanctions matches, whistleblowing reports, audit findings, tax indicators, cyber incidents y otras señales relevantes deben poder conectarse, siempre que resulte jurídicamente y operativamente posible. De este modo, su organización puede identificar patrones que permanecerían casi invisibles dentro de sistemas separados. Entity resolution, network analysis, relationship mapping, common counterparties, shared devices, direcciones comunes, payment routes similares e intermediarios recurrentes pueden, considerados conjuntamente, producir una señal considerablemente más relevante que una sola transacción o un único customer record.

Esta integración exige una gobernanza precisa porque no todas las funciones tienen el mismo papel y no todas las señales requieren escalado al mismo nivel de decisión. Su organización debe determinar claramente qué riesgos pueden gestionarse en el nivel operativo, cuándo resulta necesaria una evaluación especializada, cuándo debe decidir el senior management y qué asuntos deben elevarse al consejo de administración o a los órganos de supervisión. Los risk-based escalation thresholds pueden tomar en consideración la cuantía financiera, el perfil del cliente, la exposición geográfica, los vínculos políticos, la sospecha de conductas delictivas, el riesgo de sanciones, la atención mediática, el posible impacto sobre clientes, la implicación de senior employees, la repetición de incidentes anteriores y las potenciales consecuencias regulatorias. El Modelo de las Tres Líneas de Defensa aporta estructura. La Primera Línea sigue siendo responsable de la aceptación de riesgos y de la ejecución operativa dentro de parámetros previamente definidos. La Segunda Línea evalúa, asesora, monitoriza y ejerce challenge. La Tercera Línea proporciona assurance independiente sobre la efectividad del sistema en su conjunto. El consejo de administración y los órganos de supervisión se sitúan por encima de esta distribución operativa y deben ser capaces de evaluar si el sistema conjunto funciona adecuadamente. Una gobernanza transversal requiere asimismo una coordinación horizontal efectiva. Legal debe, por ejemplo, intervenir cuando existan internal investigations, reporting obligations, privilege, disclosure, civil claims o criminal exposure. Finance y tax pueden ser necesarios para explicar flujos financieros complejos o estructuras societarias. Cybersecurity y data functions pueden facilitar digital evidence o información de sistemas. Compliance y los especialistas en delincuencia financiera deben aplicar las normas jurídicas y tipologías relevantes. Internal audit debe conservar su independencia y no convertirse en responsable de ejecutar una remediation que posteriormente pudiera tener que revisar. Un modelo integrado no implica, por tanto, diluir responsabilidades, sino organizar con precisión la colaboración entre funciones que mantienen cometidos distintos.

La regulatory defensibility constituye, en última instancia, la prueba de si su organización puede demostrar a posteriori que los riesgos materiales de delincuencia financiera fueron identificados, evaluados, controlados y escalados de manera proporcionada a la naturaleza, escala y complejidad de la actividad. Cuando DNB, AFM, FIOD, el Ministerio Fiscal, FIU-Nederland, supervisores extranjeros, bancos corresponsales, auditores, accionistas, tribunales u otros stakeholders reconstruyen un expediente, su análisis no suele limitarse al resultado final. También examinan el proceso que condujo a ese resultado. ¿Qué información estaba disponible? ¿Qué red flags eran conocidos? ¿Qué preguntas se formularon? ¿Qué información adicional se obtuvo? ¿Qué valoraciones se realizaron? ¿Qué personas y funciones intervinieron? ¿Qué challenge se ejerció? ¿Qué desviaciones fueron autorizadas? ¿Qué riesgos se aceptaron de forma consciente? ¿Qué medidas se adoptaron cuando apareció nueva información? ¿Puede demostrarse que la remediation funcionó realmente? Una gestión integrada convierte estas cuestiones en parte de la gobernanza cotidiana, en lugar de abordarlas por primera vez cuando comienza una investigación. Las decisiones, risk acceptances, investigations, exceptions, escalations, reviews y corrective actions deben, por tanto, ser suficientemente trazables para permitir su reconstrucción posterior. Esta disciplina fortalece no solo la defendibilidad jurídica y regulatoria, sino también la calidad de la decisión en el momento en que se adopta. Para su organización, el resultado es un sistema coherente en el que prevención, detección, investigación, respuesta, asesoramiento, litigación y negociación se refuerzan mutuamente; en el que datos, tecnología, competencias jurídicas, compliance, finance, tax, risk y audit se encuentran conectados; y en el que los administradores pueden demostrar que la gestión de los riesgos de delincuencia financiera no constituye una actividad aislada de compliance, sino una dimensión estructural de la estrategia, las operaciones, la integridad del cliente, la gobernanza y la responsabilidad de los órganos de dirección.