Expediente de identificación del cliente en México: checklist

Un expediente de identificación del cliente puede tener todas las copias exigidas sin probar una sola verificación. Si no registra qué fuente se consultó, qué dato discrepó, quién resolvió el caso y qué versión de la política se aplicó, lo que guarda son imágenes. Y en una auditoría, el volumen de papeles no suple la falta de trazabilidad.

En México, el contenido obligatorio depende de quién sea usted: instituciones de crédito, fintech, transmisores, SOFOM y otras entidades tienen disposiciones sectoriales distintas. La CNBV publica la normativa aplicable por sector. Aquí proponemos una arquitectura común a todos. El checklist definitivo lo tiene que cruzar con la disposición vigente de su entidad y con el tipo de cliente.

En breve

• Separe dato declarado, documento recibido, fuente independiente y conclusión.

• Un expediente de persona moral debe conectar existencia, representantes, propietarios reales y propósito.

• Guarde las discrepancias y cómo se resolvieron. Si sobrescribe el dato original, pierde la evidencia.

• Actualice el expediente por riesgo y por eventos, además de hacerlo con la periodicidad exigida.

Seis capas de un expediente útil

Persona física: de campos a proposiciones

Recopile cada dato para sostener algo concreto: la identidad, el domicilio, la actividad, la residencia fiscal, la capacidad o la relación con terceros. Una lista de campos sin ese propósito solo acumula información. Según el régimen y el producto, el expediente puede pedir nombre, fecha de nacimiento, nacionalidad, ocupación, domicilio, identificadores fiscales, contacto y documento oficial, entre otros.

Para cada dato crítico registre:

• valor declarado;

• valor leído del documento;

• valor devuelto por una fuente autorizada;

• resultado de comparación;

• fecha y vigencia;

• discrepancia y resolución.

Suponga que el cliente escribe “María José Pérez” y el documento dice “María J. Pérez López”. Si reemplaza un campo por el otro, nadie sabrá después que hubo una diferencia. Guarde los dos valores y la decisión que tomó.

Persona moral: cuatro preguntas adicionales

• ¿Existe y está vigente? Registro, constitución, domicilio y actividad.

• ¿Quién puede actuar? Poderes, nombramientos, límites y vigencia.

• ¿Quién posee o controla? Cadena hasta personas físicas y evidencia del propietario real.

1. ¿Para qué operará? Producto, volumen, contrapartes, origen y destino esperados.

Si verifica al representante y se olvida de la sociedad, la entidad queda sin validar. Si verifica la sociedad pero no el poder, puede estar tratando con alguien que no tiene autoridad para actuar. Y si se queda en los accionistas directos sin recorrer las sociedades intermedias, no sabrá quién tiene el control final.

Identidad remota: resultados separados

En un alta digital, la lectura del documento, su autenticidad, la comparación facial y el liveness responden a preguntas distintas. Conserve el resultado de cada módulo por separado, además del criterio final.

documento capturado
→ extracción y validaciones del documento
→ fuente o registro permitido
→ captura viva y protección del canal
→ comparación uno a uno con el retrato confiable
→ discrepancias y revisión
→ decisión de identificación y riesgo

Un puntaje facial alto no dice nada sobre el documento, y un liveness aprobado no confirma el nombre. Tampoco un OCR correcto prueba que la credencial siga vigente. Si junta todo en un único verified=true, pierde la explicación de la decisión.

Evidencia mínima de la decisión

• identificador único de expediente y sesión;

• política, regla y modelo en su versión aplicada;

• fuentes consultadas y sellos de tiempo;

• resultados separados de documento, rostro y listas;

• datos presentados y datos verificados;

• excepciones, reintentos y revisión manual;

• riesgo inicial, aprobador y condiciones;

• eventos de actualización y conservación;

• accesos, exportaciones y eliminación cuando proceda.

Para probar el resultado no siempre hace falta guardar para siempre cada selfie o video. La entidad tiene que equilibrar minimización y seguridad con los registros que exige su disposición sectorial, y dejar escrito qué objeto conserva, cuánto tiempo y para qué.

Actualización por evento

Además de revisiones periódicas, defina disparadores: documento vencido, cambio de domicilio o actividad, nuevo representante, modificación accionaria, aparición en listas, comportamiento incompatible, cambio de producto o una discrepancia nueva. Para cada evento, indique qué parte del expediente se reabre. Repetir el onboarding entero sin necesidad suma datos y fricción, y el control no mejora.

Checklist de auditabilidad

• ¿La disposición sectorial está mapeada campo por campo?

• ¿Se distingue copia recibida de verificación independiente?

• ¿Las discrepancias permanecen visibles después de resolverlas?

• ¿La cadena de propietario real llega a personas físicas?

• ¿Los resultados biométricos conservan umbral y versión?

• ¿Existe un motivo de aprobación, rechazo o escalamiento?

• ¿Los cambios posteriores muestran quién, cuándo y por qué?

Document Verification, Face Match y Liveness de Biometric.Vision pueden producir evidencia técnica por separado. Qué fuente es admisible, qué campos exige su régimen, cómo se resuelven las excepciones y cuándo se acepta el riesgo lo decide la entidad.

Compruebe su expediente con una prueba sencilla: un tercero debería poder reconstruir la identidad, la fuente, la excepción y la decisión sin preguntarle nada al analista.