Oficial de cumplimiento PLD en México: funciones y controles

Un oficial de cumplimiento puede entregar todos los reportes a tiempo y aun así no controlar el riesgo. Pasa cuando recibe alertas sin datos suficientes, cuando depende del área comercial para investigar a los clientes de esa misma área o cuando no puede demostrar por qué cerró un caso. En esas entidades el puesto figura en el organigrama, pero nadie ejerce la función.

En México no hay una descripción única aplicable palabra por palabra a bancos, fintech, casas de bolsa, transmisores de dinero y demás sujetos. Cada sector se rige por su ley y por las disposiciones generales de PLD/FT correspondientes. La CNBV reúne los marcos sectoriales y certifica a oficiales de cumplimiento de los sujetos bajo su supervisión. Esta guía propone un modelo operativo. Antes de asignar una obligación concreta, revise el régimen que aplica a su entidad.

La evidencia de eKYC también necesita reglas. El resultado de la verificación documental, la prueba de liveness, la comparación facial y la revisión manual deben llegar al expediente con su fuente y su decisión; una puntuación suelta no alcanza.

En breve

• El oficial traduce las reglas PLD/FT en decisiones, escalamiento y evidencia; las demás áreas de control siguen haciendo su parte.

• Independencia significa acceso a información y órganos de gobierno, autoridad para escalar y ausencia de conflictos incompatibles.

• Si una alerta se cierra sin fuente, análisis ni motivo, nadie puede auditar esa decisión.

• Automatizar screening y reportes ayuda, aunque la responsabilidad y el criterio siguen siendo de la entidad.

La función se diseña desde las decisiones

La CNBV describe al oficial como el funcionario encargado de vigilar el cumplimiento de la normativa PLD/FT y enlace con la autoridad supervisora. En las instituciones de tecnología financiera, por ejemplo, las obligaciones incluyen estructuras internas, metodología de riesgos, sistemas automatizados, reportes, manual e informe de auditoría. Con esa lista, el puesto va mucho más allá de enviar archivos.

Cinco capacidades que deben existir

1. Acceso oportuno a información

El oficial necesita datos de clientes, beneficiarios, productos, transacciones, alertas, listas y decisiones anteriores. El “acceso bajo solicitud” se queda corto si el área investigada decide qué información entrega o si, mientras tanto, corre el plazo regulatorio.

2. Autoridad de escalamiento

Hace falta una ruta documentada hacia el comité u órgano competente. El oficial no tiene que decidir solo sobre cada relación; sí tiene que poder impedir que una alerta material desaparezca por presión comercial.

3. Criterios reproducibles

Las reglas de riesgo, casos PEP, coincidencias de listas y alertas transaccionales deben tener criterios, responsables y versiones. Dos analistas pueden discrepar, y por eso el expediente tiene que mostrar la evidencia y el criterio en que se basó la resolución.

4. Seguimiento de remediación

Detectar una falla en una auditoría no la corrige. El oficial debe vincular hallazgo, causa, dueño, fecha, evidencia de cierre y validación de efectividad.

5. Reporte útil al gobierno

Un conteo de alertas dice poco sobre el riesgo. El reporte debe separar volumen, exposición y causa: falsos positivos por una regla defectuosa, clientes pendientes por falta de datos, casos fuera de plazo, concentración geográfica y reincidencias.

Independencia: una prueba de cuatro preguntas

• ¿Puede acceder a los datos sin autorización del área comercial?

• ¿Puede elevar un caso material directamente al órgano competente?

• ¿Sus incentivos dependen de metas que entran en conflicto con el control?

• ¿Puede dejar constancia de una discrepancia y exigir resolución?

Una respuesta negativa no prueba por sí sola un incumplimiento, porque la estructura exigida cambia de un sector a otro. Lo que sí muestra es una dependencia. Compárela con las disposiciones aplicables y corríjala con gobierno, segregación o controles compensatorios.

Certificación no equivale a funcionamiento

La CNBV modificó en 2019 las disposiciones de certificación para oficiales, auditores y otros profesionales. La certificación acredita un requisito profesional dentro de su alcance. Que la entidad entregue datos completos, configure bien sus reglas o atienda los hallazgos es otra cuestión.

Al evaluar la función, revise a la persona y también al sistema:

• designación, elegibilidad y certificación cuando correspondan;

• manual y metodología vigentes;

• calidad y trazabilidad de alertas;

• acceso, segregación y conflictos;

• funcionamiento del comité;

• oportunidad y acuse de reportes;

• capacitación basada en funciones;

• auditoría y remediación verificable.

Qué automatizar y qué no delegar

AML Screening de Biometric.Vision puede ejecutar búsquedas, monitoreo y conservar el historial de resultados. El Orchestrator puede encadenar controles y rutas de revisión. La entidad no debe delegar al software la interpretación final de una coincidencia, la calificación jurídica de una operación, la decisión de reportar ni la aceptación del riesgo residual.

Para cada alerta, el sistema debería conservar entrada, listas o regla consultadas, candidatos, fuentes, decisión humana, motivo, tiempo, versión y acciones posteriores. Marcar “cerrado” sin esos elementos vacía la bandeja y deja el caso sin evidencia.

Revisión adversarial del área PLD

• ¿Puede reconstruirse una decisión seis meses después?

• ¿Los cambios de umbral requieren prueba y aprobación?

• ¿Los reportes fallidos o rechazados generan una alerta operativa?

• ¿Existe sustitución formal durante ausencias?

• ¿El comité recibe problemas materiales o solo estadísticas favorables?

• ¿Los hallazgos se cierran con prueba de efectividad?

Un buen oficial de cumplimiento consigue que la organización aplique criterios coherentes, escale las excepciones y deje una historia verificable desde el dato inicial hasta la decisión de gobierno, sin tener que hacer cada tarea él mismo.