Creación de la función de cumplimiento

Un programa de cumplimiento solo es tan sólido como la función que lo gestiona. Cuando los supervisores examinan una empresa de criptoactivos, lo primero que observan es quién tiene la responsabilidad sobre el riesgo de delitos financieros, si esa persona puede decir no al negocio y si el equipo cuenta con el personal, las herramientas y el presupuesto que exige su perfil de riesgo. Esta lección muestra cómo diseñar esa función y cómo demostrar que funciona.

Qué exige el estándar

La Recomendación 18 del GAFI exige que los sujetos obligados implementen programas contra el lavado de activos y la financiación del terrorismo. Su Nota Interpretativa enumera el contenido mínimo: políticas, procedimientos y controles internos con mecanismos adecuados de gestión del cumplimiento, procedimientos de selección al contratar empleados, un programa de capacitación continua y una función de auditoría independiente para comprobar el sistema. Los mecanismos de gestión del cumplimiento "deben incluir la designación de un oficial de cumplimiento a nivel directivo". La Nota Interpretativa de la Recomendación 15 aplica estas medidas preventivas a los VASP.

Dos principios orientan todas las decisiones de diseño:

• Proporcionalidad. La Nota Interpretativa de la Recomendación 18 indica que el tipo y el alcance de las medidas deben corresponder al riesgo y al tamaño de la empresa. Tanto un exchange de 20 personas como una plataforma global con millones de usuarios necesitan un oficial de cumplimiento, pero no la misma estructura.
• Responsabilidad en la cúpula. El consejo de administración establece el apetito de riesgo y conserva la responsabilidad; la alta dirección ejecuta; la función de cumplimiento asesora, supervisa y cuestiona. Las directrices del Comité de Basilea Gestión adecuada de los riesgos relacionados con el lavado de activos y la financiación del terrorismo (publicadas por primera vez en 2014 y revisadas por última vez en julio de 2020) describen la misma estructura para los bancos, con un responsable principal de ALA/CFT en la segunda línea.

Los elementos fundamentales y el modelo de las tres líneas se abordan en la lección Elementos fundamentales de un programa de ALA/CFT. Esta lección los convierte en un organigrama, una dotación de personal y un presupuesto.

Diseño organizativo

La mayoría de las empresas de criptoactivos agrupan el trabajo relacionado con los delitos financieros en unos pocos equipos. Cuáles se sitúan en la primera línea (negocio y operaciones) y cuáles en la segunda (cumplimiento) varía entre empresas, pero la distribución debe estar documentada y ser conocida por el personal.

Una empresa que opera en varios países elige entre tres modelos. En un modelo centralizado, un único equipo atiende a todos los mercados. En un modelo de núcleo y filiales, un equipo central establece estándares y gestiona servicios compartidos, con oficiales de cumplimiento locales donde las licencias o los requisitos locales de presentación de reportes lo exijan. En un modelo federado, cada entidad jurídica gestiona su propio programa. El modelo de núcleo y filiales es el más habitual entre los VASP: las herramientas y el análisis en cadena se amplían de forma centralizada, mientras que algunos regímenes exigen un oficial establecido localmente y la presentación local de reportes.

Independencia y líneas de reporte

La independencia se comprueba en la práctica, no por el título del puesto. Las evidencias que busca un supervisor son:

• una línea de reporte directa del oficial de cumplimiento al consejo de administración o a uno de sus comités, no solo a través del director ejecutivo o del responsable de una línea generadora de ingresos;
• el derecho a elevar asuntos al consejo de administración sin permiso y el acceso sin restricciones a datos, sistemas y personal;
• ausencia de responsabilidades en líneas de negocio: un oficial de cumplimiento que también dirige operaciones o crecimiento termina revisando sus propias decisiones;
• una remuneración no vinculada a los ingresos, al volumen de negociación ni al número de incorporaciones de clientes;
• el nombramiento y la destitución decididos o aprobados por el consejo de administración;
• una decisión de presentación de reportes protegida: nadie puede ordenar al oficial de cumplimiento que no presente un reporte de operación sospechosa.

Las empresas pequeñas suelen combinar funciones. Combinar cumplimiento con gestión de riesgos o asuntos jurídicos puede ser aceptable si los conflictos se documentan y gestionan. Combinarlo con auditoría interna no lo es, porque el auditor estaría comprobando su propio trabajo.

Las funciones del oficial de cumplimiento y del MLRO

Algunos regímenes distinguen entre un oficial de cumplimiento, responsable del programa, y un responsable de reportes de lavado de activos (MLRO), responsable de las decisiones sobre la presentación de reportes. Muchas empresas asignan ambas funciones a una misma persona. En cualquier caso, el puesto incluye:

1. asumir la responsabilidad de las políticas de ALA/CFT y sanciones y de la evaluación de riesgos de toda la empresa;
2. decidir si los reportes internos de sospecha se presentan ante la unidad de inteligencia financiera;
3. actuar como punto de contacto para el supervisor y la unidad de inteligencia financiera;
4. supervisar los controles de monitoreo, cotejo con listas y Travel Rule, incluidas las partes externalizadas;
5. informar al consejo de administración al menos una vez al año y con prontitud sobre asuntos relevantes;
6. aprobar nuevos productos, tokens, cadenas y mercados desde la perspectiva de los delitos financieros.

Designe a un suplente capacitado para que la presentación de reportes continúe durante las ausencias. Muchos regímenes someten el puesto a una aprobación de idoneidad y honorabilidad, y el oficial puede incurrir en responsabilidad personal (véase la lección Supervisión, inspecciones y medidas de ejecución).

Personal, competencias y presupuesto

La dotación de personal debe derivarse de la carga de trabajo y del riesgo, y luego documentarse para que el consejo de administración pueda ver qué está aprobando. Un ejemplo de cálculo para el monitoreo de transacciones:

• 6.000 alertas al mes, con una revisión de nivel 1 que tarda 20 minutos en promedio: 6.000 × 20 = 120.000 minutos, o 2.000 horas.
• El 15% se escala (900 casos), y la investigación de nivel 2 tarda 90 minutos: 900 × 90 = 81.000 minutos, o 1.350 horas.
• Un analista dispone de unas 120 horas productivas al mes después de descontar capacitación, reuniones y ausencias.
• El nivel 1 necesita 2.000 ÷ 120 = 16,7 equivalentes a tiempo completo y el nivel 2 necesita 1.350 ÷ 120 = 11,3 equivalentes a tiempo completo. Al añadir un 10% para aseguramiento de la calidad, se obtienen unos 31 equivalentes a tiempo completo.

Repita el cálculo para las colas de incorporación de clientes, cotejo con listas y Travel Rule, y vuelva a realizarlo cuando cambien los volúmenes, los productos o los mercados. Las competencias importan tanto como las cifras. Un equipo de cumplimiento de criptoactivos necesita investigadores en cadena (el curso IDFE-CF cubre sus métodos), analistas de datos que puedan consultar los datos de monitoreo, especialistas en sanciones y personas que comprendan los productos de la empresa. Mantenga una matriz de competencias del equipo, planifique la gestión del riesgo de dependencia de personas clave en competencias especializadas, como el rastreo a través de puentes, y presupueste la formación continua del propio equipo.

El presupuesto cubre personal, tecnología, datos, capacitación, pruebas independientes y una reserva para contingencias ante aumentos repentinos de actividad, como una subida del mercado o un ataque informático de gran magnitud. Cuando el consejo de administración rechace una solicitud, el acta debe registrar la decisión y el riesgo residual aceptado. Un supervisor preguntará por ello.

Externalización

Las empresas externalizan las verificaciones documentales, la revisión de alertas de nivel 1, las operaciones de cotejo con listas, la mensajería de la Travel Rule y, en ocasiones, el trabajo de auditoría interna. La responsabilidad permanece en la empresa. Esto difiere del recurso a terceros previsto en la Recomendación 17, en el que una empresa se apoya en la debida diligencia del cliente realizada por otra entidad regulada: la Nota Interpretativa de la Recomendación 17 establece que no se aplica a la externalización ni a las relaciones de agencia, en las que el proveedor actúa en nombre de la empresa.

Nunca externalice la decisión de presentar un reporte, el apetito de riesgo ni la responsabilidad sobre la evaluación de riesgos. Para todo lo demás, un acuerdo sólido incluye debida diligencia sobre el proveedor; un contrato con niveles de servicio, derechos de auditoría y acceso a datos, condiciones de protección de datos, límites a la subcontratación y un plan de salida; y supervisión continua mediante muestras de calidad e indicadores clave. Los acuerdos intragrupo también cuentan: cuando una empresa de servicios del grupo realiza el monitoreo para varias entidades con licencia, cada entidad necesita un acuerdo escrito, su propia supervisión y acceso para su oficial local a los expedientes de los casos de los que es responsable. Entre las referencias internacionales se incluyen el conjunto de herramientas del FSB Mejora de la gestión y la supervisión del riesgo de terceros (diciembre de 2023), los Principios sobre externalización de IOSCO (octubre de 2021) y los Principios para la gestión adecuada del riesgo de terceros del Comité de Basilea (diciembre de 2025).

Informes al consejo de administración

El consejo de administración necesita información que le permita evaluar si el riesgo se mantiene dentro del apetito establecido. Un conjunto útil de informes trimestrales abarca:

El informe anual del oficial de cumplimiento añade la evaluación de riesgos actualizada y una opinión sobre la eficacia del programa. Las actas del consejo de administración deben mostrar las preguntas formuladas y las decisiones adoptadas, no limitarse a indicar "se tomó conocimiento".

Enfoque del examen: qué exige la Nota Interpretativa de la Recomendación 18 (mecanismos de cumplimiento, un oficial de cumplimiento a nivel directivo, selección al contratar personal, capacitación, auditoría independiente) y su principio de proporcionalidad; modelos centralizado, de núcleo y filiales y federado; las evidencias de independencia (línea directa al consejo de administración, ausencia de funciones en líneas de negocio, remuneración, decisión de presentación de reportes protegida) y por qué no puede combinarse cumplimiento con auditoría interna; las funciones del oficial de cumplimiento y del MLRO; el dimensionamiento de un equipo a partir de los volúmenes de alertas y los tiempos de gestión; por qué la externalización nunca transfiere la responsabilidad y en qué se diferencia del recurso a terceros previsto en la Recomendación 17; qué debe incluirse en los informes al consejo de administración.