Exposición a sanciones y filtrado · Lección 5 de 5
Gestión de un programa de cumplimiento de sanciones
10 min de lectura
Las herramientas de evaluación no constituyen un programa de sanciones; son un control dentro de este. Los supervisores y las autoridades de aplicación de la ley evalúan a una empresa según si sus controles se ajustan a su exposición real, si alguien de alto nivel es responsable de ellos y si la empresa puede demostrar que funcionan. Esta lección reúne las piezas de las cuatro lecciones anteriores en un programa que se puede ejecutar, probar y defender.
La evaluación del riesgo de sanciones
Una evaluación del riesgo de sanciones pregunta dónde podría entrar en la empresa una persona, un lugar o una transacción prohibidos, y qué tan bien lo impedirían los controles. Puede formar parte de la evaluación de riesgos de toda la empresa (véase la lección El enfoque basado en el riesgo), pero necesita sus propios factores, porque el riesgo de sanciones se relaciona con la exposición a designaciones y territorios, no con la sospecha.
| Factor | Preguntas para una empresa de criptomonedas |
|---|---|
| Clientes | Proporción de clientes procedentes de territorios sancionados o cercanos a ellos; clientes corporativos con estructuras de propiedad complejas; cuentas OTC y de gran volumen |
| Geografía | Dónde se encuentran los clientes, dónde están el personal y los socios, qué territorios limitan con los mercados de la empresa |
| Productos y servicios | Pasarelas de entrada y salida de moneda fiduciaria, mesa OTC, swaps entre criptoactivos, activos que mejoran la privacidad, staking, emisión de tokens |
| Canales de prestación | Incorporación totalmente remota, acceso a API, aplicaciones móviles, socios de marca blanca |
| Contrapartes | VASP contraparte y sus jurisdicciones, proveedores de liquidez, socios de pago, puentes y protocolos DeFi a través de los cuales opera la empresa |
| Tipologías | Exposición a fondos procedentes de robos vinculados a Estados, ransomware, servicios anidados, uso de VPN |
El financiamiento de la proliferación merece atención explícita. En octubre de 2020, el GAFI modificó la Recomendación 1 y su Nota Interpretativa para exigir a los países y a las empresas del sector privado que identifiquen, evalúen y mitiguen su riesgo de financiamiento de la proliferación, definido de manera precisa como la posibilidad de incumplir, no implementar o evadir las sanciones financieras dirigidas de la Recomendación 7. La Guía del GAFI sobre la evaluación y mitigación del riesgo de financiamiento de la proliferación (junio de 2021) explica cómo hacerlo. Para un VASP, dado el historial documentado de actividad de la RPDC descrito en la lección Riesgos de sanciones específicos de las criptomonedas, este riesgo rara vez es bajo.
El resultado debe incluir una calificación para cada factor, los controles que lo abordan y el riesgo residual; la alta dirección debe aprobarlo y actualizarlo al menos una vez al año y siempre que se produzca un cambio importante en los regímenes o se incorpore un producto nuevo.
Gobernanza
La responsabilidad es lo primero. Una estructura típica:
- el consejo de administración aprueba la política de sanciones y el apetito de riesgo, incluida la lista de regímenes aplicados y los territorios en los que la empresa no prestará servicios;
- un responsable de sanciones designado, a menudo dentro de la función de cumplimiento y con dependencia del responsable de cumplimiento o del MLRO, se encarga de la operación diaria, las escalaciones y la presentación de informes a las autoridades;
- el área de negocio es responsable de los controles de primera línea, como las restricciones durante la incorporación y las retenciones de retiros;
- auditoría interna prueba el programa completo de manera independiente.
La información de gestión hace efectiva la gobernanza: el tiempo transcurrido desde la publicación de una lista hasta volver a evaluar a todos los clientes, el volumen y la antigüedad de las alertas, las coincidencias confirmadas y los activos congelados, los bloqueos por geolocalización, las excepciones concedidas y los resultados de las pruebas. Un consejo de administración que ve estas cifras cada trimestre puede cuestionarlas; uno que solo aprueba una política una vez al año no puede hacerlo.
Controles preventivos y detectivos
El conjunto de controles vincula cada riesgo con un control y una persona responsable.
| Control | Qué abarca | Lección |
|---|---|---|
| Evaluación de nombres y entidades | Clientes, beneficiarios finales, partes de la Travel Rule, pagos en moneda fiduciaria | Evaluación de nombres y entidades |
| Evaluación de billeteras y transacciones | Orígenes de depósitos, destinos de retiros, contratos inteligentes | Evaluación de billeteras y transacciones |
| Controles de geolocalización | Incorporación, verificaciones de IP al iniciar sesión y retirar, detección de VPN, país del documento y del teléfono | Riesgos de sanciones específicos de las criptomonedas |
| Análisis de propiedad y control | Clientes corporativos y contrapartes | Cómo funcionan las sanciones |
| Debida diligencia de las contrapartes | VASP contraparte y socios | Identificación y verificación de la contraparte |
| Monitoreo del comportamiento | Patrones de evasión que las listas no pueden detectar | Señales de alerta y tipologías |
La geolocalización merece especial énfasis porque es económica de implementar y fácil de descuidar. Un diseño completo bloquea la incorporación desde territorios sancionados, verifica los datos de IP en cada inicio de sesión y retiro, marca los rangos de IP de VPN y alojamiento, compara el país de la IP con el país del documento y del teléfono, y ejecuta periódicamente un proceso por lotes sobre las cuentas existentes para encontrar y gestionar a los clientes que se incorporaron antes de que se sancionara un territorio.
Escalación y divulgación
Una matriz de escalación elimina las conjeturas:
| Situación | Quién decide | Acción requerida |
|---|---|---|
| Posible coincidencia de nombre o billetera | Responsable de sanciones | Retener; resolver en un plazo establecido; documentar |
| Coincidencia confirmada, activos retenidos | Responsable de sanciones, informando al responsable de cumplimiento | Congelar; informar a la autoridad competente dentro del plazo del régimen |
| Transacción ya completada con una parte designada | Responsable de cumplimiento y alta dirección, con asesoramiento jurídico | Investigar la causa raíz; considerar la divulgación |
| Falla sistémica de los controles (por ejemplo, no cargar una lista durante una semana) | Alta dirección y consejo de administración | Revisión retrospectiva; plan de remediación; considerar la divulgación |
La divulgación a las autoridades adopta dos formas. Los informes obligatorios abarcan los activos congelados y, en algunos regímenes, las transacciones rechazadas. La divulgación voluntaria de una aparente infracción, como una transferencia completada a una parte designada, no es obligatoria en todas partes, pero muchas autoridades consideran factores atenuantes la divulgación voluntaria completa y oportuna y la cooperación. La decisión de divulgar debe tomarla la alta dirección con asesoramiento jurídico y quedar registrada; la empresa debe estar preparada para presentar su análisis de causa raíz y las medidas de remediación.
Cuando se descubre una falla, puede ser necesaria una revisión retrospectiva: volver a evaluar a los clientes o las transacciones anteriores correspondientes al período en que el control estuvo fuera de servicio. La Guía de Wolfsberg sobre evaluación de sanciones (2019) sugiere ponderar la causa raíz, si el problema fue aislado y las medidas de mitigación ya implementadas para decidir si resulta útil una revisión retrospectiva.
Pruebas y auditoría
Un programa que nunca se prueba es una política, no un control. Las pruebas se realizan en tres niveles:
- Pruebas del sistema: ¿Se cargan todas las listas completas y a tiempo? ¿Todos los clientes y todos los flujos de transacciones pasan realmente por la evaluación? ¿La coincidencia aproximada detecta variantes de prueba con el umbral configurado? ¿Funcionan los bloqueos de geolocalización al probarlos desde una IP de un territorio sancionado y a través de una VPN?
- Aseguramiento de calidad: ¿Las decisiones sobre alertas siguen el procedimiento y sus fundamentos son específicos? Cada mes se vuelve a revisar una muestra de alertas cerradas.
- Auditoría independiente: Auditoría interna o un tercero calificado prueba el diseño y la eficacia operativa con una frecuencia determinada por el riesgo, e informa sus hallazgos al consejo de administración con un seguimiento de las medidas correctivas.
La integridad de los datos es la falla oculta más común. Los registros de clientes que nunca llegaron al motor de evaluación debido a un campo faltante, o un producto nuevo cuyos retiros omiten la consulta de evaluación de billeteras, no aparecerán en las métricas de alertas. La prueba que los detecta consiste en conciliar la población evaluada con la población existente.
Las pruebas que solicita un examinador
Los supervisores suelen iniciar una revisión de sanciones solicitando documentación. Una empresa que puede entregar rápidamente lo siguiente demuestra que su programa funciona y no solo existe:
- la política de sanciones vigente, la lista de regímenes aplicados y la aprobación del consejo de administración;
- la evaluación más reciente del riesgo de sanciones y del riesgo de financiamiento de la proliferación;
- registros de carga de listas con versiones, marcas de tiempo y cantidades para un período elegido;
- configuración de la evaluación: umbrales, ajustes de coincidencia aproximada, exclusiones y entradas de listas de clientes legítimos, cada una con su aprobación;
- estadísticas de alertas y una muestra de alertas cerradas con fundamentos completos;
- el registro de activos congelados y copias de los informes enviados a la autoridad competente;
- estadísticas de bloqueos por geolocalización y resultados de la revisión más reciente de las IP de las cuentas existentes;
- informes de pruebas, aseguramiento de calidad y auditoría, con el estado de cada hallazgo pendiente.
Comprar herramientas de evaluación a un proveedor no transfiere la responsabilidad: la empresa debe comprender y demostrar cómo está configurada la herramienta y por qué.
Lecciones de las acciones públicas de aplicación de la ley
Las acciones públicas de aplicación de la ley contra exchanges, proveedores de billeteras y empresas de pago en varias regiones repiten las mismas conclusiones. Dos ejemplos muestran el patrón:
- En Lituania, en 2024, se impuso una multa a un exchange de criptomonedas y servicio de pago porque, durante más de un año y medio, permitió que sus clientes, principalmente de Rusia, transfirieran fondos hacia y desde bancos sujetos a sanciones de la UE, no identificó adecuadamente a sus clientes e ignoró las solicitudes de la autoridad para detenerse. La multa abarcó tanto las infracciones de sanciones como las fallas de prevención del lavado de dinero.
- En Estados Unidos, varios exchanges llegaron a acuerdos con las autoridades entre 2022 y 2023 después de prestar servicios durante años a usuarios de territorios sujetos a sanciones integrales, aunque las direcciones IP que habían recopilado indicaban dónde se encontraban esos usuarios. Las consecuencias incluyeron sanciones económicas y, en el caso más importante, supervisores independientes.
Descritas según lo que falló:
| Falla | Qué ocurrió | Control que habría ayudado |
|---|---|---|
| Ausencia de bloqueo geográfico | Las empresas prestaron servicios durante años a usuarios de territorios sujetos a sanciones integrales | Bloqueos por territorio durante la incorporación y al iniciar sesión |
| Datos de IP ignorados | Las empresas recopilaron direcciones IP que mostraban ubicaciones sancionadas, pero nunca las evaluaron | Revisión por lotes de las IP de las cuentas existentes, con alertas |
| Confianza en el país declarado por el usuario | Los usuarios eligieron un país permitido al registrarse y nunca se verificó | Comparación del país declarado con el de la IP, el documento y el teléfono |
| Reevaluación deficiente | Los clientes designados después de su incorporación siguieron operando | Reevaluación el mismo día cada vez que cambia una lista |
| Evaluación solo de nombres | Las transferencias hacia y desde direcciones designadas pasaron sin ser verificadas | Evaluación de billeteras para depósitos y retiros |
| Crecimiento previo a los controles | Se lanzaron productos antes de que la evaluación los cubriera | Aprobación del área de cumplimiento para cada producto y mercado nuevos |
En estos casos, las sanciones económicas a menudo se redujeron por la cooperación y las medidas de remediación, y aumentaron cuando las empresas conocían las deficiencias y demoraron en corregirlas.
Enfoque del examen: los factores de una evaluación del riesgo de sanciones para una empresa de criptomonedas; el requisito del GAFI de octubre de 2020 de evaluar el riesgo de financiamiento de la proliferación y su definición precisa, vinculada a la R.7; las funciones de gobernanza y la información de gestión que debe recibir un consejo de administración; la vinculación de los riesgos con los controles, incluido un diseño completo de geolocalización; la matriz de escalación y la diferencia entre los informes obligatorios y la divulgación voluntaria; las revisiones retrospectivas; las pruebas del sistema, el aseguramiento de calidad y la auditoría independiente, así como la conciliación entre las poblaciones evaluadas y las existentes; las fallas recurrentes en las acciones públicas de aplicación de la ley y el control que aborda cada una.