Clasificación inicial de alertas e investigación

Una alerta es una pregunta, no una respuesta. Lo que convierte el monitoreo en cumplimiento es el trabajo realizado sobre cada alerta: recopilar hechos, contrastar explicaciones y registrar una decisión que otra persona pueda entender meses después. Los supervisores y auditores examinan las alertas cerradas con más detenimiento que casi cualquier otro elemento de un programa, porque las investigaciones deficientes y las notas de cierre superficiales revelan si el monitoreo es real.

El ciclo de vida de una alerta

Cada alerta pasa por las mismas etapas, y cada etapa necesita un responsable, un plazo establecido y un registro.

Las alertas de distintas fuentes sobre el mismo cliente deben agruparse en un único caso, para que un investigador tenga una visión completa. Las derivaciones internas de atención al cliente, los equipos de fraude o los gestores de relaciones también son alertas y, a menudo, las más productivas.

Los plazos establecidos son importantes porque la Recomendación 20 del FATF exige que los reportes se presenten con prontitud. Una empresa fija objetivos internos para cada etapa y realiza un seguimiento de la antigüedad: una alerta que permanece sin atender durante semanas constituye una falla de control, aunque la decisión final sea correcta.

Priorización

Las colas de alertas rara vez están vacías, por lo que el orden importa. Una puntuación de prioridad basada en el riesgo suele combinar:

• la gravedad del escenario (la exposición a sanciones, la financiación del terrorismo o el material de abuso infantil tiene prioridad sobre una regla de volumen);
• el importe y si los fondos siguen en la plataforma (un retiro pendiente todavía puede detenerse);
• la calificación de riesgo del cliente y su historial de alertas anteriores;
• la solidez de la exposición identificada mediante el análisis (la directa antes que la indirecta, las etiquetas recientes antes que las antiguas);
• los vínculos con otros casos abiertos.

Las alertas en las que los fondos aún pueden retenerse o en las que se aplica un bloqueo previo a la transacción se atienden primero. La priorización no debe convertirse en una supresión silenciosa: las alertas de baja prioridad también necesitan una decisión dentro del plazo establecido, o una razón documentada y aprobada que justifique su cierre en lote.

Pasos de la investigación

Una secuencia uniforme permite que las investigaciones sean comparables y completas.

1. Comprender la alerta. ¿Qué regla se activó, con qué parámetros y valores, y por qué se considera un riesgo?
2. Revisar el perfil del cliente. Datos de incorporación, ocupación y propósito declarados, actividad esperada, origen de los fondos y del patrimonio, calificación de riesgo, alertas y reportes anteriores, cambios recientes en los datos.
3. Revisar la actividad. El historial completo de transacciones del cliente en torno a la alerta: depósitos, operaciones, retiros, canales de moneda fiduciaria, transferencias internas. ¿Representa un cambio respecto al patrón habitual del cliente?
4. Rastrear en la cadena de bloques. Seguir los fondos hacia atrás desde los depósitos y hacia adelante desde los retiros, mediante herramientas de análisis y revisión manual (véase la lección Análisis de cadenas de bloques para el cumplimiento; para las técnicas, la lección de IDFE-CF Rastreo con rigor probatorio). Anotar el número de saltos, los servicios por los que pasaron y las fuentes de las etiquetas.
5. Verificar los datos de la contraparte. Información de la Travel Rule procedente del VASP de la contraparte, su estado de diligencia debida y si el nombre del beneficiario o del ordenante coincide con lo declarado por el cliente.
6. Utilizar datos internos. Inicios de sesión, dispositivos, direcciones IP y geolocalización, atributos compartidos con otras cuentas, conversaciones con atención al cliente.
7. Consultar al cliente si es necesario. Una solicitud de información (RFI) pide documentos o una explicación: una factura, un registro de una operación, un comprobante de venta, un documento sobre el origen de los fondos. Es una actuación normal de diligencia debida, por lo que debe redactarse de manera neutral y nunca debe mencionar sospechas, alertas ni ningún reporte (véase la lección Diligencia debida continua y terminación de relaciones sobre la revelación indebida de información).
8. Concluir. Exponer la hipótesis contrastada, las pruebas a favor y en contra, y la decisión.

Los investigadores deben considerar al menos una explicación inocente y una explicación ilícita para cada alerta, y registrar cuál respalda la evidencia. Esto protege tanto contra la aprobación automática como contra el sesgo de confirmación.

Cerrar o elevar

La decisión depende de si la evidencia explica la actividad, no de cuánto esfuerzo se haya invertido.

Elevar no es lo mismo que reportar: el oficial de cumplimiento o MLRO aplica el umbral de sospecha descrito en la lección Obligaciones de reporte de transacciones sospechosas y registra el razonamiento, se presente o no un reporte. Un cierre nunca puede limitarse a «sin motivos de preocupación».

Documentar la justificación

Una buena nota de cierre permite que un revisor que nunca haya visto el caso comprenda, sin abrir otros sistemas, qué generó la alerta, qué se verificó, qué se encontró y por qué se tomó la decisión. Contiene hechos con fuentes y fechas, referencias a transacciones (txids, importes, marcas de tiempo), la explicación y la evidencia que la respalda, y cualquier limitación, como una etiqueta caducada o un rastreo que se detuvo en un servicio. Las notas deficientes dicen «actividad acorde con el perfil» sin indicar cuál es el perfil, o se basan en la palabra del cliente sin evidencia.

Un registro estructurado del caso recoge lo mismo en campos que pueden auditarse y contabilizarse:

{
  "case_id": "CASE-2026-04417",
  "alerts": ["A-88121 rapid_in_out", "A-88134 indirect_scam_exposure"],
  "customer_id": "C-20931",
  "opened": "2026-10-02T09:14:00Z",
  "steps": ["profile reviewed", "trace 3 hops back", "linked accounts checked",
            "RFI sent 2026-10-03, answered 2026-10-06"],
  "findings": "Source funded by peel chain from cluster attributed to investment-scam platform; two other customers received from same source; explanation not evidenced",
  "decision": "ESCALATED",
  "decided_by": "L2-analyst-17",
  "mlro_outcome": "REPORTED",
  "account_action": "withdrawals restricted pending review",
  "qa_sampled": true
}

El registro vincula las alertas a un único caso, enumera los pasos realizados con sus fechas, resume los hallazgos en lenguaje sencillo y separa la decisión del investigador del resultado del MLRO y de las medidas relativas a la cuenta. Campos como estos alimentan las métricas que se analizan en la lección Ajuste, métricas y gobernanza de modelos.

Aseguramiento de la calidad

El aseguramiento de la calidad vuelve a revisar una muestra de alertas cerradas y elevadas mediante una lista de verificación: ¿se realizaron todos los pasos?, ¿la justificación está respaldada?, ¿la decisión fue correcta?, ¿se cumplió el plazo establecido? El muestreo debe basarse en el riesgo (con una mayor proporción de escenarios de alto riesgo y analistas nuevos) e incluir alertas cerradas, ya que las alertas cerradas incorrectamente son los errores costosos. Los resultados se comunican a los analistas, se utilizan en sesiones de calibración en las que los investigadores deciden sobre el mismo caso de forma independiente y comparan sus decisiones, y se reportan a la dirección. Los errores recurrentes apuntan a una necesidad de formación, un procedimiento poco claro o una regla que produce alertas confusas.

Un caso resuelto

El cliente C-20931, un diseñador gráfico incorporado hace catorce meses, declaró una actividad esperada de unos USD 1.000 al mes. El mismo día se activan dos alertas: un depósito de unos USD 18.000 en BTC retirado en moneda fiduciaria a una cuenta bancaria recién añadida en un plazo de tres horas, y una exposición indirecta del 22%, dos saltos atrás, a un grupo de direcciones atribuido a una plataforma de estafas de inversión.

• Perfil: el importe equivale a 18 veces la actividad mensual esperada, sin depósitos previos de criptomonedas de esta magnitud.
• Rastreo: la dirección remitente recibió fondos de una cadena de desprendimiento procedente del grupo de direcciones de la estafa; la etiqueta proviene de un comunicado público de las autoridades policiales fechado cuatro meses antes.
• Vínculos: otros dos clientes recibieron depósitos de la misma cadena de desprendimiento en la misma semana, y uno comparte un dispositivo con C-20931.
• RFI: el cliente afirma que los fondos eran el pago de una computadora portátil usada, pero no aporta factura ni mensajes; después dice que un amigo le pidió ayuda para recibir dinero.

La evidencia respalda la hipótesis ilícita: el cliente probablemente está actuando como una mula de dinero (véase la lección Señales de alerta y tipologías). El investigador eleva el caso; el MLRO presenta un reporte, restringe los retiros mientras se realiza la revisión y abre casos sobre los dos clientes vinculados. La muestra de aseguramiento de la calidad confirma posteriormente la decisión y señala que la fecha de la etiqueta se registró correctamente.

Enfoque del examen: las etapas del ciclo de vida de una alerta y sus responsables; la agrupación de alertas en casos y el seguimiento de su antigüedad frente a la exigencia de prontitud de la R.20; la priorización basada en el riesgo sin supresión silenciosa; la secuencia de investigación, incluido el rastreo en la cadena de bloques, los datos de la contraparte de la Travel Rule, los datos internos de dispositivos y direcciones IP, y las solicitudes de información neutrales que evitan la revelación indebida de información; la tabla de decisiones de cerrar, dejar pendiente y elevar; elevar frente a reportar; qué contiene una nota de cierre defendible; el muestreo de aseguramiento de la calidad basado en el riesgo y la calibración.