Triaje e investigación de alertas

Una alerta es una pregunta, no una respuesta. Lo que convierte el monitoreo en cumplimiento es el trabajo que se realiza con cada alerta: reunir hechos, poner a prueba explicaciones y registrar una decisión que otra persona pueda entender meses después. Los supervisores y auditores revisan las alertas cerradas con más atención que casi cualquier otro elemento de un programa, porque las investigaciones débiles y las notas de cierre escuetas revelan si el monitoreo es real.

El ciclo de vida de una alerta

Todas las alertas pasan por las mismas etapas, y cada una necesita un responsable, un plazo estándar y un registro.

Las alertas de distintas fuentes relacionadas con el mismo cliente deben agruparse en un caso, para que un investigador pueda ver el panorama completo. Las derivaciones internas del servicio de atención al cliente, los equipos de fraude o los gerentes de relaciones también son alertas y, a menudo, las más productivas.

Los plazos estándar son importantes porque la Recomendación 20 del FATF exige que los reportes se presenten sin demora. Una empresa fija objetivos internos para cada etapa y hace un seguimiento de la antigüedad: una alerta que permanece sin atender durante semanas representa una falla de control, aunque la decisión final sea correcta.

Priorización

Las colas de trabajo rara vez están vacías, por lo que el orden importa. Una puntuación de prioridad basada en el riesgo suele combinar:

• la gravedad del escenario (la exposición a sanciones, financiamiento del terrorismo o material de abuso sexual infantil tiene mayor prioridad que una regla de volumen);
• el monto y si los fondos siguen en la plataforma (todavía es posible detener un retiro pendiente);
• la calificación de riesgo del cliente y su historial de alertas anteriores;
• la solidez de la exposición identificada mediante analítica (directa antes que indirecta, etiquetas recientes antes que antiguas);
• los vínculos con otros casos abiertos.

Las alertas en las que aún se pueden retener los fondos, o en las que se aplica un bloqueo previo a la transacción, van primero. La priorización no debe convertirse en una supresión silenciosa: incluso las alertas de baja prioridad necesitan una decisión dentro del plazo estándar o una razón documentada y aprobada para cerrarlas en lote.

Pasos de la investigación

Una secuencia coherente permite que las investigaciones sean comparables y completas.

1. Comprender la alerta. ¿Qué regla se activó, con qué parámetros y valores, y por qué se considera un riesgo?
2. Revisar el perfil del cliente. Datos de incorporación, ocupación y propósito declarados, actividad prevista, origen de los fondos y del patrimonio, calificación de riesgo, alertas y reportes anteriores, y cambios recientes en los datos.
3. Revisar la actividad. El historial completo de transacciones del cliente en torno a la alerta: depósitos, operaciones, retiros, canales de moneda fiduciaria y transferencias internas. ¿Se trata de un cambio respecto del patrón habitual del cliente?
4. Rastrear en cadena. Seguir los fondos hacia atrás desde los depósitos y hacia adelante desde los retiros, mediante herramientas de analítica y revisión manual (véase la lección Analítica de blockchain para el cumplimiento; para conocer las técnicas, la lección IDFE-BA Rastreo de fondos hacia adelante y hacia atrás). Anotar la cantidad de saltos, los servicios por los que pasaron los fondos y las fuentes de las etiquetas.
5. Verificar los datos de la contraparte. Información de Travel Rule de la VASP contraparte, su estado de debida diligencia y si el nombre del beneficiario o del ordenante coincide con lo que declaró el cliente.
6. Usar datos internos. Inicios de sesión, dispositivos, direcciones IP y geolocalización, atributos compartidos con otras cuentas y conversaciones con el servicio de atención al cliente.
7. Consultar al cliente si es necesario. Una solicitud de información (RFI) pide documentos o una explicación: una factura, un registro de una operación, prueba de una venta o un documento sobre el origen de los fondos. Es parte de la debida diligencia habitual, por lo que debe redactarse en términos neutrales y nunca mencionar sospechas, alertas ni reportes (véase la lección Debida diligencia continua y terminación de relaciones sobre la prohibición de revelar información al cliente).
8. Concluir. Indicar la hipótesis que se puso a prueba, las pruebas a favor y en contra, y la decisión.

Los investigadores deben considerar al menos una explicación lícita y otra ilícita para cada alerta, y registrar cuál cuenta con el respaldo de las pruebas. Esto ayuda a evitar tanto la aprobación mecánica como el sesgo de confirmación.

Cerrar o escalar

La decisión depende de si las pruebas explican la actividad, no de cuánto esfuerzo se haya invertido.

Escalar no es lo mismo que reportar: el responsable de cumplimiento o el MLRO aplica el umbral de sospecha descrito en la lección Obligaciones de reporte de transacciones sospechosas y registra los motivos, independientemente de que se presente o no un reporte. Una nota de cierre nunca debe limitarse a decir «sin motivos de preocupación».

Documentar los motivos

Una buena nota de cierre permite que un revisor que nunca ha visto el caso entienda, sin abrir otros sistemas, qué generó la alerta, qué se verificó, qué se encontró y por qué se tomó esa decisión. Incluye hechos con fuentes y fechas, referencias a transacciones (txids, montos, marcas de tiempo), la explicación y las pruebas que la respaldan, así como cualquier limitación, por ejemplo, una etiqueta vencida o un rastreo que se detuvo en un servicio. Las notas deficientes dicen «actividad acorde con el perfil» sin describir el perfil, o se basan en lo que afirma el cliente sin pruebas.

Un registro estructurado del caso captura la misma información en campos que pueden auditarse y cuantificarse:

{
  "case_id": "CASE-2026-04417",
  "alerts": ["A-88121 rapid_in_out", "A-88134 indirect_scam_exposure"],
  "customer_id": "C-20931",
  "opened": "2026-10-02T09:14:00Z",
  "steps": ["perfil revisado", "rastreo de 3 saltos hacia atrás", "cuentas vinculadas verificadas",
            "RFI enviada el 2026-10-03, respondida el 2026-10-06"],
  "findings": "Fondos de origen recibidos mediante una cadena de peel desde un grupo atribuido a una plataforma de estafas de inversión; otros dos clientes recibieron fondos del mismo origen; la explicación no está respaldada por pruebas",
  "decision": "ESCALATED",
  "decided_by": "L2-analyst-17",
  "mlro_outcome": "REPORTED",
  "account_action": "retiros restringidos en espera de revisión",
  "qa_sampled": true
}

El registro vincula las alertas en un solo caso, enumera los pasos realizados con sus fechas, resume los hallazgos en lenguaje claro y distingue la decisión del investigador del resultado del MLRO y de las medidas aplicadas a la cuenta. Campos como estos alimentan las métricas que se analizan en la lección Ajuste, métricas y gobernanza de modelos.

Control de calidad

El control de calidad vuelve a revisar una muestra de las alertas cerradas y escaladas con una lista de verificación: ¿se realizaron todos los pasos?, ¿los motivos están respaldados?, ¿fue correcta la decisión?, ¿se cumplió el plazo estándar? El muestreo debe basarse en el riesgo (con más casos de escenarios de alto riesgo y de analistas nuevos) e incluir alertas cerradas, ya que las alertas cerradas por error son los errores más costosos. Los resultados se comunican a los analistas, se usan en sesiones de calibración en las que los investigadores deciden de manera independiente sobre un mismo caso y comparan sus decisiones, y se reportan a la gerencia. Los errores recurrentes indican la necesidad de capacitación, un procedimiento poco claro o una regla que genera alertas confusas.

Caso práctico

El cliente C-20931, diseñador gráfico incorporado hace catorce meses, declaró una actividad prevista de aproximadamente USD 1.000 al mes. El mismo día se activan dos alertas: un depósito de aproximadamente USD 18.000 en BTC que se retira como moneda fiduciaria a una cuenta bancaria agregada recientemente en un plazo de tres horas, y una exposición indirecta del 22 %, a dos saltos, a un grupo atribuido a una plataforma de estafas de inversión.

• Perfil: el monto equivale a 18 veces la actividad mensual prevista, y no hay depósitos anteriores de criptomonedas de ese tamaño.
• Rastreo: la dirección de envío recibió fondos de una cadena de peel procedente del grupo de estafas; la etiqueta proviene de una publicación pública de las fuerzas del orden fechada cuatro meses antes.
• Vínculos: otros dos clientes recibieron depósitos de la misma cadena de peel durante la misma semana, y uno comparte un dispositivo con C-20931.
• RFI: el cliente afirma que los fondos corresponden al pago por una computadora portátil usada, pero no presenta una factura ni mensajes; luego dice que un amigo le pidió ayuda para recibir dinero.

Las pruebas respaldan la hipótesis ilícita: probablemente el cliente actúa como mula de dinero (véase la lección Señales de alerta y tipologías). El investigador escala el caso; el MLRO presenta un reporte, restringe los retiros en espera de revisión y abre casos sobre los dos clientes vinculados. La muestra de control de calidad confirma después la decisión y señala que la fecha de la etiqueta se registró correctamente.

Enfoque del examen: las etapas del ciclo de vida de una alerta y sus responsables; la agrupación de alertas en casos y el seguimiento de su antigüedad respecto del requisito de prontitud de la R.20; la priorización basada en el riesgo sin supresión silenciosa; la secuencia de investigación, incluido el rastreo en cadena, los datos de contrapartes de Travel Rule, los datos internos de dispositivos e IP y las solicitudes neutrales de información que evitan revelar información al cliente; la tabla de decisiones para cerrar, dejar pendiente o escalar; la diferencia entre escalar y reportar; el contenido de una nota de cierre defendible; el muestreo y la calibración de control de calidad basados en el riesgo.