Reporte de actividades sospechosas · Lección 1 de 5
Obligaciones de informar sobre transacciones sospechosas
9 min de lectura
El monitoreo, el filtrado y la investigación conducen a una sola decisión: si se debe informar a las autoridades. El informe de operación sospechosa (ROS) es el punto en el que el conocimiento privado de un proveedor de servicios de criptoactivos se convierte en inteligencia financiera sobre la que otros pueden actuar, y no presentarlo es uno de los hallazgos más comunes en las acciones públicas de aplicación de la ley contra los exchange. Un responsable de cumplimiento debe saber exactamente cuándo surge la obligación, con qué rapidez debe cumplirse y qué prohíbe después.
La obligación en la norma del GAFI
La obligación proviene de la Recomendación 20 (Reporte de transacciones sospechosas). Si una institución financiera «sospecha o tiene motivos razonables para sospechar» que los fondos son producto de una actividad delictiva o están relacionados con el financiamiento del terrorismo, la ley debe exigirle que informe sin demora sus sospechas a la unidad de inteligencia financiera (UIF). La Recomendación 15 y su Nota Interpretativa extienden las medidas preventivas de las Recomendaciones 10 a 21 a los proveedores de servicios de activos virtuales (PSAV), por lo que la misma obligación se aplica a un exchange, un custodio o un corredor.
La Nota Interpretativa de la Recomendación 20 añade cuatro puntos importantes en la práctica:
- «Actividad delictiva» significa todos los actos delictivos que constituirían un delito precedente de lavado de activos en el país o, como mínimo, los delitos exigidos por la Recomendación 3. Se alienta encarecidamente a los países a adoptar la versión amplia.
- El financiamiento del terrorismo abarca el financiamiento de actos terroristas, organizaciones terroristas y terroristas individuales, incluso sin vínculo con un acto específico.
- Se deben informar todas las transacciones sospechosas, incluidas las transacciones intentadas, independientemente del monto.
- La obligación debe ser una obligación directa y obligatoria. La «presentación indirecta de informes», en la que las empresas informan solo porque temen ser procesadas por lavado de activos, no es aceptable.
El término varía: algunas jurisdicciones denominan al informe informe de actividad sospechosa (SAR), y otras utilizan «informe de transacción inusual». Las normas nacionales también difieren en cuanto a los plazos de presentación, los formatos de los informes, los umbrales para informes relacionados y si la empresa debe esperar autorización antes de proceder; por eso, una empresa que opera en varios países debe documentar cada caso. Esta lección enseña los principios comunes.
El umbral de sospecha
La Recomendación 20 establece dos motivos para informar. El primero, la sospecha, es subjetivo: la persona efectivamente sospecha. El segundo, los motivos razonables para sospechar, es objetivo: un profesional competente con los mismos datos habría sospechado, independientemente de que el empleado lo haya hecho o no. Ignorar una alerta no evita la obligación.
El umbral de sospecha es bajo: supera una inquietud vaga, pero está muy por debajo de la prueba o incluso de la convicción según el balance de probabilidades. Quien informa no necesita saber qué delito produjo los fondos ni tener pruebas que convenzan a un tribunal; transmite una preocupación fundada, y corresponde a las autoridades decidir la culpabilidad.
Por lo general, una sola señal de alerta no constituye sospecha por sí misma. Una señal de alerta inicia una investigación (consulta la lección Triaje de alertas e investigación); la sospecha es la conclusión de esa investigación cuando los hechos no tienen una explicación razonable.
| Situación después de la revisión | ¿Se formó una sospecha? | Motivo |
|---|---|---|
| Depósito grande procedente de una dirección nueva; el cliente presenta pagos de minería que coinciden con la actividad declarada | No | Actividad explicada y respaldada por pruebas |
| El 2 % de un depósito se rastrea indirectamente, cuatro saltos atrás, hasta un mercado de la darknet; el perfil del cliente es coherente | Por lo general, no | Exposición remota y pequeña; documentar el razonamiento |
| Una persona jubilada compra criptoactivos en tramos diarios y los envía a una dirección que el cliente denomina «mi plataforma de inversión», posteriormente atribuida a una operación de estafa conocida | Sí | Patrón de victimización o actividad de intermediario, sin explicación |
| La cuenta recibe fondos directamente de una billetera que las herramientas de análisis atribuyen a una variante de ransomware | Sí | Exposición directa a producto del delito |
| El cliente se niega a explicar el origen de un depósito grande y cierra la cuenta | Sí | La negativa, junto con el retiro, resulta sospechosa por sí misma |
La decisión de no presentar un informe también es una decisión, y un examinador pedirá ver el razonamiento.
Transacciones intentadas y operaciones rechazadas
Como la norma abarca los intentos, la obligación no depende de que el dinero se haya movido. En una empresa de criptoactivos, los informes comunes sobre actividades intentadas incluyen:
- un posible cliente que abandona el proceso de incorporación cuando se le solicitan pruebas del origen de los fondos, después de depositar desde una dirección de alto riesgo;
- un retiro bloqueado porque el destino está atribuido a un servicio de fraude o de la darknet;
- una transferencia entrante que la empresa rechaza o devuelve porque los datos de la Travel Rule son falsos (consulta la lección Operaciones y excepciones de la Travel Rule).
Bloquear una transacción es una medida de control; no sustituye el informe. La UIF quiere saber quién intentó hacer qué, desde dónde y con qué direcciones, porque el mismo actor puede tener éxito en otro lugar.
Las sanciones constituyen una vía distinta. Los fondos vinculados a una persona designada deben congelarse e informarse a la autoridad competente conforme al régimen de sanciones (consulta la lección Filtrado de billeteras y transacciones). Muchas empresas también presentan un ROS cuando los hechos sugieren evasión u otro delito, pero se trata de obligaciones distintas, a menudo con destinatarios diferentes.
Presentación sin demora
La norma dice «sin demora» sin especificar un plazo, y los plazos nacionales varían. Lo que es universal es cuándo comienza el plazo: cuando se forma la sospecha, o cuando razonablemente debería haberse formado; no cuando se generó la alerta ni cuando finalmente se redactó el informe de investigación. Un atraso de alertas sin revisar que oculte actividad que debe informarse constituye en sí mismo una falla de reporte.
La mayoría de las empresas trabajan en dos etapas:
- Informe interno. Todo empleado que sospeche informa al responsable de cumplimiento o al MLRO, por lo general mediante el sistema de gestión de casos. El personal cumple así con su obligación personal y no debe investigar por su cuenta ni hablar del caso con el cliente.
- Decisión e informe externo. El MLRO, o un equipo delegado, revisa el informe interno, decide si se alcanza el umbral y presenta el informe ante la UIF. La decisión, la fecha en que se tomó y los motivos se registran, tanto si se presenta un informe como si no.
Una empresa que opera en varios países debe decidir dónde presentar el informe. Un principio útil proviene de la norma sobre transferencias electrónicas: un servicio de transferencia de dinero o valores que controla tanto el lado del ordenante como el del beneficiario de una transferencia debe considerar la información de ambos lados y presentar informes en todos los países afectados. Un PSAV en la misma situación puede aplicar la misma lógica. Cada obligación local se cumple ante la UIF local.
Unidades de inteligencia financiera y Grupo Egmont
La Recomendación 29 exige que cada país cuente con una UIF que sirva como centro nacional para recibir y analizar ROS y otra información pertinente, y para difundir los resultados. Su Nota Interpretativa describe dos tipos de análisis: el análisis operativo, que sigue objetivos y vínculos específicos, y el análisis estratégico, que identifica tendencias y patrones. La UIF debe poder obtener información adicional de las entidades informantes, debe ser operativamente independiente y difunde información de forma selectiva a las autoridades que pueden actuar.
Las UIF siguen modelos administrativos, policiales, judiciales o híbridos; el modelo afecta la rapidez con que un ROS llega a los investigadores y la forma en que se proporciona retroalimentación.
El Grupo Egmont, creado en 1995, es el foro internacional de las UIF, y sus miembros abarcan la mayoría de las jurisdicciones del mundo. Los miembros intercambian información a petición y de forma espontánea a través de la Egmont Secure Web, conforme a los Principios Egmont para el Intercambio de Información, y la Nota Interpretativa de la Recomendación 29 señala que una UIF debería solicitar su incorporación como miembro. Para un PSAV, esto explica un punto clave: un informe presentado en un país puede llegar a una UIF extranjera mediante el intercambio entre UIF. La empresa presenta informes solo ante las UIF a las que tiene la obligación de informar.
Prohibición de revelar la presentación, confidencialidad y puerto seguro
La Recomendación 21 tiene dos partes. Las instituciones financieras, sus directores, funcionarios y empleados deben estar:
- protegidos por ley frente a la responsabilidad penal y civil por infringir cualquier restricción de confidencialidad, si informan de buena fe sus sospechas a la UIF, incluso si no sabían con precisión cuál era el delito subyacente e independientemente de que realmente se haya producido una actividad ilegal (el puerto seguro);
- prohibidos de revelar que se está presentando o se ha presentado un ROS o información relacionada (revelación de la presentación al cliente).
Desde una revisión de noviembre de 2017, la Recomendación 21 establece que estas disposiciones no tienen por objeto impedir el intercambio de información dentro de un grupo financiero conforme a la Recomendación 18, un tema que se aborda en la lección Conservación de registros, protección de datos e intercambio de información.
Consecuencias operativas:
- El personal de atención directa y de soporte utiliza respuestas neutrales («su transacción está en revisión») y nunca menciona los informes, las sospechas ni la UIF.
- Solicitar información al cliente antes de formar una sospecha es parte normal de la diligencia debida; una vez que se planea presentar un informe, las preguntas no deben revelarlo.
- El acceso al registro de ROS y a las notas de los casos se limita a quienes lo necesitan.
- Las solicitudes de acceso a los datos del cliente y las disputas se gestionan sin revelar un informe.
- Si se termina la relación con un cliente después de presentar un informe, no se debe revelar el motivo (consulta la lección Diligencia debida continua y terminación de relaciones).
El puerto seguro protege la presentación de informes de buena fe, no la omisión: no ofrece defensa alguna si nunca se presentó un informe o si se presentó mucho después de que surgiera la sospecha.
Enfoque del examen: la redacción de la Recomendación 20 (sospecha o motivos razonables para sospechar; informar sin demora a la UIF); los puntos de la Nota Interpretativa (delitos precedentes en sentido amplio, financiamiento del terrorismo sin un acto específico, transacciones intentadas independientemente del monto y obligación directa y obligatoria); la sospecha como un umbral bajo y parcialmente objetivo que no requiere pruebas del delito precedente; por qué una transacción bloqueada o rechazada aún puede requerir un informe y en qué se diferencian los informes sobre congelamientos por sanciones; cuándo comienza el plazo de «sin demora» y por qué se documentan las decisiones de no presentar informes; las funciones de la UIF conforme a la R.29 y el papel del Grupo Egmont; las dos partes de la R.21 (puerto seguro para informes de buena fe y prohibición de revelar la presentación al cliente) y sus consecuencias operativas.