Reporte de actividades sospechosas · Lección 2 de 5
Redacción de un informe eficaz
10 min de lectura
Un reporte de transacción sospechosa solo es tan útil como lo que un analista de una UIF puede entender de él en unos minutos. Muchos reportes se presentan y nunca se toman medidas al respecto porque la narrativa copia el texto de las alertas, oculta el motivo de la sospecha o enumera cientos de hashes de transacciones sin explicar qué muestran. Redactar un informe claro y respaldado por pruebas es una habilidad fundamental para cualquier persona que eleve casos o apruebe presentaciones.
Quién lee el informe y qué necesita
Por lo general, el primer lector es un analista de una UIF, que a menudo cuenta con la ayuda de un sistema automatizado de clasificación que asigna puntuaciones a los reportes entrantes. Más adelante, los reportes pueden difundirse a la policía, la fiscalía, las autoridades tributarias o de sanciones, o a una UIF extranjera; además, algunas partes podrían leerse años después en procedimientos judiciales. Ninguno de estos lectores puede acceder al sistema de gestión de casos ni a la herramienta de análisis de la empresa. El informe debe entenderse por sí solo.
La mayoría de las UIF recopila reportes mediante un formulario estructurado o un formato de archivo con campos para personas, cuentas, transacciones e indicadores, además de una narrativa de texto libre. Muchas utilizan sistemas de reporte basados en XML, como goAML, desarrollado por la UNODC. Los campos estructurados permiten a la UIF cotejar reportes de distintas empresas; la narrativa explica por qué los hechos son sospechosos. Ambos deben coincidir: una dirección que aparece en la narrativa, pero no en los campos de transacción, no puede cotejarse automáticamente.
Los formularios y las definiciones de los campos varían según el país, por lo que el método que se presenta a continuación se centra en el contenido que todas las UIF necesitan.
Estructura: quién, qué, cuándo, dónde, por qué y cómo
Una narrativa confiable responde seis preguntas, normalmente en este orden y después de un breve resumen inicial.
| Pregunta | Contenido para un caso de criptomonedas |
|---|---|
| Quién | Personas sobre las que se cuenta con identificadores: nombres, fechas de nacimiento, ID de cliente, cuentas vinculadas, dispositivos, direcciones IP; contrapartes hasta donde se conozcan (otro VASP, una billetera no alojada, un servicio atribuido) |
| Qué | Activos, montos en unidades nativas y en moneda fiduciaria en ese momento, tipos de transacción (depósito, intercambio, retiro, pago en moneda fiduciaria) |
| Cuándo | Periodo cubierto y marcas de tiempo clave, en UTC |
| Dónde | Cadenas y redes, VASP de las contrapartes y sus países, cuentas en moneda fiduciaria, ubicaciones del cliente y de acceso |
| Por qué | Motivo de la sospecha: qué hechos, en conjunto, no tienen explicación y con qué señales de alerta coinciden |
| Cómo | Mecanismo: cómo entraron, se movieron y salieron los fondos; el recorrido en la cadena; qué dijo el cliente cuando se le preguntó |
Comience con dos o tres oraciones que expongan primero la conclusión: quién hizo qué, por cuánto, durante qué periodo y por qué la empresa sospecha. Aunque el lector no avance más allá de esas líneas, debería saber si el caso es pertinente para él.
Luego, escriba en orden cronológico o siguiendo el flujo, no en el orden en que el investigador descubrió los hechos. Termine indicando qué medidas tomó la empresa (restringió, puso fin a la relación o mantuvo el monitoreo) y cualquier reporte anterior relacionado, citado por su número de referencia de la UIF.
Presentación de pruebas en la cadena
Los hechos registrados en la cadena pueden ser verificados por cualquiera, lo que los convierte en pruebas contundentes, si se presentan con precisión.
- Identificadores completos. Incluya los txid y las direcciones completos en los campos estructurados o en un anexo, e indique la cadena. Un hash truncado no puede verificarse. (Este curso trunca los identificadores únicamente porque son ficticios).
- Altura y hora del bloque. Registre la altura del bloque y la marca de tiempo UTC de las transacciones clave para que el lector pueda localizarlas.
- Montos. Indique el monto nativo y el valor en moneda fiduciaria, junto con su fuente y la hora correspondiente. Para los tokens, indique el contrato del token: «USDT» existe en varias cadenas.
- Exposición y método. Indique si la exposición es directa o indirecta, cuántos saltos hay, el porcentaje, la categoría atribuida y la fecha en que se generó el resultado del análisis. Las etiquetas cambian, y el lector debe saber en qué versión se basó usted (consulte la lección Análisis de blockchain para el cumplimiento normativo).
- Resúmenes, no listados interminables. Incluya la lista completa de transacciones en un anexo; en la narrativa, agrúpelas («41 depósitos por un total de 186,400 USDT desde 29 direcciones») y seleccione las pocas transacciones que demuestran el patrón.
- Un diagrama de flujo. Si se aceptan anexos, un diagrama sencillo del flujo de fondos, con montos y fechas en cada tramo, puede ahorrarle horas al analista. La lección de IDFE-BA Visualización de flujos y grafos explica cómo dibujarlo sin usar diseños engañosos.
Un anexo breve en columnas sencillas funciona con casi cualquier sistema de reporte:
seq utc_time chain direction amount counterparty txid
01 2026-09-02 14:07:51 TRON IN 9,800 USDT T9xQ…4hRk (unhosted) 7c1e…a90b
02 2026-09-02 15:31:09 TRON IN 12,500 USDT TLm2…Vw8P (unhosted) e44d…0f17
03 2026-09-02 16:02:44 - FIAT OUT 21,950 USD bank acct ending 3301 payout P-55120
04 2026-09-04 09:12:30 TRON IN 14,000 USDT TQa7…r2Nd (unhosted) 19b0…cc5eCada fila representa un movimiento, en orden cronológico, e incluye la contraparte tal como la conoce la empresa y el identificador que la UIF necesita para recuperarlo. Los pagos en moneda fiduciaria llevan la referencia interna de la empresa en lugar de un txid. Luego, la narrativa explica qué muestran las filas, en vez de repetirlas.
Lenguaje para expresar el grado de certeza
Los reportes combinan tres tipos de afirmaciones, que deben distinguirse claramente en la narrativa:
- Hechos: lo que muestran los registros. «El 2 de septiembre de 2026, la cuenta recibió 9,800 USDT de la dirección T9xQ…4hRk en la transacción 7c1e…a90b».
- Inferencias: conclusiones derivadas de un método. «El análisis de blockchain atribuye la dirección remitente, a dos saltos de distancia, a un clúster asociado con una operación de fraude de inversión; la atribución se generó el 20 de septiembre de 2026».
- Evaluaciones: el juicio de la empresa. «Sospechamos que el cliente recibe fondos procedentes de un fraude en nombre de terceros».
Use palabras sencillas y coherentes: «observado» para los hechos, «atribuido» o «indica», junto con el método, para las inferencias, y «sospechamos» o «evaluamos» para los juicios. Evite presentar una etiqueta como si fuera un hecho («la dirección pertenece a un estafador») y evite acusaciones que las pruebas no permiten sostener («el cliente es un estafador»). Indique las limitaciones: un rastreo que termina en otro exchange, una atribución basada en una sola fuente o una explicación del cliente que no pudo verificarse. La lección de IDFE-BA Grado de certeza, incertidumbre y lenguaje explica cómo vincular las expresiones de probabilidad con una escala definida.
Debilidades comunes
| Debilidad | Por qué perjudica | Solución |
|---|---|---|
| La narrativa repite el nombre de la alerta («se activó el patrón de entradas y salidas rápidas») | Dice lo que detectó el sistema, no por qué resulta sospechoso | Explique los hechos y por qué no tienen explicación |
| No se presenta una conclusión al inicio | El analista debe leerlo todo para determinar su relevancia | Empiece con un resumen de dos o tres oraciones |
| Jerga interna y puntuaciones («riesgo 87, escalado a L2») | No significan nada fuera de la empresa | Describa los hechos y las señales de alerta en lenguaje sencillo |
| Faltan identificadores, están truncados o no se indica la cadena | No se pueden recuperar ni cotejar las transacciones | Incluya los txid y las direcciones completos, la cadena y el contrato del token |
| Exposición sin método ni fecha | El lector no puede evaluarla | Indique si es directa o indirecta, los saltos, el porcentaje y la fecha |
| Se omite la explicación del cliente | Oculta el hecho clave de que la explicación no fue satisfactoria | Cite qué se preguntó, qué se respondió y qué se verificó |
| Reporte defensivo sin una sospecha real | Añade ruido y hace perder tiempo a la UIF | Presente el reporte cuando exista una sospecha razonada y documentada |
| Especulaciones que van más allá de las pruebas | Debilitan la credibilidad | Separe hechos, inferencias y evaluaciones |
Ejemplo ficticio de narrativa
La siguiente narrativa, sobre un caso inventado, muestra la estructura en la práctica.
Resumen. Entre el 2 y el 18 de septiembre de 2026, nuestro cliente M-4471, una persona registrada como traductor independiente, recibió 186,400 USDT en la red TRON desde 29 direcciones no alojadas sin relación aparente y convirtió casi todo el monto a USD, que se pagaron a una cuenta bancaria a nombre del cliente. Sospechamos que el cliente recibe y transfiere fondos procedentes de fraudes de inversión en nombre de terceros.
Sujeto. M-4471 inició su relación con nosotros en marzo de 2026 y declaró que esperaba realizar operaciones por unos USD 2,000 al mes, procedentes de compras ocasionales de criptomonedas. Los datos de identidad, los identificadores de dispositivos y las direcciones IP de inicio de sesión constan en los campos estructurados. La cuenta no había tenido actividad significativa antes de septiembre de 2026.
Actividad. Los 41 depósitos oscilaron entre 3,100 y 14,000 USDT y llegaron en tandas; cada tanda se convirtió y se pagó en un plazo de dos horas (consulte el anexo 1). El total de los pagos en moneda fiduciaria fue de USD 183,950.
Motivos de sospecha. El análisis de blockchain indica que 23 de las 29 direcciones remitentes recibieron fondos, directamente o dentro de dos saltos, de clústeres atribuidos a operaciones de fraude de inversión (análisis fechado el 20 de septiembre de 2026; el anexo 2 muestra el diagrama de flujo). El volumen es unas 90 veces superior a la actividad declarada. En agosto de 2026, otros dos clientes nos dijeron que habían pagado a una plataforma de negociación fraudulenta; sus pagos llegaron a tres de las mismas direcciones remitentes.
Contacto con el cliente. El 10 de septiembre le pedimos al cliente que explicara los depósitos. El cliente declaró que los fondos eran «ganancias de operaciones de amigos» y no aportó documentación de respaldo. Después de la solicitud, llegaron más depósitos.
Medidas adoptadas. Los retiros en moneda fiduciaria se restringieron el 19 de septiembre de 2026 mientras se llevaba a cabo una revisión. No se habían presentado reportes anteriores sobre este cliente.
La narrativa presenta primero la conclusión, mantiene separados los hechos, las inferencias y la evaluación, indica la fecha del análisis y deja los detalles completos de las transacciones en los anexos.
Enfoque del examen: las necesidades del lector (un analista de una UIF que no puede ver los sistemas internos y los destinatarios posteriores); los campos estructurados y la narrativa deben coincidir; la estructura quién, qué, cuándo, dónde, por qué y cómo, con la conclusión primero; la presentación de pruebas en la cadena (txid y direcciones completos, cadena y contrato del token, altura del bloque y hora UTC, montos nativos y en moneda fiduciaria, exposición con método y fecha, resúmenes más anexos, un diagrama de flujo); la distinción entre hechos, inferencias y evaluaciones mediante palabras sencillas; las debilidades comunes y sus soluciones; la inclusión de la explicación del cliente y de las medidas adoptadas.