Control de acceso de personas políticamente expuestas: una guía completa

Muchos equipos de cumplimiento se encuentran en la misma situación. La herramienta de análisis está en funcionamiento, se reciben alertas, los analistas gestionan las colas de trabajo y todos esperan que el proceso sea lo suficientemente eficaz como para detectar riesgos reales sin saturar al equipo con información irrelevante.

Luego, una revisión de la relación revela algo que debería haberse identificado mucho antes. Un cliente tiene vínculos políticos que no se revelaron, o se pasó por alto una relación cercana porque el flujo de trabajo trató la verificación de PEP como una simple comprobación de nombres en lugar de un proceso de evaluación de riesgos. En ese momento, el trabajo cambia rápidamente. El departamento legal exige hechos. El departamento de cumplimiento exige una cronología justificable. La dirección quiere saber cómo falló el control.

Por eso, la verificación de personas políticamente expuestas no puede limitarse a un modelo de lista de verificación. El verdadero desafío no radica en definir qué es una PEP, ya que la definición es ampliamente aceptada. El problema más complejo es operativo: cómo realizar la verificación con precisión, reducir los falsos positivos, documentar las decisiones y mantener los controles proporcionales sin generar fricciones innecesarias para la empresa ni un trato injusto para los clientes.

El alto costo de realizar incorrectamente las pruebas de detección de PEP

Una conexión con una persona políticamente expuesta (PEP) que no se detecta rara vez se origina por una mala conducta. Generalmente, comienza con una decisión rutinaria tomada con demasiada prisa. El cliente se aprueba bajo la presión de un plazo límite, la alerta parece débil porque el nombre es común y el revisor la aprueba sin confirmar la relación, el cargo o el origen de los fondos. El problema solo se hace evidente más tarde, a menudo durante una revisión de transacciones, una actualización periódica, una auditoría o una consulta externa. Para entonces, la institución ya no está evaluando el riesgo, sino justificando el fallo del control.

El costo se manifiesta primero en las operaciones. Los equipos deben reconstruir las decisiones de incorporación, recuperar notas de casos, revisar los expedientes de los clientes y explicar por qué no se inició antes la debida diligencia reforzada. Los departamentos legal, de cumplimiento, de atención al cliente y la alta gerencia se ven involucrados. Si el expediente está mal documentado, incluso una decisión razonable puede resultar difícil de justificar.

Las consecuencias financieras y regulatorias no tardan en aparecer. Un proceso deficiente de identificación de personas políticamente expuestas (PEP) puede desencadenar proyectos de remediación, la baja de clientes, el escrutinio de los reguladores y dudas sobre la gobernanza, no solo una alerta omitida. Además, genera un problema de equidad. Un análisis demasiado amplio somete a los clientes legítimos a revisiones repetidas, mientras que una verificación deficiente permite que las relaciones de mayor riesgo pasen desapercibidas sin apenas control. Una implementación ética requiere tanto controles sólidos como una gestión rigurosa de los falsos positivos.

Esta es la brecha que muchos equipos subestiman. La detección de PEP falla con menos frecuencia por la falta de una política y con mayor frecuencia porque el flujo de trabajo no puede distinguir una coincidencia plausible del ruido a gran escala. Las instituciones que tratan todas las alertas por igual suelen obtener el mismo resultado que cualquier función de cumplimiento madura acaba viendo. Los retrasos aumentan, los analistas resuelven los casos repetitivos demasiado rápido y los casos de mayor riesgo son más difíciles de detectar.

Los modelos antiguos fallan de maneras predecibles:

• Confían en un proceso de selección único: la incorporación capta la atención, pero los cambios de oficina, influencia y relaciones cercanas se pasan por alto una vez que el cliente está en funcionamiento.

• Dependen demasiado de la coincidencia de nombres: los nombres comunes, los problemas de transliteración y los identificadores incompletos generan tanto coincidencias fallidas como un volumen de alertas inflado.

• Aplican las políticas de forma mecánica: un estándar escrito basado en el riesgo tiene poco valor si los analistas se ven obligados a seguir los mismos pasos de revisión para las alertas de bajo y alto riesgo.

• Desperdician tiempo valioso de revisión: los investigadores terminan cerrando falsos positivos obvios en lugar de examinar los vínculos de propiedad, los asociados y la exposición política que realmente importan.

Un programa sólido funciona de manera diferente. Utiliza el análisis para respaldar las decisiones de riesgo, no solo para generar alertas. Esto implica calibrar la lógica de coincidencia, exigir suficientes identificadores para resolver ambigüedades, documentar por qué se cerró o se elevó una alerta y reincorporar esos resultados a las reglas para que el sistema mejore con el tiempo. Las organizaciones que integran el análisis con controles anticorrupción más amplios suelen tomar mejores decisiones, ya que las revisiones de personas políticamente expuestas (PEP) están vinculadas a la gobernanza, la titularidad real y el riesgo de integridad, y no se gestionan como una tarea aislada. El marco de la OCDE sobre anticorrupción e integridad resulta útil en este sentido, ya que sitúa el análisis en el contexto más amplio de la prevención de la corrupción, en lugar de tratarlo como una tarea de incorporación limitada.

Una buena diligencia debida también depende de lo que ocurre en torno al motor de análisis. Las comprobaciones de registros públicos, el análisis de noticias negativas, el análisis de la propiedad y el mapeo de relaciones suelen determinar si una alerta es irrelevante o una escalada real. Para los equipos que perfeccionan estos controles, esta guía de diligencia debida empresarial es una referencia práctica.

El objetivo es simple: menos falsos positivos, una lógica de escalamiento más clara, mejores registros y sin disminución en la calidad del control. Esto es lo que transforma la detección de PEP de una simple lista de verificación en un proceso de riesgo sólido.

Definición de personas políticamente expuestas y sus redes

Un cliente supera las verificaciones de identidad estándar, el control de sanciones no detecta ninguna infracción y el proceso de incorporación parece rutinario. Sin embargo, un analista descubre que la persona es cuñada de un viceministro y copropietaria de una empresa que participa en licitaciones de contratos estatales. Es en ese punto donde las definiciones débiles de PEP comienzan a causar problemas operativos. Si la política solo reconoce a los funcionarios públicos obvios, el riesgo real queda fuera de control.

Una persona políticamente expuesta (PEP, por sus siglas en inglés) es aquella que desempeña una función pública destacada. El riesgo no reside en el cargo en sí, sino en su capacidad para influir en el dinero público, las adquisiciones, las licencias, la regulación o la aplicación de la ley, de manera que pueda generar exposición al soborno y la corrupción. La Recomendación 12 del GAFI exige que las empresas consideren esta exposición como parte de la debida diligencia del cliente, lo que en la práctica implica un análisis que va más allá de la persona identificada.

La red define el riesgo práctico

En la selección de personal para la producción, los casos difíciles rara vez involucran a un jefe de Estado con un nombre distintivo. Se trata de familiares, designados, socios comerciales y accionistas minoritarios cuya conexión con el poder político es real, pero está mal documentada en las fuentes de datos. Por eso, una definición útil debe abarcar la red que rodea al funcionario, no solo al funcionario en sí.

Las categorías son sencillas:

• Altos funcionarios como jefes de Estado, ministros, jueces de alto rango, embajadores y oficiales militares de alto rango.

• Miembros de la familia que puedan poseer activos, cuentas o participaciones en empresas vinculadas a la actividad económica de la persona políticamente expuesta (PEP).

• Personas cercanas, como socios comerciales, copropietarios beneficiarios, intermediarios de confianza u otras personas con una relación comercial o financiera significativa.

La clave está en la precisión. Si la red se amplía demasiado, los analistas se verán inundados de falsos positivos relacionados con apellidos comunes, parientes lejanos o vínculos obsoletos. Si, por el contrario, se define la red de forma demasiado restrictiva, el control no detectará las estructuras que suelen utilizarse para ocultar la propiedad o mover fondos indirectamente.

¿Por qué las empresas tienen dificultades con la selección de asociados?

La verificación de vínculos es donde las políticas suelen fallar en la práctica. Las relaciones familiares a veces son más fáciles de verificar. Las relaciones de asociación no lo son. Cambian con el tiempo, se describen de forma inconsistente entre los proveedores de datos y, a menudo, requieren un análisis exhaustivo de las entidades, incluyendo personas, empresas y registros de propiedad. Un motor de análisis puede detectar un posible vínculo, pero no puede, por sí solo, determinar si dicho vínculo es relevante para la decisión sobre el riesgo.

Ahí radica la importancia de la debida diligencia. Los equipos que gestionan eficazmente la exposición a personas políticamente expuestas (PEP) suelen combinar la verificación con el análisis de la propiedad, la revisión del registro mercantil y el mapeo de relaciones. Si está reforzando estos controles, esta guía de debida diligencia empresarial le resultará útil, ya que muestra cómo funcionan conjuntamente las verificaciones de personas físicas y jurídicas.

Un programa maduro también considera la verificación de personas políticamente expuestas (PEP) como un control dentro de un marco de integridad más amplio. La lógica de verificación funciona mejor cuando está alineada con la revisión de la titularidad real, el riesgo de contratación pública, los controles de terceros y la gobernanza de la escalada de problemas. Los principios de este resumen de la OCDE sobre anticorrupción e integridad resultan útiles por este motivo.

Un cargo identifica a la persona. El análisis de redes muestra cómo el riesgo puede llegar a su institución.

Metodología de cribado basada en el riesgo

Un programa de detección estandarizado parece justo en teoría, pero su rendimiento en la práctica es deficiente. Genera demasiadas alertas de bajo valor, ralentiza la incorporación de nuevos usuarios y obliga a los analistas a tomar decisiones repetitivas que no mejoran la calidad del control. Un modelo basado en el riesgo funciona mejor porque parte de una premisa fundamental: no todas las coincidencias con personas políticamente expuestas (PEP) presentan el mismo nivel de exposición.

Según el RGPD, la verificación de PEP relacionada con la prevención del blanqueo de capitales debe utilizar datos personales que sean «adecuados, pertinentes y limitados a lo necesario» , lo que respalda un enfoque escalonado basado en atributos de identidad como el nombre, la fecha de nacimiento, el país de origen, el país de actividad política y las fechas de los cargos. Las coincidencias con mayor confianza pueden dar lugar a una revisión más exhaustiva del origen de la riqueza y de los fondos, mientras que los registros de menor riesgo pueden desclasificarse con el tiempo si su conservación ya no está justificada ( Guía de la Comisión de Protección de Datos sobre la verificación de PEP ).

¿Qué pertenece realmente a un nivel de riesgo?

Una metodología práctica suele sopesar varios factores a la vez en lugar de intentar forzar una decisión binaria de sí o no.

Señal de riesgo	Por qué es importante	Respuesta típica
Nivel de oficina	La antigüedad suele aumentar el acceso y la influencia.	Pasar a una revisión más profunda más rápido
Tiempo transcurrido desde que dejó el cargo	Algunos exfuncionarios siguen siendo relevantes, otros quedan obsoletos.	Reevaluar en lugar de mantener indefinidamente.
Geografía	La exposición política debe leerse en contexto.	Aplicar un escrutinio más riguroso cuando sea necesario.
Comportamiento de la transacción	La actividad puede cambiar la importancia de un partido.	Activar revisión basada en eventos
Proximidad de la relación	El riesgo asociado varía según la cercanía y el rol en el negocio.	Ampliar la revisión a las partes vinculadas cuando esté justificado.

Lo importante es la proporcionalidad. Un exfuncionario de bajo nivel con un historial obsoleto y sin actividades preocupantes no debería ser tratado de la misma manera que un alto funcionario actual con acceso a los recursos del Estado.

Un modelo operativo simple

Los equipos suelen obtener mejores resultados cuando traducen las políticas en una secuencia repetible:

1. Para identificar correctamente a la persona adecuada, utilice más información que solo el nombre. La fecha de nacimiento, el país y el historial laboral reducen las conjeturas.

2. Asigne una evaluación inicial del riesgo en función del rol, la antigüedad del incidente, la ubicación geográfica y el perfil del cliente.

3. Solo se debe intensificar la investigación cuando exista un motivo real para ello . Algunos ejemplos incluyen coincidencias de identidad con un alto grado de confianza, patrones de transacciones inusuales, discrepancias en el origen de los fondos o información adversa relevante.

4. Documente la justificación de cada escalada, degradación o cierre.

Esa misma lógica se observa también fuera del sector bancario. Para las empresas que se ocupan de la titularidad real o la revisión de patrocinadores, este artículo práctico sobre la evaluación de inversores para patrocinadores inmobiliarios resulta una comparación útil, ya que muestra cómo funciona la clasificación de riesgos cuando se combinan la identidad, la estructura de la entidad y el análisis de los fondos.

Lo que no funciona

Los equipos suelen meterse en problemas cuando hacen alguna de estas cosas:

• Aplicar la coincidencia aproximada de forma demasiado generalizada puede generar fatiga por exceso de alertas.

• Conservar indefinidamente todas las banderas PEP, incluso cuando los datos ya no justifiquen un tratamiento más intensivo.

• Escalar basándose únicamente en el título sin tener en cuenta el nivel de la oficina, el contexto o la actividad actual.

• Ignorar el conjunto de normas más amplio contra el blanqueo de capitales que deberían regir la forma en que la revisión de las personas políticamente expuestas (PEP) se relaciona con la debida diligencia y el seguimiento del cliente, tal como se refleja en las regulaciones más amplias contra el blanqueo de capitales .

El beneficio estratégico de un modelo basado en riesgos no se limita a la eficiencia. Implica equidad, solidez y una mejor asignación del tiempo de los analistas. Estos son resultados que garantizan el cumplimiento normativo, no meras conveniencias administrativas.

Creación de un flujo de trabajo de selección eficaz

En un programa sólido, la verificación de identidad de personas políticamente expuestas no se realiza en un solo momento, sino que se desarrolla a lo largo del ciclo de vida del cliente. El equipo de incorporación inicia el proceso, el equipo de cumplimiento normativo toma las decisiones y los controles de monitoreo mantienen el archivo actualizado cuando cambia el estado o la actividad.

El flujo de trabajo se comprende mejor analizando un caso concreto. Un nuevo cliente ingresa al proceso de incorporación. Su nombre se coteja con las bases de datos de Personas Políticamente Expuestas (PEP), junto con los atributos de identificación que la empresa tiene permiso para recopilar. El resultado inicial no es concluyente porque el nombre es común. En lugar de eliminar la alerta de inmediato, el analista verifica los identificadores secundarios, revisa la ocupación y la ubicación geográfica declaradas, y decide si la coincidencia es débil, probable o confirmada.

Revisión de la incorporación

En la incorporación de nuevos empleados, la velocidad importa, pero la precisión importa aún más. En este contexto, muchos equipos reaccionan de forma exagerada o insuficiente.

Una revisión inicial sólida generalmente incluye:

• Confirmación de identidad: compare el nombre con los identificadores secundarios disponibles, como la fecha de nacimiento y la información del país.

• Determinación del alcance de la relación: determinar si el riesgo recae directamente sobre el cliente o a través de un familiar o un socio cercano.

• Decisión inicial sobre la debida diligencia: decidir si la revisión estándar es suficiente o si se justifica una debida diligencia reforzada.

• Creación de registros: conservar el resultado de la búsqueda, el razonamiento del analista y el proceso de aprobación.

Si sus analistas solo pueden registrar "falso positivo" o "identificación de PEP", el flujo de trabajo es demasiado rígido. Los buenos sistemas permiten al revisor demostrar por qué se cerró el caso, por qué se escaló o por qué se necesitan más pruebas.

Seguimiento continuo

La segunda fase es donde suelen fallar los programas reactivos. Un cliente que no era una Persona Políticamente Expuesta (PEP) al momento de su incorporación puede convertirse en una posteriormente. Un exfuncionario puede regresar a su cargo. Un perfil de riesgo previamente bajo puede volverse más significativo cuando cambian la propiedad, el comportamiento en las transacciones o la información pública.

Por eso, la monitorización continua necesita dos modos distintos:

• Revisión periódica: reevaluación programada en función del perfil de riesgo del cliente.

• Revisión basada en eventos: reevaluación inmediata cuando se produce un desencadenante.

Entre los factores desencadenantes se incluyen cambios en el estatus político, nueva información adversa, actividad significativa en las cuentas o actualizaciones de las estructuras de propiedad y control reales.

La información de control solo se considera actualizada hasta la última vez que alguien verificó que la exposición del cliente no ha cambiado.

Roles y evidencia

Un flujo de trabajo eficaz también depende de quién hace qué. Muchos fallos se deben a traspasos de responsabilidades poco claros, más que a políticas deficientes.

Una división práctica de responsabilidades se vería así:

Role	Responsabilidad principal
analista de incorporación	Capturar identificadores, realizar una evaluación inicial, señalar incertidumbre
revisor de cumplimiento	Resolver coincidencias, asignar riesgos, determinar el alcance de la debida diligencia reforzada.
aprobador sénior	Autorizar relaciones de mayor riesgo cuando la política lo requiera
Función de auditoría o control de calidad	Consistencia de las pruebas, documentación y calidad del cierre

El registro de auditoría es tan importante como la decisión. Los reguladores y los revisores internos no solo preguntan si el equipo identificó a la persona políticamente expuesta (PEP), sino también si el proceso fue coherente, basado en evidencia y proporcional. Esto implica conservar los resultados de las búsquedas, las notas de revisión, los documentos de respaldo, los registros de aprobación y las fechas de revisión en un formato que la organización pueda recuperar sin tener que reconstruir el caso a partir de correos electrónicos.

Integración de la evaluación de riesgos en su plataforma interna de gestión de riesgos.

La detección manual de PEP puede funcionar con dificultad durante un tiempo. Una hoja de cálculo registra las alertas abiertas. Una carpeta de casos almacena capturas de pantalla. Los analistas utilizan una herramienta para la detección, otra para la revisión de documentos y el correo electrónico para la escalada de problemas. Funciona hasta que aumenta el volumen de casos, cambia el personal o un organismo regulador solicita un historial completo de quién sabía qué y cuándo.

Los flujos de trabajo fragmentados generan tres problemas recurrentes. Primero, los equipos aplican las reglas de forma inconsistente porque la lógica de decisión reside en la mente de las personas. Segundo, la dirección carece de visibilidad sobre el trabajo pendiente, los patrones de escalamiento y los riesgos no resueltos. Tercero, la auditabilidad se ve afectada porque la evidencia se encuentra dispersa en sistemas que no fueron diseñados para funcionar como un registro único.

Lo que debería hacer una plataforma unificada

Una plataforma interna de gestión de riesgos debe funcionar como la columna vertebral operativa para la selección de personal, no solo como un panel de control superpuesto a un trabajo inconexo. Como mínimo, debe centralizar:

• La recepción y clasificación de casos permite que las alertas se integren en un flujo de trabajo controlado en lugar de ir a parar a una bandeja de entrada.

• La lógica de evaluación de riesgos permite que los analistas sigan la misma estructura de decisión.

• Gestión de pruebas y documentos para preservar un expediente defendible.

• Aprobaciones y escalamientos con propietarios designados y marcas de tiempo.

• Revisa la programación para que la reevaluación periódica no dependa de la memoria.

La ventaja no reside únicamente en la eficiencia. Un entorno unificado mejora la implementación ética al limitar el trato arbitrario. Cuando el flujo de trabajo está estructurado, es menos probable que los equipos recopilen datos personales en exceso, conserven registros obsoletos sin justificación o manejen casos similares de forma incompatible.

Por qué esto importa más allá de las operaciones de cumplimiento

La revisión de las Personas Políticamente Expuestas (PEP) suele involucrar a los departamentos legal, de investigaciones, de auditoría interna y a los equipos de primera línea. Si cada departamento mantiene su propia versión de los hechos, las decisiones se desvían. Una plataforma conectada crea un registro común que respalda la gobernanza y el debido proceso.

Esto es importante cuando una organización quiere ser proactiva sin resultar intrusiva. Los mejores sistemas ayudan a los equipos a identificar y gestionar los riesgos de forma temprana, manteniendo intactas las decisiones humanas, la justificación documentada y los límites de la privacidad.

Problemas comunes en las pruebas de detección y cómo solucionarlos.

El lunes por la mañana, la cola de alertas de PEP estaba repleta. La mitad eran coincidencias solo con nombres de apellidos comunes. Una correspondía a un alto funcionario legítimo vinculado a través de un registro de beneficiario final, pero se encontraba en la misma pila que coincidencias débiles que nunca deberían haber llegado a un analista. Así es como fallan los programas de análisis en la práctica. El riesgo no se pasa por alto porque a los equipos no les importe, sino porque un diseño deficiente de las coincidencias y una disciplina de revisión laxa ocultan la señal.

El antiguo modelo de lista de verificación genera ese problema. Considera cada posible coincidencia como prueba de la solidez del control y, posteriormente, genera una acumulación de alertas de bajo valor para los investigadores. El resultado es predecible: los analistas resuelven los casos con demasiada rapidez, los expedientes de mayor riesgo se demoran demasiado y la gerencia comienza a priorizar la velocidad sobre el criterio.

Un modelo mejor se centra en la precisión operativa. El objetivo no es maximizar las alertas, sino identificar la verdadera exposición política, documentar el razonamiento y descartar las coincidencias débiles antes de que consuman capacidad de revisión. Esta postura es, además, la más defendible dentro de un marco de políticas contra el soborno y la corrupción basado en el riesgo, ya que reduce el trato arbitrario y, al mismo tiempo, preserva el escrutinio donde corresponde.

Falsos positivos

Los falsos positivos suelen deberse a una decisión de diseño. El sistema prioriza la coincidencia de nombres antes de comprobar si el resto de la identidad es correcta.

Este enfoque genera un trabajo costoso. Apellidos comunes, transliteraciones inconsistentes, fechas de nacimiento faltantes y datos de incorporación incompletos pueden activar alertas que parecen graves a primera vista, pero que se desmoronan tras una revisión exhaustiva. Si demasiados casos de este tipo llegan a los analistas, el equipo se convierte en una función manual de verificación de nombres en lugar de una función de gestión de riesgos.

Entre los controles útiles se incluyen:

• Antes de escalar el problema, verifique los identificadores secundarios: compruebe la fecha de nacimiento, la nacionalidad, la residencia, el cargo, las fechas de finalización del contrato o el empleador conocido antes de crear un caso para su revisión completa.

• Aplique diferentes reglas de coincidencia a diferentes condiciones de riesgo: los grupos de nombres comunes necesitan una corroboración más estricta, mientras que los nombres poco frecuentes o los vínculos contextuales fuertes pueden justificar una coincidencia más amplia.

• Se requieren códigos de disposición estructurados: los revisores deben registrar el motivo del cierre de una alerta, como persona equivocada, registro obsoleto, identificadores insuficientes o PEP confirmada. Estos códigos ayudan a ajustar las reglas y a identificar el origen de las interferencias.

• Mida la calidad de la supresión, no solo el volumen de casos: si las operaciones solo registran cuántas alertas se generaron o cerraron, los equipos no podrán determinar si la lógica de selección está mejorando.

Datos desactualizados o incompletos

Los datos de PEP caducan más rápido de lo que muchos programas admiten. Los funcionarios dejan sus cargos. Los colaboradores cambian. Los registros públicos varían mucho entre jurisdicciones, y algunos proveedores de datos conservan información obsoleta sobre los roles desempeñados mucho después de que el contexto de riesgo haya cambiado.

La solución reside en una revalidación rigurosa. Los resultados de la evaluación inicial deben considerarse un desencadenante para la revisión, no una etiqueta permanente en el expediente del cliente. Los casos de mayor riesgo requieren una reevaluación periódica, y los casos antiguos deben contrastarse con el rol actual, la evidencia de la relación y las normas de retención de la organización. Una alerta de PEP obsoleta genera fricción sin aportar ningún valor de riesgo. Puede bloquear clientes, distorsionar la puntuación y llevar a los analistas a dedicar tiempo a defender decisiones antiguas en lugar de tomar decisiones actuales.

Nombres ambiguos y variación cultural

La coincidencia de nombres se vuelve más difícil al variar de idioma, escritura y convenciones de nomenclatura. Algunos clientes usan varios apellidos. Otros aparecen en los datos de origen con nombres reordenados, iniciales, títulos honoríficos o transliteraciones inconsistentes. Si el motor de búsqueda no puede tener en cuenta estos patrones, el departamento de operaciones traslada la responsabilidad a los analistas, quienes luego resuelven el mismo problema manualmente una y otra vez.

La solución práctica consiste en una combinación de reglas de resolución de identidad y umbrales de revisión estrictos. La lógica de coincidencia debe reconocer variantes conocidas y conversiones de scripts, pero el caso no debe avanzar a menos que el archivo contenga suficiente información corroborativa para una revisión justa. Esta compensación es importante. Las reglas flexibles detectan más posibilidades, pero también generan más ruido. Las reglas estrictas reducen el ruido, pero pueden pasar por alto una coincidencia real si el registro del cliente subyacente es escaso. Los programas robustos explicitan esta tensión y la ajustan en consecuencia, en lugar de pretender que un mismo umbral funciona para todas las jurisdicciones, tipos de clientes y fuentes de datos.

Manejo deficiente de los miembros de la familia y los allegados.

Muchos programas de control son más estrictos con las coincidencias directas de PEP (Personas Políticamente Expuestas) que con las partes vinculadas, aunque los riesgos de corrupción e influencia a menudo se transmiten a través de cónyuges, familiares, beneficiarios finales, intermediarios y socios comerciales.

La solución no consiste en considerar cada conexión como de alto riesgo, sino en definir qué se considera una relación relevante, cómo debe demostrarse y cuándo esto modifica el proceso de revisión. Una referencia no verificada en redes sociales o medios de comunicación no debería tener el mismo peso que los datos del registro mercantil, un vínculo declarado de titularidad real o una relación familiar documentada. Los programas que no clasifican adecuadamente estas señales o bien pasan por alto redes significativas o sobrevaloran asociaciones débiles.

Decisiones inconsistentes de los analistas

Dos analistas pueden revisar la misma alerta y llegar a conclusiones diferentes si el flujo de trabajo no impone un método coherente. Un revisor podría cerrar una coincidencia porque el puesto finalizó hace tres años. Otro podría escalarla porque el nombre aparece en una lista de proveedores. Esta inconsistencia genera problemas de auditoría y de imparcialidad.

La solución es procedimental, no teórica. Elabore árboles de decisión en torno a puntos de evidencia específicos: solidez de la coincidencia de identidad, nivel de oficina, actualidad, tipo de relación, riesgo jurisdiccional e información adversa. Luego, exija una justificación por escrito para las excepciones. En este caso, la tecnología ayuda, pero solo si refuerza el criterio en lugar de reemplazarlo. Un buen flujo de trabajo limita la discrecionalidad, registra por qué un caso se movió en una dirección y proporciona a los gerentes datos útiles para el control de calidad.

Ejemplo de lenguaje de política y lista de verificación de incorporación

Muchas políticas de PEP fracasan porque, si bien son técnicamente correctas, resultan inútiles en la práctica. Definen el término, mencionan la debida diligencia reforzada y ahí se detienen. Los analistas aún no saben qué información recopilar, qué casos escalar ni cómo cerrar un caso de manera consistente.

Ejemplo de lenguaje de política

Utilice un lenguaje que indique a los revisores qué hacer:

La organización identificará y evaluará a los clientes, beneficiarios finales, familiares y allegados que puedan ser considerados personas políticamente expuestas. La evaluación se realizará durante el proceso de incorporación y a lo largo de la relación con el cliente, mediante un análisis basado en el riesgo. En caso de detectarse una posible coincidencia, la organización verificará los atributos de identidad disponibles, evaluará el nivel y la antigüedad de la exposición política, considerará los vínculos relevantes y determinará si se requiere una debida diligencia reforzada. Los datos personales utilizados para la evaluación se limitarán a lo estrictamente necesario para una identificación y revisión fiables. Todas las decisiones, escalamientos y aprobaciones deberán documentarse en el expediente del caso.

Esa redacción es lo suficientemente amplia como para adaptarse, pero lo suficientemente específica como para controlar el comportamiento. Además, encaja de forma natural dentro de una gobernanza más amplia contra el soborno, razón por la cual los equipos suelen combinar su estándar PEP con una guía estructurada de políticas contra el soborno y la corrupción .

Lista de verificación de incorporación para casos de PEP de alto riesgo

Cuando se confirma o se indica claramente una coincidencia de alto riesgo, la lista de verificación de incorporación debe ser concisa y obligatoria:

• Confirmar la identidad: validar al cliente cotejándolo con los identificadores disponibles y resolver cualquier ambigüedad.

• Analizar la exposición: determinar si el riesgo es directo, familiar o a través de una relación cercana con un conocido.

• Analizar el origen del patrimonio y de los fondos: recopilar y evaluar la información de respaldo en proporción al riesgo.

• Verificar la información adversa: revisar los informes públicos pertinentes y documentar lo que se tuvo en cuenta.

• Evalúe el propósito de la cuenta y la actividad prevista: asegúrese de que el perfil se ajuste a la relación propuesta.

• Obtén la aprobación de la alta dirección cuando la normativa lo exija: no dejes en el aire quién es el responsable de la decisión.

• Establezca un plan de seguimiento: defina cuándo se realizará la próxima revisión y qué eventos desencadenarán una reevaluación anticipada.

La mejor lista de verificación es la que tus analistas usarán bajo presión. Debe ser concisa, requerir justificación e integrarla en el flujo de trabajo del caso, en lugar de dejarla como un documento aparte que nadie recuerda adjuntar.

---

Las organizaciones que deseen una forma más ética y auditable de gestionar la integridad, el cumplimiento normativo y el riesgo interno pueden explorar cómo Logical Commander Software Ltd. estructura las operaciones de riesgo proactivas a través de una plataforma unificada diseñada para la gobernanza, la documentación y la actuación temprana sin una supervisión invasiva.