Software PLD para SOFOM: qué debe hacer el sistema automatizado
Tener un sistema automatizado de prevención de lavado de dinero no es una recomendación: la SOFOM lo manifiesta bajo protesta para obtener su dictamen técnico. Qué funciones exige la norma y cómo saber si un software las cumple de verdad.
En esta guía
Para obtener el dictamen técnico de la CNBV, requisito previo a su registro, la SOFOM E.N.R. manifiesta bajo protesta de decir verdad que cuenta con el sistema automatizado que exige el régimen de prevención de lavado de dinero. Esa manifestación se vuelve exigible desde el primer día: en una revisión, la CNBV no pregunta si la SOFOM tiene "un software de PLD", sino si su sistema hace lo que la norma enumera.
Esta guía recorre esas funciones, explica qué significa cada una en la operación de una SOFOM chica o mediana, y propone preguntas concretas para evaluar un sistema antes de contratarlo.
Lo que la norma le pide al sistema
Las Disposiciones de PLD aplicables a las SOFOM obligan a contar con sistemas automatizados que desarrollen, entre otras, estas funciones:
| Función | Qué significa en la práctica |
|---|---|
| Generar y transmitir de forma segura los reportes de operaciones relevantes, inusuales e internas preocupantes | El archivo sale del sistema en el formato oficial, sin armarlo a mano en una hoja de cálculo. |
| Ejecutar el sistema de alertas | Las operaciones que se salen del perfil del cliente se detectan solas, con reglas documentadas. |
| Apoyar la detección y el análisis de inusuales e internas preocupantes | La alerta llega al oficial con el contexto para dictaminarla, y el dictamen queda registrado. |
| Proveer la información de la metodología de evaluación de riesgos | Los datos con los que se califica a los clientes salen del propio sistema. |
| Alertar sobre la Lista de Personas Bloqueadas | Cada cliente y cada operación se contrastan contra la lista vigente. |
| Seguridad que garantice integridad, disponibilidad, auditabilidad y confidencialidad | Accesos por rol, bitácora de quién hizo qué y respaldos que se pueden restaurar. |
La frase "entre otras" importa: la lista es un mínimo. Todo lo que el manual de la SOFOM promete que se hace de forma automática también se vuelve exigible.
Las cinco piezas que debe tener un software PLD
1. Cribado contra listas en el momento correcto
No basta con consultar listas al dar de alta al cliente. El cribado tiene que correr antes de aprobar cada operación y sobre todos los que intervienen: acreditado, avales, obligados solidarios, representantes, accionistas y propietarios reales. Una coincidencia en la Lista de Personas Bloqueadas obliga a suspender de inmediato y a reportar dentro de las 24 horas.
2. Grado de riesgo calculado, no capturado
El grado de riesgo de cada cliente debe salir de la metodología aprobada, con sus factores y ponderaciones, y no de un campo que el analista llena a criterio. La metodología se revisa al menos cada 12 meses, y el sistema tiene que poder mostrar con qué parámetros se calificó a cada cliente.
3. Alertas con reglas explicables
Una alerta que nadie sabe por qué se disparó no ayuda al oficial a dictaminar. Las reglas tienen que estar escritas, ser ajustables y corresponder al perfil de la cartera: no es lo mismo una SOFOM de crédito de nómina que una de crédito empresarial.
4. Dictamen documentado
Entre la alerta y el reporte hay un dictamen, con plazo: hasta 60 días naturales desde la alerta para dictaminar, y 3 días hábiles desde la sesión para reportar. El sistema tiene que guardar ese dictamen, sea del Comité de Comunicación y Control o del oficial de cumplimiento cuando la SOFOM tiene menos de 25 personas y no integra Comité.
5. Reportes que salen de la operación
Los reportes de operaciones relevantes, inusuales e internas preocupantes se presentan en el formato oficial. Si el sistema no tiene los pagos, las fechas y los medios de pago de cada operación, el reporte se arma a mano y el riesgo de error crece con cada trimestre.
Un software PLD aislado es medio sistema. El cribado, el grado de riesgo y las alertas dependen de los datos del crédito: quién lo solicitó, quién lo garantiza, cuánto paga, cómo y cuándo. Si esos datos viven en otro sistema, el de PLD trabaja con copias, y las copias se desactualizan.
Preguntas para evaluar un sistema antes de contratarlo
- ¿En qué momento corre el cribado contra listas, y sobre quiénes? ¿Queda constancia con fecha?
- ¿Cómo se actualiza la Lista de Personas Bloqueadas y qué pasa cuando hay una coincidencia?
- ¿Puedo configurar los factores y ponderaciones de mi metodología, o vienen fijos?
- Si cambio mi metodología, ¿qué pasa con los grados ya calculados?
- ¿Las reglas de alertas son editables? ¿Puedo ver por qué se disparó cada una?
- ¿Dónde queda el dictamen de una operación inusual, y funciona con y sin Comité?
- ¿El reporte se genera en el formato oficial a partir de las operaciones registradas?
- ¿Hay accesos por rol, bitácora inmutable y respaldos con restauración probada?
- ¿Mi información está aislada de la de otros clientes del proveedor?
Y una pregunta que no es técnica: ¿el proveedor puede mostrar todo esto en una demostración con datos, o sólo en una presentación?
Errores comunes al elegir
- Comprar sólo un buscador de listas y llamarlo sistema de PLD.
- Calificar el riesgo en una hoja de cálculo que nadie vuelve a abrir después del alta.
- Alertas genéricas pensadas para bancos, que generan cientos de falsos positivos en una cartera de cien créditos.
- Depender de un despacho para armar los reportes sin que la SOFOM conserve los datos que los sostienen.
Cómo se resuelve de raíz
La forma más simple de cumplir con el sistema automatizado es que el PLD no sea un sistema aparte, sino una capa del mismo sistema en el que se origina, se cobra y se contabiliza el crédito. Así las listas se consultan sobre los mismos participantes que firman, el grado de riesgo se calcula con los mismos datos que usa la operación y las alertas miran los mismos pagos que la cobranza.
En Cumplencia, el cribado contra OFAC, ONU, Unión Europea, PEP, listas del SAT y la Lista de Personas Bloqueadas corre al analizar y al aprobar cada solicitud, sobre todos los participantes. El grado de riesgo se calcula con la metodología configurada por la SOFOM y guarda la huella de sus parámetros. Las alertas salen de escenarios editables, el dictamen queda con o sin Comité, los archivos de reportes se generan con validación previa, y los accesos se controlan por rol con bitácora.
Preguntas frecuentes
¿Una SOFOM E.N.R. está obligada a tener un sistema automatizado de PLD?
Sí. Las Disposiciones de PLD exigen sistemas automatizados con funciones mínimas, y la SOFOM lo manifiesta bajo protesta para obtener su dictamen técnico de la CNBV.
¿Qué funciones debe tener un software PLD para SOFOM?
Entre otras: generar los reportes de operaciones relevantes, inusuales e internas preocupantes, ejecutar alertas, apoyar la detección de inusuales, proveer información para la metodología de riesgos, alertar sobre la Lista de Personas Bloqueadas y garantizar la seguridad de la información.
¿Basta con un buscador de listas negras?
No. El cribado de listas es una de varias funciones. La norma también exige alertas, apoyo al dictamen, reportes y la información de la metodología de evaluación de riesgos.
¿El software PLD tiene que estar conectado al sistema de crédito?
La norma no lo exige expresamente, pero las alertas, el grado de riesgo y los reportes dependen de los datos de las operaciones. Si viven en sistemas separados, la información se duplica y se desactualiza.
¿Qué preguntar a un proveedor de software PLD?
Cuándo y sobre quiénes corre el cribado, si la metodología es configurable, cómo se explican las alertas, dónde queda el dictamen, cómo se generan los reportes y qué controles de acceso y respaldos tiene.
¿Lo llevas todo a mano?
Cumplencia integra crédito, cumplimiento y contabilidad en un solo sistema, con cada obligación en su fecha, su alerta y su acuse guardado.
Solicitar una demo de 30 minutos