PLD/AML y cumplimiento: preguntas frecuentes de bancos y fintechs

La mayoría de los sistemas de monitoreo generan muchas alertas que, al investigarlas, resultan legítimas. Cada una consume horas de analista y retrasa la atención de los casos realmente sospechosos. Al mismo tiempo, se espera más evidencia de que el monitoreo funciona. En México, por ejemplo, el marco antilavado se actualizó en tres pasos: reforma a la Ley en julio de 2025, a su Reglamento en marzo de 2026 y a sus reglas generales en agosto de 2026, que refuerzan el enfoque basado en riesgo (fuente: Holland & Knight, 2025–2026).

Enfoques:

• Calibración de reglas con datos históricos y segmentación de clientes.
• Modelos de IA que detectan patrones anómalos y priorizan alertas por riesgo.
• Resolución de entidades: unir registros del mismo cliente para ver el panorama completo.
• Gestión de casos que ordena la investigación y documenta cada decisión.

Criterios: explicabilidad de cada alerta, integración con tu core y tu sistema actual, tiempo de puesta en marcha y dónde se alojan los datos.

Según Holland & Knight:

• La reforma a la LFPIORPI se publicó en el DOF el 16 de julio de 2025. Refuerza la prevención del financiamiento al terrorismo, amplía las actividades vulnerables (entre ellas, la comercialización de activos virtuales) y fortalece el papel de la UIF y del SAT.
• El Reglamento se reformó el 27 de marzo de 2026.
• Las reglas de carácter general se reformaron en el DOF el 7 de agosto de 2026, con más enfoque basado en riesgo y debida diligencia reforzada, y con vigencia general desde el 30 de noviembre de 2026.

Un matiz importante: la LFPIORPI regula sobre todo las actividades vulnerables. Los bancos y muchas fintechs reguladas tienen además sus propias disposiciones de PLD del sector financiero. Por eso, el impacto concreto depende de tu modelo de negocio y de cómo se combinan ambos marcos. Esa interpretación corresponde a tu área legal.

Del lado tecnológico, suele implicar:

• Actualizar escenarios de monitoreo y matrices de riesgo.
• Reforzar la trazabilidad documental de cada operación y cada decisión.
• Revisar los flujos de reporte a la autoridad.

Los activos virtuales y las stablecoins ya forman parte de las remesas, los pagos y la tesorería de fintechs y exchanges en la región, y la regulación los alcanza. En México, la reforma de 2025 a la Ley Antilavado incluyó a los activos virtuales entre las nuevas actividades vulnerables (fuente: Holland & Knight, jul 2025). En Brasil, según Lefosse, las Resoluciones BCB 519, 520 y 521 (publicadas el 10 de noviembre de 2025, vigentes desde el 2 de febrero de 2026) dan a los proveedores de activos virtuales que ya operan 270 días para pedir autorización (hacia inicios de noviembre de 2026); permiten a bancos y otras instituciones autorizadas ofrecer intermediación y custodia con aviso previo de 90 días y certificación técnica independiente; exigen segregación y pruebas de reservas en la custodia, y llevan las stablecoins a las reglas del mercado de cambios.

Qué necesita un programa PLD para activos virtuales:

• Monitoreo de transacciones en cadena: origen y destino de los fondos, exposición a mezcladores, mercados ilícitos o direcciones sancionadas.
• Evaluación de riesgo de billeteras y contrapartes.
• Cumplimiento de la "travel rule": intercambio de datos del originador y del beneficiario entre proveedores.
• Integración con el monitoreo tradicional, porque los fondos entran y salen por cuentas bancarias.
• Si hay custodia: gestión segura de llaves, segregación por cliente con conciliación de saldos y pruebas de reservas verificables.

Qué evaluar: redes y tokens cubiertos, calidad de la atribución de direcciones, APIs y costo por volumen; en custodia, auditorías independientes y cómo el proveedor demuestra reservas.

En muchas áreas de cumplimiento, los analistas todavía copian datos de varios sistemas a hojas de cálculo para investigar una alerta y armar un reporte de operación sospechosa. Eso consume tiempo, genera errores y deja poca trazabilidad. Con reformas como la de la Ley Antilavado en México (fuente: Holland & Knight, 2025–2026), la exigencia de documentar cada decisión aumenta.

Qué automatizar:

• Consolidación de datos del cliente, transacciones y alertas previas en una sola vista.
• Asignación y priorización de casos según riesgo.
• Registro de cada paso de la investigación, con fecha y responsable.
• Generación del reporte en el formato de la UIF (México o Argentina), el COAF (Brasil) o la UIAF (Colombia).
• Tableros de tiempos de atención y volumen para la gerencia.

Criterios: integración con tu monitoreo actual, flexibilidad de formatos por país y registro de auditoría completo.

Los supervisores esperan evidencia de que el programa funciona, no solo políticas escritas. En México, en 2025 la CNBV sancionó e intervino a tres instituciones financieras por fallas relacionadas con la prevención de lavado de dinero (fuente: El Financiero, 15 jul 2025). Una lección que vale para cualquier institución: el monitoreo debe cubrir los riesgos reales del negocio, incluidas las operaciones transfronterizas. En Colombia, la SFC reexpidió en 2025 la Circular Básica Jurídica mediante la Circular Externa 006 (fuente: SFC, 25 jun 2025).

Lista práctica:

• Documentación del monitoreo: qué escenarios existen, por qué y con qué umbrales.
• Bitácora de cambios en reglas y modelos, con aprobaciones.
• Trazabilidad de alertas: quién la revisó, qué encontró y por qué la cerró o la reportó.
• Validación de modelos, sobre todo si usan IA.
• Pruebas de calibración recientes.
• Capacitación del personal, documentada.

La IA ayuda a detectar patrones que las reglas no ven y a priorizar alertas, pero un regulador no acepta "el modelo lo dijo" como justificación. La adopción en la región todavía es temprana. En Brasil, el 72% de los bancos reporta baja madurez en IA (fuente: Febraban/Deloitte, 27 ago 2026), y en una encuesta regional el 80% de los líderes bancarios considera estratégica la IA, pero solo el 35% la está implementando (fuente: Infocorp, vía El Capital Financiero).

Principios para una IA auditable:

• Explicación por alerta: qué variables pesaron y por qué.
• Documentación del modelo: datos de entrenamiento, supuestos y limitaciones.
• Validación independiente antes de ponerlo en producción y de forma periódica.
• Monitoreo del desempeño para detectar que el modelo se degrada.
• Humano en el circuito para las decisiones de reporte.

El SARLAFT obliga a las entidades vigiladas por la SFC a identificar, medir, controlar y monitorear su riesgo de lavado de activos y financiación del terrorismo, con un enfoque basado en riesgo. Sus instrucciones están en la Circular Básica Jurídica, que la SFC reexpidió mediante la Circular Externa 006 del 25 de junio de 2025 (fuente: SFC).

Tecnología que suele apoyar el cumplimiento:

• Segmentación de clientes y factores de riesgo, base del enfoque basado en riesgo.
• Monitoreo transaccional con escenarios alineados a esa segmentación.
• Consulta de listas restrictivas y PEP en la vinculación y de forma periódica.
• Gestión de casos y reportes a la UIAF.
• Tableros de riesgo para el oficial de cumplimiento y la junta directiva.

Criterio clave: que la herramienta documente la metodología de segmentación y el porqué de cada alerta, para responder a la SFC con evidencia.

Las listas cambian a menudo y el universo sancionado crece. Según Expansión (3 ago 2026), la OFAC agregó 50 personas y entidades mexicanas a sus listas en la última semana de julio de 2026, sumadas a acciones de 2025 y 2026; además, la regla del 50% extiende el efecto a las empresas que esas personas controlan. En México, la reforma a la Ley Antilavado reforzó el enfoque basado en riesgo (fuente: Holland & Knight, 2025–2026).

Qué hace un buen programa de screening:

• Revisión en la vinculación y de forma continua contra listas de sanciones, listas locales y PEP.
• Coincidencia difusa ajustable, con fecha de nacimiento, nacionalidad o documento para descartar homónimos.
• Resolución de propiedad para aplicar la regla del 50% a empresas.
• Medios adversos, cuando el perfil de riesgo lo justifica.
• Gestión de casos que documenta por qué se descartó o escaló cada coincidencia.

Qué medir: coincidencias por cada mil clientes, tiempo para resolverlas y cuántas coincidencias reales detecta en pruebas controladas.