La Oficina del Contrador de la Moneda (OCC) ha sancionado con 350 millones de dólares a uno de los mayores emisores de tarjetas de Estados Unidos, a través de su filial bancaria. Según las conclusiones del supervisor, que la entidad no ha admitido ni negado, esta filial no detectó ni comunicó a tiempo a las autoridades unos 13.000 millones de dólares en presunto blanqueo de capitales basado en el comercio, en operaciones que van de 2014 a 2025.
El regulador apunta al conocimiento del cliente
La OCC enumera deficiencias que califica de sistémicas, desde personal sin la experiencia necesaria hasta lagunas en el control interno, pruebas independientes débiles o formación insuficiente. La conclusión que más interesa al resto del sector tiene que ver con el cliente. Según el supervisor, el banco no adaptó su evaluación de riesgos a su actividad real, y sus procesos de diligencia debida e identificación de clientes contribuyeron a que la actividad sospechosa pasara desapercibida.
La diligencia debida va más allá de comprobar la identidad en el alta. Incluye saber con qué propósito opera el cliente y qué actividad cabe esperar de él, y es lo que da sentido a todo lo que se vigila después.
El blanqueo basado en el comercio oculta fondos ilícitos detrás de precios manipulados o facturas infladas. En este caso, según la información publicada sobre la orden, los fondos habrían circulado a través de gasto con tarjeta y reembolsos asociados. En esquemas así, un cargo por una venta inflada o inexistente y su devolución posterior permiten mover dinero con apariencia de operación comercial. Vistas una a una, estas operaciones rara vez llaman la atención. El patrón aparece al compararlas con el perfil esperado del cliente, siempre que ese perfil exista y esté al día.
La identidad verificada en el alta también caduca
La normativa AML ya contempla este riesgo con la diligencia debida continua, que obliga a revisar al cliente mientras dure la relación. Es un reto para cualquier entidad con una cartera de clientes amplia y una relación larga con ellos. El riesgo aparece cuando el expediente se queda congelado en el onboarding y solo se reabre si algo obliga a hacerlo. Con un expediente así, ¿cómo saber si quien opera hoy sigue encajando con quien se verificó hace años, o si el propósito declarado sigue siendo el real?
La identidad continua parte de otra premisa. La confianza en un cliente se actualiza con cada interacción y cruza quién es, cómo se comporta y qué operaciones hace. Para un equipo de cumplimiento, eso permite ver una desviación cuando empieza, sin esperar a reconstruirla años después.
La entidad se ha comprometido a atender las exigencias del supervisor, que incluyen un plan de acción en 90 días, una nueva evaluación de riesgos, un programa de diligencia debida rehecho y una revisión retrospectiva a cargo de un tercero independiente. Revisiones de este tipo obligan a reconstruir años de decisiones sobre clientes y operaciones, y para cualquier entidad su dificultad depende de la evidencia que haya conservado sobre qué se comprobó, cuándo y con qué resultado. Para el sector, el mensaje es que el supervisor examina el conocimiento del cliente durante toda la relación, desde el alta hasta la última operación.
