CNBV PLD/FT Certification cheat sheet
CNBV PLD/FT Certification · Keep the key ideas within reach.
Marco legal y regulatorio en materia de PLD/FT (LFPIORPI y normativa aplicable)
La LFPIORPI es una ley federal que impone obligaciones de identificación, aviso y conservación a quienes realizan las Actividades Vulnerables que enumera su artículo 17.
Las entidades financieras quedan sujetas a la LFPIORPI en lo general, pero su debida diligencia, avisos y controles se detallan en las Disposiciones de carácter general de la CNBV.
El artículo 17 enumera las Actividades Vulnerables; entre ellas figuran operaciones con recursos de procedencia ilícita y las que se realizan en efectivo por encima de los umbrales fijados.
Los umbrales de identificación y de aviso se expresan en veces el salario mínimo vigente; el cálculo debe usar el salario mínimo de la zona y fecha aplicable.
La LFPIORPI se apoya en la Ley Nacional de Extinción de Dominio y en el Código Penal Federal (operaciones con recursos de procedencia ilícita) para sus consecuencias.
El GAFI emite las 40 Recomendaciones; México es miembro y sus estándares se reflejan en la normativa nacional de PLD/FT.
Las Recomendaciones del GAFI exigen un enfoque basado en riesgos, cooperación interinstitucional, transparencia del beneficiario controlador y reporte de operaciones sospechosas.
La UIF es la unidad administrativa de la SHCP encargada de recibir, analizar y diseminar los avisos de operaciones y de coordinar la política nacional de PLD/FT.
Disposiciones de carácter general aplicables a las entidades financieras en materia de PLD/FT
Las Disposiciones de la CNBV se estructuran en capítulos que cubren: disposiciones generales, identificación del cliente, conocimiento del cliente, beneficiario controlador, medidas de debida diligencia, avisos, conservación, capacitación, auditoría y sanciones.
Las entidades deben clasificar a sus clientes por nivel de riesgo (bajo, medio, alto) y aplicar medidas de debida diligencia proporcionales al riesgo identificado.
El beneficiario controlador se identifica a partir de la estructura de propiedad y control; se considera control cuando se tiene más del 25% del capital o de los derechos de voto, o control efectivo por otros medios.
Las medidas de debida diligencia simplificada solo proceden en supuestos expresamente previstos y con riesgo bajo documentado; no eximen de la identificación básica.
La debida diligencia reforzada es obligatoria para personas políticamente expuestas, jurisdicciones de alto riesgo y clientes con riesgo alto.
Los avisos a la UIF deben presentarse por los canales y formatos definidos, dentro de los plazos que fijan las Disposiciones; el aviso de operación inusual no requiere juicio definitivo de ilicitud.
La conservación de información y documentación debe ser por al menos cinco años, contados a partir de la fecha de la operación o del fin de la relación de negocios.
La entidad debe designar un oficial de cumplimiento con funciones, independencia y recursos adecuados, y notificar su designación y cambios a la CNBV.
Enfoque basado en riesgos y metodología de evaluación de riesgos de LD/FT
El enfoque basado en riesgos implica identificar, evaluar, mitigar y monitorear el riesgo de LD/FT de forma proporcional a la naturaleza, tamaño y complejidad de la entidad.
El riesgo de LD/FT es función de amenaza, vulnerabilidad y consecuencia; la exposición se calcula combinando probabilidad e impacto.
La matriz de riesgo cruza productos, servicios, canales, clientes y jurisdicciones con los factores de riesgo para asignar calificaciones.
El apetito de riesgo es el nivel de riesgo residual que la entidad está dispuesta a aceptar; debe ser aprobado por el consejo o su equivalente.
El riesgo inherente es el riesgo antes de controles; el riesgo residual es el que permanece después de aplicar la mitigación.
La evaluación debe actualizarse periódicamente y ante cambios relevantes en productos, canales, clientes o en el entorno regulatorio.
Los controles de mitigación incluyen políticas, procedimientos, sistemas de monitoreo, capacitación, auditoría y segregación de funciones.
La metodología debe documentarse, ser trazable y permitir priorizar recursos hacia los segmentos de mayor riesgo.
Conocimiento del cliente y del beneficiario controlador; debida diligencia
La debida diligencia del cliente comprende identificación, verificación, conocimiento de la relación de negocios, seguimiento y actualización de expedientes.
La identificación requiere datos como nombre, domicilio, fecha de nacimiento, nacionalidad, actividad y, en su caso, datos de constitución de personas morales.
La verificación exige documentos o fuentes confiables e independientes que confirmen la identidad y la información declarada.
El beneficiario controlador es la persona física que ejerce control efectivo, directo o indirecto, o que se beneficia de la operación.
Para personas morales se debe conocer la cadena de propiedad hasta llegar a personas físicas y documentar el control efectivo.
Las personas políticamente expuestas requieren debida diligencia reforzada, aprobación de la alta dirección y monitoreo continuo de la relación.
La actualización de expedientes debe ser periódica según el nivel de riesgo; el incumplimiento puede derivar en restricciones o terminación de la relación.
La imposibilidad de completar la debida diligencia obliga a no iniciar o a terminar la relación de negocios y evaluar el aviso correspondiente.
Detección, monitoreo y reporte de operaciones (inusuales, relevantes e internas)
Operación inusual: aquella que no coincide con el perfil transaccional o los patrones de comportamiento del cliente y que no tiene explicación razonable.
Operación relevante: operación de monto, frecuencia o características que superan los umbrales definidos y debe reportarse conforme a las Disposiciones.
Operación interna: operación inusual realizada por empleados, funcionarios o directivos de la propia entidad, o que involucra recursos de la entidad.
El monitoreo transaccional compara la actividad del cliente contra su perfil y contra reglas, escenarios y modelos de riesgo definidos.
Las alertas generadas por el sistema deben analizarse, documentarse y resolverse; las conclusiones deben quedar en el expediente.
El aviso de operación inusual se presenta cuando tras el análisis persiste la sospecha; no se requiere prueba plena de lavado de dinero.
Las operaciones relevantes se reportan con independencia de que exista o no sospecha, cuando cumplen los supuestos y umbrales normativos.
El reporte interno debe escalar al oficial de cumplimiento y documentar la decisión de presentar o no el aviso ante la UIF.
Señales de alerta, tipologías y esquemas de lavado de dinero y financiamiento al terrorismo
Señal de alerta: indicio objetivo o subjetivo que sugiere que una operación o cliente puede estar vinculado a LD/FT y requiere análisis.
Tipologías comunes: estructuración (pitufeo) para evitar umbrales, uso de terceros o prestanombres, comercio ficticio y facturación simulada.
Otras tipologías: transferencias internacionales sin justificación económica, uso intensivo de efectivo, cuentas puente y operaciones en cascada.
El financiamiento al terrorismo se distingue del lavado porque puede involucrar fondos de origen lícito destinados a fines ilícitos y montos pequeños.
Señales en efectivo: depósitos fraccionados, billetes en mal estado, operaciones justo por debajo del umbral y clientes que evitan la identificación.
Señales en clientes: renuencia a proporcionar información, uso de documentación inconsistente, cambios súbitos de perfil y actividad sin justificación económica.
Señales en canales: uso de múltiples sucursales o cuentas para una misma operación, operaciones desde jurisdicciones de alto riesgo y movimientos inusuales en horarios atípicos.
La detección de tipologías debe traducirse en escenarios de monitoreo y en actualización de la evaluación de riesgos.
Obligaciones de conservación de información, confidencialidad y comunicación con autoridades
La conservación de información y documentación debe ser por al menos cinco años desde la fecha de la operación o del fin de la relación de negocios.
Debe conservarse la documentación de identificación, los registros de operaciones, los análisis de alertas y los avisos presentados.
La confidencialidad prohíbe revelar al cliente o a terceros que se presentó o se evaluará un aviso de operación inusual.
La revelación indebida de un aviso puede constituir delito y genera responsabilidad administrativa y penal.
Las autoridades competentes pueden solicitar información en el ejercicio de sus facultades; la entidad debe atender los requerimientos en los plazos y formas establecidos.
La comunicación con la UIF y otras autoridades debe seguir los canales oficiales y quedar documentada con acuses y registros.
El personal debe conocer el protocolo de actuación ante requerimientos de autoridades y ante solicitudes de información de terceros.
La conservación debe garantizar disponibilidad, integridad y trazabilidad de la información para fines de supervisión y auditoría.
Programa de cumplimiento, función de oficial de cumplimiento, capacitación y auditoría
El programa de cumplimiento comprende políticas, procedimientos, estructura organizacional, sistemas, capacitación, auditoría y monitoreo independiente.
El oficial de cumplimiento debe tener independencia, acceso a la información, recursos suficientes y comunicación directa con el consejo o la alta dirección.
Funciones del oficial: coordinar la evaluación de riesgos, supervisar el monitoreo, presentar avisos, atender requerimientos y promover la cultura de cumplimiento.
La capacitación debe ser diferenciada por rol y nivel de riesgo, con evaluación de aprendizaje y registro de asistencia y resultados.
La auditoría interna o externa evalúa la eficacia del programa; sus hallazgos deben generar planes de acción con responsables y plazos.
El monitoreo independiente verifica que los controles operen de manera efectiva y que las alertas se resuelvan oportunamente.
El programa debe revisarse y actualizarse ante cambios normativos, nuevos productos, canales o resultados de auditoría.
La documentación del programa debe permitir demostrar a la CNBV la existencia y eficacia de los controles implementados.
Sanciones, régimen disciplinario y consecuencias del incumplimiento
El incumplimiento de la LFPIORPI y de las Disposiciones puede generar multas, amonestaciones, inhabilitación y otras sanciones administrativas.
Las sanciones se determinan considerando la gravedad, la reincidencia, la capacidad económica del infractor y el beneficio obtenido.
La CNBV puede imponer medidas correctivas, ordenar la regularización y, en su caso, revocar autorizaciones.
El incumplimiento puede generar responsabilidad penal para personas físicas y, en ciertos supuestos, para personas morales.
El régimen disciplinario interno debe prever consecuencias para empleados que incumplan políticas de PLD/FT.
La omisión de presentar avisos, la falta de conservación y la revelación indebida son infracciones graves.
Las sanciones internacionales y las listas de personas bloqueadas pueden impedir operaciones y generar responsabilidad si no se aplican.
La cooperación con autoridades y la subsanación oportuna pueden considerarse atenuantes en el procedimiento sancionador.