Documentación AML en el Reino Unido: registros, conservación y decisiones

La documentación AML en el Reino Unido comprende las evaluaciones de riesgo de la entidad, las políticas, los registros de formación, los expedientes de diligencia debida del cliente, los registros de operaciones y la documentación de las decisiones sobre cribado y comunicaciones. Debe explicar qué información tenía la entidad, qué controles se aplicaban y por qué se aprobó o detuvo una actividad, o se remitió a un responsable para su evaluación. Los documentos de identidad no bastan para responder a esas preguntas; un caso marcado como «revisado» sigue necesitando documentación que pueda recuperarse.

Esta guía aborda las categorías de registros AML en el Reino Unido, su relación con las decisiones y los distintos plazos de conservación. Complementa la guía general de cumplimiento AML, que explica cómo organizar el programa en su conjunto.

Determine qué requisitos se aplican

Las Money Laundering Regulations 2017 (MLR) imponen obligaciones a las empresas incluidas en su ámbito de aplicación, denominadas relevant persons. Importan el sector, la actividad y las normas de supervisión. Una empresa ajena al ámbito de las MLR no debe dar por hecho que todos los requisitos siguientes le son aplicables. Las obligaciones británicas en materia de sanciones requieren un análisis separado y no se limitan a las empresas sujetas a las MLR.¹²

Distinga entre obligaciones legales, orientaciones del supervisor y prácticas operativas recomendadas aquí. Los campos propuestos para los registros no son automáticamente requisitos legales. Las normas sectoriales pueden añadir requisitos a este resumen.

Relacione cada registro con el control que documenta

Asigne a cada categoría de registros un responsable que pueda explicar su finalidad y la base de su conservación.

Las Regulations 18, 19, 21 y 24 abordan distintos aspectos del gobierno de la entidad. En concreto, los requisitos de control interno y auditoría independiente de la Regulation 21 dependen de lo que resulte adecuado al tamaño y la naturaleza de la actividad. Por tanto, las medidas de auditoría adecuadas varían de una entidad a otra.³⁴⁵⁶

Vincule las versiones de las políticas con las decisiones sobre clientes

Conserve las versiones fechadas de las políticas y su historial de aprobación. Vincule las decisiones relevantes sobre clientes con el procedimiento y la configuración utilizados en ese momento, en lugar de sustituir ese contexto cada vez que cambie la política vigente.

Para la diligencia debida del cliente (CDD), conserve los documentos y la información obtenidos para cumplir los requisitos aplicables, junto con documentación suficiente de las operaciones. Registre la procedencia y las fechas para que quien revise el expediente pueda distinguir entre información aportada por el cliente, comprobaciones independientes y correcciones posteriores.⁷⁸

Un registro útil del riesgo del cliente relaciona los hechos pertinentes con el método de evaluación, la categoría final, cualquier modificación manual de esa categoría y el responsable del análisis. Consulte la metodología de evaluación del riesgo del cliente para la evaluación en sí. En cuanto a la documentación, la cuestión es si otro analista puede seguir el razonamiento sin depender de la memoria de quien lo realizó.

Vincule los registros del cliente, del caso y de las operaciones mediante referencias estables. Evite las copias innecesarias de datos personales dispersas por correos electrónicos y unidades locales.

Separe el análisis de PEP del análisis de sanciones

Ante una posible persona políticamente expuesta (PEP), documente la comprobación de identidad, el cargo o la relación pertinente y las fechas; después, la evaluación de riesgo, las medidas y las aprobaciones.

La Regulation 35 exige evaluar el riesgo y aplicar medidas reforzadas proporcionadas. Para las PEP nacionales del Reino Unido y los familiares o allegados conocidos comprendidos en la norma, el punto de partida legal es un riesgo inferior al de las PEP no nacionales; si no concurren factores de riesgo adicionales, el alcance de la diligencia debida reforzada es menor. Esto no elimina las medidas aplicables ni convierte a todas las PEP en casos de alto riesgo idénticos.⁹ La guía de cribado de PEP explica el proceso de revisión con más detalle.

En materia de sanciones, conserve los datos aportados sobre la persona o entidad, el registro de la coincidencia potencial, la autoridad competente, el contexto de la fuente y la información que respalda o contradice la coincidencia de identidad. Documente por separado las cuestiones de titularidad o control y la coincidencia directa de nombre. Explique después la restricción y la actuación correspondientes. Un candidato no es una coincidencia confirmada con una persona o entidad sujeta a sanciones, y una suspensión operativa interna no equivale a una inmovilización de activos exigida por ley.²

Si resulta pertinente una licencia, conserve su referencia, ámbito, condiciones y el análisis que la relaciona con la actividad propuesta. Una Defence Against Money Laundering (DAML) no es una licencia de OFSI. Una aprobación interna o un dictamen jurídico no dejan sin efecto una prohibición. Utilice la guía para documentar la investigación de una alerta de sanciones para saber qué documentación conservar en cada caso.

Documente las decisiones sobre SAR sin ampliar el acceso

Diferencie la comunicación interna, la evaluación de las sospechas internas por el responsable designado (nominated officer), el reporte externo de actividad sospechosa (SAR) y cualquier solicitud DAML. El estado «reportado» debe identificar la presentación efectiva y su referencia, no solo indicar que un analista abrió un caso interno.

Cuando el responsable designado decida no presentar un SAR, conserve la información valorada y la justificación de la decisión conforme al umbral de comunicación aplicable. La falta de corroboración externa, por sí sola, no basta como justificación: la sospecha no exige pruebas concluyentes. Las orientaciones de HMRC para las empresas que supervisa abordan tanto los reportes presentados como las decisiones de no reportar.¹⁰

Restrinja adecuadamente el acceso a los registros de comunicaciones. Los delitos de revelación indebida (tipping off) y de perjuicio a una investigación tienen condiciones y ámbitos específicos en POCA y en la legislación antiterrorista. Que una revelación concreta esté prohibida depende de esas condiciones. Gestione las solicitudes de información y las comunicaciones mediante el procedimiento jurídico y de reporte que corresponda.¹¹

Aplique el plazo de conservación correcto

Parta de la categoría del registro y del hecho que inicia el cómputo, no de una configuración genérica de «fecha de creación más cinco años».

La Regulation 40(5) exige eliminar los datos personales correspondientes una vez transcurrido el plazo aplicable, salvo que concurra una excepción: conservación exigida por una disposición legal o para un proceso judicial, consentimiento o motivos razonables para conservarlos con vistas a un proceso judicial. Registre la base concreta; el consentimiento no es un permiso general para guardarlo todo indefinidamente.⁸

Las orientaciones del ICO sobre limitación del plazo de conservación exigen justificar la conservación y revisarla periódicamente. Defina quién puede autorizar una excepción o la suspensión de la eliminación, cuándo se revisará y cómo se comprobará el borrado. «Podría ser útil algún día» no sirve como política de conservación.¹²

Compruebe la recuperación, la migración y la eliminación

Elija un caso cerrado y pida a alguien ajeno al equipo que lo analizó que reconstruya la decisión con los permisos de acceso que le correspondan. ¿Puede encontrar la documentación, identificar al responsable del análisis y distinguir un registro original de una modificación posterior?

Repita la prueba con una política antigua, un registro de formación y un registro de comunicaciones de acceso restringido. Compruebe la recuperación tras el cierre de una cuenta, la salida de empleados y el cambio de proveedor. Documente los fallos y las medidas correctoras.

Compruebe los supuestos de eliminación, las excepciones y las copias vinculadas. Una tarea de borrado queda incompleta si las exportaciones sin control se conservan indefinidamente.

Evalúe el software según los registros que necesita

Pida al proveedor que recupere una decisión de cribado antigua y explique qué información se conserva cuando cambian los datos o la configuración. Verifique los datos de entrada, el contexto de las fuentes, la identificación del analista, las modificaciones, la conservación, el acceso y las condiciones de exportación. Compruebe los límites contractuales y técnicos de lo que se presenta como «registro de auditoría».

Checklynx agrupa los candidatos del cribado en perfiles con los datos estructurados de identidad y el contexto de las fuentes disponibles, lo que ayuda al equipo de cumplimiento a comparar la persona o entidad consultada con los candidatos. Esto facilita la investigación; no determina la identidad ni decide las consecuencias legales, y tampoco sustituye los archivos de políticas, formación y comunicaciones de la entidad. Evalúe la solución de registro de auditoría y evidencias según sus necesidades reales de recuperación y confirme las condiciones que necesita antes de contratar.

Tres ejemplos prácticos

Estos ejemplos hipotéticos ilustran lo que debe explicar un registro de decisión.

Un cliente tiene el mismo nombre que una PEP. Conserve los identificadores aportados y el contexto del candidato, explique cómo se comprobó la identidad y documente cualquier incertidumbre pendiente. Si la persona cumple los criterios de PEP, conserve la evaluación de riesgo y medidas, en lugar de asignar automáticamente la misma categoría de riesgo a todas las PEP.

Una coincidencia potencial de sanciones afecta a un pago previsto. Conserve el análisis de identidad y de la restricción. Si la operación depende de una licencia, documente que la actividad está comprendida en sus términos y condiciones. Una nota que diga «aprobado por el MLRO» no sustituye la autorización legal exigida.

Una comunicación interna no da lugar a un SAR. Conserve los hechos valorados, la evaluación del umbral aplicable, quién decidió y la fecha, con las restricciones de acceso adecuadas. Documente las comprobaciones adicionales cuando sean necesarias; «no se encontraron pruebas externas» no responde a si se alcanzaba el umbral de comunicación.

Preguntas frecuentes

¿Hay que conservar todos los documentos AML durante cinco años?

No. La Regulation 40 abarca determinados registros de diligencia debida y operaciones, con supuestos específicos de inicio del cómputo y disposiciones de eliminación. Las orientaciones sobre comunicaciones tienen su propio ámbito, mientras que los registros de políticas, formación y revisiones necesitan una base de conservación adecuada.

¿Basta un resultado de cribado para documentar una decisión?

El resultado muestra lo que devolvió el sistema. La decisión también necesita documentación de identidad pertinente, análisis, actuación e identificación del responsable. Conserve contexto suficiente para explicar el resultado sin tratar al candidato como una conclusión.

¿Puede un proveedor conservar los registros en nuestro nombre?

Un acuerdo de almacenamiento no demuestra por sí solo que se cumplan sus obligaciones. Compruebe la continuidad del acceso, la recuperación, la conservación, la migración y la eliminación, incluido lo que sucede al terminar el contrato.