Control de sanciones: guía práctica para equipos de cumplimiento

El control de sanciones suele describirse como una comprobación de nombres: se contrasta un cliente o una contraparte con una lista y, a continuación, se descarta o se escala el resultado. Esta descripción es incompleta. Las sanciones pueden restringir fondos, recursos económicos, servicios, comercio, inversiones, transporte y otras actividades. Algunas restricciones alcanzan a entidades no incluidas en listas a través de la titularidad o el control. Una comprobación de nombres puede identificar una cuestión que debe analizarse, pero no resuelve por sí sola todos los problemas jurídicos.

La tarea práctica consiste en conectar el derecho, los datos y las operaciones:

Delimitar el ámbito jurídico → identificar los regímenes y restricciones aplicables → definir la población y los datos que se comprobarán → seleccionar los momentos de control → investigar las coincidencias potenciales → analizar la titularidad, el control y la prohibición pertinente → aplicar la actuación autorizada → conservar la documentación → probar y mejorar el control.

Esta guía explica ese modelo para equipos de cumplimiento, prevención de delitos financieros, producto y operaciones.

Qué es el control de sanciones y qué no es

El control de sanciones compara datos identificativos relevantes con información sobre sanciones para detectar posibles riesgos e investigarlos. El objeto de la comprobación puede ser una persona, una organización, un buque, una aeronave u otro elemento representado en datos oficiales. La cuestión puede surgir durante el alta, al incorporar una contraparte, en una operación, tras un cambio de titularidad o cuando una autoridad modifica una designación o un programa.

La Lista Consolidada del Consejo de Seguridad de las Naciones Unidas reúne a personas y entidades sujetas a medidas de sanción del Consejo de Seguridad, pero la medida aplicable depende del régimen correspondiente y de cómo la hayan incorporado los Estados miembros.¹ En Estados Unidos, OFAC publica la lista SDN y datos consolidados de listas distintas de la SDN; estas fuentes no representan una única restricción uniforme y la lista SDN no abarca todo el marco de sanciones de OFAC.² En el Reino Unido, la UK Sanctions List es la fuente vigente de designaciones británicas, pero las empresas también deben consultar la normativa y las orientaciones del régimen aplicable para entender sus efectos jurídicos.³

El control de nombres no equivale a un sistema completo de cumplimiento de sanciones. Un resultado sin coincidencias no resuelve las restricciones sectoriales, los servicios prohibidos, los bienes restringidos, las medidas geográficas, la titularidad o el control, ni los intentos de eludir sanciones. Las conclusiones de supervisión de la FCA subrayan la misma cuestión operativa: la comprobación de clientes y pagos puede no detectar restricciones comerciales, sanciones sectoriales o prácticas de elusión, por lo que pueden ser necesarios otros controles.⁴

El control de sanciones se diferencia de otros controles relacionados:

• KYC y KYB mantienen información sobre identidad, actividad y titularidad que puede respaldar una investigación de sanciones, pero tienen finalidades distintas.
• El control de PEP identifica exposición política con fines de gestión del riesgo y diligencia debida reforzada. La condición de PEP no significa por sí sola que una persona esté sancionada. Consulte la guía sobre el control de PEP.
• La monitorización de operaciones en materia de PBC busca patrones sospechosos. El análisis de sanciones determina si una restricción afecta a una parte, un bien o una actividad. Ambos controles pueden intercambiar datos, pero ninguno sustituye al otro. Consulte la guía de cumplimiento en materia de PBC.
• El control de medios adversos puede aportar contexto de riesgo e indicios para la investigación. No es una fuente oficial de designaciones.

De aquí se deriva el primer principio de diseño: no se limite a preguntar «¿qué lista debemos cargar?». Pregunte «¿qué restricciones jurídicas pueden afectar a nuestras entidades y actividades, y qué documentación necesita el control para identificar y gestionar ese riesgo?».

Distinga entre normas vinculantes, orientaciones y decisiones de aplicación

Los procedimientos de cumplimiento pierden fiabilidad cuando se presenta cualquier fuente como un «requisito». El responsable del control debe poder clasificar cada afirmación relevante de una política, un manual o una decisión de configuración.

El GAFI define sus Recomendaciones como estándares internacionales que los países deben aplicar y adaptar a sus sistemas jurídicos, administrativos y financieros.⁵ Las Recomendaciones 6 y 7 abordan, respectivamente, la aplicación por los países de sanciones financieras dirigidas relacionadas con el terrorismo y su financiación, y con la proliferación.⁶⁷ Influyen en los marcos nacionales, pero no son legislación privada directamente aplicable por sí mismas.

El Consejo de la UE describe su documento de buenas prácticas sobre sanciones como no vinculante y no exhaustivo.⁸ Es un material útil para la aplicación, pero no debe citarse como si fuera un reglamento de la UE. El marco de cumplimiento de OFAC presenta asimismo un modelo basado en el riesgo compuesto por el compromiso de la dirección, la evaluación del riesgo, los controles internos, las pruebas y auditorías, y la formación.⁹ No sustituye a las normas específicas de cada programa estadounidense.

Empiece por el ámbito jurídico, no por una lista mundial

El ámbito de sanciones comprende los regímenes y las restricciones que pueden afectar a la organización, a las personas, a los bienes y a las actividades. Delimítelo antes de configurar el cotejo.

Identifique las entidades jurídicas, sucursales y personas implicadas; los lugares de constitución y operación; la ubicación de clientes y contrapartes; los productos, servicios, activos y tipos de operación; las divisas, infraestructuras de pago e intermediarios; las relaciones de titularidad, control y representación; y cualquier control contractual o interno que supere el mínimo legal.

Las sanciones financieras británicas se aplican a las personas y actividades situadas en territorio británico, así como a los nacionales británicos y a las entidades constituidas conforme al derecho del Reino Unido, con independencia de dónde operen.¹⁰ Esta es una regla sobre el ámbito británico, no un atajo para determinar los vínculos con el Reino Unido en cualquier caso transfronterizo. El análisis de las sanciones estadounidenses depende de cada programa; evite reducirlo a eslóganes sobre una divisa, la ubicación de un servidor o la nacionalidad del cliente. Las medidas de la UE se aplican de acuerdo con sus propias disposiciones sobre el ámbito y con los hechos de la actividad.

Elabore una matriz de regímenes y programas con apoyo jurídico cuando sea necesario. Separe las fuentes jurídicamente aplicables de las que se adopten por apetito de riesgo, compromisos con clientes o política interna. La evaluación de riesgos puede definir coberturas, procedimientos y pruebas adicionales, pero no modifica el efecto de una norma aplicable.

Matriz de autoridades, vínculos y fuentes

La información general de la Comisión enlaza los recursos sobre sanciones de la UE y las autoridades nacionales competentes.¹¹ Utilícela como vía de acceso a materiales oficiales, no como sustituto del acto jurídico. El Sanctions List Service de OFAC ofrece datos de las listas SDN y de las listas distintas de la SDN.² Consulte la UK Sanctions List junto con el reglamento aplicable y el material de OFSI.³

Asigne un responsable para supervisar cada fuente oficial e identificar las poblaciones afectadas. La ONU publica altas, modificaciones y bajas.¹² OFAC indica que su lista SDN no tiene un calendario de actualización predeterminado.¹³ Las autoridades no siguen una frecuencia universal.

Determine quién y qué debe incluirse en el control

La población sometida a control depende del ámbito jurídico y del modelo de negocio. Puede ir más allá del cliente nominal e incluir contrapartes, titulares o personas con control, beneficiarios, proveedores, intermediarios y activos relevantes. Identifique cuándo se conoce a cada sujeto, qué identificadores están disponibles, qué decisión todavía puede detenerse y qué entidad jurídica es responsable.

No todos los identificadores son adecuados para todas las relaciones. Determine qué datos son fiables en cada punto de decisión y cuándo la escasez de información impide adoptar una decisión defendible.

Seleccione los momentos de comprobación y revisión

No existe una norma mundial que obligue a comprobar a todos los clientes a diario, de forma continua o en cada operación.¹⁴¹⁵ Defina la frecuencia a partir del derecho aplicable y de un modelo de control documentado.

Entre los posibles supuestos de revisión se incluyen:

Un ejemplo específico del sector de pagos

Los controles de pagos ilustran por qué la frecuencia debe ajustarse a la norma concreta. El artículo 5d del Reglamento (UE) n.º 260/2012 exige que los PSP que ofrecen transferencias inmediatas de crédito comprueben a sus usuarios de servicios de pago inmediatamente después de que entren en vigor o se modifiquen las medidas restrictivas financieras dirigidas pertinentes y, como mínimo, una vez por día natural.¹⁵ Durante la ejecución, los PSP del ordenante y del beneficiario no realizan una comprobación adicional de esos usuarios conforme al artículo 5d; la disposición mantiene las demás obligaciones derivadas de medidas restrictivas y de la normativa de la Unión en materia de PBC/FT.¹⁵ Este modelo específico no debe generalizarse a todos los pagos, productos o jurisdicciones. El procedimiento detallado se encuentra en la guía especializada sobre control de sanciones para entidades de pago.

Analice la titularidad y el control más allá del nombre incluido en una lista

Un resultado sin coincidencias para la denominación de una empresa puede no cerrar la cuestión de sanciones. Según el régimen aplicable, una empresa no incluida en una lista puede verse afectada por la titularidad o el control de una persona designada o bloqueada. Los criterios jurídicos no constituyen una «regla del 50 %» universal y el umbral utilizado para determinar el titular real en materia de PBC no debe sustituir al criterio aplicable en sanciones.

Para sujetos empresariales, registre la fecha de la fuente, las participaciones directas e indirectas, los derechos de voto y nombramiento, los acuerdos relevantes, las entidades intermedias y cualquier incertidumbre. Un registro genérico de titularidad real constituye documentación, no una conclusión jurídica. El analista debe saber qué criterio jurisdiccional aplica y por qué.

En este punto, los controles de diligencia debida y sanciones deben intercambiar información sin convertirse en el mismo proceso. La documentación societaria recopilada para KYB puede revelar un titular o una persona con control que cambie el riesgo de sanciones. A su vez, una alerta de sanciones puede indicar que es necesario actualizar el registro de titularidad. Consulte la guía sobre titularidad real y UBO para conocer el contexto de los datos societarios.

Diseñe el cotejo para generar coincidencias potenciales explicables

El cotejo debe generar coincidencias potenciales que puedan investigarse con contexto suficiente. Una puntuación no es un resultado jurídico y ningún umbral universal del 90 %, 95 % o 99 % acredita el cumplimiento.

El diseño suele tener que abordar:

• normalización de mayúsculas y minúsculas, puntuación, espacios y diferencias habituales en las formas jurídicas;
• alias, nombres anteriores, cambios en el orden de los nombres y transliteración;
• alfabetos no latinos y estructuras de nombres específicas de cada idioma;
• fechas y lugares de nacimiento, nacionalidad y domicilio;
• pasaportes, identificadores fiscales, registrales, de buques, de aeronaves y otros identificadores estables;
• tipo de sujeto, porque una persona, entidad, buque y aeronave requieren campos de comparación diferentes;
• calidad de los datos, truncamiento, longitud de los campos y ausencia de identificadores; y
• tratamiento de alias débiles y términos genéricos amplios.

Las orientaciones de OFAC sobre posibles coincidencias indican que se compare la entrada completa de sanciones con los identificadores disponibles, incluidos el nombre, el domicilio, la nacionalidad, el pasaporte o identificador fiscal, el lugar y la fecha de nacimiento, los nombres anteriores y los alias, y que se obtenga información adicional cuando sea necesario.¹⁸ OFAC también reconoce los «weak AKAs» como alias amplios o genéricos que pueden generar un número considerable de falsos positivos.¹⁹ Son principios útiles de investigación, pero no prescriben un único algoritmo o umbral para todas las organizaciones.

Las conclusiones supervisoras de la FCA de 2026 detectaron deficiencias relacionadas con listas inexactas o desactualizadas, configuración, retrasos en las actualizaciones, datos de referencia, variantes de nombres, alfabetos no latinos, títulos, límites de caracteres, justificación de alertas, pruebas y dependencia excesiva de proveedores.⁴ Convierta estas observaciones en casos de prueba, no en formulaciones genéricas de políticas.

Cree un conjunto de pruebas representativo

Pruebe nombres exactos, alias, variantes ortográficas, transliteraciones, alfabetos no latinos, nombres comunes con identificadores contradictorios, fechas de nacimiento ausentes, nombres de entidades truncados, alias débiles, identificadores de activos y cadenas de titularidad. Para cada caso, registre la fuente o versión, los datos de entrada y su transformación, el comportamiento esperado y el real, el proceso posterior y el responsable de corregir las deficiencias. Pruebe el circuito completo, desde la actualización oficial hasta la incorporación de los datos, la selección de la población, la generación de coincidencias potenciales, el acceso del analista, la decisión y la documentación; no se limite al motor de cotejo.

Investigue la alerta antes de decidir la actuación jurídica

Una alerta indica que la lógica configurada ha detectado una similitud o una condición. No demuestra la identidad, no acredita la titularidad o el control, no identifica la prohibición aplicable ni decide si una actividad debe autorizarse, denegarse, congelarse, bloquearse o rechazarse.²⁰¹⁰

Utilice una investigación por fases para mantener separada la resolución de la identidad de la decisión jurídica.

Las orientaciones de OFAC para Estados Unidos distinguen entre las operaciones que afectan a intereses bloqueables y las operaciones prohibidas que deben rechazarse en lugar de bloquearse.²⁰ No traslade esta terminología como modelo universal: las medidas de la UE y del Reino Unido tienen sus propias estructuras de congelación, prohibición, licencias y comunicación. Conforme a las orientaciones británicas sobre congelación de activos, los fondos o recursos económicos sujetos de hecho a una congelación deben ser congelados inmediatamente por la persona que los posea o controle.¹⁰ Esta afirmación se aplica una vez establecidos los criterios jurídicos pertinentes; no convierte cualquier alerta difusa sin resolver en bienes cuya congelación esté confirmada.

Cuando las normas británicas de comunicación se apliquen a una entidad definida como «relevant firm», OFSI indica que debe informar a OFSI tan pronto como sea razonablemente posible cuando se cumplan las condiciones especificadas de conocimiento o sospecha razonable.¹⁰ OFSI también aclara que informar a otro supervisor o presentar un informe de operación sospechosa a la NCA no sustituye una obligación aplicable de informar a OFSI.¹⁰ Mantenga separados y actualizados los procedimientos de comunicación específicos de cada jurisdicción.

La conclusión operativa es sencilla: configure estados distintos para coincidencia potencial, investigación en curso, identidad resuelta, revisión de titularidad o control, escalado jurídico y decisión final. Un único estado de «positivo» oculta tanto la incertidumbre como la autoridad competente.

Conserve documentación que permita reproducir la decisión

Un expediente defendible debe permitir que otra persona reconstruya qué sabía la organización, qué fuente y norma tuvo en cuenta, cómo comparó el analista al sujeto, quién aprobó la decisión y qué ocurrió después.

Para una alerta relevante, conserve el sujeto y sus identificadores; el registro subyacente del cliente, la contraparte, la operación, la titularidad o el activo; la autoridad, el programa, la versión de la fuente y la hora de consulta; los campos que respaldan y contradicen la coincidencia; el contexto pertinente de titularidad, control y actividad; la justificación del analista; el escalado, la persona responsable de la revisión y las marcas temporales; la decisión final y cualquier referencia a asesoramiento, excepciones, licencias o comunicaciones; el resultado operativo; y cualquier control de calidad o revisión posterior.

Vincule la documentación con la configuración. Si una alerta se generó con una regla de cotejo, versión de fuente o umbral concretos, conserve ese contexto. Si se descartó mediante una regla reutilizable para falsos positivos, registre los identificadores diferenciadores y las condiciones bajo las que esa regla sigue siendo válida.

Los registros deficientes no solo dificultan una auditoría. También impiden identificar los casos afectados después de corregir una fuente, cambiar la titularidad o detectar un fallo del control. Las conclusiones de la FCA subrayan la importancia de documentar la justificación de las alertas, controlar la calidad, escalar y disponer de recursos suficientes.⁴

Gobierne, pruebe y supervise el control completo

La tecnología puede respaldar el control de sanciones, pero el gobierno determina si el sistema permanece alineado con el ámbito jurídico y la realidad operativa. El marco de cumplimiento de OFAC describe cinco componentes —compromiso de la dirección, evaluación del riesgo, controles internos, pruebas y auditorías, y formación— como parte de un programa de cumplimiento de sanciones basado en el riesgo.⁹ Las orientaciones de la FCA también destacan la responsabilidad de la alta dirección y la supervisión de los recursos de control proporcionados por funciones del grupo o terceros.²¹

Asigne responsabilidades claras sobre:

• la interpretación del ámbito jurídico y de los regímenes;
• la supervisión de fuentes oficiales y la incorporación de sus actualizaciones;
• la identificación de poblaciones y datos;
• la configuración del cotejo y la aprobación de cambios;
• las colas de alertas, su antigüedad y el escalado;
• la revisión de titularidad y control;
• los procedimientos de decisión, licencias y comunicación;
• el control de calidad y las pruebas independientes;
• los incidentes, interrupciones y actualizaciones omitidas; y
• la información de gestión y el mantenimiento de políticas.

La externalización no elimina la responsabilidad sobre el control

Un proveedor puede aportar datos, tecnología o apoyo a la revisión. La organización sigue necesitando comprender el ámbito delegado, las fuentes, los datos, la configuración, la responsabilidad sobre las alertas y la gestión de interrupciones.

Pruebe los resultados del proveedor con casos extraídos de sus propios productos y datos. Concilie las actualizaciones de fuentes, muestree coincidencias descartadas, examine las colas sin resolver, revise los fallos del servicio y mantenga una vía de salida o recuperación. El material supervisor de la FCA advierte contra la dependencia acrítica de recursos del grupo o de proveedores sin suficiente conocimiento interno, supervisión y pruebas.²¹⁴

El análisis de OFSI sobre la medida adoptada contra Bank of Scotland ofrece un recordatorio concreto: la autoridad describió un fallo del control automatizado relacionado con una variante ortográfica y destacó la importancia de los mecanismos de contingencia, el escalado, la formación y la comunicación rápida.²² La conclusión no es que la automatización resulte ineficaz, sino que un sistema de control necesita un cotejo sometido a pruebas, personas capaces de reconocer fallos y una respuesta con responsables definidos cuando la vía automatizada no funciona.

La información de gestión debe mostrar el estado del control

Informe del volumen y la antigüedad de las coincidencias potenciales por producto y fuente; los resultados; los casos pendientes de datos o revisión jurídica; las excepciones; la finalización de las actualizaciones de fuentes; los trabajos fallidos; las incidencias de control de calidad y pruebas; los casos escalados por titularidad o control; y las correcciones atrasadas. Interprete las cifras con muestras de expedientes: un menor número de alertas puede reflejar una calibración mejor o datos ausentes, mientras que una cola que avanza con rapidez puede ocultar justificaciones deficientes.

Por tanto, los equipos que evalúen software de control de sanciones deben valorar la trazabilidad de los datos, la transparencia de la configuración, la documentación explicable de las coincidencias potenciales, la responsabilidad sobre el proceso, la auditabilidad, la gestión de cambios en las fuentes y el apoyo a las pruebas. La selección del producto es una decisión dentro de un marco de control más amplio, no una conclusión de cumplimiento.

Lista de comprobación práctica para el control de sanciones

Utilice esta lista como apoyo para diseñar el control, no como sustituto del análisis jurídico.

Preguntas frecuentes

¿Qué es el control de sanciones?

El control de sanciones compara los datos relevantes de una parte o un objeto con información sobre sanciones para detectar posibles riesgos e investigarlos. Puede aplicarse a personas, entidades, buques, aeronaves y otros datos representados en fuentes oficiales. No constituye por sí mismo la prohibición jurídica ni identifica todas las restricciones sectoriales, geográficas, de servicios, titularidad o elusión.

¿Es obligatorio legalmente el control de sanciones para todas las empresas?

No existe una respuesta universal de sí o no. Las prohibiciones sustantivas de sanciones pueden aplicarse de forma amplia dentro de una jurisdicción, mientras que los requisitos explícitos sobre sistemas de control, comunicaciones y supervisión varían según la jurisdicción, el sector y la actividad. Por ejemplo, las sanciones financieras británicas se aplican a las personas situadas en territorio británico y a las personas británicas con independencia de dónde operen, mientras que ciertas obligaciones de comunicación a OFSI se aplican a entidades definidas como «relevant firms» en condiciones concretas.¹⁰ Delimite el ámbito jurídico de la organización en lugar de copiar la lista o la frecuencia de otra empresa.

¿Qué listas de sanciones debe consultar una empresa?

Empiece por los regímenes jurídicamente relevantes para las entidades, ubicaciones, productos y actividades de la organización. Después, documente las fuentes adicionales adoptadas por motivos de riesgo, política interna o compromisos contractuales. No presuponga que todas las empresas del mundo están obligadas legalmente a consultar las listas de la ONU, la UE, el Reino Unido y todas las de OFAC. La propia OFAC ofrece datos de la lista SDN y de varias listas distintas de la SDN, y las restricciones de un programa no siempre pueden reducirse a la inclusión en una lista.²

¿A quién debe incluirse en el control de sanciones?

La población relevante puede incluir clientes, entidades, usuarios autorizados, contrapartes, beneficiarios, proveedores, titulares o personas con control, intermediarios, buques o aeronaves, según el régimen aplicable y el modelo de negocio. Identifique cómo se incorpora cada parte a la relación y qué decisión respalda el control. Es una cuestión de ámbito y riesgo, no una orden universal de comprobar a todas las partes posibles de la misma forma.

¿Con qué frecuencia deben volver a comprobarse los clientes?

No existe una frecuencia mundial universal. Combine los requisitos jurídicos aplicables con supuestos como cambios en listas oficiales, correcciones de identificadores, cambios de titularidad y nuevas relaciones, además de una revisión periódica documentada que actúe como respaldo. El artículo 5d de la UE ofrece un contraejemplo deliberadamente específico: establece una comprobación inmediatamente después de determinados cambios y, como mínimo, diaria para los usuarios de servicios de pago de los PSP que ofrecen transferencias inmediatas de crédito incluidas en su ámbito.¹⁵ No generalice esa frecuencia fuera de su ámbito.

¿Debe aparecer una empresa en una lista de sanciones para quedar restringida?

No. Una entidad no incluida en una lista puede verse afectada a través de su titularidad o control, pero los criterios difieren. La regla automática de OFAC utiliza una participación directa o indirecta agregada del 50 % o más por personas bloqueadas.¹⁷ Las orientaciones del Reino Unido establecen criterios distintos de titularidad y control.¹⁰ En la UE, el análisis comienza por el reglamento aplicable y puede utilizar las buenas prácticas expresamente no vinculantes del Consejo como material interpretativo para su aplicación.¹⁶⁸

¿Cómo debe investigarse un posible falso positivo?

Compare la entrada oficial completa con los identificadores fiables disponibles del sujeto. Compruebe el tipo de sujeto, los alias, la fecha y el lugar de nacimiento, la nacionalidad, el domicilio, los identificadores documentales o fiscales, los datos de registro y otros elementos relevantes. Obtenga más información cuando los datos disponibles no permitan resolver la coincidencia potencial. OFAC publica este método de comparación y orientaciones separadas sobre alias débiles.¹⁸¹⁹ Documente por qué los identificadores contradictorios son suficientes, o no, para descartar el caso.

¿Una alerta obliga a congelar una operación?

No. Una alerta es una coincidencia potencial. Resuelva la identidad, la titularidad o el control, el vínculo jurídico, el programa y la restricción antes de aplicar la actuación autorizada. En el marco estadounidense, OFAC distingue entre bloqueo y rechazo según el programa y según exista un interés bloqueable.²⁰ Las obligaciones británicas de congelación se aplican cuando se cumplen los criterios pertinentes.¹⁰ Otras jurisdicciones utilizan sus propias estructuras jurídicas, excepciones, licencias y vías de comunicación.

¿Qué documentación debe conservarse para una decisión de control?

Conserve lo necesario para reproducir la decisión: datos comprobados, identificadores del sujeto y de la relación, autoridad y versión de la fuente, campos coincidentes, datos contradictorios, documentación sobre titularidad o control, contexto de la actividad, justificación del analista, escalado, persona que aprueba, marcas temporales, decisión final y cualquier control de calidad o revisión posterior. El registro exacto depende del caso y del marco de conservación, pero un simple estado de «descartado» o «positivo» no constituye un historial de investigación adecuado.

¿Puede externalizarse el control de sanciones?

Los datos, la tecnología y las tareas de revisión pueden contar con apoyo externo, pero la organización debe seguir gobernando su control. Documente el ámbito del proveedor, las fuentes, el flujo de datos, la configuración, la gestión de actualizaciones, los fallos del servicio, la responsabilidad sobre las alertas, las pruebas y la recuperación. El material de la FCA advierte expresamente contra una dependencia excesiva de proveedores o recursos del grupo sin suficiente conocimiento y supervisión internos.²¹⁴

Conclusión

Un proceso sólido comienza por el ámbito jurídico y termina con documentación que un equipo responsable pueda explicar. Identifique los regímenes, las partes y los datos; vuelva a evaluar cuando cambie el riesgo; separe el análisis de identidad, titularidad y derecho; aplique el proceso de decisión específico de cada jurisdicción; y pruebe toda la cadena. Consulte el centro de guías sobre control de sanciones para acceder a otros recursos sobre autoridades, procesos y sectores.

Referencias