Cómo documentar la debida diligencia para que resista una auditoría
En una visita de supervisión no se pregunta si usted verifica. Se pide un expediente al azar y se mira qué hay dentro.
Borrador pendiente de revisión editorial
Este artículo se redactó como parte de la construcción de la plataforma y aún no ha sido revisado por el equipo editorial. No se indexa ni aparece en el boletín hasta su aprobación.
Documentar la debida diligencia significa dejar registro de quién ejecutó cada verificación, cuándo, con qué criterio de búsqueda, qué resultado obtuvo, cómo evaluó los hallazgos y quién aprobó la vinculación. Una verificación realizada pero no registrada es, frente a un supervisor, equivalente a una verificación que nunca ocurrió.
La conversación se repite con una regularidad notable. La empresa asegura que verifica a todas sus contrapartes. El supervisor pide el expediente de una tomada al azar. Y aparece una carpeta con el certificado de existencia, la cédula del representante legal y nada más.
La verificación probablemente se hizo. Alguien consultó, alguien miró, alguien decidió. Pero no quedó nada, y lo que no queda no existe.
¿Qué se revisa realmente?
Una revisión de debida diligencia no evalúa intenciones ni manuales. Evalúa si es posible reconstruir, para una contraparte concreta, la secuencia completa de decisiones que llevó a vincularla.
- Quién ejecutó la verificación
- En qué fecha
- Con qué criterio de búsqueda (nombre, identificación, razón social)
- Qué fuentes se consultaron
- Qué arrojó la consulta, incluido el caso en que no arrojó nada
- Cómo se evaluó cada hallazgo, o con qué criterio se descartó
- Quién aprobó la vinculación y en qué instancia
- Cuándo corresponde la siguiente revisión
Los cuatro errores que aparecen siempre
| Error | Por qué falla |
|---|---|
| Guardar sólo las coincidencias encontradas | Sin las consultas limpias no se puede demostrar que el control es sistemático |
| Captura de pantalla sin fecha ni usuario | No prueba cuándo se hizo ni quién la hizo; es un documento sin trazabilidad |
| Descartar homónimos sin registrar el criterio | Convierte una decisión fundada en una decisión aparentemente arbitraria |
| Validar al vincular y nunca más | La verificación caduca; sin reevaluación ni monitoreo, el expediente envejece |
Un expediente mínimo defendible
No hace falta un sistema documental complejo. Hace falta que, para cualquier contraparte, exista un registro que responda estas preguntas sin depender de la memoria de nadie:
- Identificación de la contraparte y su tipo (cliente, proveedor, empleado, asociado).
- Segmento de riesgo asignado y nivel de diligencia aplicado en consecuencia.
- Registro de la consulta: fecha, usuario, criterio y fuentes.
- Resultado completo, incluidas las consultas sin coincidencias.
- Análisis de cada hallazgo y criterio de descarte cuando aplique.
- Decisión de vinculación, instancia que aprobó y fecha.
- Fecha de próxima reevaluación según el segmento.
- Registro de las alertas de monitoreo recibidas y de qué se hizo con cada una.
¿Por qué conviene que lo genere el sistema?
Cuando la documentación depende de que una persona se acuerde de guardar la evidencia, la calidad del expediente termina siendo función de la carga de trabajo de esa semana. En los meses tranquilos el archivo es impecable; en los meses de cierre, no.
Un sistema que registra automáticamente cada consulta con su usuario, su fecha, su criterio y su resultado elimina esa variable. La evidencia deja de ser una tarea adicional y pasa a ser un subproducto de haber hecho el trabajo.
La diferencia entre un programa que cumple y uno que sólo lo parece rara vez está en los controles que se diseñaron. Está en si dejaron rastro.
La evidencia como subproducto, no como tarea
Cada consulta en Compliance queda registrada con usuario, fecha, criterio y resultado, sin que nadie tenga que acordarse de documentarla.
Normativa relacionada
Fuentes
- Superintendencia de Sociedades — Circular Básica Jurídica — Capítulo X
- GAFI / FATF — Recomendaciones sobre debida diligencia del cliente
¿Es Oficial de Cumplimiento o profesional en gestión de riesgos?
Únase a nuestro grupo y conéctese con colegas de todos los sectores para compartir normativa, alertas de última hora y buenas prácticas en SARLAFT, SAGRILAFT/FPADM, C/ST y PTEE.
Grupo de WhatsApp. El ingreso está sujeto a validación de perfil.
Reciba el próximo análisis
InfoCompliance publica cada semana lo que cambia en regulación, tipologías y supervisión. Elija por dónde prefiere recibirlo.