AML

En síntesis

AML son las siglas de anti-money laundering, la prevención del lavado de activos. Designa el conjunto de obligaciones, políticas y controles que una organización tiene que sostener para evitar que su operatoria se use para dar apariencia lícita a fondos de origen ilícito.

En la región casi nunca se lo llama AML. Se lo llama prevención de lavado de activos y financiación del terrorismo en Argentina y Colombia, prevención de lavado de dinero en México y PLD/FT en Brasil. Son la misma cosa.

Y es un programa, no un control. Verificar bien a cada cliente en el alta es una de sus piezas, no su cumplimiento.

Qué componentes tiene un programa de AML

Las normas de la región difieren en el detalle y coinciden en la arquitectura. Un programa completo tiene seis piezas y ninguna sustituye a otra.

• Evaluación de riesgo — determinar a qué riesgo de lavado queda expuesta la organización por sus clientes, sus productos, sus canales y las jurisdicciones donde opera. Es el punto de partida, porque define la intensidad de todo lo demás.
• Políticas y gobierno — manuales aprobados por el órgano de administración, un responsable de cumplimiento designado y responsabilidades escritas.
• Conocimiento del cliente — la identificación y el perfilamiento, que es donde vive el KYC y la debida diligencia graduada por riesgo.
• Monitoreo de operaciones — el seguimiento continuo de la operatoria contra el perfil declarado, para detectar desvíos.
• Reporte a la autoridad — las operaciones sospechosas y, según el régimen, las que superan umbrales objetivos.
• Conservación de evidencia, capacitación y auditoría — el rastro documental, la formación del personal y la revisión independiente de que el sistema funciona.

Las seis se evalúan juntas. Un programa con excelente identificación de clientes y sin monitoreo posterior no es un programa fuerte con una debilidad: es un programa incompleto, y así se lo mira en una inspección.

De dónde salen las reglas y quién las hace cumplir

El contenido del programa no lo inventa cada país por su cuenta. Viene del estándar internacional que emite el GAFI, que cada Estado traduce a su propia norma y encarga a un supervisor.

Eso produce un patrón que se repite en toda la región: obligaciones muy parecidas, con nombres distintos, supervisores distintos y umbrales distintos.

• [Colombia](/regulacion/colombia) — el SARLAFT para las entidades vigiladas por la Superintendencia Financiera, y el SAGRILAFT para las empresas del sector real bajo la Superintendencia de Sociedades.
• [México](/regulacion/mexico) — la ley antilavado, con el Servicio de Administración Tributaria recibiendo los avisos de quienes realizan actividades vulnerables y la Comisión Nacional Bancaria y de Valores supervisando al sistema financiero.
• [Brasil](/pt/regulacao/brasil) — los deberes de prevención sobre las instituciones reguladas, con el órgano de inteligencia financiera como receptor de los reportes.

Quién queda alcanzado por cada régimen se explica en sujeto obligado, que es donde el mismo concepto aparece con cuatro nombres.

El KYC es una parte del AML, no su equivalente

Los dos términos se usan como sinónimos en conversaciones de proyecto y no lo son. La diferencia tiene consecuencias operativas concretas.

El KYC responde a una pregunta puntual: quién es esta persona y cómo lo compruebo. Ocurre principalmente en el alta y se actualiza cuando algo cambia.

El AML responde a una pregunta continua: qué está haciendo esta persona con su cuenta y si eso es consistente con lo que dijo ser.

El error frecuente es dar por cubierto el segundo con el primero. Una organización puede verificar impecablemente a todos sus clientes en el alta y no detectar nada de lo que pasa con sus operaciones seis meses después. La identificación es la condición de posibilidad del monitoreo, no su reemplazo: sin saber quién es el cliente no hay perfil contra el cual comparar, pero tener el perfil no equivale a mirarlo.

AML y protección contra el fraude persiguen objetivos distintos

Se apoyan en datos parecidos y se confunden seguido, sobre todo porque en muchas organizaciones los dos equipos miran pantallas separadas sobre las mismas personas.

• La protección contra el fraude — busca impedir que alguien tome dinero que no le corresponde, típicamente de la organización o de sus clientes. La víctima está adentro. El objetivo es evitar una pérdida.
• El AML — busca impedir que el sistema financiero se use para blanquear fondos de origen ilícito. La víctima no está adentro. El objetivo es un deber legal frente al Estado, y el dinero involucrado suele ser del propio cliente.

De ahí sale la diferencia más contraintuitiva: en un caso de lavado el cliente no está siendo engañado, está cooperando. Un modelo entrenado para detectar a alguien que sufre un fraude no detecta a alguien que ejecuta el suyo con normalidad aparente.

Las señales, en cambio, se cruzan. Un dispositivo que aparece en muchas cuentas, un patrón de altas correlacionadas o una identidad construida a medida importan en los dos frentes. Por eso conviene que los dos equipos vean la misma identidad, aunque persigan cosas distintas.