Preguntas de entrevista Oficial de cumplimiento

Utilizo un marco basado en riesgos para priorizar. Cada obligación se evalúa en dos dimensiones: la probabilidad de que se produzca un incumplimiento y la gravedad de las consecuencias si ocurre. La gravedad abarca tanto las sanciones regulatorias como el perjuicio para los clientes o la reputación de la empresa. Los elementos de mayor prioridad son aquellos en los que ambas dimensiones son elevadas: típicamente las obligaciones de conducta fundamentales, los requisitos de prevención del blanqueo de capitales y las normas de protección de datos del RGPD. Los mapeo en una matriz de riesgos y la reviso trimestralmente, o de inmediato cuando un regulador publica nuevas orientaciones o una acción sancionadora en nuestro sector. Los organismos reguladores también señalan sus prioridades en sus programas de supervisión, y esas prioridades deben orientar las mías. Las obligaciones de menor riesgo reciben un nivel de supervisión proporcionado.

El punto de partida es entender por qué la gente lo percibe así. En la mayoría de los casos, el cumplimiento se ha comunicado como una serie de prohibiciones sin explicar la justificación subyacente. Cambio eso conectando las obligaciones de cumplimiento con resultados que importan a la gente: proteger a los clientes, proteger la licencia de operación de la empresa y proteger a las personas de la responsabilidad personal. Intento involucrarme con los equipos de negocio al inicio del diseño de nuevos productos o procesos en lugar de revisar a posteriori, porque llegar al final para decir que no genera fricción y resentimiento. También me aseguro de que la formación sea específica para el rol, no una presentación genérica anual. El mayor cambio se produce cuando un caso real de sanción o un casi-incidente se usa como momento de aprendizaje a nivel directivo: cuando el liderazgo lo toma en serio, la cultura sigue.

Comienzo definiendo claramente el alcance: qué obligaciones normativas, qué área de negocio y qué período. Luego diseño una metodología de prueba proporcional al riesgo, que puede ir desde una revisión completa de expedientes hasta una muestra selectiva basada en el tamaño de las transacciones o el tipo de contraparte. Para cada obligación defino la evidencia específica que busco y cómo es un resultado satisfactorio o no antes de empezar las pruebas, para mantener la evaluación objetiva. Durante la revisión mantengo un registro detallado de cada expediente examinado y cada hallazgo, con la referencia normativa o de política específica. Al final produzco un informe que categoriza los hallazgos por gravedad, da la causa raíz de cada problema (no solo el síntoma) y hace recomendaciones específicas y accionables. Presento los hallazgos directamente al área de negocio antes de escalar a la dirección.

Mantengo un proceso de vigilancia normativa que cubre las publicaciones clave: consultas del regulador, declaraciones de política, orientaciones sobre protección de datos y actualizaciones sectoriales. Uso un registro de cambios normativos que captura cada requisito nuevo o modificado, la fecha de entrada en vigor, el área de negocio afectada y el responsable de la implementación. Reviso el registro mensualmente con las áreas de negocio afectadas. También me resulta valioso participar en mesas redondas con el regulador y relacionarme con colegas de otras empresas: los reguladores a menudo señalan sus prioridades informalmente antes de que se publiquen orientaciones formales, y escuchar cómo otros equipos de cumplimiento interpretan las mismas normas es una calibración útil. Cuando se avecina un cambio significativo, construyo el calendario de implementación hacia atrás desde la fecha de entrada en vigor.

Durante una revisión rutinaria de nuestra documentación de alta de clientes, noté que nuestras condiciones generales no se habían actualizado para reflejar un cambio en las orientaciones de implementación publicadas seis meses antes. El vacío estaba en la sección que cubría la divulgación de la evaluación de valor justo: nuestra redacción cumplía el estándar anterior pero no satisfacía el nuevo requisito de explicar claramente cómo habíamos evaluado que el producto representaba un valor justo. Escalé esto al Responsable de Cumplimiento y al Director Jurídico el mismo día, y convocamos un grupo de trabajo urgente con el equipo de producto y asesores jurídicos. Revisamos la documentación en tres semanas y realizamos una revisión retrospectiva para verificar si los clientes existentes debían recibir comunicaciones actualizadas. No se produjo ninguna acción sancionadora, pero la rapidez de respuesta nos permitió demostrar al regulador en nuestra siguiente reunión de supervisión que disponíamos de un programa de seguimiento operativo.

Un gestor de relaciones senior quería dar de alta a un cliente potencial con documentación incompleta, argumentando que el cliente era reputado y la oportunidad de negocio era significativa. Mi revisión del expediente mostró dos lagunas: ninguna documentación sobre el origen de los fondos y un resultado de cribado de PEP (Persona Políticamente Expuesta) sin resolver. Rechacé aprobar el alta y expliqué por escrito exactamente qué requisitos no se cumplían y qué evidencias eran necesarias. El gestor escaló a su director, quien volvió a mí informalmente para discutir una solución alternativa. Mantuve mi posición y ofrecí en cambio organizar una revisión acelerada si el cliente podía aportar la documentación faltante en un plazo definido. La documentación llegó en cinco días y el alta fue aprobada. Después señalé a la dirección que la presión para saltarse los requisitos de PBC era en sí misma un indicador de riesgo.

Rediseñé nuestro programa de formación en PBC después de que las tasas de finalización anuales eran altas pero una revisión de supervisión mostraba errores persistentes en el tratamiento de alertas de supervisión de transacciones. El problema era que la formación existente usaba escenarios abstractos sin relación con los tipos de transacciones reales procesados por nuestro equipo. Reconstruí la formación en torno a seis casos reales (anonimizados) de nuestro propio sistema de supervisión, ilustrando cada uno una tipología específica: fraccionamiento, estratificación a través de financiación comercial y flujos relacionados con PEP. Impartí la nueva formación en grupos pequeños en lugar de e-learning, lo que me permitió responder preguntas y corregir malentendidos en tiempo real. Tres meses después, la tasa de decisiones insuficientemente documentadas cayó del 34% al 9%. Presenté esos datos de resultados al comité de riesgos del consejo como evidencia de que la inversión en formación tiene que ser dirigida y específica para cambiar el comportamiento.

Un programa eficaz de PBC tiene seis componentes fundamentales. Primero, una evaluación de riesgos actualizada y precisa, específica para la base de clientes, los productos, las geografías y los canales de distribución de la empresa. Segundo, diligencia debida del cliente basada en riesgos, con diligencia reforzada para clientes de mayor riesgo. Tercero, supervisión continua de las transacciones y el comportamiento de los clientes, no solo controles en el alta. Cuarto, un proceso claro de declaración de operaciones sospechosas con personal formado que sabe qué buscar y cómo declararlo sin alertar al cliente. Quinto, formación regular adaptada a los riesgos específicos de blanqueo de capitales que enfrenta cada rol. Sexto, pruebas de cumplimiento independientes para verificar que el programa funciona como se prevé. El MLRO es personalmente responsable del programa y debe ser una figura genuinamente senior con acceso directo al consejo.

Cuando una solicitud de acceso implica información sobre terceros, la tensión fundamental es entre el derecho de acceso de la persona interesada y los derechos de privacidad del tercero. Mi enfoque comienza con una revisión cuidadosa de los datos en poder de la empresa: identifico cada documento o registro que hace referencia al solicitante, luego evalúo cada referencia a terceros individualmente. Donde los datos del tercero pueden suprimirse sin afectar a la esencia de la información proporcionada al solicitante, los suprimo. Donde los datos del tercero están indisociablemente vinculados a la información propia del solicitante, aplico un test de proporcionalidad. Documento cada decisión de supresión con una justificación específica. También verifico si los datos están dentro de alguna exención, como el secreto profesional. La respuesta se emite dentro del plazo legal de un mes.

Evaluar la eficacia de los conflictos de interés requiere pruebas en tres niveles. Primero, verifico que el registro de conflictos es completo y actualizado: ¿todos los conflictos materiales están realmente documentados, o el registro es una formalidad de cumplimiento sin conexión operativa con el negocio? Comparo el registro con una revisión de las actividades, las relaciones con clientes y las estructuras de incentivos de la empresa para identificar posibles conflictos no registrados. Segundo, pruebo los controles: para cada conflicto documentado, verifico que la mitigación descrita se está aplicando efectivamente. Tercero, examino la divulgación: donde los conflictos no pueden gestionarse, ¿se están divulgando a los clientes de manera genuinamente informativa o están enterrados en las condiciones generales? Presento los hallazgos como un análisis de brechas frente a los requisitos normativos aplicables.