Lo que la orden de FinCEN contra Bank of America enseña a los responsables de cumplimiento

FinCEN constató tres infracciones dolosas.

1. Sin un programa AML adecuado (31 U.S.C. § 5318(h)(1), 31 C.F.R. § 1020.210). La orden se centra en dos pilares: los controles internos, es decir, el sistema de monitoreo de transacciones, y la debida diligencia del cliente (CDD). Las pruebas independientes entran como la función que debería haber detectado los dos fallos.

2. Sin la debida diligencia exigible en las cuentas corresponsales de instituciones financieras extranjeras (31 U.S.C. § 5318(i), 31 C.F.R. § 1010.610). Aquí las cuentas eran de las propias sucursales y filiales del banco en el extranjero.

3. Operaciones sospechosas no reportadas de forma precisa y a tiempo (31 U.S.C. § 5318(g), 31 C.F.R. § 1020.320). El reporte de operación sospechosa (SAR) debe presentarse dentro de los 30 días siguientes a la detección inicial de los hechos. Una parte considerable de los SAR de Bank of America llegó más de seis meses después de la actividad.

Sobre lo de "doloso": la orden dice sin rodeos que no exige mala intención. Si tus propias pruebas te dicen que algo no funciona y lo dejas estar, ya estás en ese terreno.

FinCEN repasó sus diez factores de aplicación. A algunos les dio un peso especial, y son los que vale la pena estudiar:

• Daño a la misión. Más de un tercio de las investigaciones arrancó por requerimientos de las autoridades u otras fuentes externas, no por el propio sistema del banco. Según FinCEN, eso iba contra la finalidad misma de la BSA.
• Beneficio económico. Cuando por fin corrigió el umbral, el banco calculó que el volumen de casos se duplicaría y que necesitaría unas 750 personas más, además de 800 consultores para una revisión retrospectiva puntual. FinCEN concluyó que el banco se había ahorrado cientos de millones en costos de cumplimiento. Además, conservó clientes muy rentables de los que cumplimiento quería desprenderse.
• Carácter sistémico. Un único sistema para todo el banco. La debilidad atravesaba todas las líneas de negocio.
• Conocimiento de la dirección. En 2023, el responsable de BSA y el director de la línea de negocio afectada ya estaban informados. Los riesgos siguieron ahí.
• Remediación y cooperación. Las correcciones de verdad empezaron cuando intervinieron los reguladores y FinCEN. La entrega de documentos se retrasó, y el banco no revisó por iniciativa propia la actividad histórica.
• Sin revelación voluntaria.

La frase que yo pondría en una diapositiva: la dirección "se centró en el impacto sobre los recursos del banco en lugar de en una remediación suficiente para resolver los problemas".

Qué pasó. Event Processor puntuaba cada alerta, agrupaba las alertas por cliente y solo abría un caso cuando el grupo llegaba a 20 puntos en 13 meses. Las alertas más antiguas "se retiraban" y dejaban de contar. Las dos cifras se fijaron "inicialmente según el criterio de las partes interesadas" y no se tocaron hasta diciembre de 2023.

Las pruebas del propio banco señalaban el problema una y otra vez. En 2022 y principios de 2023, los grupos de 16 a 19 puntos, justo por debajo de la línea, acababan en SAR entre el 38 y el 45 por ciento de las veces. Los de 20 a 24, que sí se investigaban, en torno al 33 por ciento. Es decir, el montón sin investigar rendía más que el investigado. Una validación de 2022 decía que el umbral "necesita justificarse". Otra prueba mostró que una configuración distinta del modelo encontraría muchos más SAR (85,4 por ciento frente a 20,2 por ciento en muestras por debajo de la línea). El banco la rechazó alegando la "preocupación práctica de llevar a casos demasiados grupos de eventos por debajo de la línea".

Tras la intervención de los reguladores, el umbral bajó a 10 o 12. La revisión retrospectiva encontró casi 8.900 SAR que no se habían presentado, por unos USD 4.000 millones.

Lo que debió hacer el banco: un umbral respaldado por evidencia, con una tolerancia de falsos negativos por escrito. El banco solo introdujo una (del 5 por ciento) al final, y para entonces la tasa por debajo de la línea era entre siete y nueve veces mayor. Si las pruebas dicen que se te escapan SAR, pon controles provisionales mientras se arregla el modelo.

Varios factores de riesgo tenían tasas de SAR por encima del 50 por ciento y una ponderación de 1 punto: depósitos grandes de efectivo en cajeros, fraccionamiento de efectivo, la marca HIDTA (zona de alta intensidad de narcotráfico). Los informes de 2019, 2020 y 2022 lo vieron. De 2018 a 2023, el 76 por ciento de las ponderaciones no cambió nunca, y cerca del 80 por ciento de los cambios que sí hubo fueron a la baja.

La recalibración de 2021 lo empeoró. Su objetivo declarado era "que el conjunto de ponderaciones tenga una mejor tasa de SAR", lo que en la práctica quería decir menos casos: más de 8.200 menos. De siete factores de fraccionamiento de efectivo con tasas del 50 por ciento o más, a cinco se les recortó la ponderación.

El banco persiguió una métrica más bonita en lugar de una cobertura mejor. Una tasa alta con una ponderación baja es la señal para subir la ponderación. En cambio, ante un hallazgo de validación de 2022, el equipo del modelo respondió que los factores secundarios eran "redundantes" y que había que reducirlos para "mejorar la tasa global de SAR". A un factor con una tasa del 44 por ciento lo calificaron de "pobre" sin más explicación. Eso es entre seis y ocho veces la tolerancia de SAR omitidos que el banco adoptó después.

FinCEN añade una nota a pie de página que vale la pena retener: la tasa de SAR es una métrica útil, pero no la única, y hay que leerla a la luz de tu propio perfil de riesgo.

Qué pasó. El sistema podía repuntuar a cero factores de riesgo o suprimir alertas para entidades seleccionadas. Cuando se desactivó esa lógica en diciembre de 2023, unos 150.000 grupos de eventos activos se habían visto afectados. Una de las listas, que supuestamente había aprobado cumplimiento, abarcaba empresas cotizadas en determinadas bolsas, pero en los registros del banco no consta ninguna lista aprobada.

El ejemplo más llamativo tiene que ver con la lista de exenciones de CTR (el reporte de transacciones en efectivo). A los clientes incluidos en ella se les ponían a cero las alertas de fraccionamiento de efectivo. Pero una exención de CTR solo elimina la obligación de presentar reportes de transacciones en efectivo. La norma dice expresamente que no reduce la obligación de presentar SAR. El cliente B tenía más de 20 grupos de eventos con depósitos fraccionados de efectivo repuntuados así. Solo tres llegaron a ser casos.

Lo que debió hacer el banco: tratar cada regla de supresión como un control en sí mismo. Justificación documentada, responsable con nombre, lista aprobada con control de versiones y pruebas periódicas de lo que esconde. Y una separación tajante entre "exento de reportar X" y "exento de monitoreo".

Algunos eventos creaban un caso automáticamente: órdenes de incautación, citaciones de un gran jurado, comunicaciones internas de empleados, solicitudes 314(a) y 314(b). Durante varios años, esta vía generó más de un tercio de todos los casos, y casi la mitad en 2023. En el caso del cliente B, el 80 por ciento de los casos AML entre 2018 y 2023 contenía al menos una comunicación o un evento externo. No fue la acumulación de puntos en el modelo lo que hizo que se investigara a ese cliente.

FinCEN no dice que la información externa sea mala. La cooperación con las autoridades y el intercambio de información al amparo de la 314(b) siguen siendo importantes. El problema es la dependencia. Si tu mejor detector es una citación judicial, tus escenarios no están haciendo su trabajo.

Lo que debió hacer el banco: una métrica con seguimiento de la proporción de casos que nacen de tu propia detección, y tratar el aumento de la proporción externa como un hallazgo sobre el rendimiento del modelo.

Las pruebas se preguntaban sobre todo si la tasa de SAR difería de forma estadísticamente significativa a uno y otro lado del umbral. No se preguntaban qué se estaba escapando ni si eso iba a más. Cuando un informe concluyó que las ponderaciones eran demasiado bajas para las alertas con tasa alta, la recomendación fue bajar la ponderación de la única alerta con tasa baja. Y en 2023, cuando una prueba mostró una tasa del 18 por ciento por debajo de la línea, el entonces director global de Delitos Financieros (Global Head of Financial Crimes) pidió a un directivo que la repitiera. La repetición calificó de "incorrecto" el resultado anterior, lo achacó a la inexperiencia de los investigadores y a un muestreo sesgado, y concluyó que el equipo estaba "seguro de que EP funciona según lo previsto". FinCEN cita este episodio entre sus factores de aplicación.

Para mí es la parte más incómoda de la orden, precisamente porque es humana y cotidiana. Nadie falsificó nada. Un resultado molestaba, y alguien pidió que se volviera a hacer.

Lo que debió hacer el banco: referencias objetivas acordadas antes de la prueba, evaluadores independientes de los propietarios del modelo y un registro de remediación que siga cada hallazgo hasta su cierre. Una prueba que se repite hasta que sale bien no es una prueba independiente.

Event Processor cubría algunas compras de instrumentos negociables, pero no los depósitos, y no distinguía un giro postal de un cheque. Las tarjetas de crédito también estaban mal cubiertas: el modelo de fraccionamiento de efectivo no incluyó la actividad con tarjeta hasta un rediseño de octubre de 2024. Una "TBML Feature" (para el lavado basado en el comercio) creada en enero de 2024 solo se aplicaba a casos que ya estaban en investigación. En 2025, el banco seguía sin haber evaluado la cobertura de los instrumentos negociables.

Ejemplos más pequeños muestran hasta qué punto la laguna era general. Un comerciante de metales preciosos recibió más de 3.500 depósitos de instrumentos por montos redondos, por casi USD 3 millones. Alguien que se presentaba como asesor de inversiones depositó durante tres años giros postales con números de serie consecutivos y montos redondos. Ninguno de los dos generó una alerta.

Lo que debió hacer el banco: una matriz de cobertura, productos y canales frente a tipologías, con las casillas vacías anotadas en un registro de riesgos con fecha. Un nuevo aviso de FinCEN también es motivo para comprobar si tus escenarios lo cubren.

El cliente A gestiona un mercado en línea de vehículos siniestrados. Es cliente desde 1995, deja al banco unos USD 6 millones de ingresos al año y tiene además una relación crediticia (el banco lideró una refinanciación de USD 200 millones). A mediados de 2022, cumplimiento contaba más de 100 casos AML desde 2020, alrededor del 90 por ciento por fraude: fraude BEC (suplantación de correo corporativo), estafas románticas, fraude por pago anticipado. El problema de fondo, en palabras de cumplimiento, era que el cliente "no tiene visibilidad ni comprensión del origen de los fondos". Los pagos de terceros estaban en el centro de todo.

Cumplimiento recomendó el cierre a mediados de 2022 y ya anticipaba "cierta resistencia al cierre" dada la "exposición crediticia significativa". El gestor de la relación respondió con un memorando sobre un "cliente grande y valorado". Más de seis meses después, en marzo de 2023, se retiró la recomendación de cierre a cambio de cuatro medidas de mitigación, sobre todo que el cliente A solo aceptara pagos de concesionarios registrados. No lo hizo. Los pagos de terceros siguieron hasta junio de 2025, y algunos giros postales hasta julio de 2025, aproximadamente. En todo ese tiempo no se ajustaron ni el perfil de riesgo del cliente ni el monitoreo.

Lo que debió hacer el banco: FinCEN deja claro que cerrar no es la única respuesta aceptable. Pero si te quedas con un cliente de alto riesgo, el riesgo hay que mitigarlo y verificarlo. Eso significa una calificación de riesgo actualizada, un monitoreo dirigido al riesgo concreto (aquí, los pagos de terceros), un plazo y una consecuencia real si no se cumple. Aquí la mitigación se acordó y nunca se comprobó. La escalada también necesita una vía que no pase por el área que se queda con los ingresos.

El cliente B es una plataforma cotizada de vehículos siniestrados. Años de alertas, investigaciones y consultas de las autoridades, y la calificación se mantuvo en "Estándar" hasta una citación de un gran jurado en febrero de 2020. Entonces pasó a "Elevado" y a "Alto", sin ningún cambio real en la debida diligencia. En julio de 2022 ya estaba otra vez en "Estándar", y volvió a subir tras otra citación en marzo de 2023. En noviembre de 2023, la empresa hizo pública una investigación del Departamento de Justicia (DOJ) sobre sus prácticas de prevención del lavado de dinero. El banco no cambió nada.

Las revisiones trimestrales de este cliente "de alto riesgo" no mencionaban que las transferencias de su filial en los Emiratos Árabes Unidos habían crecido más de un 200 por ciento, hasta unos USD 1.100 millones en un solo trimestre, ni que se estaban depositando decenas de miles de millones en giros postales. Se suponía que el modelo detectaba noticias negativas. Se le escapó lo que el propio cliente había informado al regulador bursátil.

Lo que debió hacer el banco: una calificación construida con tus propios datos (alertas, SAR, geografía, productos, noticias adversas), en la que los eventos externos suman, pero no mandan. Y "Alto" tiene que cambiar algo: la profundidad de la debida diligencia, el monitoreo, la frecuencia de revisión. Aquí era una etiqueta.

El cliente C, un exportador de vehículos, se dio de alta con unas ventas anuales previstas de USD 1 a 4 millones. En unos tres años movió más de USD 700 millones en transferencias vinculadas a jurisdicciones de alto riesgo, sobre todo Georgia. Su expediente ni siquiera recogía sus relaciones en varios países de alto riesgo. Las transferencias con Bielorrusia y Georgia se dispararon justo después de la invasión rusa de Ucrania. Otro banco envió una solicitud de información en julio de 2022. El primer SAR llegó en agosto de 2023 y cubría alrededor del 10 por ciento de la actividad. Casi todo lo demás se reportó en junio de 2025, después de que FinCEN pidiera información.

El banco terminó la relación con el cliente C en diciembre de 2023. No volvió a mirar a los clientes A y B, que habían hecho públicos sus vínculos comerciales con él.

Lo que debió hacer el banco: un control de desviaciones que salte cuando la actividad real supera en órdenes de magnitud a la prevista, seguido de una actualización del perfil y de una decisión sobre el SAR dentro de los 30 días, no dos años después. Y cuando sacas a un cliente por actividad sospechosa, mira quién más está conectado con él.

Entre octubre de 2020 y mayo de 2025, los clientes A y B recibieron más de 680.000 operaciones individuales, que formaban unos 220.000 grupos de depósitos sospechosos por más de USD 660 millones. Las señales de alerta: montos redondos, números de serie consecutivos y grupos repetidos de tres giros postales que sumaban entre USD 2.900 y 3.000. Esto último es de manual: compradores que se quedan por debajo de los USD 3.000 a partir de los cuales las empresas de servicios monetarios tienen que registrar la identificación. Más o menos uno de cada tres grupos se compró cerca de la frontera suroeste.

El aviso llegó pronto. En septiembre de 2021, una empresa de servicios monetarios envió al banco una solicitud de información justo sobre este patrón. El banco contestó que no veía una velocidad inusual ni indicios de actividad ilícita, y no tocó ni el perfil ni el monitoreo. Unos 51.000 grupos del cliente B y 72.000 del cliente A se procesaron después de las señales de advertencia sin que se reportaran a tiempo.

Lo que debió hacer el banco: si una solicitud externa describe un patrón concreto, lo que toca es probar ese patrón en tus propios datos, no defenderte. Los instrumentos negociables tienen que formar parte de las revisiones periódicas de los clientes que los usan mucho. Y detectar números de serie consecutivos o sumas justo por debajo del umbral es analítica sencilla.

Cientos de millones de dólares que encajaban con las tipologías de las redes chinas de lavado de dinero (CMLN) se reportaron tarde o no se reportaron. Los clientes se presentaban como empresas de logística o de electrónica. El patrón: compras seguidas con tarjeta en grandes minoristas y empresas de envíos, pagos elevados por ACH y por pago de facturas para liquidar tarjetas emitidas a otras personas, transferencias a China con la única descripción de "por mercancías", y transferencias repetidas a contrapartes sin presencia en internet y con domicilio en viviendas particulares. Parte de esto ocurrió después de la bajada del umbral en 2023. En las cuentas de pequeñas empresas, el banco no ponía límite a las tarjetas adicionales, y un gasto con tarjeta que superaba de forma habitual los ingresos declarados no disparaba ninguna investigación.

Lo que debió hacer el banco: escenarios construidos a partir de los avisos públicos (el aviso de FinCEN sobre CMLN de agosto de 2025 enumera señales de alerta con tarjetas de crédito), comprobados en todos los productos. Las tarjetas, dentro de la evaluación de riesgo del cliente. Y un perfil de negocio que tenga que cuadrar con una huella de negocio real: sitio web, instalaciones, contrapartes de verdad.

Hasta finales de 2024, la política del banco permitía una debida diligencia "simplificada" en las cuentas corresponsales de sus propias sucursales y filiales extranjeras. FinCEN examinó doce. Los expedientes decían cosas como "servicios de tesorería" o "gestión de efectivo", daban el nombre del regulador local sin describir el régimen y, en algunos casos, incluían un gráfico de la cotización de la matriz. El banco daba por hecho que estas cuentas servían sobre todo para la liquidación interbancaria. En realidad, las sucursales atendían a más de 250 instituciones financieras no bancarias, entre ellas empresas de servicios monetarios, cuyos flujos no se parecen en nada a una liquidación entre bancos.

Lo que debió hacer el banco: el mismo programa que para cualquier institución financiera extranjera. La norma no prevé ninguna exención intragrupo. Entender la finalidad y la actividad esperada, evaluar la jurisdicción y los clientes que hay detrás de la cuenta, y contrastar con ello la actividad real. Preguntarse de quién es el dinero que pasa por la cuenta, no solo qué tipo de institución es tu contraparte directa.

Como el sistema agregaba la actividad durante largos períodos antes de que una persona la mirara, una parte considerable de los SAR salió más de seis meses después de la actividad. A veces los investigadores no podían revisar bien la actividad subyacente, así que los propios SAR quedaban incompletos. La revisión retrospectiva tras el cambio de umbral produjo más de 8.000 SAR por unos USD 3.960 millones. Treinta y cuatro de ellos tenían indicios claros de lavado de dinero: lavado basado en el comercio con contrapartes de países de alto riesgo, transferencias corresponsales con una entidad petroquímica rusa de propiedad sancionada y fraccionamiento de efectivo en el sector sanitario compatible con fraude en prestaciones.

Lo que debió hacer el banco: medir como KPI el tiempo entre el primer indicador y el SAR, con una tolerancia. Las ventanas de agregación están para detectar, no para retrasar la detección. Y dimensionar el equipo de investigación según el volumen que genera tu riesgo, no según el que espera tu presupuesto.

En sentido estricto, este no es un caso de sanciones. FinCEN no aplica las normas de sanciones. Eso le corresponde a OFAC, y su multa de USD 11 millones es otro asunto.

Pero los hechos están llenos de riesgo de elusión, y FinCEN lo dice. Las transferencias del cliente A con jurisdicciones fronterizas con Rusia llegaron a volúmenes de hasta USD 1.700 millones en torno a la invasión de febrero de 2022. FinCEN había publicado alertas sobre la elusión de las sanciones y los controles de exportación contra Rusia en marzo y junio de 2022, y de nuevo en 2023. A partir de septiembre de 2022 pasaron más de 18.000 transferencias por unos USD 850 millones, después de esas alertas y después de que cumplimiento hubiera escalado el asunto internamente. El propio plan de mitigación del banco de marzo de 2023 pretendía "eliminar que el banco reciba transferencias de países sancionados". Y entre los SAR tardíos había uno sobre transferencias corresponsales con una entidad petroquímica rusa de propiedad sancionada.

La lectura práctica: el riesgo de sanciones no es solo un problema de filtrado. También es un problema de debida diligencia y de monitoreo. Un pago puede superar todos los filtros y aun así merecer un SAR.

A su costa, el banco tiene que contratar consultores independientes, con derecho de veto de FinCEN sobre la elección, para:

1. Una revisión retrospectiva de SAR desde enero de 2022 hasta que termine la remediación: tarjetas de crédito, instrumentos negociables, transferencias transfronterizas a jurisdicciones de alto riesgo y los grupos de eventos que nunca se investigaron. Riesgos prioritarios: la frontera suroeste y los cárteles, las redes chinas de lavado de dinero, Irán y Rusia. El consultor puede usar modelos supervisados, analítica de grafos y segmentación. Informe final a más tardar en diciembre de 2028; los SAR, en los 90 días siguientes.
2. Pruebas de eficacia del monitoreo de actividad sospechosa: primero de los controles provisionales mientras dura la corrección, luego del estado final, con pruebas que deben empezar a más tardar en octubre de 2027. Cubren expresamente las ponderaciones de riesgo, las investigaciones, las pruebas y acciones correctivas del propio banco, la dotación de personal, la gobernanza de las excepciones y las listas blancas, y el uso de la "innovación responsable".
3. Pruebas de eficacia de la CDD y de la debida diligencia de corresponsales extranjeros, en dos rondas, antes y después del plan de implementación.
4. Una revisión de la gobernanza de datos relacionados con BSA/AML.

Sobre la innovación: FinCEN está abierta a la analítica avanzada, pero quiere modelos supervisados, datos etiquetados, explicabilidad y supervisión. Un modelo de aprendizaje automático no sustituye a la gobernanza. Al contrario: exige más.

1. ¿Puedes enseñar la evidencia que hay detrás de cada umbral y cada ponderación de tu monitoreo? El "criterio experto" es por donde se empieza, no donde se termina.
2. ¿Tienes una tolerancia de falsos negativos por escrito? ¿Qué pasa cuando la superas?
3. ¿Qué proporción de tus casos empieza con tu propia detección, y no con requerimientos y comunicaciones externas? ¿Hacia dónde va?
4. ¿Cada regla de supresión, repuntuación o lista blanca está documentada, tiene responsable y se prueba? ¿Alguna se apoya en una exención de CTR?
5. ¿Tienes una matriz de cobertura de productos y canales frente a tipologías? ¿Qué casillas están vacías?
6. Cuando otra institución te pregunta por un patrón concreto, ¿alguien prueba ese patrón en tus datos y deja constancia del resultado?
7. ¿La calificación de riesgo de un cliente sale de tus propios datos o da un salto cuando llega una citación?
8. ¿Tu proceso de noticias negativas recoge lo que los propios clientes publican en sus informes regulatorios?
9. En los clientes que mantienes contra el criterio de cumplimiento: ¿quién lo aprobó, qué se acordó, quién lo verifica y para cuándo?
10. ¿Las revisiones periódicas de clientes de alto riesgo cubren la geografía, los volúmenes y todos los productos que el cliente usa de verdad?
11. ¿Cuál es tu mediana de tiempo entre el primer indicador y el SAR, y cuánto se alarga la cola?
12. ¿Las cuentas corresponsales intragrupo reciben la misma debida diligencia que las de terceros?