Debida diligencia reforzada: cuándo se activa y qué exige

El punto de partida: la debida diligencia no es una sola

Un sistema de prevención bien construido no aplica el mismo procedimiento a todos los clientes. Distingue regímenes según el riesgo que cada relación representa, y esa distinción es la que da sentido a la matriz de riesgo: si todos los clientes reciben el mismo tratamiento, la matriz no está cumpliendo ninguna función.

El régimen reforzado es el que corresponde a las relaciones de mayor riesgo. Implica obtener más información, verificarla con mayor rigor, elevar la decisión de aceptación a un nivel jerárquico superior y someter la relación a un seguimiento más frecuente.

Qué activa el régimen reforzado

Dos fuentes lo activan. La primera son los supuestos que la propia reglamentación establece como determinantes de riesgo alto. La segunda, con frecuencia olvidada, son los factores que la entidad definió como determinantes en su propia matriz de riesgo: si el sistema declara que una determinada combinación de factores constituye riesgo alto, la entidad queda obligada por su propia definición.

Ese segundo punto explica una parte importante de las observaciones. La entidad diseña una matriz exigente, la aprueba y después opera con un procedimiento uniforme. El supervisor no necesita cuestionar la matriz: le basta contrastarla con los expedientes.

Lo que se revisa en el expediente

La pregunta que se responde revisando un expediente no es si se aplicó la debida diligencia reforzada, sino si existe constancia de qué se hizo de más. Un expediente de riesgo alto que contiene exactamente la misma documentación que uno de riesgo bajo no acredita nada, aunque el analista efectivamente haya profundizado.

Lo que debería poder leerse es la secuencia completa: qué factores determinaron la calificación, qué información adicional se pidió, qué se obtuvo, cómo se verificó, quién aprobó la relación y con qué frecuencia se revisa. Esa secuencia es el sustento.

Los tres errores más frecuentes

El primero es documentar la calificación de riesgo sin documentar sus consecuencias: consta que el cliente es de riesgo alto, no consta qué se hizo al respecto.

El segundo es la aprobación sin rastro: la decisión de aceptar la relación se toma en el nivel correcto pero no queda registrada, de modo que a efectos de revisión no ocurrió.

El tercero es el seguimiento declarado y no ejecutado: el manual establece una revisión periódica más frecuente para riesgo alto, y en el expediente la última revisión es la de apertura.