Programa de identificación del cliente

Las instituciones financieras que operan en Estados Unidos están obligadas por ley a verificar la identidad de sus clientes que desean acceder a productos o servicios financieros. Los Programas de Identificación del Cliente (PIC), introducidos como parte de la Sección 326 de la Ley Patriota, son obligatorios y tienen como objetivo fortalecer las defensas del sistema financiero estadounidense contra la financiación del terrorismo y otros delitos financieros. Los PIC no se limitan a los bancos tradicionales; también se aplican a instituciones como cooperativas de crédito, empresas de valores, empresas de servicios monetarios, plataformas fintech y, más recientemente, a plataformas de intercambio de criptomonedas y proveedores de monederos digitales. 

El CIP sirve como primera línea de defensa en los esfuerzos de debida diligencia de una institución financiera, asegurando que las entidades que ingresan al ecosistema financiero sean debidamente identificadas, examinadas y verificadas. Al formar la base de procesos más avanzados KYC Los procedimientos como la debida diligencia del cliente (CDD, por sus siglas en inglés) y la debida diligencia reforzada (EDD, por sus siglas en inglés), así como el programa CIP (Protección del Cliente), son vitales para garantizar la transparencia en las transacciones financieras, disuadir el fraude de identidad y prevenir delitos financieros como el lavado de dinero y la financiación del terrorismo.

¿Qué es un programa de identificación de clientes?

Un Programa de Identificación del Cliente (PIC) es un método formalizado y estandarizado para verificar la identidad de las personas o entidades que desean interactuar con instituciones financieras durante el proceso de incorporación. Establecido bajo la Ley de Secreto Bancario (BSA, por sus siglas en inglés) y supervisado por la Red de Control de Delitos Financieros (FinCEN, por sus siglas en inglés), este programa exige a las instituciones recopilar, verificar y conservar datos personales (nombre y fecha de nacimiento), así como datos críticos (direcciones y números de identificación gubernamentales). Esta información se valida mediante métodos documentales o no documentales (pasaportes, licencias de conducir o consultas en bases de datos e informes de agencias de crédito).

Los CIP no adoptan un enfoque único para la verificación, sino que optan por un método basado en el riesgo que considera el tipo de cuenta, los tipos de transacciones involucradas y el perfil de riesgo general del cliente. Con la ayuda del aprendizaje automático, la IA y la validación de datos en tiempo real, los CIP de bajo riesgo se pueden automatizar fácilmente para que los responsables de cumplimiento puedan centrar su atención en los casos de mayor riesgo. 

¿Por qué es importante el CIP?

Si bien el programa CIP se implementó en 2003 con el objetivo específico de combatir la financiación del terrorismo, su importancia va más allá de sus orígenes y ahora sustenta un amplio espectro de estrategias de prevención de delitos financieros. 

Específicamente, CIP:

• Detecta y previene delitos financieros Antes incluso de que se produzcan, impidiendo el acceso anónimo al sistema financiero, una táctica esencial utilizada en los esquemas de lavado de dinero, fraude y evasión de sanciones.
• Crea una base para la elaboración de perfiles de riesgo y el monitoreo continuo. para que las instituciones puedan identificar posibles apropiaciones indebidas de cuentas, así como iniciar revisiones más exhaustivas de los clientes de alto riesgo en función de cambios significativos en su actividad.
• Permite a las instituciones construir una posición defendible. en caso de una investigación legal, demostrando que tomaron las medidas adecuadas para verificar a sus clientes.
• Ayuda a los servicios financieros a adaptarse En el nuevo y cambiante panorama financiero digital, nunca ha sido tan fácil transferir activos a nivel global, lo que conlleva muchos riesgos potenciales.
• Fortalece la cooperación mundial y la estabilidad financiera. Trabajando para armonizar las normas contra el blanqueo de capitales y la financiación del terrorismo en todas las jurisdicciones, de modo que los delincuentes tengan más limitaciones en cuanto a dónde pueden operar.

A medida que los productos financieros se vuelven más accesibles, rápidos y complejos, un CIP bien diseñado es la primera y más importante capa de protección.

Requisitos del PIC

Para nuevos clientes individuales

Al incorporar nuevos clientes, las instituciones financieras deben recopilar un conjunto básico de atributos de identidad para establecer un perfil mínimo de cliente, que incluye:

• Nombre legal completo
• Fecha de nacimiento
• Dirección residencial o comercial
• Número de identificación (por ejemplo, número de la Seguridad Social [SSN], número de identificación fiscal individual [ITIN] o número de pasaporte extranjero para personas que no son estadounidenses).

Las instituciones deben entonces verificar la exactitud y legitimidad de esta información, lo cual puede hacerse a través de:

• Documento de identidad oficial con fotografía (por ejemplo, pasaporte, permiso de conducir, identificación militar).
• Comprobante de domicilio (por ejemplo, contrato de alquiler, factura de servicios públicos)
• Base de datos electrónica (por ejemplo, agencias de crédito, registros públicos)

En un entorno de incorporación digital, las instituciones también pueden utilizar la verificación biométrica, la geolocalización, el análisis de direcciones IP y la identificación de dispositivos. Estas medidas son especialmente importantes en la configuración remota y de alta velocidad de cuentas, donde no hay interacción presencial.

Para nuevos clientes empresariales

La incorporación de clientes corporativos requiere un proceso de verificación más profundo y complejo, con el objetivo de confirmar la legitimidad de la entidad y comprender quién la posee o controla en última instancia. La información clave incluye:

• Nombre legal de la empresa
• Dirección comercial principal y ubicación operativa
• Fecha de constitución y jurisdicción
• Número de identificación del empleador (EIN) o equivalente
• Datos de titularidad real (UBO, por sus siglas en inglés): normalmente se identifica a cualquier persona que posea el 25 % o más de la entidad, o que ejerza otro control significativo.

Los métodos de verificación CIP suelen incluir:

• Certificado de constitución o documentos de formación, para verificar que la empresa existe y está en regla.
• Licencias comerciales o registros regulatorios, para confirmar que la empresa está autorizada para operar.
• Carta de confirmación del EIN emitida por el IRS, que valida la identidad fiscal de la empresa.
• Estatutos corporativos o acuerdo operativo, para aclarar la estructura de propiedad y la autoridad para la toma de decisiones.

Es habitual que las instituciones soliciten actualizaciones periódicas, especialmente si se producen cambios en la estructura empresarial, la propiedad o las operaciones.

Es importante que las instituciones establezcan políticas internas de CIP que definan qué documentos o fuentes son aceptables, cómo se gestionan las excepciones y qué pasos de verificación adicionales se pueden añadir cuando sea necesario, ya que todos los clientes son diferentes y algunos presentan más riesgos que otros.

Componentes clave de un CIP eficaz

1. Evaluación basada en el riesgo 

Es fundamental utilizar metodologías basadas en el riesgo para adaptar la verificación de identidad a los riesgos específicos de cada cliente, con el fin de que sea lo más eficiente y eficaz posible. 

Las variables de riesgo clave incluyen:

• Tipo de cliente: Ya sea que el cliente sea un individuo, una pequeña empresa, una gran corporación, un fideicomiso o una entidad extranjera, cada uno de los cuales trae consigo sus propios riesgos.
• Naturaleza y volumen de las transacciones: Las transacciones de alto valor, frecuentes o transfronterizas tienden a requerir requisitos de verificación más estrictos.
• Riesgo geográfico: Los clientes procedentes de jurisdicciones que el GAFI designa como de alto riesgo requieren un escrutinio más riguroso.
• Canal de incorporación: Las verificaciones que se realizan en línea, en particular aquellas sin interacción presencial, requieren controles de verificación digital más estrictos.

Las normas CIP deben definir claramente los umbrales de riesgo, identificar cuándo se activa la debida diligencia reforzada (EDD) y establecer procedimientos escalonados para gestionar los distintos niveles de riesgo del cliente.

2. Métodos de verificación

El proceso de verificación debe ser flexible y multifacético, lo que permitirá a las instituciones responder al contexto del cliente con la mayor precisión posible. 

Los métodos de verificación documental incluyen:

• Documento de identidad físico con fotografía emitido por el gobierno
• certificados de constitución de empresas
• Licencias regulatorias para entidades profesionales 

Los métodos de verificación no documentales incluyen:

• Bases de datos de identidad electrónica (por ejemplo, agencias de crédito, registros públicos)
• Autenticación biométrica (por ejemplo, reconocimiento facial, huellas de voz, huellas dactilares)
• Inteligencia de dispositivos y análisis de IP 
• Verificación de correo electrónico o número de teléfono

Existe una tendencia creciente a utilizar la IA y el aprendizaje automático para ajustar dinámicamente los pasos de verificación en tiempo real en función de las señales de riesgo durante el proceso de incorporación.

3. Seguimiento continuo y debida diligencia ampliada (DDA)

El proceso CIP no es un evento que se realiza una sola vez, y es fundamental implementar verificaciones periódicas para los clientes que presentan un riesgo elevado. 

La debida diligencia ampliada puede incluir:

• Controles de sanciones y listas de vigilancia, incluyendo verificaciones en las bases de datos de la ONU, la OFAC y las PEP.
• Análisis de medios de comunicación adversos para detectar riesgos reputacionales o legales.
• Monitoreo de transacciones en tiempo real, con el fin de identificar patrones inusuales que sean inconsistentes con el comportamiento conocido del cliente.
• Revalidación del UBO, especialmente después de fusiones, adquisiciones o cambios de propiedad.

4. Registro y conservación de documentos

Las instituciones deben poder demostrar el cumplimiento de la normativa y colaborar en las investigaciones si así se les solicita.

Las normas reglamentarias suelen exigir:

• Conservación de la información de identificación y los registros de verificación durante al menos cinco años después de la apertura de la cuenta.
• Conservación de los datos relacionados con las transacciones durante cinco años después del cierre de la cuenta.

Las instituciones deben garantizar que los registros sean:

• Almacenado de forma segura y disponible para auditorías o revisiones regulatorias.
• Organizado y con función de búsqueda
• Capaz de admitir registros de auditoría con marca de tiempo, incluyendo notas sobre calificaciones de riesgo, resultados de verificación y decisiones de cumplimiento.

Las empresas que mantienen prácticas sólidas de registro de datos pueden defenderse mejor contra el fraude, así como protegerse contra la responsabilidad legal.

5. Controles internos y auditorías

Si bien establecer procedimientos de identificación de clientes es importante, la gobernanza interna y unos controles internos sólidos ayudan a garantizar una implementación coherente, a detectar desviaciones en los procedimientos y a reaccionar rápidamente ante los cambios normativos.

Los mecanismos de control principales incluyen:

• Designar a un Oficial de Cumplimiento designado para gestionar el marco CIP y garantizar la alineación de las políticas AML/CTF.
• Elaborar políticas y procedimientos escritos que se actualicen y distribuyan periódicamente al personal pertinente.
• Programas de capacitación para mantener la coherencia en la concienciación normativa.
• Evaluaciones de control continuas para garantizar la eficacia de las herramientas de verificación, la calidad de los datos y el rendimiento del proceso.
• Análisis de brechas para identificar y abordar las deficiencias en la preparación para el cumplimiento normativo.

Una gobernanza sólida reduce simultáneamente el riesgo de incumplimiento normativo de una empresa, al tiempo que demuestra una gestión de riesgos proactiva (una consideración importante para inversores, clientes y reguladores).

Desarrollos recientes

Inclusión en el ámbito de las criptomonedas y las tecnologías financieras

El regulador Panorama ahora está endureciendo las normas para las empresas de activos digitales, especialmente en el industria criptográfica Las nuevas medidas buscan eliminar las lagunas en las transacciones con criptomonedas, sometiendo a los actores que antes no estaban regulados a procedimientos de cumplimiento formales. Una vez implementadas por completo, los proveedores de servicios de activos virtuales (VASP) deberán incorporar procedimientos de identificación del cliente (CIP) rigurosos, similares a los de las instituciones financieras tradicionales, como el Reglamento sobre Mercados de Criptoactivos (MiCA) de la UE.

Ampliación de la norma de viajes del GAFI

Para ajustarse a las directrices actualizadas del GAFI, Estados Unidos ahora tiene requisitos más estrictos en relación con la Regla de Viaje, que exige a los proveedores de servicios de activos virtuales (VASP) intercambiar información del remitente y del destinatario en transferencias superiores a 1,000 dólares. Al ampliar la aplicación de la normativa, los datos del CIP (Identificador de Cliente) ahora deben recopilarse y validarse dinámicamente en el momento de la transferencia, así como en la creación de la cuenta, lo que eleva el nivel de exigencia para el cumplimiento en tiempo real en las transferencias entre pares y entre plataformas.

Guía de identidad digital 

Las agencias federales promueven cada vez más marcos de identificación digital que hacen hincapié en la verificación de identidad digital basada en riesgos y en mecanismos de autenticación continua para mejorar la eficacia de la identificación del cliente en la incorporación remota de usuarios. Se recomienda a las empresas integrar proveedores de identidad digital reconocidos a nivel federal, verificadores biométricos y modelos de identificación descentralizados para agilizar la captación de clientes, manteniendo al mismo tiempo la seguridad y el cumplimiento normativo.

Normas mejoradas sobre la titularidad real

 La Ley de Transparencia Corporativa (CTA, por sus siglas en inglés) ahora exige que la mayoría de las corporaciones, LLC y entidades similares informen a FinCEN sobre su información de propiedad real (BOI, por sus siglas en inglés). La incorporación de los datos de BOI al proceso CIP y la comparación de las declaraciones con los registros internos contribuyen a fortalecer la supervisión institucional de las empresas fantasma y las estructuras de propiedad opacas, especialmente en sectores o regiones de alto riesgo.

Conclusión

A medida que los sistemas financieros continúan evolucionando, el Programa de Identificación del Cliente (CIP) sigue siendo un elemento fundamental del cumplimiento normativo y la gestión de riesgos institucionales. Con su énfasis en la verificación precisa de la identidad, la toma de decisiones basada en el riesgo y la supervisión continua, el CIP no solo cumple con las obligaciones legales, sino que también fortalece el panorama financiero en general. Funciona como un control de primera línea que permite a las instituciones prevenir el acceso no autorizado, reducir la exposición a delitos financieros y mantener la confianza tanto de los reguladores como de las partes interesadas. 

La gestión de la identidad corporativa (CIP) es ahora más que una mera exigencia regulatoria; es un activo estratégico. Las empresas que implementen marcos dinámicos e inteligentes estarán mejor posicionadas para prosperar en un entorno caracterizado por la innovación, el escrutinio regulatorio y la creciente interconexión global.