Source: http://servicioinformacionsujetosobligados.blogspot.com.es/2010/12/el-organo-de-control-interno-y-el.html
Timestamp: 2018-04-21 04:05:27+00:00

Document:
Entendemos como PLANIFICACIÓN LOGÍSTICA, en la prevención del blanqueo de capitales y de la financiación del terrorismo, el proceso continuo de identificación y facilitación de los recursos humanos y tecnológicos necesarios para el cumplimiento de la diligencia debida, información y control interno, que han de ser puestos por la alta dirección a disposición de la organización del sujeto obligado.
La responsabilidad de la PLANIFICACIÓN LOGÍSTICA la tiene la alta dirección, que en el Modelo que estamos utilizando se concreta en el ÓRGANO DE CONTROL INTERNO (OCI titular), en el que estarán representados los jefes de área de negocio que estén afectados por el MANUAL DE PROCEDIMIENTOS AML.
Tanto en el MANUAL AML, como en el MANUAL PBC, se han de plasmar los criterios de riesgo utilizados por la entidad (sujeto obligado), para el control de sus clientes y operaciones.
El MANUAL AML ha de contener la concreción operativa, en cada área de negocio, de las políticas y procedimientos definidos por la alta dirección bajo sus criterios de riesgo. Según la Ley, el Manual deberá aprobarse por escrito y aplicarse.
El MANUAL AML, es operativo.
El MANUAL PBC, es de control.
REFLEXIÓN SOBRE LA FORMA DE PLASMACIÓN POR ESCRITO DE ESTOS DOS DOCUMENTOS:
El problema analizado no es baladí ante una Ley que obliga a la conservación de la documentación durante diez años, lo que no deja de ser una eternidad en la determinación de las políticas de riesgo. La solución a este problema está en la utilización de las nuevas tecnologías para la concreción documental y archivo de los Manuales, lo que permitiría, por ejemplo, que en el supuesto de una inspección en el año diez, la alta dirección existente en ese momento pudiera recuperar, sin ningún problema, los criterios que regían en el año uno, que quizás fueron establecidos por una alta dirección diferente, pudiendo de esta manera justificar ante el SEPBLAC los criterios inspeccionados, dentro del contexto histórico en el que fueron decididos como válidos.
Resumiendo: La Ley permite a cada sujeto obligado determinar la forma documental que considere más conveniente para los Manuales. Por tanto, éstos pueden estar escritos en papel, o pueden revestir cualquier forma electrónica que facilite el funcionamiento operativo de las empresas.
Dentro de la empresa, las políticas de “compliance” sólo tendrán éxito en la medida en que queden incorporadas al MANUAL DE PROCEDIMIENTOS GENERAL.
El MANUAL DE PROCEDIMIENTOS AML, tal como lo concibe la Ley 10/2010, sería un documento de uso interno para la alta dirección, para el OCI y para el Departamento de PBC. Realmente no ha de ser un manual que esté omnipresente en la actividad diaria, puesto que sería inmanejable para los trabajadores ; es, por tanto, un documento de cumplimiento, que una vez aprobado servirá de guía para que el OCI introduzca las modificaciones necesarias en el MANUAL DE PROCEDIMIENTOS GENERAL DE LA EMPRESA, con el fin de que la maquinaria de producción y comercialización genere la exigida prevención e información AML.
EN LA UNIDAD PARA EL TRATAMIENTO Y ANÁLISIS DE LA INFORMACIÓN (DEPARTAMENTO PBC):
Previsión del personal necesario para el cumplimiento de las obligaciones de información establecidas en el capítulo III, así como para el tratamiento y análisis de la misma.
Y las reglas, una vez probadas y matizadas por el uso, han ido pasando poco a poco a formar parte de la esencia de la actividad empresarial ordinaria.
Hoy nadie discute determinas reglas económicas, contables, laborales o de seguridad, y cada vez menos, las derivadas de reglamentaciones aún cercanas en el tiempo, como sucede con la relativa a la protección de datos de carácter personal. En este momento, las empresas han de asumir las reglas antiblanqueo tratando de perfeccionarlas a través de su uso real, como así está sucediendo con todas las anteriores, que, como vemos en la práctica diaria, siguen en profundo cambio y adaptación durante cada momento histórico.
La exigencia legal de la identificación formal constituye la piedra angular sobre la que descansa toda la legislación de prevención del blanqueo de capitales, y para la que no hay ninguna excepción, aún cuando se trate de operaciones de poco riesgo para las que se exija diligencia simplificada.
Por otra parte, la identificación formal constituye también la piedra angular sobre la que ha de construirse el análisis de riesgos y la prevención del fraude.
Cualquier desarrollo tecnológico que tengamos que hacer para cumplir la Ley 10/2010, tendrá repercusiones positivas directas en el análisis de riesgos y en la prevención del fraude y, por tanto, en la cuenta de resultados de la empresa.
Para poder operar de forma no presencial, se han de dar determinadas circunstancias aún no definidas hasta la publicación del nuevo Reglamento.
Con todo hay dos que ya se definen legalmente:
El resto de los sujetos obligados que identifiquen de forma presencial, deberán tener personal especializado en la detección de la falsificación de los documentos de identificación o poseer también las herramientas tecnológicas adecuadas para esta finalidad.
La identidad es la llave para poder penetrar en el sistema financiero, y la identificación su cerradura, que queda bajo la responsabilidad de los sujetos obligados, tanto para la prevención AML, como para la prevención del fraude.
Búsqueda de información para determinar si los clientes actúan por cuenta propia o de terceros, y para conocer la identidad de las personas por cuenta de las cuales actúan.
Adopción de medidas adecuadas para determinar la estructura de propiedad o de control de las personas jurídicas.
Adopción de medidas dirigidas a comprobar razonablemente la veracidad de la información aportada por los clientes, sobre el propósito e índole de la relación de negocio. Para ello deberán establecer y aplicar procedimientos de verificación de las actividades declaradas por los clientes. ( ver artículo 5)
NUEVAS POLÍTICAS Y PROCEDIMIENTOS
La identificación formal, la identificación del titular real, la averiguación del propósito e índole de la relación de negocios y su seguimiento continuo, que constituyen las obligaciones de diligencia debida, son también, en el fondo, obligaciones para el análisis de riesgos y para la prevención del fraude.
La entrada en vigor de la nueva Ley de prevención del blanqueo de capitales y de la financiación del terrorismo ha coincidido con uno de los puntos álgidos de la crisis económica actual, que ha provocado una profunda ralentización del sistema financiero y del comercio. Hagamos de la crisis una oportunidad, creando una potente estructura para el análisis de riesgos, con lo que rentabilizaremos la DILIGENCIA DEBIDA que nos impone la nueva Ley. Esta decisión no sólo servirá para el cumplimiento de la Ley 10/2010, sino también para la adaptación de nuestros sistemas a Basilea III, que establece una nueva ratio de capital, Tier 1, mínima para los bancos de todo el mundo. Este indicador básico sobre la seguridad bancaria compara el capital de un banco más los beneficios retenidos, con los activos ajustados por su grado de riesgo.
Controlemos pues el riesgo de nuestros activos a través de una buena información, que puede comenzar a obtenerse a través del cumplimiento de la DILIGENCIA DEBIDA, potenciando para ello los departamentos de análisis de riesgos y de prevención del fraude, con el fin de que sean capaces de generar una buena información AML que podamos hacer llegar al Departamento PBC, porque así, el trabajo de cumplimiento de la Ley 10/2010 lo estaremos rentabilizando internamente asegurando nuestros propios riesgos.
El Artículo 42 de la Ley 10/2010, que está dedicado a las contramedidas financieras internacionales, hace mención directa a los Reglamentos Comunitarios y su capacidad de prohibir, restringir o condicionar las transacciones económicas con Estados, entidades o personas. Esta capacidad de prohibición, restricción y condicionamiento se amplía al Consejo de Ministros, a propuesta del Ministro de Economía y Hacienda, con Estados, entidades o personas respecto de los que una organización, institución o grupo internacional decida o recomiende la adopción de contramedidas financieras, por lo que las listas de sanciones y las contramedidas financieras son cambiantes en el tiempo.
Dentro de las sanciones establecidas en la Ley 10/2010, están las derivadas del incumplimiento doloso de la obligación de congelar o bloquear los fondos, activos financieros o recursos económicos, y la prohibición de poner fondos, activos financieros o recursos económicos, (de, o a), las personas físicas o jurídicas, entidades o grupos designados, en los términos previstos por los Reglamentos comunitarios que establezcan medidas restrictivas específicas. (Ver artículo 51.2)
Igualmente han de dotarse de sistemas de información suficientes para conocer a las entidades con las que quieran establecer relaciones de corresponsalía bancaria transfronteriza. (Ver artículo 13.1.)
La previsión de estos instrumentos y sistemas de información caen dentro de la PLANIFICACIÓN LOGÍSTICA.
Copia de los documentos exigibles en aplicación de las medidas de diligencia debida, desde la terminación de la relación de negocios o la ejecución de la operación.
Original o copia con fuerza probatoria, de los documentos o registros que acrediten adecuadamente las operaciones, los intervinientes en las mismas y las relaciones de negocio, desde la ejecución de la operación o la terminación de la relación de negocio.
Creación de un expediente electrónico, al que podría incorporarse de forma simultánea y en formato electrónico, no sólo las copias de los documentos de identificación, sino también el resto de documentación justificativa de la solvencia entregada por el cliente, a la que podría añadirse, si fuera de interés, la solicitud del consentimiento para el intercambio de información positiva y negativa.
Filtro de las identidades a través de los listados de sanciones internacionales y de los ficheros de personas con responsabilidad pública.
Las Comunicaciones al SEPBLAC constituyen un punto crítico para los sujetos obligados en el cumplimiento AML. Así lo ha entendido la Administración y por ello, aún con la crisis actual, ha puesto en marcha un concurso público en el que están participando las principales empresas tecnológicas de España, para diseñar y mantener un nuevo sistema de intercambio de información entre el Banco de España, los sujetos obligados y otros Organismos que deben remitir información contra el blanqueo.
La PLANIFICACIÓN LOGÍSTICA tiene pues, entre sus obligaciones, el diseño de la red interna por la que fluya la información AML de toda la empresa hacia el Departamento PBC, facilitando también a este Departamento el mejor sistema de comunicación posible con el SEPBLAC.
Con respecto a las UNIDADES TÉCNICAS PARA EL TRATAMIENTO Y ANÁLISIS DE LA INFORMACIÓN, la situación es totalmente la contraria, porque hasta que no se publique el nuevo Reglamento, no se sabrán las categorías de sujetos obligados a las que se les exigirá la constitución de estas UNIDADES TÉCNICAS.
El panorama por tanto, hasta la entrada en vigor del nuevo Reglamento es el siguiente:
La alta dirección debe crear el MANUAL AML y el MANUAL PBC, o en su caso, delegar en el OCI, las planificaciones ESTRATÉGICA Y LOGÍSTICA.
El REPRESENTANTE ANTE EL SEPBLAC, dependiendo de la complejidad de la empresa, puede tener ya constituido un DEPARTAMENTO PBC, pero no resulta obligado en este momento, que dentro del mismo estén constituidas y funcionando UNIDADES TÉCNICAS PARA AL TRATAMIENTO Y ANÁLISIS DE LA INFORMACIÓN, hasta tanto se especifique esta obligación en el nuevo Reglamento.
Existen listados que han sido difundidos por el SEPBLAC que contienen modelos generalistas, que requieren una adaptación a las actividades económicas concretas para que sean válidos desde el punto de vista operativo.
Pero, a mi juicio, la Ley no se conforma con que los sujetos obligados se limiten, simplemente, a la adaptación interna de listados externos, aunque éstos sean los difundidos oficialmente, sino que quiere que las entidades profundicen en su confección a partir de su propia experiencia, y del conocimiento de lo que representa el blanqueo de capitales y la financiación del terrorismo.
Como el departamento de análisis de riesgos ha de seguir centrado en la actividad ordinaria de análisis de las operaciones mediante “scoring”, este expediente de investigación pasaría de forma automática al Departamento de Prevención del Fraude, que es un departamento en el que deberían trabajar especialistas en el análisis de riesgos, especialistas en seguridad y en informática, e investigadores en recuperaciones, y que en algunos casos se estructura a caballo entre el departamento de análisis de riesgos y el de recuperaciones, y en otros, forma parte del Departamento de Seguridad, que suele trabajar de forma coordinada con el Departamento de Seguridad Informática en los temas relativos a esta materia específica.
En el Departamento de Prevención del Fraude, incluirían en el expediente recibido toda la información interna y externa que pudiera ser recabada de distintas fuentes, procediendo a su análisis e investigación.
Desde el punto de vista operativo, las normas vigentes contenidas en los manuales deberán alimentar alguna plataforma tecnológica de cumplimiento, que permita la identificación de las normas, su afectación concreta a departamentos y personas, el sistema de control establecido, los informes recibidos y las gestiones efectuadas para la resolución de los conflictos.
Se deberá de establecer algún sistema que organice y distribuya la información AML desde los departamentos de la empresa hacia los Órganos de prevención del blanqueo de capitales y de la financiación del terrorismo.
Se excepciona la obtención del CONSENTIMIENTO, cuando el tratamiento de los datos de carácter personal resulte necesario para el cumplimiento de las obligaciones de información establecidas en el Capítulo III, a saber:
Para la realización del examen especial
No será necesaria tampoco la obtención del CONSENTIMIENTO para las comunicaciones de datos previstas en el Capítulo III, a saber:
Para las comunicaciones al SEPBLAC por indicios (Artículo 18)
También la PLANIFICACIÓN LOGÍSTICA ha de establecer el procedimiento a seguir, en el caso del ejercicio por los interesados de alguno de los derechos, de acceso, rectificación, cancelación y oposición, con el fin de que se les informe en tiempo, en los términos establecidos en el Artículo 32.3.
INTERCAMBIO DE INFORMACIÓN ENTRE SUJETOS OBLIGADOS
La Ley 10/2010 establece dos categorías de datos:
Los datos referidos al cumplimiento de las obligaciones de DILIGENCIA DEBIDA. (Capítulo II), para cuyo tratamientos rige la Ley Orgánica 15/1999 de protección de datos de carácter personal y su normativa de desarrollo.
INTERCAMBIO DE INFORMACIÓN PARA EL CUMPLIMIENTO DE LA DILIGENCIA DEBIDA, ANÁLISIS DE RIESGOS Y PREVENCIÓN DEL FRAUDE.
No entro a analizar los requisitos que deben cumplir los sujetos obligados para la creación de ficheros propios o para el intercambio de datos de carácter personal dentro de su grupo, o en el ámbito nacional e internacional, puesto que para clarificar esta materia está la Ley Orgánica 15/1999 y su normativa de desarrollo.
Pero con el CONSENTIMIENTO de los ciudadanos, cualquier tratamiento e intercambio de datos resultaría posible, si se cumple para ello con la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal y su normativa de desarrollo.
La solicitud del CONSENTIMIENTO es un tema de reflexión obligada para las empresas financieras y de telecomunicación, puesto que sería la solución de muchos de los problemas que tienen actualmente para poder operar con unas mínimas garantías de comprobación de la veracidad, sobre las informaciones que reciben de sus clientes.
Bajo mi criterio y aún a costa de resultar polémico y generar el correspondiente debate, en la Ley 10/2010 hay una excepcionalidad para el CONSENTIMIENTO, que podría ser de utilidad, de forma directa para el cumplimiento de la DILIGENCIA DEBIDA, e indirectamente para facilitar el análisis de riesgos y la prevención del fraude, y es la consulta a la información contenida en los ficheros centralizados legalmente constituidos dentro del Sector financiero con la finalidad de prevención del fraude, cuando esa información fuere necesaria para el cumplimiento de la Ley 10/2010.
El acceso a esta información, sin CONSENTIMIENTO, está permitido según la Ley, tanto al OCI como al Departamento PBC, (Artículo 33.4), cuando indica que el “acceso a los datos a los que se refiere este precepto deberá quedar limitado a los órganos de control interno previstos en el Artículo 26, con inclusión de las unidades técnicas que constituyan los sujetos obligados”
Este resquicio legal abriría una gran capacidad operativa para las empresas, y avalaría el Modelo de OCI que estoy propiciando, en el que está integrada una representación de cada una de las áreas afectadas por el MANUAL AML y por el MANUAL PBC.
Si como según parece, el OCI podría acceder sin CONSENTIMIENTO a los ficheros centralizados de prevención del fraude, en cada una de estas áreas estarían facultados para el acceso sin CONSENTIMIENTO, el jefe de área, como representante del OCI titular y un subordinado como titular del OCI delegado, para el cumplimiento de las obligaciones de DILIGENCIA DEBIDA explicadas anteriormente, entre las que están la identificación formal de los clientes. Ya justifiqué anteriormente que la identificación formal afecta tanto a la prevención del blanqueo, como al análisis de riesgos y a la prevención del fraude.
El CONSENTIMIENTO, por tanto, sería exigible sólo para la cesión de los datos al FICHERO FODI. No olvidemos que la alimentación del fichero resulta imprescindible si queremos compartir información de calidad, surgida tanto del análisis de riesgos, como de la investigación para la prevención del fraude y para la recuperación de activos.
Esta es una interpretación personal y por tanto no oficial, que podría ser objeto de estudio y consulta a la AEPD y al Tesoro, toda vez que la DILIGENCIA DEBIDA se realiza por departamentos diferentes al de PBC, y por ello, resulta inevitable que sus resultados se utilicen también para el análisis de riesgos y para la prevención del fraude.
Tal como he explicado al analizar el Artículo 33.2., la finalidad exclusiva del Repositorio será la prevención del blanqueo de capitales y de la financiación del terrorismo, y únicamente podrá ser consultado por los órganos de prevención del blanqueo de capitales y la financiación del terrorismo de los sujetos obligados usuarios del mismo, que son los que tienen a su cargo las obligaciones de información del Capítulo III.
Sólo aparecerá en el Repositorio la información, desestructurada en cuanto al origen, que haya sido comunicada al SEPBLAC por las entidades usuarias. Esta información será la relativa a las operaciones a las que se refieren los Artículos 18 y 19, y se sacará del Repositorio la información que sea devuelta por el SEPBLAC, porque el examen especial haya resultado insuficiente.

References: artículo 5
 Artículo 42
 artículo 51
 artículo 13
 resolución 
 Artículo 32
 Artículo 26
 Artículo 33