SIMPOSIO ISACAPUERTO RICO 2018

Manejo de Riesgo del Programa de Instituciones Financieras Anti-Lavado de

Dinero y Sanciones

Gabriel Viera

Objetivos

• Detallar los elementos que contribuyen a una matriz de riesgo de ALD y determinar cuan a menudo se debe reevaluar.

• Describir cómo la matriz de riesgo guía las actividades y recursos institucionales.

• Describir cómo evaluar / examinar el diseño y ejecución de la matriz para determinar que la misma es efectiva para mitigar el riesgo de lavado de dinero y sanciones.

• Utilizar los resultados para darle forma a la matriz y crear el plan de auditoría.

• Rol de sistema de información y tecnología en el control de ALD.

Estructura del Modelo de Riesgo

Riesgo

• Inherente: riesgo inicial

• Residual: riesgo después de controles.

• Dirección de riesgo: a donde se dirige el riesgo y a quién le pertenece.

Controles

• Prevención– Política/procesos

– Revisión de listas automatizadas

• Detección– Monitoreo de transacciones

– Auditoría

Riesgo de Cumplimiento: Bank Secrecy Act (BSA)

• Bank Secrecy Act– Requiere un Programa de Anti-Lavado de Dinero &

Sanciones (Programa BSA) que incluya: • Políticas internas y controles,

• Identificación y reporte de actividad sospechosa,

• Adiestramiento al personal basado en riesgo,

• Nombrar un Oficial de Cumplimiento de BSA,

• Auditoria externa del Programa ALD

Riesgo de Cumplimiento: Office of Foreign AssetControl (OFAC)

• La Oficina de Control de Activos Extranjeros(OFAC, por sus siglas en inglés) es responsable por emitir las sanciones a nacionales especialmente designados (SDN por sus siglas en inglés)

• Existen varios programas: Rusia/Ucrania, Cuba, Venezuela e Irán

Riesgo de Cumplimiento: US PATRIOT ACT

• Section 311: Special Measures for Jurisdictions, Financial Institutions, or International Transactions of Primary Money Laundering Concern

• Section 312: Special Due Diligence for Correspondent Accounts and Private Banking Accounts• Section 313: Prohibition on U.S. Correspondent Accounts with Foreign Shell Banks• Section 314: Cooperative Efforts to Deter Money Laundering• Section 319(b): Bank Records Related to Anti-Money Laundering Programs• Section 326: Verification of Identification• Section 351: Amendments Relating to Reporting of Suspicious Activities• Section 352: Anti-Money Laundering Programs• Section 356: Reporting of Suspicious Activities by Securities Brokers and Dealers; Investment Company

Study• Section 359: Reporting of Suspicious Activities by Underground Banking Systems

Expectativas Regulatorias de las Auditoria de ALD

• Debe ser llevada a cabo por un equipo independiente y cualificado

• Basada en riesgo

• Cada 12 a 18 meses

• Se debe reportar a la junta de directores

• Revisión de la matriz de riesgo

• Examinación de transacciones basado en riesgo: – Políticas y procesos

– Mantener récord y reportes

– Sistema de Manejo de Información (MIS por sus siglas en ingles)

– Operaciones percibidas como alto-riesgo

• Evaluación de los esfuerzos para resolver violaciones/deficiencias encontradas por auditorias o examinaciones del regulador

• Revisión de los adiestramientos de los empleados

• Revisión de la efectividad del sistema de monitoreo ALD

• Evaluación de los procesos para identificar y reportar actividad sospechosa

• Documentación

Guía Regulatoria para la Matriz de Riesgo ALD

• La matriz de riesgo no es estática, se debe revisar al menos anualmente o cuando existe un cambio regulatorio.

• El Programa de ALD & OFAC debe estar estructurado de tal manera que controle los riesgos identificados por la matriz de riesgo.

Función de la Matriz de Riesgo ALD & OFAC

• Asegurar el cumplimiento de las guías y expectativas regulatorias

• Afinar el entendimiento de la exposición al riesgo ALD• Provee la dirección de riesgo e identifica controles para los

riesgos de las políticas y procesos• Facilita la distribución de recursos• Identifica brechas en los controles existentes• Documenta la estructura del Programa ALD

Estructura del Modelo de Riesgo

• Indicadores de Riesgo– Clientes

– Productos/Servicios

– Geografía

– Auditoría

– Transaccional • ACH, efectivo o cablegráficas

Auditoría del Programa de ALD Examina

• Debida diligencia de la matriz de riesgo ALD

• Trasfondo de la institución financiera

• Junta de directores, gerencias y comité de auditoria

• Ambiente regulatorio

• Comunicación con el auditor independiente

Ejercicio: ¿Cuál es el Riesgo ALD & Sanciones?

El negocio quiere incluir tarjetas prepagadas y Remote DepositCapture (RDC) a los productos de la institución.

• ¿Cómo estos productos incrementan el riesgo de ALD?

• ¿Cuáles son los controles necesarios para los productos?

• ¿Qué podemos requerir antes que se aprueben los productos?

• ¿Qué sería bueno tener?

Desarrollo de Modelo de Riesgo Debe ser “Auditable”

El desarrollo de Modelo de riesgo debe:

• Tener un objetivo claro y preciso que se pueda validar• Incluir material publicado con opiniones validadas por pares• Seguir las guías de OCC Bulletin 2011-12 Sound Practices for Model

Management– Incluye

• Políticas, Procesos para apertura de cuentas• Políticas y procesos para riesgo de OFAC durante apertura de cuentas y para transacciones • Políticas y procesos para monitorear, identificar y reportar actividad sospechosa• Manejo de lista 314ª de FinCEN

Señalamientos Comunes

• La instituciones financiera no tiene una matriz de riesgo ALD.• La matriz no incluye todas la líneas de negocios o entidades.• La matriz no consideró la mayoría de los riesgos.• La política no menciona cuán a menudo se debe revisar la matriz

ALD.• No existe metodología para asignar riesgo a clientes.• La políticas y los procesos no tienen la capacidad de manejar el

riesgo de la institución.

Componentes da la Mitigación de Riesgo ALD

• Riesgo de Identificación y Verificación: riesgo asociado a la capacidad de identificar la identidad real del cliente

• Riesgo de Cumplimiento: riesgo relacionado a la madurez del programa de cumplimiento ALD.

• Riesgo de Detección & Monitoreo: riesgo asociado con la capacidad de monitorear, detectar y reportar actividad sospechosa.

• Riesgo Regulatorio/Riesgo Auditoría: riesgo relacionado a reporte de examinaciones del regulador o auditorias anteriores.

Modelo De Riesgo: Riesgo del Cliente/ Rol del Auditor de Sistema

• Riesgo del Cliente: riesgo asociado con el cliente debido a su actividad económica, ocupación, tamaño, organización legal.

• Clientes alto riesgo– Identificados por lista de gobierno (por

ejemplo FinCEN & OFAC)– Negocio con alto volumen de efectivo (ej.

Supermercados)– Proveedores de Servicios Profesionales (ej.

Abogados, contables, doctores, corredores de bienes raíces etc).

– Instituciones financieras (Banca Offshore, Compañías de Inversión Privadas, Trust etc.)

– Instituciones financieras no bancarias (casinos, casa de cambios, remesas, casas de bolsa).

• Rol del Auditor de Sistema– Validar que el tipo de cliente este

debidamente codificado en el sistema– Validar que los códigos de clientes en el

sistema bancario hagan una interfase adecuada con el sistema de monitoreo ALD

– Validar que toda información necesaria para el Programa de Identificación de Cliente (CIP por sus siglas en ingles) este disponible.

– La información de CIP es importante para poder correr las listas de OFAC y FinCEN y reportar actividad sospechosa.

– Validar que la información de CIP y Conoce a tu Cliente (KYC por sus siglas en ingles) esté disponible para crear el perfil de riesgo del cliente.

Consideración Especial para Clientes Alto Riesgo

• Entidades gubernamentales

• Embajadas

• Personas políticamente expuestas

• Organizaciones sin fines de lucro

Modelo De Riesgo: Riesgo de Producto/Rol de Auditor de Sistema

• Riesgo asociados con los productos y servicios– Favorece la anonimidad– Favorece la alta velocidad de

movimiento de fondos– Favorece volumen alto de

movimiento de fondos– Facilita movimiento de fondos

internacionales

• Validar que los controles automatizados como correr lista de OFAC para transferencias internacionales estén capturando los campos correctos (ej. BSA Travel Rule)

• Validar que el ip address/VPN de banca móvil o banca por internet no se encuentren en países sancionados

Riesgo Geográfico/ Índice de ALD Comité de Basilea

• Índice creado bajo los estándares de la Organización para la Cooperación y el Desarrollo Económicos (OCDE por sus sigla en inglés)

• Revisado por pares expertos en temas de ALD/FT

• Herramienta para medir la dirección de riesgo de las jurisdicciones

Dirección del Riesgo LATAM según el comité de Basilea

Country Basel AML Index 2018 Basel AML Index 2017 Basel AML Index 2016 Basel AML Index 2015 Direccion de Riesgo Riesgo Actual

Paraguay 7.27 7.53 7.44 7.56Diminuendo Alto

Haiti 7.38 7.5 7.32 7.35Creciendo Alto

Bolivia 6.71 7.17 7.29 7.38Diminuendo Moderado

Panama 6.5 7.01 7.09 7.13Diminuendo Moderado

Argentina 6.61 6.69 6.74 6.71Diminuendo Moderado

Dominican Republic 6.44 6.69 6.74 6.63Diminuendo Moderado

Nicaragua 6.78 6.64 5.84 6.51Creciendo Alto

Venezuela 6.47 6.53 6.53 6.34Creciendo Moderado

Ecaudor 6.37 6.37 5.48 6.27Estable Moderado

Brazil 5.67 6.2 6.23 6.05Diminuendo Moderado

Guatemala 5.73 6.17 5.97 5.95Diminuendo Moderado

Honduras 5.94 5.97 6.04 5.87Estable Moderado

Costa Rica 6.03 5.93 5.93 5.78Creciendo Moderado

Mexico 5.93 5.75 5.6 5.24Creciendo Moderado

EL Salvador 5.54 5.48 4.69 4.79Estable Moderado

Peru 5.24 5.25 4.31 4.6Estable Moderado

Uruguay 4.81 5.16 5.15 4.39Diminuendo Bajo

Chile 4.8 4.94 4.8 4.02Estable Bajo

Modelo de Riesgo: Detección y Monitoreo del Riesgo ALD /Rol de Auditor de Sistema

• Tipo de Monitoreo

– Banderas de Perfil

– Excepciones de Perfil

– Banderas de lógica

– Monitoreo de riesgo de perfil

• Validar que las banderas de perfil tenga la información necesaria para capturar riesgo (ej. Periodos, tolerancias, montos y cantidades.

Conclusión

• Utilizar los resultados de la matriz de riesgo para darle forma al plan de auditoria.

• La política no es suficiente, los procesos deben estar alineados a la política y al riesgo de ALD.

• Asegurarse que los productos nuevos consideren los riesgos de ALD.

• Asegurarse que el análisis de riesgo este bien documentado y con referencias de apoyo.