Para cumplir con SEPBLAC en materia de monitorización de transacciones no basta con instalar una herramienta: el sujeto obligado debe implantar un sistema completo, documentado y basado en riesgos que permita detectar, analizar, registrar y, cuando proceda, comunicar operaciones sospechosas.

Los requisitos principales son:

1. Análisis de riesgos previo y documentado. Debe evaluar el riesgo por tipo de cliente, país o área geográfica, producto, servicio, operación y canal. Tiene que revisarse periódicamente y cuando cambien significativamente el negocio, los productos o la tecnología. Art. 32 del Real Decreto 304/2014.
2. Perfil transaccional del cliente. La entidad debe conocer la actividad, el propósito de la relación, el origen de los fondos y la operativa esperada. Las transacciones se contrastarán continuamente con ese conocimiento y con los antecedentes operativos del cliente. Arts. 5, 6 y 7 de la Ley 10/2010 y art. 11 del Reglamento.
3. Escenarios y alertas basados en riesgo. Deben configurarse alertas adecuadas considerando, al menos:
   • Tipología de la operación.
   • Identidad y perfil de los intervinientes.
   • Importe, frecuencia y acumulación de operaciones.
   • Desviaciones respecto de la actividad o antecedentes del cliente.
   • Fragmentación, incrementos repentinos o patrones inusuales.
   • Multiplicidad de ordenantes o beneficiarios sin justificación.
   • Origen o destino en países o territorios de riesgo.
   • Transferencias con información incompleta.
   • Operaciones intentadas y no ejecutadas.

   Los escenarios, parámetros y umbrales deben justificarse mediante el análisis de riesgos y revisarse periódicamente. No existe un catálogo único de reglas o importes que garantice por sí solo el cumplimiento. Arts. 23 y 24 del Real Decreto 304/2014 y catálogos de indicadores de riesgo de SEPBLAC.

4. Automatización cuando corresponda. Si el sujeto obligado supera las 10.000 operaciones anuales, es obligatoria la implantación de modelos automatizados de generación y priorización de alertas. Por debajo de ese volumen siguen siendo obligatorias las alertas adecuadas al riesgo, aunque la norma no exige necesariamente un modelo automatizado. Art. 23 del Reglamento.

5. Revisión humana y examen especial. Una alerta no equivale automáticamente a una operación sospechosa. Debe mantenerse un registro cronológico de los expedientes. Art. 17 de la Ley 10/2010 y art. 25 del Reglamento. Debe ser revisada y, cuando corresponda, abrirse un examen especial estructurado que abarque:

   1. Toda la operativa relacionada.

   2. Todos los intervinientes.

   3. La información disponible en la entidad y, cuando proceda, en el grupo.

   4. Las gestiones realizadas y fuentes consultadas.

   5. La conclusión y su motivación.

   6. La decisión de comunicar o archivar.

6. Comunicación a SEPBLAC. Si después del examen existen indicios o certeza de blanqueo o financiación del terrorismo, debe efectuarse una comunicación por indicio sin dilación. La entidad también deberá valorar la abstención de ejecutar la operación y evitar revelar al cliente que está siendo examinada o comunicada. Arts. 18, 19 y 24 de la Ley 10/2010 y procedimiento oficial de comunicación por indicio.
7. Trazabilidad y conservación. Deben conservarse durante diez años los expedientes, datos, reglas aplicadas, alertas, análisis, decisiones y documentación acreditativa. Arts. 25 de la Ley y 25.3–25.4 del Reglamento.
8. Gobierno y control. El sistema debe estar integrado en el manual de prevención, con responsables, flujos internos, niveles de escalado, confidencialidad, formación y revisión periódica. Cuando sea legalmente exigible, también deberá ser evaluado por un experto externo. Arts. 26, 28 y 29 de la Ley y arts. 33, 38 y 39 del Reglamento.

NeoCheck aaporta la ingesta de transacciones, perfilado, reglas y modelos, priorización de alertas, gestión de expedientes y trazabilidad. Sin embargo, la selección de riesgos, la parametrización, el examen especial, la decisión de comunicar y la responsabilidad final siguen correspondiendo al sujeto obligado. La externalización tecnológica no traslada esa responsabilidad, conforme al art. 8 de la Ley 10/2010.

Por tanto, eexija siempre una herramienta que cumpla adecuadamente su función cuando puede demostrar cobertura completa de datos, reglas justificadas por riesgo, revisión periódica, trazabilidad de cada decisión y capacidad efectiva de detectar operaciones relevantes