La obligación de conservar
El artículo 10 Septies 3 obliga a conservar la información y la documentación generada con motivo del enfoque basado en riesgos por al menos diez años, y a proporcionarla al SAT o a la UIF cuando la requieran.
La misma exigencia aparece para los registros históricos de las modificaciones en el grado de riesgo y en el perfil transaccional de cada cliente. No basta con el dato de hoy: hay que poder decir qué grado tenía el cliente hace dos años y por qué.
Qué significa trazabilidad
Una evaluación de riesgo sin desglose no es evidencia. Ante un requerimiento hay que poder reproducir la calificación: qué indicadores se respondieron, con qué puntaje, con qué pesos, qué mitigantes se restaron y qué versión de la metodología estaba vigente ese día.
Por eso la metodología se versiona en lugar de editarse. Si se corrige un peso hoy, las evaluaciones de ayer deben seguir explicándose con los pesos de ayer. De lo contrario, el historial se vuelve una afirmación sin respaldo.
Lo mismo vale para el expediente. El artículo 21 obliga a verificar cuando menos una vez al año que los expedientes de los clientes con relación de negocios estén completos y actualizados. Esa verificación también deja rastro.
La revisión de la propia metodología
El artículo 10 Septies 3 pide revisar y actualizar el cumplimiento y los resultados del enfoque basado en riesgos cuando se detecten nuevos riesgos, cuando se actualice la Evaluación Nacional de Riesgos, o dentro de los doce meses siguientes a contar con los resultados de su implementación. Y añade una condición sobre la forma: esas revisiones deben constar por escrito y estar a disposición del SAT.
El mismo artículo prevé que el SAT señale los ajustes necesarios a la metodología o a los mitigantes, y que solicite un plan de acción cuando la administración de riesgos no sea adecuada.
La auditoría
El Capítulo XIV introduce la auditoría. El primer periodo de revisión corre del 1 de enero al 31 de diciembre de 2028, conforme al transitorio Octavo, y el dictamen se elabora con una metodología que permita al auditor conocer al auditado y evaluar obligación por obligación.
El dictamen califica cada obligación, y una de las calificaciones posibles es no cumple, que se emplea cuando el cumplimiento no cubre los elementos necesarios. La auditoría no pregunta si existe un documento: pregunta si el control operó durante el periodo.
La consecuencia práctica
La evidencia no se produce el día del requerimiento. Se produce mientras se opera, si el sistema con el que se opera la va dejando: quién capturó, cuándo, qué cambió, con qué fundamento y con qué versión de la metodología.
Ese es el criterio con el que está construido Argos: cada movimiento queda asentado en una bitácora que no admite borrado ni modificación, y cada evaluación conserva su propio desglose. Cumplir es la mitad; la otra mitad es poder demostrarlo.
Este texto cita los artículos en los que se apoya para que puedas verificarlos. No sustituye una asesoría sobre tu caso concreto.
Agendar una demostración