Mi empresa detecta una operación sospechosa: ¿qué deberíamos hacer internamente?

¿Tienes razón?

Detectar una operación anómala no es lo mismo que tener indicios de blanqueo. Lo que importa son cuatro cosas: la existencia de un procedimiento AML aplicable en tu empresa, si la operación encaja en los perfiles de riesgo previstos, la disponibilidad de documentación que explique la operación y si hay factores agravantes (uso de cuentas de terceros, pagos en efectivo por importes desproporcionados, desvío de mercancías, identificación falsa de cliente). Si la empresa tiene un manual de prevención y sigue sus pasos, la decisión de comunicar o no se basará en la valoración del responsable de cumplimiento.

La empresa debe evaluar la operación con criterios objetivos y documentados. Si el responsable interno (o el oficial de cumplimiento) considera que los indicios son suficientes, la conducta habitual es elaborar un informe interno motivado. Si la valoración confirma indicios de posible delito, la obligación puede incluir remitir la información a la unidad competente o, según proceda, colaborar con las autoridades. Hacer desaparecer rastros, modificar registros o no informar constituye un riesgo penal para quienes gestionan la prevención.

Cómo se soluciona

1. Activa el protocolo interno de AML: notifica al responsable de cumplimiento o persona designada. No borres ni modifiques registros relacionados con la operación.

1. Reúne la prueba interna: contratos, órdenes de compra, comunicaciones con el cliente, registros de entrega, tickets, movimientos bancarios y cualquier correo electrónico o chat que pueda acreditar la cadena económica.

1. Realiza una evaluación de riesgo escrita: quién es el cliente, actividad declarada, origen de fondos, patrones atípicos y posible vulneración de medidas de diligencia debida. Adjunta las fuentes consultadas (bases públicas, plataformas de verificación, listas internas).

1. Decide la actuación: archivo con seguimiento, medidas de mitigación (refuerzo de verificación de cliente, límites temporales) o comunicación externa a la unidad competente. La decisión debe quedar documentada y motivada.

1. Si se decide comunicar, prepara la información de forma estructurada: hechos, documentos adjuntos, motivos de sospecha y datos de identificación involucrados. La comunicación debe ser precisa y proporcional al riesgo identificado.

Acciones internas realizables sin abogado: activar el protocolo, recopilar documentación y emitir la evaluación motivada. Necesitarás asesor externo si la operación implica a administradores, si la empresa corre riesgo de responsabilidad penal, o si existen indicios de delitos complejos que requieran defensa especializada.

Qué puede pasar

1) El asunto se cierra internamente tras una comprobación: la empresa documenta la revisión, aplica medidas de mejora y no remite información fuera. Es lo más habitual cuando hay explicaciones plausibles.

2) Se adopta una solución con medidas de control: la empresa establece condiciones para futuras operaciones con ese cliente, como comprobación reforzada de identidad o límites de operaciones. Esta vía evita escaladas y protege a la empresa frente a responsabilidades.

3) Se comunica a la autoridad y se inician diligencias. Si la unidad competente ve indicios suficientes, puede solicitar información adicional, abrir expediente o coordinar con autoridades judiciales. En esos casos, la empresa debe cooperar pero también proteger sus derechos; por ejemplo, gestionando la confidencialidad y evitando declaraciones improvisadas.

Si la comunicación lleva a una investigación y la empresa resulta exculpada, la reputación puede sufrir por el tiempo de investigación; la compañía podrá solicitar la retirada de anotaciones si procede y estudiar acciones por daños si la comunicación fue negligente o malintencionada.

Errores que arruinan el caso

• No seguir el procedimiento interno: actuaciones dispersas sin registro escrito dificultan demostrar diligencia.
• Borrar o alterar documentación relacionada con la operación.
• No formar al personal que detecta las señales de alarma, con lo que la primera valoración queda mal fundada.
• Comunicar sin una evaluación mínima: remitir información incompleta o confusa a la autoridad puede generar responsabilidad o denuncias por vulneración de datos.