Entrada Operativa 7 — Marco normativo y obligaciones operativas en la prevención del fraude, del Ciclo Operativo de Prevención e Investigación del Fraude en el Sector Financiero

 

Entrada Operativa 7 — Marco normativo y obligaciones operativas en la prevención del fraude

Ciclo Operativo de Prevención e Investigación del Fraude en el Sector Financiero

1. Resumen ejecutivo del riesgo

El marco normativo que rodea la prevención y detección del fraude en el sector financiero es amplio, complejo y en constante evolución. Afecta a cómo se verifica la identidad, cómo se toman decisiones automatizadas, cómo se gestionan incidentes, cómo se supervisa la externalización y cómo se documentan los controles. En financiación al consumo, donde la rapidez operativa convive con obligaciones estrictas de diligencia, cualquier incumplimiento normativo puede traducirse en sanciones, litigios, pérdida de confianza y fallos estructurales en el sistema de control. Para Compliance, este riesgo exige una supervisión transversal que asegure coherencia entre procesos, tecnología y obligaciones legales.

2. Mapa del proceso afectado

El marco normativo impacta en todas las fases del ciclo de vida del cliente:

• Onboarding: verificación de identidad, biometría, tratamiento de datos, decisiones automatizadas.
• Originación: evaluación de solvencia, transparencia, scoring, reglas antifraude.
• Formalización: autenticación reforzada, firma digital, documentación contractual.
• Uso del producto: monitorización de operaciones, detección de patrones anómalos, gestión de incidentes.
• Recobro: tratamiento de datos, trazabilidad, detección de fraude de comportamiento.
• Externalización: supervisión de comercios, agentes y proveedores tecnológicos.
• Gobernanza tecnológica: modelos, algoritmos, explicabilidad, auditoría.
• Investigación: cadena de custodia, derechos del investigado, documentación.

Normativas clave: PSD2, RGPD, LOPDGDD, DORA, NIS2, Ley de Crédito al Consumo, Ley de Servicios de Pago, Código Penal, guías del Banco de España.

3. Escenarios operativos típicos

• Decisiones automatizadas sin explicabilidad: scoring antifraude que rechaza solicitudes sin justificar criterios. Consecuencia: riesgo regulatorio por incumplimiento del RGPD.
• Externalización sin supervisión: comercios o agentes que aplican controles deficientes. Consecuencia: responsabilidad de la entidad por fallos de terceros.
• Falta de autenticación reforzada: operaciones aprobadas sin cumplir requisitos de PSD2. Consecuencia: responsabilidad en operaciones no autorizadas.
• Tratamiento excesivo de datos: recopilación de información no necesaria para el fin antifraude. Consecuencia: infracción del principio de minimización.
• Modelos sin gobernanza: cambios no documentados, variables sensibles, falta de validación. Consecuencia: sanciones y fallos operativos.
• Incidentes no notificados: brechas de seguridad o fallos de control sin comunicación a supervisores. Consecuencia: incumplimiento de DORA/NIS2.

La normativa no solo impone obligaciones: define la arquitectura mínima de un sistema antifraude maduro.

4. Controles esperados

Primera línea

• Verificación de identidad conforme a normativa: biometría, OCR, autenticación reforzada.
• Evaluación de solvencia y transparencia: cumplimiento de la Ley de Crédito al Consumo.
• Controles documentales y de coherencia: trazabilidad y evidencia de cada validación.
• Supervisión de puntos de venta: cumplimiento de obligaciones informativas y antifraude.
• Gestión de incidentes: registro, clasificación y escalado conforme a DORA/NIS2.

Segunda línea

• Supervisión normativa transversal: revisión de procesos, modelos y decisiones automatizadas.
• Gobernanza de modelos: documentación, validación, explicabilidad, control de versiones.
• Protección de datos: minimización, proporcionalidad, DPIA cuando proceda.
• Supervisión de externalización: contratos, controles, auditorías y reporting.
• Trazabilidad documental: evidencias de cumplimiento en cada fase.
• Evaluación del riesgo penal: controles para evitar responsabilidad de la persona jurídica.

La supervisión normativa debe ser continua, no reactiva, y alineada con cambios regulatorios.

5. Fallos estructurales más frecuentes

• Falta de explicabilidad en decisiones automatizadas.
• Externalización sin controles adecuados sobre comercios y agentes.
• Modelos antifraude sin documentación ni validación periódica.
• Tratamiento excesivo o inadecuado de datos personales.
• Incumplimiento de requisitos de autenticación reforzada.
• Ausencia de trazabilidad en procesos críticos.
• Falta de notificación de incidentes operativos o de seguridad.
• Incentivos comerciales que contradicen obligaciones normativas.

6. Indicadores clave (KPIs y KRIs)

• Porcentaje de decisiones automatizadas con explicación disponible.
• Número de incidentes notificados vs. incidentes detectados.
• Ratio de auditorías negativas en puntos de venta o agentes.
• Frecuencia de actualización de modelos y reglas.
• Número de expedientes sin trazabilidad documental completa.
• Incidencias relacionadas con protección de datos.
• Tiempo medio de respuesta ante incidentes operativos.
• Porcentaje de proveedores evaluados conforme a DORA/NIS2.

7. Checklist de revisión operativa

• ¿Las decisiones automatizadas cumplen requisitos de explicabilidad?
• ¿Se aplica autenticación reforzada conforme a PSD2?
• ¿Los modelos antifraude están documentados y validados?
• ¿Se supervisa adecuadamente la externalización?
• ¿Se cumplen principios de minimización y proporcionalidad en datos?
• ¿Existen evidencias de trazabilidad en onboarding y originación?
• ¿Se notifican incidentes conforme a DORA/NIS2?
• ¿Se evalúan riesgos penales derivados de fallos de control?
• ¿Los incentivos comerciales están alineados con la normativa?

8. Recomendaciones de mejora

• Implementar un marco robusto de gobernanza de modelos y decisiones automatizadas.
• Reforzar controles sobre externalización con auditorías y reporting periódico.
• Realizar DPIA para procesos con biometría, IA o decisiones automatizadas.
• Mejorar trazabilidad documental en todas las fases del proceso.
• Establecer un comité normativo que supervise cambios regulatorios.
• Integrar DORA y NIS2 en la gestión de incidentes y resiliencia operativa.
• Revisar incentivos comerciales para alinearlos con obligaciones normativas.
• Formar a empleados y agentes en obligaciones legales y riesgos asociados.

9. Riesgos emergentes asociados

• Regulación más estricta sobre IA y decisiones automatizadas.
• Nuevas obligaciones de resiliencia operativa bajo DORA.
• Mayor escrutinio sobre externalización tecnológica y puntos de venta.
• Evolución de requisitos de autenticación y verificación de identidad.
• Incremento de sanciones por fallos en protección de datos.
• Nuevas expectativas supervisoras sobre gobernanza de modelos.

Estos riesgos anticipan un entorno donde la gobernanza tecnológica será tan importante como los controles tradicionales.

10. Documentación y evidencias necesarias

• Políticas de protección de datos, decisiones automatizadas y gobernanza de modelos.
• Procedimientos de onboarding, originación y autenticación reforzada.
• Registros de controles aplicados y trazabilidad documental.
• Informes de validación de modelos y reglas.
• Contratos y auditorías de proveedores y puntos de venta.
• Registros de incidentes y notificaciones regulatorias.
• DPIA y evaluaciones de impacto normativo.
• Actas de comités de riesgos, Compliance y tecnología.

Esta Entrada Operativa 7 consolida el marco normativo como una dimensión operativa esencial, conectando obligaciones legales con procesos, tecnología y cultura de control.