Externalización y riesgo de terceros
Leer la edición en PDF (4 páginas)
La mayoría de los licenciatarios de DPT externalizan partes esenciales de su infraestructura de cumplimiento: la verificación de identidad, el filtrado de sanciones, el seguimiento de operaciones, la analítica blockchain y la mensajería de la travel rule suelen prestarlas proveedores externos. Las Guidelines on Outsourcing de la MAS (Monetary Authority of Singapore, la autoridad monetaria y supervisora financiera), publicadas por primera vez en 2016 y revisadas en 2018, se aplican a los proveedores de servicios de pago. Exigen un registro de los acuerdos de externalización y una diligencia debida sobre el proveedor antes de contratarlo y periódicamente después. Los contratos escritos deben otorgar derechos de auditoría y de acceso a la entidad y a la MAS. Se exigen medidas de continuidad de negocio, así como la notificación a la MAS de las externalizaciones relevantes.1 Las guidelines abordan también los servicios en la nube y la externalización al extranjero, aspectos importantes para un grupo cuyos sistemas de cumplimiento pueden estar alojados en Suiza o en otro lugar.
La responsabilidad por la función externalizada sigue recayendo en el licenciatario. En la inspección, la MAS pide a la entidad que demuestre que entiende cómo funciona el filtrado o el seguimiento del proveedor y que ha comprobado sus resultados. La entidad debe demostrar que ha ajustado las reglas del proveedor a su propia evaluación de riesgos y que detectaría un fallo del proveedor. Una entidad que no sabe explicar por qué su proveedor de analítica atribuye una dirección a un clúster sancionado, ni cómo se fijaron sus reglas de seguimiento, ha externalizado su criterio además de su procesamiento. La MAS no lo permite.
Elección y gobierno de un proveedor de analítica blockchain
La decisión sobre proveedores que más influye en los resultados de prevención del blanqueo de un licenciatario de DPT es la elección del proveedor de analítica blockchain. Chainalysis, Elliptic, TRM Labs y unos pocos más dominan el mercado, y sus atribuciones difieren. Una misma dirección puede ser calificada de alto riesgo por uno y quedar sin calificar en otro. La atribución depende de la agrupación (clustering) y de la inteligencia propias de cada proveedor. La MAS no ha respaldado a ningún proveedor ni exige uno concreto. Sí espera que la entidad haya evaluado la cobertura del proveedor respecto de las cadenas que la entidad admite, así como su metodología de atribución y sus tasas de error. La latencia de las actualizaciones, las medidas de protección de datos y el propio cumplimiento de sanciones del proveedor forman parte de la misma evaluación.2 Las entidades de mayor tamaño utilizan dos proveedores en paralelo e investigan las discrepancias, lo cual es una buena práctica, aunque costosa. Las más pequeñas deberían, como mínimo, documentar por qué eligieron a su proveedor y contrastar una muestra de atribuciones con fuentes públicas. Sus umbrales de riesgo deberían fijarse conociendo el comportamiento del proveedor en cuanto a falsos positivos y falsos negativos.
Lista de control
Un esquema de analítica blockchain capaz de superar una inspección de la MAS debería incluir lo siguiente. - Una evaluación escrita de la cobertura de cadenas del proveedor frente a los activos que admite la entidad, actualizada cada vez que se incorpora un nuevo activo. - Umbrales documentados de puntuación de riesgo para la exposición directa e indirecta, por categoría (sanciones, darknet, mezcladores, estafas, hackeos, juego), con la justificación de negocio de cada uno. - Pruebas de la verificación periódica de las atribuciones del proveedor frente a una muestra de direcciones conocidas. - Un procedimiento para tratar las atribuciones que la entidad discute, incluido el escalado al proveedor y la documentación del resultado. - Pruebas de integración que demuestren que cada transferencia entrante y saliente se filtra antes de su abono o de su difusión a la red, con registros conservados durante cinco años. - Un acuerdo de tratamiento de datos que cumpla las normas de limitación de transferencias de la PDPA si el proveedor trata datos fuera de Singapur. - La confirmación de que el propio proveedor no está sujeto a sanciones ni ha sido mencionado en actuaciones sancionadoras.
Notas
- MAS, Guidelines on Outsourcing, 27 de julio de 2016, revisadas el 5 de octubre de 2018, aplicables a todas las entidades financieras reguladas por la MAS; la MAS ha sometido a consulta y publicado instrumentos sucesores sobre la gestión del riesgo de terceros para determinados sectores. ↩
- Guidelines to Notice PSN02, apartado sobre el uso de tecnología y herramientas de terceros en la CDD y el seguimiento de operaciones; MAS Information Paper sobre los controles AML/CFT de los proveedores de servicios de DPT, observaciones sobre la gobernanza de la analítica blockchain. ↩
Solo a efectos de información general. Este artículo no constituye asesoramiento jurídico ni fiscal, no sustituye el asesoramiento en un caso concreto y no crea una relación abogado-cliente. Refleja la situación jurídica a fecha de octubre 2026.