Plan de remediación PBC: cerrar los hallazgos con evidencias

De tres sitios, y a menudo de los tres a la vez: del acta de una actuación del SEPBLAC, del informe del experto externo que examina tu sistema y de tu propia revisión interna o auditoría PBC. También aparecen por vía indirecta, cuando un banco corresponsal o un socio te pasa un cuestionario y detecta lagunas.

Lo primero que hacemos es consolidarlos en una única lista, porque suelen venir con lenguajes distintos y duplicidades: lo que el experto llama salvedad y el inspector describe como incumplimiento a veces es el mismo agujero descrito dos veces.

La auditoría mira y diagnostica; la remediación arregla y lo demuestra. Son trabajos distintos y conviene no mezclarlos ni encargarlos por inercia a la misma persona sin pensarlo.

De hecho, el orden lógico es: diagnóstico (auditoría o informe de experto) → plan de remediación priorizado → ejecución con evidencias → verificación independiente del cierre. Si te falta el primer paso, empezamos por ahí; si ya tienes la lista de hallazgos, entramos directamente en el segundo y no te cobramos por volver a descubrir lo que ya sabes.

Un documento fechado que permite a alguien ajeno comprobar, sin tu ayuda, que la acción se hizo. Ejemplos reales: el acta del órgano de control interno que aprueba el procedimiento nuevo, la versión del manual con su fecha de entrada en vigor, la lista de asistencia a la formación, la captura del sistema con el control activado, el expediente de cliente completado con su fecha de revisión o el correo con el que se comunicó el cambio al equipo.

Lo que no es evidencia: un "hecho" en una hoja de cálculo, un correo interno diciendo que se hará y una política aprobada que nadie ha distribuido.

No de golpe ni por orden alfabético. La remediación de cartera se ataca por lotes de riesgo: primero los clientes de mayor riesgo según tu autoevaluación —estructuras societarias opacas, jurisdicciones sensibles, personas con responsabilidad pública, operativa con efectivo o volúmenes anómalos—, después el resto, en oleadas planificadas.

Ese enfoque tiene dos ventajas: reduce el riesgo real antes que el riesgo formal y produce evidencia desde el primer lote revisado. Además permite explicar al supervisor un criterio, que es justo lo que se espera de un sujeto obligado que actúa por riesgo y no por inercia.

El plan se propone desde cumplimiento, pero se aprueba arriba: órgano de administración y órgano de control interno, con acta. Esa aprobación no es burocracia: es lo que convierte una lista de buenas intenciones en un compromiso de la entidad, con recursos asignados y con alguien que responde de cada acción.

Después, el seguimiento vuelve al mismo sitio: cada revisión periódica del estado del plan se lleva al órgano, se documenta qué se ha cerrado y se decide qué hacer con lo que se ha retrasado. Ese ciclo, en actas, es la mitad de la credibilidad del plan.

Sí, y además conviene. Lo que no puedes hacer bajo ningún concepto es tocar la documentación del pasado para que parezca que estaba bien. La remediación se hace hacia adelante, con la fecha real de cada acción, y se documenta como corrección posterior.

Hecha así, es una de las pocas cosas que juegan a tu favor mientras el procedimiento está vivo. Hecha del otro modo, arruina la defensa entera. Lo explicamos con detalle en defensa en expediente sancionador.

Depende de dos variables, y ninguna es el número de hallazgos: el tamaño de la cartera histórica que haya que revisar y la capacidad real del equipo que va a ejecutar. Un plan con muchos hallazgos documentales puede cerrarse rápido; uno con pocos hallazgos, pero que obliga a rehacer miles de expedientes de cliente, es un proyecto de largo recorrido.

Por eso el plan se diseña en oleadas y con hitos parciales verificables: interesa poder demostrar avance sostenido desde el principio, en vez de llegar con todo cerrado el día antes de que alguien pregunte.

Podemos ejecutar los tramos externalizables —revisión y completado de expedientes de cliente, reescritura de procedimientos, formación, preparación de evidencias, seguimiento del plan— y trabajar codo con codo con tu equipo en el resto. Es lo que hacemos en externalización PBC.

Ahora bien, la regla es la de siempre: la responsabilidad no se externaliza. Tu entidad sigue siendo el sujeto obligado, tu órgano de administración sigue aprobando y tu representante ante el SEPBLAC sigue respondiendo. Nosotros aportamos manos, criterio y método; la titularidad del sistema se queda dentro.

Se documenta, que es muy distinto de esconderlo. Hay acciones que dependen de un desarrollo informático, de un proveedor o de una decisión de negocio y que no se resuelven en el plazo previsto. En ese caso se deja constancia del motivo, de la medida compensatoria que aplicas mientras tanto y de la nueva fecha comprometida, aprobada por el órgano correspondiente.

Un plan con un retraso explicado y mitigado es perfectamente defendible. Un plan con un cierre falso, no: es exactamente el tipo de hallazgo que convierte una revisión rutinaria en un problema serio.