Un sistema de cumplimiento debe permitir reconstruir qué información se conocía, qué señal se detectó y qué decisión se tomó. La auditoría revisa si los controles son adecuados y funcionan. Ambas piezas se complementan, pero adquirir una herramienta no sustituye la revisión independiente ni demuestra que la organización cumple todas sus obligaciones.
El Acuerdo 115/2026 desarrolla funciones mínimas de los mecanismos automatizados y condiciones para la auditoría de quienes realizan Actividades Vulnerables. La preparación debe comenzar por procesos y datos: un sistema alimentado con clientes duplicados, operaciones incompletas o reglas sin actualizar puede producir resultados ordenados y aun así incorrectos.
Qué debe permitir el mecanismo automatizado
El artículo 41 exige adecuación razonable al volumen, naturaleza, complejidad y riesgo. Entre sus funciones se encuentran consultar y actualizar expedientes, consolidar operaciones de un mismo cliente, apoyar la metodología de riesgos, ejecutar la clasificación y conservar historiales, generar alertas y monitorear el uso de efectivo y metales preciosos para el cumplimiento correspondiente.
Para evaluar una herramienta, traduzca cada función a una demostración verificable. Pregunte cómo identifica a un mismo cliente en distintas operaciones, cómo conserva un cambio de riesgo y cómo recupera la información anterior. Una pantalla de indicadores no responde esas preguntas por sí sola.
- Compruebe la correspondencia entre expediente, cliente y operaciones consolidadas.
- Verifique que las reglas y parámetros utilizados tengan responsable y versión.
- Revise si se conservan los cambios históricos de riesgo y perfil transaccional.
- Pruebe alertas con casos conocidos y documente su análisis y cierre.
- Confirme que la información puede consultarse y exportarse para revisión, con controles de acceso apropiados.
El artículo 41 establece conservación no menor a diez años para los historiales de modificaciones de riesgo y perfil. Un respaldo técnico ayuda, pero la organización también necesita poder encontrar y comprender esos registros.
Pruebas antes de confiar en los resultados
Como práctica de implementación, use un conjunto pequeño de casos de prueba con resultados esperados. Incluya un cliente duplicado, una operación fuera del perfil, un cambio de clasificación y un dato incompleto. Compare los resultados con el manual y registre las diferencias.
No utilice clientes reales innecesariamente para estas pruebas. Los ejemplos pueden ser ficticios y estar identificados como tales. La finalidad es verificar el comportamiento del proceso y evitar que una demostración comercial se confunda con evidencia de operación efectiva en la organización.
Cuándo puede intervenir auditoría interna
El artículo 44 permite que el dictamen sea emitido por auditoría interna o control interno cuando el riesgo de quien realiza la actividad sea bajo o medio, bajo las condiciones del artículo. El personal debe ser independiente del representante encargado de cumplimiento, conocer los procesos y contar con la acreditación de capacitación anual prevista.
La independencia merece una revisión concreta. No basta cambiar el nombre del puesto si la misma persona diseña, opera y luego evalúa su propio trabajo sin separación suficiente. Documente quién revisará, qué relación tiene con los procesos y cómo accederá a la evidencia.
Cuándo corresponde auditor externo
El artículo 45 exige una persona auditora externa independiente cuando el riesgo sea alto o cuando así se elija. Establece requisitos de formación, experiencia, certificación vigente de la UIF y ausencia de determinados impedimentos y conflictos de interés. La contratación debe comprobar esas condiciones; no basta que el proveedor se presente como especialista.
Los artículos 46 a 49 desarrollan el alcance de la revisión, metodología, resultados y acciones correctivas. La auditoría debe aportar información para mejorar procesos y herramientas. Un hallazgo necesita responsable y plazo, y su cierre debe apoyarse en evidencia de corrección.
Prepare un expediente de auditoría durante el año
Organice la documentación conforme se genera: versiones del manual, metodología y resultados, expedientes, registros de operaciones, alertas atendidas, capacitación, controles y seguimiento de hallazgos. Un índice con responsables facilita localizar los documentos y detectar vacíos antes de la revisión.
Por ejemplo, si una alerta se cerró porque el cliente explicó una variación, el auditor debería poder encontrar la señal, la información obtenida y la decisión. Si solo existe el estado «cerrado», falta contexto para evaluar la efectividad del control. El ejemplo muestra una necesidad de trazabilidad, no un formato oficial obligatorio.
Dos fechas distintas para planear
El transitorio noveno exige contar con los mecanismos automatizados a más tardar el 1 de junio de 2027 y que contengan la información de operaciones realizadas desde esa fecha. El octavo establece como primer periodo de revisión de auditoría el comprendido entre el 1 de enero y el 31 de diciembre de 2028. Ese periodo no debe confundirse con una fecha universal de entrega del dictamen.
El calendario permite preparar datos, controles y evidencia antes de la primera revisión. Coordine el trabajo con el perfil transaccional, la evaluación de riesgos y la capacitación PLD.
Preguntas frecuentes
¿Comprar software garantiza el cumplimiento?
No. Es necesario comprobar sus funciones, calidad de datos, configuración y uso efectivo, además de atender las demás obligaciones aplicables.
¿Todas las organizaciones necesitan auditor externo?
El artículo 44 contempla auditoría interna o control interno para riesgo bajo o medio bajo sus condiciones. El artículo 45 exige auditor externo independiente para riesgo alto o cuando se elija esa opción.
¿El primer periodo de auditoría es la fecha de entrega del dictamen?
No. El transitorio octavo identifica el periodo que será revisado. La emisión, presentación y demás condiciones deben analizarse en las disposiciones correspondientes.
Fuentes y alcance
Base normativa: Acuerdo 115/2026, artículos 41 a 49 y transitorios octavo y noveno. Las pruebas y el índice documental son recomendaciones operativas; no constituyen una auditoría ni una recomendación de compra de software.
Convierta estos criterios en un proceso aplicable a su organización
CKM Core puede acompañarle en la revisión de riesgos, responsabilidades y evidencia de su programa de cumplimiento.
Conversar con CKM Core