Pregúntele a un oficial de cumplimiento para qué está realmente diseñado su programa AML/CFT, y la respuesta honesta suele ser “aprobar el examen”. Durante años, las instituciones financieras han construido sus programas AML en torno a ese objetivo, aun cuando la Ley de Secreto Bancario (Bank Secrecy Act) siempre exigió un enfoque basado en riesgo. Las políticas, los procedimientos, las pruebas independientes, la capacitación de empleados y las estructuras de gobernanza se convirtieron en la lista de verificación que los examinadores esperaban: un modelo estandarizado construido para satisfacer a los examinadores en lugar de reflejar los riesgos que realmente enfrenta cada institución.

La norma propuesta por FinCEN para modernizar los programas AML/CFT es una respuesta directa a esa dinámica.

De un vistazo:

• FinCEN emitió el NPRM (Aviso de Propuesta de Reglamentación) el 7 de abril de 2026, en reemplazo de una propuesta anterior de 2024; se publicó en el Federal Register el 10 de abril de 2026.
• La propuesta separa las deficiencias del programa en “establecimiento” (diseño) y “mantenimiento” (ejecución), un marco de dos vertientes destinado a enfocar la acción supervisora en fallas significativas o sistémicas.
• Las instituciones obtienen mayor discreción sobre el diseño del programa, pero se espera que justifiquen sus decisiones con un fundamento defendible y basado en riesgo.
• El período de comentarios públicos cierra el 9 de junio de 2026; FinCEN ha indicado una ventana de implementación de 12 meses tras la emisión de la norma final.
• Tres de los cuatro reguladores bancarios federales —la OCC, la FDIC y la NCUA— emitieron una propuesta paralela y alineada; la Junta de la Reserva Federal no se sumó.

El 7 de abril de 2026, la Red de Control de Delitos Financieros (FinCEN, por sus siglas en inglés) emitió un Aviso de Propuesta de Reglamentación (NPRM) que reescribiría los requisitos de los programas AML/CFT bajo los cuales han operado las instituciones financieras durante décadas [1]. La propuesta reemplaza y retira por completo una propuesta anterior de programa AML que FinCEN había emitido en julio de 2024 [2]. El secretario del Tesoro, Scott Bessent, describió el cambio como un alejamiento de medir el cumplimiento “por el volumen de papeleo” que generan las instituciones, hacia un marco enfocado en “mantener a los malos actores fuera del sistema financiero” [1]. Ese planteamiento proviene del propio anuncio del Tesoro sobre la norma, y las instituciones deberían tratarlo como una declaración de intención de política más que como una descripción técnica neutral de lo que hace la norma: la sustancia operativa está en el marco de dos vertientes y los requisitos de evaluación de riesgo descritos a continuación.

La titularidad del riesgo se traslada al centro

El cambio más trascendente de la propuesta podría ser su énfasis en la titularidad institucional del riesgo. En lugar de apoyarse en listas de verificación prescriptivas, la propuesta refleja la postura de FinCEN de que las instituciones financieras están en la mejor posición para entender los riesgos vinculados a sus propios clientes, productos, servicios, canales de distribución y geografía. Esto coloca la evaluación de riesgo de la institución en el centro de todo el programa AML/CFT.

FinCEN formaliza esto mediante lo que denomina un “marco de dos vertientes”, que separa las deficiencias en la forma en que se diseña un programa (“establecimiento”) de las deficiencias en la forma en que se ejecuta día a día (“mantenimiento”) [3]. Establecer un programa significa construir un marco basado en riesgo alrededor de cuatro pilares obligatorios: políticas, procedimientos y controles internos (incluidos los procesos de evaluación de riesgo y la debida diligencia continua del cliente); pruebas independientes; un oficial de cumplimiento con sede en EE. UU.; y un programa continuo de capacitación de empleados [3]. Mantener un programa significa realmente operarlo de esa manera, en todos los aspectos materiales. Una evaluación de riesgo débil u obsoleta socava ambas obligaciones a la vez.

Para los líderes de cumplimiento, esto eleva la exigencia. Las decisiones sobre monitoreo, debida diligencia, gobernanza y asignación de recursos ahora deben poder remitirse a una visión documentada y defendible de dónde reside realmente el riesgo de la institución.

Los recursos deben seguir al riesgo

La Ley Antilavado de Dinero de 2020 (Anti-Money Laundering Act of 2020) ya exige a FinCEN garantizar que los programas AML/CFT estén basados en riesgo, dirigiendo las instituciones más atención y recursos hacia los clientes y actividades de mayor riesgo, y menos hacia los de menor riesgo [3]. La norma propuesta pone en práctica ese mandato. Históricamente, muchas instituciones han aplicado niveles similares de monitoreo a poblaciones amplias de clientes, en parte para evitar críticas durante los exámenes. Bajo esta propuesta, ese enfoque probablemente no se sostenga.

Se espera que las instituciones dirijan personal, tecnología y recursos de investigación hacia los clientes y actividades de mayor riesgo, mientras aplican controles más ligeros y proporcionales en el resto. FinCEN plantea el objetivo como una reducción de la “carga regulatoria innecesaria” [4], no como más cumplimiento, sino como un cumplimiento existente que sea más eficaz. Esto tiene implicaciones presupuestarias reales: la inversión en tecnología, el diseño del monitoreo de transacciones y los procesos de debida diligencia del cliente deberían basarse en el perfil de riesgo real de la institución, y no en la práctica de sus pares.

Mayor flexibilidad, con mayor responsabilidad

La norma propuesta otorga a las instituciones mayor margen para diseñar y operar sus programas. Un banco comunitario, un banco global, una fintech y un negocio de servicios monetarios operan en entornos de riesgo muy distintos, y la propuesta es explícita en que el diseño del programa debe reflejar esas diferencias. Entre los cambios estructurales, FinCEN propone consolidar en un único estándar las normas de programas bancarios que hoy están separadas, junto con requisitos armonizados —aunque no idénticos— para casinos y negocios de servicios monetarios.

La propuesta también establece que los examinadores y auditores independientes “no deben sustituir con su propio juicio subjetivo” el programa AML/CFT de una institución cuando este está basado en riesgo y razonablemente diseñado [3]. Ese lenguaje apunta directamente a la cultura orientada al examen que la industria ha cuestionado durante años. Cabe destacar que el Director de FinCEN también valoraría “si el banco está empleando herramientas innovadoras, como la inteligencia artificial, que demuestren la eficacia de su programa AML/CFT” al decidir si perseguir una acción de aplicación o supervisión [3]. Esto brinda a las instituciones un margen real para modernizar la infraestructura de cumplimiento heredada.

Esta discreción adicional no debe confundirse con expectativas más bajas. Las instituciones obtienen mayor flexibilidad, pero también se espera que justifiquen las decisiones que toman y demuestren que estas se basan en una comprensión genuina del riesgo.

Vale la pena señalar una nota de coordinación: si bien la OCC, la FDIC y la NCUA emitieron una propuesta paralela alineada con el marco de FinCEN, la Junta de la Reserva Federal no se sumó. Las sociedades controladoras de bancos y las instituciones supervisadas por la Fed deberían estar atentas a si la Junta alinea sus propias expectativas y de qué manera, ya que una divergencia en este punto podría complicar la implementación para instituciones supervisadas por múltiples reguladores.

Una evaluación de riesgo débil genera exposición regulatoria

Dado que la titularidad del riesgo constituye la base del marco propuesto, la calidad de la evaluación de riesgo se convierte en uno de los aspectos que los reguladores examinarán con mayor claridad. Una evaluación obsoleta o mal elaborada puede desviar recursos hacia actividades de bajo riesgo, dejando sin atender una exposición real en el monitoreo de transacciones, la debida diligencia del cliente, el filtrado de sanciones o las investigaciones.

La norma propuesta traza una línea entre las deficiencias menores y las fallas significativas o sistémicas en el mantenimiento de un programa [4]. Bajo el enfoque de supervisión que describe FinCEN, una vez que un banco ha establecido correctamente su programa, FinCEN y los reguladores bancarios federales, en general, no perseguirían acciones de aplicación ni una acción supervisora significativa salvo por fallas graves de implementación, del tipo provocado por recursos inadecuados, controles ineficaces o problemas materiales de datos. La norma también propone un requisito de aviso y consulta: antes de tomar una acción supervisora significativa en materia de AML/CFT contra un banco, los reguladores bancarios federales generalmente deberían dar al Director de FinCEN un aviso escrito con 30 días de anticipación [3]. En la práctica, las instituciones ya no son evaluadas únicamente por la existencia de controles. Se les evalúa por si esos controles se corresponden con el riesgo real y producen resultados.

Qué deberían hacer a continuación las instituciones financieras

FinCEN ha indicado una ventana de implementación de 12 meses una vez que se emita la norma final [5], lo que otorga a las instituciones un plazo real, aunque no ilimitado, para prepararse. En lugar de esperar el texto final, las instituciones deberían comenzar a trabajar en lo siguiente:

• ¿Nuestra evaluación de riesgo a nivel empresarial refleja con precisión nuestros productos, clientes, geografías y canales de distribución actuales?
• ¿Los recursos de cumplimiento se asignan de acuerdo con nuestras exposiciones de mayor riesgo?
• ¿Podemos explicar y documentar con claridad por qué se implementaron controles específicos?
• ¿Las Prioridades AML/CFT están incorporadas en nuestros procesos de evaluación de riesgo, monitoreo, investigaciones y gobernanza?
• ¿Estamos utilizando tecnología y análisis de datos para mejorar la eficacia del programa de una manera que podamos defender ante un examinador?

Trabajar estas preguntas ahora, en lugar de después de que la norma final entre en vigor, es lo que distingue a las instituciones que tratan esto como una simple actualización documental de aquellas que construyen algo genuinamente basado en riesgo.

Cómo puede ayudar Integro Advisers

Cumplir con el estándar que fija el NPRM requiere una mirada honesta y externa sobre dónde se encuentra realmente un programa de cumplimiento. Integro Advisers trabaja con bancos precisamente en este tipo de preparación: evaluando si una evaluación de riesgo a nivel empresarial refleja genuinamente los productos, clientes y geografías actuales; validando que los modelos de monitoreo de transacciones y filtrado estén ajustados a ese perfil de riesgo y no a umbrales heredados; y revisando los controles internos y los procesos de debida diligencia para confirmar que resistirían bajo el nuevo marco de establecimiento y mantenimiento. Para las instituciones que aún están decidiendo si esta norma implica una actualización documental o una revisión real, ese tipo de evaluación independiente suele ser la forma más rápida de averiguarlo.