Un expediente que no se encuentra, que no se puede probar o que se conservó de más es un hallazgo de auditoría. Seis prácticas de gestión documental para entidades reguladas y un simulacro de tres preguntas para comprobar que funcionan.
Cuando un supervisor o un auditor pide el expediente de un cliente, no revisa su política: revisa si usted puede entregarlo completo, demostrar quién lo ha tocado y explicar qué se hizo con lo que ya no necesitaba. La gestión documental es la parte del programa de cumplimiento donde las intenciones se vuelven evidencia.
Qué le pide realmente la norma a su archivo
El estándar internacional lo resume en pocas líneas. La Recomendación 11 del GAFI pide conservar durante al menos cinco años los registros de las transacciones, suficientes para reconstruirlas, y la información obtenida en la debida diligencia (copias de identificación, archivos de cuenta, correspondencia y resultados de los análisis), contados desde el fin de la relación comercial o desde la fecha de la operación ocasional. Además, esos registros deben poder ponerse a disposición de las autoridades competentes con rapidez.
Dos precisiones. Primero, cinco años es un mínimo del estándar: la ley de su país puede exigir más, y esa es la cifra que manda. Segundo, conservar de más también es un riesgo. Los principios de protección de datos, como la limitación del plazo de conservación del artículo 5(1)(e) del RGPD, piden no guardar datos personales más tiempo del necesario para su finalidad. El archivo de cumplimiento vive entre dos fuerzas: guardar lo que la norma exige y no guardar más de lo que pueda justificar.
Seis prácticas que sostienen un archivo auditable
1. Un inventario de dónde vive cada documento. Liste los tipos de documento (identificación, comprobante de domicilio, declaración de beneficiario final, resultados de listas, correspondencia) y su ubicación real. Los expedientes repartidos entre correo, carpetas compartidas y el sistema central son una causa habitual de expedientes incompletos.
2. Clasifique al ingresar, no después. Cada documento debe entrar con metadatos mínimos: cliente, tipo, fecha, nivel de riesgo y clase de retención. Si la clasificación depende de que alguien ordene el archivo "cuando haya tiempo", no ocurrirá.
3. Calcule la fecha de eliminación desde el inicio. La retención corre desde un evento, como el fin de la relación, y no desde la fecha de carga. Guarde el evento, calcule la fecha y trate la eliminación como un proceso con aprobación y evidencia, no como una limpieza informal.
4. Registre quién hizo qué. Un registro de auditoría debe responder quién consultó, modificó, descargó o eliminó un documento, y cuándo, y no debe poder editarse. Conserve también las versiones: lo que se aportó en el alta puede no ser lo vigente hoy.
5. Acceso por rol y mínimo privilegio. Quien revisa alertas no necesita editar expedientes, y quien carga documentos no necesita descargarlos todos. Si gestiona varias entidades o unidades, separe los datos de cada una.
6. Firma y consentimiento que se puedan demostrar. Contratos, autorizaciones y consentimientos firmados electrónicamente son evidencia solo si conserva también el rastro de la firma: quién firmó, cuándo y sobre qué versión del documento.
Un simulacro de tres preguntas
Para comprobar que esto funciona, elija un cliente al azar y responda en una jornada de trabajo:
- ¿Puede entregar su expediente completo, sin recorrer cinco sistemas?
- ¿Puede mostrar quién accedió a cada documento o lo modificó?
- ¿Puede explicar qué se eliminó y por qué, o qué fecha de eliminación le corresponde?
La meta de "una jornada" es un criterio interno que proponemos, no un plazo fijado por una norma. Si alguna respuesta es "no", ya tiene la prioridad del próximo trimestre.
Dónde encaja nuestra plataforma
En GlobalKYCS ofrecemos digitalización y almacenamiento seguro de documentos y desarrollamos Global Documents Manager, una plataforma de gobernanza documental y gestión digital de casos. Según su descripción, incluye clasificación automática con IA, políticas de retención y disposición, un registro de auditoría inmutable, firma electrónica, búsqueda de texto completo y acceso por roles en entornos multi-inquilino. Es un producto nuestro, así que lea este párrafo como una descripción y no como una comparación: cualquier herramienta sirve si cubre las seis prácticas anteriores y puede demostrarlo en el simulacro.
Una herramienta no sustituye la política: la hace ejecutable. Y si sus procesos incorporan agentes de IA, la trazabilidad pesa todavía más; lo analizamos en nuestro artículo sobre el marco KYA.
Lista de verificación
- Inventario de tipos de documento y ubicaciones, actualizado este trimestre.
- Metadatos mínimos obligatorios al cargar: cliente, tipo, fecha, riesgo y clase de retención.
- Política de retención con el evento que activa el plazo y el plazo exigido en su jurisdicción.
- Proceso de eliminación con aprobación y evidencia.
- Registro de auditoría no editable y versiones de cada documento.
- Permisos por rol revisados al menos una vez al año.
- Simulacro de tres preguntas documentado y repetido con una periodicidad definida.