Los procesos fragmentados entre las áreas de prevención de lavado de dinero, fraude y ciberseguridad, así como el uso de herramientas de inteligencia artificial sin controles de gobernanza, se han posicionado entre los principales riesgos operativos para las fintech, fue el tema central del webinar «Riesgos invisibles en la operación digital», organizado por IQSEC y FinTech México.
Para Maribel Vázquez, directora general de GMC360, consultoría especializada en prevención de lavado de dinero, la falta de comunicación entre las áreas de cumplimiento, fraude y ciberseguridad, combinada con el uso de herramientas de IA no autorizadas o cuentas personales para procesar información de clientes, incrementa los llamados «riesgos invisibles», es decir, amenazas que los sistemas internos no detectan porque cada área identifica anomalías de forma aislada.
El uso de herramientas de IA fuera de los canales autorizados puede exponer datos confidenciales, romper los controles de seguridad establecidos por la organización y dificultar la trazabilidad de las decisiones tomadas.
A ello se suma que los ciberdelincuentes emplean inteligencia artificial y deepfakes para crear identidades sintéticas capaces de superar procesos de validación cuando estos permanecen fragmentados entre distintos proveedores o áreas de una organización.
Vázquez explicó que cada control puede detectar pequeñas anomalías, pero al operar de forma aislada ninguna área obtiene una visión completa del fraude. “Cuando las áreas trabajan en silos, pequeñas alertas que por separado parecen irrelevantes pueden convertirse en fraudes, operaciones de lavado de dinero o incidentes de ciberseguridad”, explicó.
Negocio y cumplimiento: el equilibrio pendiente
A la fragmentación y al uso indebido de la IA se suma la tensión entre negocio y cumplimiento. Mientras las áreas comerciales buscan procesos con menos pasos para mejorar la experiencia del usuario, las áreas de cumplimiento requieren más controles para verificar la identidad y el nivel de riesgo de los clientes.
En ese sentido, Vázquez advirtió que un error frecuente consiste en permitir que clientes clasificados como de alto riesgo comiencen a operar antes de completar la Debida Diligencia Reforzada (DDR), un proceso de verificación adicional que exige recopilar, validar y documentar información complementaria antes de iniciar la relación comercial.
Otro riesgo, es configurar los sistemas para reducir los llamados «falsos positivos» —alertas que finalmente no corresponden a un fraude o una operación ilícita— haciéndolos menos sensibles. Esto puede provocar que las plataformas pasen por alto las primeras señales de actividades sospechosas y detecten el problema cuando ya es demasiado tarde
Ante esta situación recomendó diseñar matrices de riesgo adaptadas a cada institución y no replicar modelos de otras empresas. «Creo que hay un gran reto para todos en el tema de diseñar las matrices de riesgo adecuadas para la entidad con la que estamos trabajando; no te sirve la de tu vecino de enfrente, tiene que ser específica para ti”, dijo.
También señaló que otro de los puntos más débiles sigue siendo la identificación del propietario real de las empresas y las inconsistencias entre la actividad económica declarada por los clientes ante la autoridad fiscal y la información proporcionada a la institución financiera.
“Dicen, ‘Ah, bueno, pues es el director general, ahí ponlo’ y listo. Como si fuera un checklist y realmente no nos tiramos a analizar cuál es el riesgo de no identificar adecuadamente a este propietario real”, detalló.
Ingeniería social: el eslabón más débil
Más allá de las vulnerabilidades tecnológicas, Vázquez advirtió que los defraudadores explotan cada vez más la psicología humana mediante técnicas de ingeniería social.
Explicó que dos de las principales señales de alerta son el «sentido de urgencia», cuando el atacante presiona a la víctima para actuar de inmediato, y la «vergüenza» para pedir más información o cuestionar una instrucción, factores que suelen desactivar los protocolos internos de seguridad.
La especialista también recomendó establecer políticas claras sobre el uso de herramientas de inteligencia artificial, evitar que los colaboradores procesen información de clientes con cuentas personales y documentar las decisiones tomadas con IA para garantizar su trazabilidad durante auditorías o procedimientos legales.
Asimismo, llamó a fortalecer la documentación de las actas de cumplimiento, ya que constituyen una de las principales evidencias para demostrar el seguimiento de clientes de alto riesgo y las decisiones de los comités de cumplimiento.
Como parte de las medidas de prevención, concluyó que las fintech deben fortalecer la comunicación entre las áreas de cumplimiento, prevención de fraude y ciberseguridad, además de capacitar continuamente a su personal para detectar nuevas tácticas de ingeniería social, fraude digital e identidades sintéticas.
