Screening de sanciones y PEP: cómo hacerlo bien

Qué es el screening de sanciones

El control que evita un delito

El screening de sanciones es el proceso de comprobar si una persona física o jurídica figura en alguna lista oficial de entidades sancionadas antes de hacer negocios con ella. Las sanciones son restricciones impuestas por gobiernos u organismos internacionales a individuos, empresas o países por motivos como terrorismo, proliferación de armas o violación de derechos humanos.

Operar con una entidad sancionada no es una simple mala decisión comercial: es un delito. La evasión de sanciones puede acarrear responsabilidad penal para directivos y multas que, en el caso de grandes bancos, han superado los 8.000 millones de dólares en sanciones individuales impuestas por la OFAC estadounidense.

El screening no es opcional en sectores regulados. La Ley 10/2010 de prevención del blanqueo de capitales obliga a bancos, aseguradoras, inmobiliarias y otros sujetos obligados a comprobar a sus clientes contra las listas antes y durante la relación de negocio. El control debe ser continuo, no solo en el alta.

El screening se apoya en técnicas de inteligencia de fuentes abiertas y forma parte natural de cualquier due diligence de una empresa. No basta con buscar el nombre en Google: hay que cruzarlo contra las fuentes oficiales, con la fecha de actualización controlada y con tolerancia a variantes del nombre. Un screening mal hecho da una falsa sensación de cumplimiento que es peor que no hacer ninguno, porque genera un registro documental que luego demuestra la negligencia.

Las listas de sanciones que debes consultar

No existe una única lista global, y esa es la primera trampa. Cada jurisdicción mantiene la suya, y una operación internacional puede estar sujeta a varias a la vez.

La lista de la OFAC (Office of Foreign Assets Control) del Tesoro estadounidense es la más influyente por el alcance extraterritorial del dólar: su lista SDN (Specially Designated Nationals) afecta a cualquiera que opere en dólares, aunque no sea estadounidense. La lista consolidada de la Unión Europea recoge las sanciones adoptadas por el Consejo. Las listas de la ONU tienen alcance global y son de aplicación obligatoria para los estados miembros.

A estas se suman listas nacionales como la del Reino Unido (OFSI) o la de otros países. Consultar solo una es un error grave: una persona puede estar sancionada por la UE pero no por la OFAC, o viceversa.

OpenSanctions unifica más de 250 fuentes oficiales en un formato consultable con API gratuita, lo que simplifica enormemente el cruce contra todas a la vez. Es la fuente que usa por defecto Lavender Hub para su módulo de sanciones. Aun así, conviene comprobar la fecha de actualización de cada lista, porque un retraso de días puede dejar pasar una designación reciente.

La clave operativa es cruzar simultáneamente contra todas las listas relevantes para tu operación, no de forma secuencial ni parcial. Una verificación de identidad previa asegura además que estás cruzando el nombre correcto y no el de un homónimo.

Qué es una PEP y por qué importa

Persona expuesta políticamente

Una PEP (Persona Expuesta Políticamente) es alguien que ocupa o ha ocupado un cargo público relevante: jefes de estado, ministros, altos cargos judiciales o militares, directivos de empresas públicas y cargos de organizaciones internacionales. La categoría se extiende a sus familiares directos y a sus allegados cercanos.

Ser PEP no es ilegal ni implica sospecha de delito. La lógica es preventiva: las PEP están más expuestas a riesgos de corrupción, cohecho y blanqueo por su capacidad de influir en decisiones públicas. Por eso la normativa exige aplicarles medidas de diligencia reforzada, no rechazarlas.

La Ley 10/2010 y la Directiva europea obligan a identificar si un cliente es PEP y, en ese caso, a obtener la aprobación de la alta dirección, determinar el origen de los fondos y hacer un seguimiento continuo reforzado. Omitir esta identificación es una de las infracciones más sancionadas.

La dificultad está en que no existe una lista oficial universal de PEP: se construyen a partir de fuentes como boletines oficiales, organigramas gubernamentales y bases especializadas. OpenSanctions incluye una amplia cobertura de PEP junto a las sanciones. Detectar a un familiar de una PEP —que comparte apellido pero no cargo— exige análisis, no solo una coincidencia de nombre. Aquí la verificación de identidad online y el análisis de relaciones son decisivos para no marcar a la persona equivocada ni pasar por alto a un allegado.

Coincidencia fonética: el detalle que lo cambia todo

El error técnico más caro del screening es buscar el nombre de forma literal. Los nombres se transliteran de otros alfabetos —árabe, cirílico, chino— de múltiples maneras, y una búsqueda exacta deja pasar el match.

"Mohammed" puede aparecer como "Muhammad", "Mohamed", "Mohamad" o "Muhamed". "Gadafi" convive con "Qadhafi", "Kadhafi" y "Gaddafi". Un sistema que solo busca la cadena exacta no detecta ninguna de estas variantes, y por tanto falla en su única función.

La solución son los algoritmos de coincidencia fonética y aproximada. Soundex y Metaphone codifican los nombres por cómo suenan, no por cómo se escriben. Jaro-Winkler mide la distancia de edición entre dos cadenas y funciona especialmente bien con nombres cortos. Un buen motor de screening combina varios para equilibrar sensibilidad y precisión.

El reto es calibrar el umbral. Demasiado laxo, y todo genera alertas; demasiado estricto, y se escapan variantes. Los sistemas serios permiten ajustar el umbral por nivel de riesgo: más sensible para operaciones de alto importe, más preciso para el screening masivo de bajo riesgo.

Lavender Hub aplica coincidencia fonética por defecto en su módulo de sanciones, cruzando cada variante del nombre contra todas las listas. Esto es exactamente lo que distingue un screening profesional de una simple búsqueda de texto, y lo que la normativa espera cuando exige un control "eficaz". Un control que no contempla variantes fonéticas no es eficaz por definición.

• Soundex: codifica por sonido, ideal para variantes ortográficas
• Metaphone: más preciso que Soundex para nombres no ingleses
• Jaro-Winkler: distancia de edición, óptimo para nombres cortos
• Umbral ajustable por nivel de riesgo de la operación

El problema de los falsos positivos

Cuando el 95% de las alertas no sirven

El mayor coste operativo del screening no son los verdaderos matches, sino los falsos positivos. En muchos sistemas de banca, más del 90% de las alertas generadas resultan ser coincidencias irrelevantes: homónimos, nombres comunes o entidades sin relación con la sancionada.

Cada falso positivo consume tiempo de un analista que debe revisarlo y descartarlo manualmente. Un equipo de cumplimiento puede pasar la mayor parte de su jornada cerrando alertas sin valor, lo que retrasa el onboarding legítimo y satura los recursos. El fenómeno se conoce como "fatiga de alertas", y su peligro real es que un analista saturado acabe cerrando por rutina una alerta que sí era verdadera.

La solución no es subir el umbral hasta que dejen de aparecer alertas —eso genera falsos negativos, que es lo único que la normativa no perdona—. La solución es enriquecer cada alerta con contexto para descartarla con criterio: fecha de nacimiento, nacionalidad, identificadores. Si el sancionado nació en 1960 en Siria y tu cliente en 1985 en España, la coincidencia de nombre se descarta con confianza.

Aquí es donde la cross-verificación aporta más valor. Lavender Hub cruza el match de sanciones con otros datos de la due diligence y asigna un nivel de confianza, lo que reduce drásticamente el número de alertas que un humano debe revisar a mano. El objetivo es que el analista dedique su tiempo a los pocos casos genuinamente dudosos, no a los cientos que la máquina puede descartar con datos.

Screening continuo frente a puntual

Un error de diseño frecuente es tratar el screening como un control de una sola vez, en el alta del cliente. La normativa exige que sea continuo, y la razón es evidente: una persona limpia hoy puede ser sancionada mañana.

Las listas de sanciones se actualizan constantemente. La OFAC añade y retira designaciones casi a diario en respuesta a acontecimientos geopolíticos. Un cliente aceptado hace seis meses puede haber sido incluido en una lista la semana pasada sin que tú lo sepas, y seguir operando con él tras esa designación es una infracción.

El screening continuo re-comprueba periódicamente toda la cartera de clientes contra las listas actualizadas, y genera una alerta cuando alguien que antes estaba limpio aparece en una lista. Esto exige automatización: revisar manualmente miles de clientes cada vez que cambia una lista es inviable.

El seguimiento continuo se integra con el monitoring de entidades: defines qué clientes vigilar y recibes una alerta automática ante cualquier cambio relevante. Lavender Hub permite configurar esta vigilancia con webhooks que notifican en tiempo real cuando una entidad monitorizada aparece en una lista de sanciones o cambia su estado de PEP.

La frecuencia del re-screening depende del riesgo: diaria para carteras de alto riesgo, semanal o mensual para el resto. Lo que no es admisible es no volver a comprobar nunca. Un buen programa de cumplimiento documenta la frecuencia elegida y la justifica según el enfoque basado en riesgo que exige la normativa.

Documentar el screening para la auditoría

Un screening que no se documenta no existe a efectos regulatorios. Cuando el SEPBLAC o el auditor revisan tu programa de cumplimiento, no basta con decir que compruebas a los clientes: hay que demostrarlo con registros.

Cada comprobación debe dejar constancia de qué listas se consultaron, en qué fecha, con qué nombre y variantes, qué alertas se generaron y cómo se resolvió cada una. Si descartaste una alerta como falso positivo, el registro debe explicar por qué —por ejemplo, discrepancia de fecha de nacimiento— para que la decisión sea reconstruible.

Esta trazabilidad protege a la empresa en dos direcciones. Si operaste con alguien que luego resulta sancionado pero que en el momento de la comprobación no estaba en ninguna lista, el registro demuestra que actuaste con diligencia. Y si descartaste correctamente un falso positivo, el registro justifica la decisión ante cualquier revisión posterior.

La documentación manual es tediosa y propensa a lagunas. Las plataformas de screening generan automáticamente este registro con cada consulta, incluyendo la fecha, las fuentes y el resultado. Lavender Hub produce un informe trazable por cada screening, exportable a PDF para el expediente, con el mismo estándar de cadena de custodia que aplica al resto de la due diligence. Aplicar la disciplina de trazabilidad de fuentes abiertas al screening es lo que convierte un control en una defensa jurídica sólida ante una inspección.

Automatizar el screening sin perder rigor

Hacer screening a mano —copiar cada nombre en cada web de cada lista— es inviable a cualquier escala y multiplica el error humano. Automatizar no reduce el rigor; lo aumenta, porque elimina las lagunas de un proceso manual inconsistente.

Una plataforma de screening cruza cada nombre contra todas las listas relevantes simultáneamente, aplica coincidencia fonética, enriquece las alertas con contexto para reducir falsos positivos y genera el registro documental automáticamente. Lo que un analista tardaría minutos en hacer por cliente, y de forma desigual, se resuelve en segundos y de manera uniforme.

La automatización es lo que hace posible el screening continuo de carteras grandes. Comprobar 10.000 clientes cada día contra listas actualizadas solo es factible por software. El analista pasa de ejecutar comprobaciones mecánicas a revisar únicamente las alertas que el sistema no puede descartar con datos.

Esto no elimina el juicio humano en las decisiones de riesgo: lo concentra donde aporta valor. La máquina descarta los cientos de homónimos evidentes; el humano decide sobre los pocos casos genuinamente ambiguos y aprueba las medidas reforzadas para las PEP confirmadas.

Lavender Hub integra el screening de sanciones y PEP con el resto de módulos de investigación, de modo que una sola consulta sobre una empresa cruza sanciones, identifica al titular real, comprueba a sus UBO contra las listas y genera el informe completo. Combinado con el proceso de verificación de identidad, el resultado es un control que cumple la Ley 10/2010, resiste una auditoría y libera al equipo de compliance del trabajo mecánico para que se centre en el criterio.