· Yair Knijn
El regulador pidió ver su evidencia de cribado. Su sistema mostró una luz verde y nada más.
El MLRO firma el control de selección porque el control se ejecuta. Cada parte es verificada, el panel está verde, la attestación trimestral sube por la cadena. Luego el regulador se sienta para el examen y pide una cosa: muéstreme que seleccionó a esta parte el día que emitió la póliza. El sistema devuelve un indicador de estado. CLEARED. Nada debajo.
Esa es la trampa. Ejecutar el control y probar que el control se ejecutó son dos problemas diferentes, y la mayoría de los programas resuelven solo el primero. La pantalla dispara, se registra una decisión, y el material bruto que la justificó se desecha el momento en que deja de ser operativamente útil. El control existía. La evidencia de que se ejecutó no.
Lo que "muéstreme que seleccionó a esta parte" realmente exige en artefactos
Un examinador no está preguntando si posee una herramienta de selección. Le está pidiendo que reconstruya una decisión específica en un momento específico, lo cual necesita las entradas y el contexto que la produjeron, congelados como estaban. El expediente del caso debe contener:
- El nombre exacto, fecha de nacimiento e identificadores que envió, no la versión depurada en su CRM hoy.
- La respuesta de coincidencia cruda, incluyendo los no-coincidencias, para que quede claro que la ausencia de coincidencia fue probada y no asumida.
- La versión de la lista contra la que se ejecutó la pantalla. Las listas OFAC SDN y consolidadas de la UE cambian constantemente, y "limpio" no significa nada sin decir limpio contra qué.
- La puntuación de coincidencia y el umbral, para que una coincidencia borrosa despejada muestre el número, no solo la conclusión.
- La marca de tiempo y el decisor, la persona o regla que disposed.
Retener la respuesta cruda del proveedor, la versión de la lista y los metadatos de la decisión como una unidad
El fallo común es mantener estos campos, pero dispersos. La decisión vive en la gestión de casos. La respuesta del proveedor vive en un log de API que rota después de 30 días. La versión de la lista no vive en ningún lado, porque el proveedor la gestiona y nunca la registró de su lado. En el momento del examen está uniendo tres medios registros y esperando que las marcas de tiempo coincidan.
Trate el evento de selección como un artefacto inmutable: respuesta cruda, versión de lista, puntuación, umbral, marca de tiempo y decisor escritos juntos, vinculados al caso, en el momento de la pantalla. Una decisión sin su respuesta subyacente es una afirmación. Una decisión combinada con el raw_response y la instantánea de la lista es evidencia, y esa diferencia es todo el examen.
El movimiento de OFAC de 5 a 10 años de retención de registros y por qué su retención debe seguir
Esto dejó de ser un argumento de mejores prácticas en 2025. OFAC emitió una regla interim final, efectiva el 12 de marzo de 2025 y finalizada más tarde ese mes, extendiendo el requisito de retención de registros bajo sus Regulaciones de Informes, Procedimientos y Penalidades de cinco años a diez. Rastrea la extensión del estatuto de limitaciones para violaciones de IEEPA y la Ley de Comercio con el Enemigo a diez años, por lo que OFAC ahora puede mirar hacia atrás el doble de lejos, y debe mantener registros completos y precisos de las transacciones cubiertas durante al menos diez años.
Si su retención de evidencia estaba ajustada a un horizonte de cinco años, la mitad de su ventana de exposición ahora está descubierta. Una póliza emitida en 2026 puede ser examinada contra una designación que se publique en 2034, y la pregunta será qué registró en el momento de la emisión. La rotación de logs, el ciclo de vida de datos del proveedor y la purga de casos deben ser re-verificados contra diez años.
Evidencia de caso inmutable con alcance de tenant como la diferencia entre aprobar y rechazar
La retención es necesaria pero no suficiente. La evidencia también debe ser confiable: no editable después del hecho, no mezclada entre clientes. Un examinador que sospecha que un registro fue reconstruido después de la solicitud trata todo el archivo como no confiable. La inmutabilidad y los límites claros de tenant hacen que el artefacto sea creíble, no solo presente.
InsureGuardAI captura el evento de screening como un registro sellado dentro del workspace de cada cliente: respuesta cruda del proveedor, versión de lista, puntuación, marca de tiempo y decisor escritos juntos y mantenidos durante todo el horizonte de retención, delimitados para que la evidencia de un cliente nunca toque la de otro. Cuando el regulador le pide que demuestre que el screening se ejecutó, el caso responde con el artefacto, no con una luz verde. Vea cómo el workspace mantiene la evidencia del screening.