LA PREVENCIÓN DEL FRAUDE EXTERNO COMETIDO CON IDENTIDADES FALSAS O USURPADAS

Con el tema de “La prevención del fraude externo cometido con identidades falsas y usurpadas”, resumiré el análisis efectuado en los ocho primeros capítulos de este trabajo dedicado a la prevención del fraude.

En el capítulo primero vimos como el fraude podía ser estudiado desde su autoría o desde su objeto. Nosotros lo comenzamos a estudiar desde la autoría, dedicando el primer bloque de temas (los nueve primeros capítulos) al fraude que se comete con identidad falsa o usurpada. Ésta modalidad delictiva ha de ser el primer objetivo de prevención de cualquier empresa financiera, puesto que este tipo de fraude afecta a la supervivencia del negocio.

Estudio del Fraude > Atendiendo a su Autoría > Fraude Externo > Fraude cometido con identidad falsa o usurpada

Existe por tanto una primera obligación preventiva, la de asegurar la identificación de las personas físicas y jurídicas con las que la empresa financiera pretenda operar. De no ser así,  estará poniendo gravemente en riesgo su propia actividad productiva.

Cuando se cometen fraudes con identidades falsas o usurpadas, la empresa victimizada termina desconociendo a sus verdaderos autores,  y por tanto le resulta imposible poder proceder contra ellos. La consecuencia inmediata de este hecho es que  perjuicio ocasionado por el fraude se convierte “ipso facto” en una pérdida.

Pero junto al perjuicio económico inmediato, existen otras tres razones que obligan a las entidades financieras a prevenir de forma especial este tipo de fraudes:

Primera: Por la especial diligencia que deben poner las entidades financieras en la identificación formal de sus clientes, puesto que así lo exige la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo.

Segunda: Porque las identificaciones efectuadas de forma incorrecta pueden dar lugar a responsabilidades penales y administrativas.

Tercera: Porque las suplantaciones de identidad suponen siempre  un coste reputacional, que en ocasiones resulta  superior al perjuicio económico sufrido.

LA PREVENCIÓN DEL FRAUDE DE IDENTIDAD

La prevención del fraude de identidad resulta posible mediante medidas organizativas  que controlen los procesos que afectan al conocimiento de los clientes.

El conocimiento de los clientes obliga a toda la empresa, y no sólo por imperativo legal sino, sobre todo, por pura necesidad empresarial, y ese conocimiento empieza con la identificación de los mismos, que es misión encomendada a los empleados de los departamentos que están en contacto directo con ellos.

Como esta es una obligación que impele a toda la empresa, debería estar establecida por la Alta dirección a través del GOBIERNO CORPORATIVO. En este documento quedarían referenciadas las normas que gestionarán el conocimiento de los clientes, así como la estructura de control que asegurará su cumplimiento.

En los temas anteriores he defendido, por razones de economicidad y homogeneización, que  la normativa interna relativa al conocimiento de los clientes debería sincronizarse con la normativa externa de prevención del blanqueo de capitales y de financiación del terrorismo, evitando así una  duplicación de servicios. Así también se rentabilizaría mucho mejor ésta  estructura de cumplimiento.

Aunque la terminología que estoy utilizando proceda de la legislación sobre prevención del blanqueo de capitales y de la financiación del terrorismo, las entidades financieras han de utilizarla  con un criterio más amplio, que tiene que ver con la actividad general y organizativa de la empresa financiera.

El conocimiento de los clientes pasa a ser así, un objetivo estratégico de la empresa.

En un mundo globalizado como el actual, donde la empresa financiera no está normalmente en contacto directo con los clientes, el conocimiento de los mismos ha de constituir el  requisito necesario para poder establecer  con seguridad, relaciones de negocio y operaciones. Sin este conocimiento, se pondrían en peligro la actividad económica y las obligaciones de cumplimiento.

Para conseguir este conocimiento, las empresas financieras han de establecer los filtros que aparecen en el esquema:

La primera información  que recibe la empresa de sus clientes son los  datos de  identidad y los datos de solvencia. Son, por tanto, los primeros datos críticos que deben ser controlados, mediante  los  filtros:

• COMPROBACIÓN DE LA IDENTIDAD
• COMPROBACIÓN DE LA SOLVENCIA

Hasta ahora nos hemos centrado operativamente sólo en el filtro de la comprobación de la identidad, que sirve para prevenir el fraude cometido con identidades falsas o usurpadas. En el siguiente bloque de estudio nos centraremos en la comprobación de la solvencia, para evitar así el fraude que comenten los clientes con su propia identidad.

El resultado de esta verificación documental a través de ambos filtros,  conformará la INFORMACIÓN PASIVA que alimentará la BASE DE DATOS DE CLIENTES.

Pero para que ésta información pasiva sea valiosa ha de contar con dos cualidades  imprescindibles: CALIDAD y PROPORCIONALIDAD.

La calidad y la proporcionalidad de los datos han de conseguirse durante el establecimiento de las relaciones de negocio. Es por ello por lo que los empleados que están en contacto directo con los clientes han de recibir una formación especializada en esta materia, según hemos visto en los temas anteriores.

El conocimiento de los clientes se completa mediante otros dos filtros internos:

• EL SEGUIMIENTO DE LA OPERATIVA DE ESTOS CLIENTES
• EL CONTRASTE DE LA OPERATIVA REAL, CON LA OPERATIVA DECLARADA POR LOS CLIENTES

Los datos obtenidos de los clientes a través de su operativa, y su contraste con lo declarado en el inicio de la relación, conforman su INFORMACIÓN ACTIVA, que se cederá también a la BASE DE DATOS DE CLIENTES, con lo que se completará el conocimiento de los mismos.

La BASE DE DATOS DE CLIENTES concentra, por tanto, la información pasiva y la información activa de los mismos, convirtiéndose así en uno de los principales activos de la empresa que permiten una mejor rentabilización.

La rentabilización de la BASE DE DATOS DE CLIENTES se perfecciona cuando todos los departamentos de la empresa, los productivos, los de gestión y los de cumplimiento, colocan sus respectivas plataformas tecnológicas en el sistema que controla la base de datos, y se benefician así de la información para sus trabajos en relación con los clientes.

Para que funcione perfectamente todo este mecanismo, la empresa ha de planificar primero, y establecer internamente después, la norma y los procedimientos que obliguen a todos los empleados y departamentos a que la información de los clientes pase de forma adecuada por los cuatro filtros señalados, que han de estar diseñados para dotar de calidad y proporcionalidad la información pasiva y activa de los clientes. Igualmente, la empresa ha de crear una estructura de control para el buen funcionamiento del sistema.

La norma y los procedimientos en relación con los clientes, utilizando la terminología de la legislación sobre prevención del blanqueo de capitales y de la financiación del terrorismo, son los siguientes:

1. NORMA: Política expresa de admisión de clientes
2. PROCEDIMIENTOS:  Medidas de diligencia debida

Y la estructura de control del cumplimiento de la norma y los procedimientos será:

• El Órgano de Control Interno y Comunicación (OCIC), auxiliado por:
• El Servicio de prevención del blanqueo de capitales
• El Servicio de prevención del fraude

El OCIC es el Órgano responsable de preparar el borrador de la política expresa de admisión de clientes y de las reglas que obliguen a filtrar adecuadamente la información de las personas físicas y jurídicas que quieran establecer relaciones de negocio u operar con la empresa financiera.

Esta norma y las medidas de diligencia debida,  servirán para que todos los empleados de la empresa procedan de forma homogeneizada durante la admisión y el conocimiento de los clientes.

Las medidas de diligencia debida son las siguientes:

1. La identificación formal
2. La identificación del titular real
3. El conocimiento del propósito e índole de la relación de negocios
4. El seguimiento continuo de la relación de negocios

Tanto para el borrador de la  POLÍTICA EXPRESA DE ADMISIÓN DE CLIENTES, como para el borrador de las MEDIDAS DE DILIGENCIA DEBIDA, el OCIC ha de tener en cuenta en su trabajo no sólo la normativa sobre prevención del blanqueo de capitales y de la financiación del terrorismo, sino también cualquier otra normativa de obligado cumplimiento, así como  los propios intereses de la empresa que estarán manifestados en los documentos de su gobierno corporativo.

Pero al ser el OCIC un órgano transversal con representación de altos directivos procedentes de diversas áreas de negocio, gestión y cumplimiento, necesitará para este trabajo del apoyo de algún departamento especializado,  que no puede ser en exclusiva el departamento AML de la empresa, puesto que los riesgos a controlar son mucho más extensos que los derivados de la prevención del blanqueo de capitales y la financiación del terrorismo, siendo necesario el apoyo de otro departamento también especializado, que en nuestro MODELO será el de prevención del fraude, que para este trabajo estará dotado de unas funciones muy específicas:

Una vez aprobados por la Alta dirección la POLÍTICA EXPRESA DE ADMISIÓN DE CLIENTES y las directrices que regularán la DILIGENCIA DEBIDA, será el OCIC el responsable de su aplicación dentro de la empresa financiera.

Tanto el Servicio de Prevención del Blanqueo de capitales, como el Servicio de Prevención del Fraude, colaborarán con el OCIC en la fase de preparación de las normas y los procedimientos, y posteriormente en su aplicación y en el control operativo de su cumplimiento, al margen del trabajo específico de Auditoría.

El Departamento de Prevención del Blanqueo, se centrará exclusivamente en su materia específica, mientras que el Departamento de Prevención del Fraude, lo hará en lo que afecta a los restantes intereses generales y de cumplimiento de la empresa.

Teniendo en cuenta este esquema general, resulta claro que para la prevención del fraude de identidad, habrá que cuidar especialmente  la identificación formal de los clientes, y la identificación de los titulares reales en los casos en que ésta identificación sea necesaria.

Como la identificación de los clientes es una función que está repartida entre todos los departamentos que están en relación directa con ellos y  que ha de hacerse cuando se inician las relaciones de negocio y las operaciones, el OCIC ha de establecer para todos estos departamentos unas reglas claras, y en lo posible automatizables en los sistemas operativos,  que eviten la entrada como clientes de aquellas personas físicas y jurídicas  que no superen la política expresa de admisión de clientes, y aquellas otras que permitan efectuar una adecuada identificación formal de los clientes, teniendo en cuenta lo estudiado al respecto en temas anteriores, a saber:

• La identificación formal presencial, mediante la verificación de documentos fehacientes. (Tema 7)
•  La identificación formal no presencial, mediante medidas reforzadas de diligencia debida. (Tema 8)

EL CONOCIMIENTO DE LOS CLIENTES

La prevención del fraude externo desde su  autoría, exige el CONOCIMIENTO DE LOS CLIENTES, al margen de cualquier obligación de cumplimiento, y ello puede conseguirse perfectamente utilizando el MODELO que nos ofrece la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo, entendida ésta con criterios más amplios que los puramente legales.

La SEGURIDAD de la base de datos de clientes está bajo la responsabilidad del departamento de seguridad informática de la empresa, que contará con diversas herramientas tecnológicas para buscar interrelaciones de interés dentro de la información acumulada sobre los clientes.

El contenido de la BASE DE DATOS DE CLIENTES debe estar disponible con ciertas limitaciones, tanto para el negocio, como para el cumplimiento de determinadas obligaciones legales y administrativas.

La disponibilidad y la seguridad de la información resultan posibles porque dentro de las entidades financieras existen plataformas tecnológicas denominadas SIEM, que constituyen el núcleo operativo que almacena los datos históricos y de gestión necesarios para el funcionamiento de las distintas aplicaciones que dan servicio a los departamentos de dirección, de gestión y de cumplimiento.

Estas plataformas SIEM, o también denominadas en los últimos años “BIG DATA”, no sólo almacenan los datos, sino que facilitan su correlación a efectos operativos, por lo que su utilización inteligente por toda la empresa puede repercutir en una mejora de la actividad productiva y de cumplimiento.

Pero de nada vale la información acumulada en la BASE DE DATOS DE CLIENTES, si ésta no tiene  calidad, o los datos no son proporcionados para las necesidades de la empresa, puesto que ésta estaría trabajando, o con datos dudosos o con datos incompletos, o con datos innecesarios, incumpliendo así con la legislación sobre protección de datos de carácter personal.

La prevención del fraude desde la autoría se consigue mediante la calidad y  proporcionalidad en los datos de los clientes,  siendo la norma y los procedimientos detallados anteriormente los que permiten conseguir estos objetivos.

En la primera parte de este estudio, me he centrado de forma detallada en el primer filtro de COMPROBACIÓN DE LA IDENTIDAD. En los temas posteriores se irán detallando el funcionamiento de los restantes filtros:

• LA COMPROBACIÓN DE LA SOLVENCIA
• EL CONTROL DE LA OPERATIVA O COMPORTAMIENTO REAL DEL CLIENTE
• EL CONTRASTE ENTRE LA OPERATIVA REAL Y LA INFORMACIÓN PASIVA

En estos nuevos  filtros, junto con las normas y procedimientos, será necesaria  una compleja tecnología que permita su automatización y control.

COMENTARIO FINAL

Aunque ninguna empresa está libre de sufrir engaños en la identificación de sus clientes puesto que los defraudadores pueden presentar buenas falsificaciones, son tantas las medidas de seguridad que tienen los documentos creados por el Estado, que con una adecuada formación de los verificadores y unas mínimas herramientas tecnológicas, muchos de estos fraudes de identidad  podrían evitarse. Pero existen herramientas tecnológicas en el mercado que pueden ayudar a las entidades financieras a potenciar este control.

Con todo, en las relaciones y operaciones no presenciales han de establecerse  medidas reforzadas de diligencia debida, que pasan por la creación de estructuras tecnológicas que permitan comprobar la identidad a través de procedimientos indirectos.

El Servicio de Prevención del Fraude tiene la especialización y las herramientas necesarias para filtrar la información existente en la base de datos de clientes cuando surja alguna alerta, y la experiencia necesaria para ofrecer al OCIC las claves para una buena verificación de los documentos identificativos y para la prevención del fraude de identidad.

Fabián Zambrano Viedma

Responsable del Servicio de Prevención del Fraude

LA IDENTIFICACIÓN FORMAL NO PRESENCIAL, MEDIANTE MEDIDAS REFORZADAS DE DILIGENCIA DEBIDA

La ley de prevención del blanqueo de capitales, en su Artículo 12, autoriza a establecer relaciones de negocio o a ejecutar operaciones a través de medios telefónicos, electrónicos o telemáticos cuando concurra alguna de las siguientes circunstancias:

• a) La identidad del cliente quede acreditada de conformidad con lo dispuesto en la normativa aplicable sobre firma electrónica.
• b) El primer ingreso proceda de una cuenta a nombre del mismo cliente abierta en una entidad domiciliada en España, en la Unión Europea o en países terceros equivalentes.
• c) Se verifiquen los requisitos que se determinen reglamentariamente.

Analicemos cada una de estas tres circunstancias:

A)     FIRMA ELECTRÓNICA

La firma electrónica es un mecanismo que permite sustituir la firma manuscrita aplicable únicamente en papel, por un mecanismo informático, que con idéntica validez legal,  permite estampar la  firma en un documento digital.

La ley 59/2003 de 19 de diciembre de 2003, de firma electrónica ofrece tres tipos de firma electrónica:

• Firma electrónica ordinaria (término no utilizado explícitamente en el texto legal)

Es el conjunto de datos en forma electrónica, consignados junto a otros o asociados con ellos, que pueden ser utilizados como medio de identificación del firmante.

• Firma electrónica avanzada

Es la firma electrónica ordinaria que permite identificar al firmante y detectar cualquier cambio ulterior de los datos firmados.

Esta firma, de manera única está vinculada al firmante y a los datos a que se refiere y  sólo puede ser realizada  por medios que el firmante puede mantener bajo su exclusivo control.

• Firma electrónica reconocida

Es la firma electrónica avanzada que está basada en un certificado reconocido,  y generada mediante un dispositivo seguro de creación de firma.

En el establecimiento de relaciones de negocio y operaciones no presenciales, la única firma que justifica la identificación formal es la firma electrónica reconocida, aunque posteriormente en la operativa ordinaria de las entidades financieras,  los clientes puedan utilizar  los otros dos tipos de firmas, la ordinaria mediante clave de usuario y contraseña, y la avanzada basada en códigos de autentificación de mensajes o criptografía de clave pública.

Para la firma electrónica reconocida se necesitan cuatro elementos:

• Un certificado electrónico
• Un dispositivo de almacenamiento del certificado y sus claves asociadas
• Una aplicación de firma electrónica
• Un documento para firmar

En España existe un certificado electrónico que ofrece el propio Estado a través del DNI electrónico (DNIe), aunque también pueden emitir certificados electrónicos diversas organizaciones denominadas “Prestadores de Servicios de Certificación”, cuyo listado puede ser consultado en la Web del Ministerio de Industria, Turismo y Comercio.

El cliente, para poder utilizar el certificado electrónico y las claves asociadas al mismo, deberá contar con un dispositivo de almacenamiento, que puede ser, por ejemplo, el disco duro de un ordenador, una tarjeta con chip, o  un “token” USB.

El proveedor del servicio, en nuestro caso la entidad financiera, para el uso de la firma electrónica reconocida ha de contar con una aplicación de firma electrónica, que normalmente estará conectada a su página Web.

Junto con los tres elementos referenciados, existe un cuarto, que es el documento o documentos para firmar,  que en el caso de las entidades financieras serán los necesarios para el establecimiento de las relaciones de negocio u operaciones.

	Proceso de firma electrónica reconocida

C) DETERMINACIÓN REGLAMENTARIA

Junto con la firma electrónica, la Ley 10/2010 autoriza el establecimiento de relaciones de negocio y operaciones no presenciales realizadas con medios telefónicos, electrónicos  o telemáticos,  cuando se verifiquen los requisitos que  determine el nuevo Reglamento. Pero en estos supuestos  aún futuros, será necesario establecer también medidas reforzadas de diligencia debida.

El análisis de estos requisitos se efectuará cuando aparezcan publicados en el nuevo Reglamento.

B) PUNTO 1-B DEL ARTÍCULO 12 DE LA LEY 10/2010

De las tres circunstancias que permiten el establecimiento de relaciones de negocio y operaciones no presenciales, la que ofrece más riesgo frente a la falsificación y la usurpación de la identidad, es la especificada en el punto 1-b del Artículo 12,  que se refiere a que “el primer ingreso proceda de una cuenta a nombre del mismo cliente abierta en una entidad domiciliada en España, en la Unión Europea, o en países equivalentes.”

Las entidades financieras,  al autorizar el establecimiento de relaciones de negocio basándose en esta circunstancia, quedan totalmente expuestas al riesgo de la falsificación de los documentos de identificación, y sobre todo, al riesgo de la usurpación del estado civil, teniendo por tanto más complicados los procesos de diligencia debida. Estos procesos de diligencia reforzada deberán iniciarlos en el transcurso de un mes desde el  establecimiento de las relaciones de negocio,  y una vez hayan obtenido de los clientes copia de los documentos necesarios para ello. Deberán  tener también establecidas políticas y procedimientos para afrontar los riesgos específicos asociados con las relaciones de negocio y operaciones no presenciales.

Cuando una entidad financiera se enfrenta a una  denuncia por usurpación de identidad en las relaciones de negocio y operaciones no presenciales,  si la autorización para operar la basó en el  Artículo 12 de la Ley 10/2010, deberá manifestar a la  AEPD y a las Autoridades judiciales, al igual que sucede en la identificación formal presencial, que inició el tratamiento de los datos sin conocimiento de la suplantación de la identidad, y demostrar también que para la identificación formal no presencial estableció una diligencia razonable.

Pero para poder demostrar  una diligencia razonable, ha de tener establecidas obligatoriamente  medidas reforzadas de diligencia debida, puesto que así está determinado por la Ley 10/2010, que es la que regula en España la identificación formal.

Cada entidad afectada, por tanto,  ha de decidir las medidas reforzadas de diligencia debida que considere apropiadas, justificándolas ante la autoridad requirente si llegara el caso.

Basándome en la experiencia de lo que entienden  los tribunales  por diligencia razonable, y lo que también recoge la AEPD en sus expedientes abiertos por usurpación del estado civil, éstas podrían ser algunas de las medidas reforzadas de diligencia debida, aunque comprendo que son perfectamente discutibles:

1. Solicitud del consentimiento de los clientes para el proceso de comprobación de la veracidad de los datos aportados para la contratación a través de medios telefónicos, electrónicos o telemáticos.
2. Comprobación posterior de la veracidad de los datos aportados por los  clientes, en fuentes internas y externas.
3. Creación de los correspondientes expedientes virtuales de investigación de los clientes, que contengan los documentos de consentimiento, y los restantes elementos de prueba obtenidos durante  la comprobación de la veracidad de los datos aportados por éstos.
4. O establecer algún procedimiento tecnológico que facilite la verificación de la identidad a distancia.

Las tres primeras medidas han de aplicarse de forma conjunta, y para la cuarta informaré del MODELO en el que está trabajando nuestro Servicio de Información de los Sujetos Obligados.

Medidas, 1, 2 y 3

Justificación de estas tres medidas

En el artículo 6 de la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal no se exige el consentimiento cuando el tratamiento de los datos de carácter personal se refiere a las partes de un contrato o  precontrato,  de una relación negocial, laboral o administrativa y, sea necesario para su mantenimiento o cumplimiento.

Pero  en el establecimiento de relaciones de negocio y operaciones no presenciales, siempre resulta necesaria la verificación de los datos aportados por los clientes, como parte ineludible del proceso de diligencia debida reforzada. Para ello la entidad financiera tiene que utilizar información interna y la externa que le sea accesible, con objeto de poder apreciar discrepancias entre los datos aportados por los clientes y las fuentes consultadas, que de darse, obligarían a la identificación presencial.

El consentimiento, por tanto, es una exigencia que imponen determinadas fuentes externas de información, en el caso que resulte aconsejable su consulta, aunque no sea necesario para las fuentes internas en base al Artículo 6 anteriormente citado de la Ley Orgánica 15/1999.

Así sucede efectivamente con la verificación de datos, en las pocas bases en las que las instituciones públicas permiten a las entidades financieras esta comprobación, para el cumplimiento de la diligencia debida establecida por la Ley 10/2010. (Vg.:  la Tesorería General de la Seguridad Social.

Igualmente resulta necesario el consentimiento para la verificación  en las bases de datos anti-fraude que hasta el momento están autorizadas por la Agencia Española de Protección de Datos, aunque éste es un tema que podría ser matizado por la Agencia en un futuro en base al interés legítimo.

Respecto a los ficheros anti-fraude, es verdad que el apartado 3 del Artículo 33 de la Ley 10/2010, permite a los sujetos obligados consultarlos sin consentimiento, pero este acceso está limitado al OCIC y al Departamento de Prevención del Blanqueo de Capitales.

En casos puntuales, a una empresa  podría resultarle interesante acceder sin consentimiento a estos ficheros, pero no es aconsejable hacerlo dentro del proceso normal de la actividad financiera, puesto que  entonces todas las solicitudes de negocio tendrían que pasar a través del filtro del OCIC o del Departamento de Prevención del Blanqueo para esta concreta gestión, lo que convertiría a estos organismos en un cuello de botella, resultando perjudicial para la agilidad de los negocios.

Ante los problemas señalados, resulta aconsejable  que para comprobar la veracidad de los datos de identificación y de solvencia en determinadas fuentes externas, las entidades deberían  obtener previamente el consentimiento de los clientes,  lo que podría hacerse en el documento en el que los cliente solicitan el establecimiento de relaciones de negocio y operaciones no presenciales, si hubiera voluntad por parte del todas las entidades financieras para así no perjudicarse en la competencia.

La segunda medida, la de verificación de los datos,  exige que las empresas cuenten con determinada tecnología. Este es un problema fundamentalmente económico que podría simplificarse  mediante la cooperación entre entidades financieras. Mediante esta cooperación podrían crearse  buenas herramientas  para la verificación de los datos en fuentes externas y para el análisis de la información a un coste accesible, lo que facilitaría la diligencia debida reforzada.

En cuanto al expediente de investigación,  queda justificado como medida de diligencia reforzada, porque resulta necesario para el archivo de los documentos justificativos de la diligencia debida reforzada, y para demostrar ante los tribunales y la AEPD la existencia de una diligencia razonable.

Como puede observarse, las tres medidas reforzadas de diligencia debida que estoy proponiendo para sustituir de alguna forma la identificación formal de los clientes, en las relaciones de negocio y operaciones no presenciales, no son fáciles de aplicar en la práctica,  y además encarecen el inicio de estas relaciones de negocio,  puesto que las entidades han de dotarse de plataformas tecnológicas que les permitan ejecutar automáticamente todo el proceso de diligencia debida,  con la necesaria seguridad y con la agilidad imprescindible para que no quede perjudicada la actividad financiera, a saber:

Existe, con todo, un problema que vendrá a complicar a partir del 1 de febrero de 2014 la posibilidad de utilización del punto 1-b del Artículo 12 de la Ley 10/2010, y es la desaparición en esa fecha de las órdenes de traspaso de efectivo (OTEs),  por exigencia de la migración del sistema financiero español a sistema SEPA, por lo que no será transparente de forma directa para el banco receptor la titularidad de la cuenta de origen, puesto que las OTEs quedarán en ese momento substituidas por transferencias SEPA, perfectamente identificadas por el IBAN, pero sin que a las mismas acompañe la identificación del titular de la cuenta. Identificación, que en caso necesario,  habría que solicitar expresamente al banco emisor, lo que complica extraordinariamente cualquier proceso de diligencia debida.

Es por todo ello, por lo que resulta necesario que busquemos soluciones tecnológicas que permitan demostrar la existencia de una diligencia razonable en la identificación formal de los clientes, sin tener que modificar profundamente el sistema actualmente vigente de comercialización de banca “on line” o de otros productos financieros basados en relaciones de negocio y operaciones no presenciales.

El  Servicio de Prevención del Fraude de ASNEF está trabajando en un MODELO TECNOLÓGICO PROCEDIMENTAL que  creemos será capaz de ofrecer la diligencia razonable exigida por los tribunales y la AEPD  en los temas de suplantación del estado civil, y que al mismo tiempo facilite el cumplimiento de algunas de las  obligaciones de diligencia debida impuestas por la Ley 10/2010 u  otras normativas administrativas. Modelo que servirá también para mejorar la prevención del fraude en las relaciones de negocio y operaciones no presenciales.

Este modelo ya se está desarrollando por nuestras empresas tecnológicas, y pronto estará en funcionamiento real a disposición del sector financiero y de todos aquellos sujetos obligados que lo consideren de interés

PLATAFORMA PARA LA IDENTIFICACIÓN FORMAL DE LOS CLIENTES EN LAS RELACIONES DE NEGOCIO Y OPERACIONES NO PRESENCIALES, FORMALIZACIÓN DE CONTRATOS Y NOTIFICACIONES CERTIFICADAS (LA PLATAFORMA A EFECTOS DE EXPLICACIÓN)

Esta plataforma tendrá las siguientes características de interés:

1. Una fácil contratación a través de la Web, por parte de cualquier entidad que quiera ser usuaria de la misma.
2. Posibilidad de utilización de esta plataforma de forma manual o automática.
3. Habrá libertad de contratación de todos o algunos de los servicios ofrecidos por la plataforma.
4. El pago será por uso.
5. En la utilización automatizada, habrá una integración EPR de la plataforma en los propios sistemas de contratación electrónica de las entidades usuarias.
6. En el funcionamiento manual de la plataforma existirán dos tipos de gestión:
1. a.       Gestión de la plataforma por las entidades usuarias.
2. b.      Gestión de la plataforma por los clientes que quieren establecer relaciones de negocio con las entidades usuarias a través de la Web.

GESTIÓN MANUAL DE LA PLATAFORMA

a) Gestión de la plataforma por  la entidad usuaria

La entidad usuaria podrá entrar en la parte privada de la plataforma mediante sus claves de acceso a través del portal Web creado al efecto, o directamente mediante un link de apertura en sus propios sistemas, encontrándose tras el acceso con su propio portal de gestión, que tendrá las siguientes funcionalidades:

1. Creación de destinatarios y subida de documentos para el proceso de firma
2. Posibilidad de interrelación con plataformas de prevención del fraude en solicitudes
3. Ordenación de todos los documentos pendientes de firma
4. Control histórico documental
5. Control de facturación

La primera funcionalidad tiene que ver con la creación por la entidad usuaria de los expedientes de los solicitantes (futuros clientes), y la subida de los documentos necesarios para el establecimiento de las relaciones de negocio no presenciales.

Esta información la obtendrá  la entidad usuaria directamente de su Web, de la plataforma de solicitud/contratación, de la plataforma conectada a sus prescriptores, o mediante la conversión de documentos físicos en documentos electrónicos si fuera necesario.

Una vez seleccionados los futuros clientes a partir de su solicitud de establecimiento de relaciones de negocio no presenciales, para cada cliente la plataforma creará un expediente en el que se incluirá la documentación necesaria para el establecimiento de las mismas. Esta primera  funcionalidad permitirá que el sistema proceda al sellado de tiempo en los documentos, que también recibirán  el sello electrónico de una  entidad de certificación que actuará de tercero de confianza.

Los documentos, con ambos sellos electrónicos, se almacenarán de forma segura en la PLATAFORMA y la función resumen  en un  depósito notarial de contenidos.

Con estas garantías,  el expediente de contratación de cada cliente pasaría  directamente al proceso de firma, siempre que la  entidad usuaria no quisiera someterlo previamente a un proceso de verificación a través de una plataforma contra el fraude en solicitudes, que sería la segunda funcionalidad de la plataforma, totalmente opcional.

La segunda funcionalidad, permitirá a la entidad usuaria, en base a sus propios criterios de riesgo, decidir o no la utilización  de alguna plataforma externa de prevención del fraude en solicitudes. Esta funcionalidad podría utilizarse de forma previa y convertirse en un filtro justificativo de  diligencia debida reforzada, siempre que no fuera necesario el consentimiento para el acceso a las bases de datos en los que fuera necesario este consentmiento. En caso contrario,  este filtro podría utilizarse al final del proceso, una vez obtenido el consentimiento tras la firma del mismo por el cliente a través de la PLATAFORMA.

La información necesaria para la utilización de este filtro se obtendría automáticamente de los datos utilizados en la primera funcionalidad, o también podrían cederse de forma manual mediante una plantilla electrónica establecida al efecto.

Si la plataforma externa de prevención del fraude en solicitudes encontrara en el expediente datos incongruentes, se generaría un mensaje de alerta a la entidad usuaria con la información incongruente detectada,  lo que simplificaría el proceso de  EXAMEN ESPECIAL. 

En caso de inexistencia de datos incongruentes, también le llegaría a la entidad usuaria un mensaje negativo, que quedaría archivado en el expediente de investigación como documento justificativo de diligencia reforzada.

Tras este filtro, el sistema trasladaría directamente el expediente  al  proceso de firma.

La tercera funcionalidad tiene como objetivo práctico el que la empresa pueda tener  ordenados todos sus documentos pendientes de firma, bajo diferentes parámetros (por operador, por campaña, por fecha, fuera de plazo), pudiendo la entidad para cada uno de ellos, SUSPENDER o APLAZAR LA FIRMA.

Esta funcionalidad, por tanto, facilitaría la gestión de los documentos durante  el proceso de gestión de firma.

La cuarta funcionalidad permitirá a las entidades usuarias tener ordenados dentro de la plataforma  el conjunto de sus expedientes, mediante un histórico que podrá  ser ordenado bajo varios parámetros (por operador, por campaña, por fecha).

Esta funcionalidad tendría además un BUSCADOR AVANZADO para la localización de documentos.

La quinta funcionalidad permitirá a las entidades usuarias el control de su facturación, en función del consumo que hagan de la plataforma, pudiendo ordenar esta facturación bajo los parámetros de facturas emitidas, o consumo pendiente de facturar.

b) Gestión de la plataforma por los clientes

El proceso de firma, del que después hablaré, se iniciaría una vez finalizado el proceso de creación de expediente (primera funcionalidad de la plataforma), una vez introducidos los datos del cliente y los documentos necesarios para el establecimiento de las relaciones de negocio no presenciales.

Entre el proceso de creación de expediente y el proceso de firma, como he indicado anteriormente, puede introducirse de forma opcional el proceso de verificación de datos contra el fraude.

En este proceso opcional,  los datos serían filtrados a través de alguna plataforma de prevención del fraude en solicitudes, operación que en caso de ser positiva frenaría automáticamente el proceso de firma alertando a la entidad usuaria, que sería la que tendría que proceder manualmente al desbloqueo del procedimiento, posiblemente tras la realización del examen especial.

En cualquiera de los dos supuestos autorizantes, la plataforma haría llegar al cliente  un correo electrónico o un SMS, aviso que permitiría entrar al cliente, desde su ordenador o teléfono móvil, en su página de gestión documental que habría creado la PLATAFORMA. Esta entrada se haría mediante alguna acreditación,  que estará determinada en base a las funcionalidades permitidas por el aparato tecnológico de recepción del mensaje.

Una vez introducida esta acreditación, el cliente podría realizar en su página de gestión documental las siguientes operaciones:

• Visualizar los documentos
• Descargar los documentos
• Firmar los documentos con DNIe o firma electrónica reconocida
• Cambiar fecha/hora para formalizar una firma presencial, indicando si quiere firmar en su domicilio particular o en una de las oficinas que estarán distribuidas en territorio español a través de nuestro proveedor logístico.
• Decidir si la firma presencial de los documentos  se hace mediante procedimientos electrónicos (tablets)  o requerir que los mismos se le entreguen  en papel.
• Datos de contacto de la entidad financiera por si necesitara aclarar dudas.

El cliente  contará también con un Servicio de “Atención al Cliente”, o  “call center”, donde será atendido de forma personalizada sobre el funcionamiento de la plataforma.

c) Proceso de firma

Cuando la entidad usuaria ejecute la primera funcionalidad en su portal de gestión, es cuando daría inicio el PROCESO DE FIRMA.

• Si la entidad usuaria hubiese decidido por criterios de riesgo que los documentos pasasen por el FILTRO DE PREVENCIÓN DEL FRAUDE, los datos serían analizados en tiempo real por la plataforma de prevención del fraude, y en caso de resultar incongruentes, la propia PLATAFORMA bloquearía el proceso         de firma enviando una alerta a la entidad usuaria. Sería, por tanto, la entidad usuaria la que podría desbloquear el proceso a través de su portal de gestión.
• Si la entidad usuaria no decidiese utilizar el filtro de prevención del fraude, o los datos aportados no resultaran incongruentes en la plataforma anti-fraude, el proceso de firma seguiría  su curso.

En este segundo supuesto, la PLATAFORMA enviaría un aviso al destinatario (futuro cliente), mediante su servicio de COMUNICACIÓN ELECTRÓNICA CERTIFICADA:

• E-mail certificado con un enlace a la notificación,  o
• SMS certificado con un mensaje inicial para que acepte la notificación.

En cualquiera de los dos supuestos el receptor  decidiría si inicia  desde su correo electrónico o teléfono móvil la correspondiente GESTIÓN CLIENTE  explicada en el punto anterior.

Si el cliente se decide por la firma presencial, o no puede utilizar una firma electrónica reconocida, la PLATAFORMA enviaría una copia electrónica de los documentos a la bandeja de nuestra empresa logística, que asignaría a este  servicio a un MENSAJERO o una OFICINA, respetando así la decisión del cliente, iniciándose de esta manera el  PROCESO LOGÍSTICO.

PROCESO LOGÍSTICO

Una vez que nuestra empresa logística reciba la documentación en su bandeja de servicio, asignará la gestión de la firma presencial a un determinado MENSAJERO u OFICINA, en cumplimiento de la decisión del cliente. La fecha quedaría cerrada si cliente determina que el servicio se realice en su domicilio, y quedaría abierta si el cliente se decidiese por la firma presencial en una oficina de la empresa logística.

En cualquiera de los dos supuestos, en el momento de la firma el cliente será identificado formalmente por el empleado de la empresa logística, empleando para ello la tecnología ID-CONFIRMA.

Una vez identificado el cliente, el empleado de la empresa logística le mostrará a través de una  TABLET biométrica los documentos que ya están  en poder del cliente, en su portal de gestión, pudiéndolos firmar éste de forma presencial en la tablet biométrica.

Si el cliente hubiese optado por firmar en papel, el empleado de la empresa logística le llevaría impresos dos originales, quedando uno de ellos, una vez firmados, en poder del cliente.

Si el cliente optara porque  la firma se realice en la OFICINA de nuestra empresa logística, se procedería  a la impresión de los documentos en la propia oficina.

Los documentos firmados electrónicamente a través de la TABLET, serían vaciados por la empresa logística en la PLATAFORMA, quedando de forma automática a disposición de la entidad usuaria del servicio.

En el caso de que los documentos fueran firmados  en papel, la empresa logística procedería a convertirlos en documentos electrónicos, quedando desde ese momento a disposición de la entidad usuaria. La copia en papel podría ser remitida  por la empresa logística a la entidad usuaria, si ésta optara por este servicio, o sería destruida para reducir costes.

Resumen del proceso logístico:

LA IDENTIFICACIÓN PRESENCIAL DEL CLIENTE EN EL PROCESO LOGÍSTICO

Uno de los riesgos más graves de las empresas financieras, en el establecimiento de relaciones de negocio no presenciales, es el de la falsificación de  los documentos de  identidad, o el de la usurpación por los delincuentes de identidades verdaderas, que como vimos en temas anteriores, además de los perjuicios derivados de las defraudaciones que pudieran cometerse, pueden  dar lugar a responsabilidades penales y administrativas,  y a costes reputacionales negativos para las  empresas.

El MODELO TECNOLÓGICO PROCEDIMENTAL que estamos desarrollando incorporará:

1. Un PROCESO TECNIFICADO que servirá para solucionar los problemas que actualmente tienen las entidades  para la identificación formal de los clientes en las relaciones de negocio y operaciones no presenciales que se inician  en base al punto 1-b del Artículo 12 de la Ley 10/2010.
2. Un SISTEMA AUTOMATIZADO DE VERIFICACIÓN DE DATOS en fuentes de información compartidas entre entidades usuarias mediante una plataforma de prevención del fraude, que tendrá para las mismas los siguientes beneficios
1. a.       Potenciación de la prevención del fraude en solicitudes.
2. b.      Justificación del establecimiento de una importante medida de diligencia debida reforzada.

Esta PLATAFORMA será de utilidad para la contratación a distancia de diversos servicios financieros y entidades de pago, banca electrónica, o comercio electrónico, siempre que se requiera la identificación formal de las partes.

En el proceso logístico se sumará a  la verificación presencial de los datos biométricos de los clientes con los que aparecen en los  documentos identificativos y que realiza el empleado de la empresa logística, la utilización por éste de la tecnología ID-CONFIRMA aportada por la Asociación a través de su empresa tecnológica SOLUCIONES CONFIRMA. (www.solucionesconfirma.com)    

Para este trabajo los MENSAJEROS estarán formados en las técnicas de verificación de documentos fehacientes, y utilizarán TABLETS que llevarán acoplados los elementos tecnológicos necesarios para el control de los elementos de seguridad de los documentos de identificación y para la obtención de las copias electrónicas de los mismos, facilitando así a las empresas usuarias el cumplimiento de la obligación de conservación de documentos establecida en el Artículo 25 de la Ley 10/2010.

La verificación técnica de los documentos fehacientes de identidad será posible porque el sistema posee un software específico que permite la detección de documentos de identidad manipulados, y la validación de los parámetros de seguridad y MRZ de los DNIs, pasaportes y tarjetas de residencia, dando un dictamen automático con umbrales de confianza parametrizables.

A través de un escáner, el MENSAJERO obtendrá copias en formato electrónico de los documentos presentados por el cliente, que posteriormente serán puestas a disposición de la entidad usuaria.

Igualmente ID-CONFIMA posee un módulo que permite la creación, para cada solicitud de negocio, de un expediente de identificación en el que constan las copias electrónicas de los documentos identificativos. Esta información sensible podrá archivarse por la entidad usuaria en sus propios sistemas, y/o podrá quedar  a su disposición en ID CONFIRMA, de forma segura y fácilmente localizable durante diez años, facilitando así a las empresas las obligaciones de información exigidas por la Ley 10/2010 en relación con la identificación.

Este módulo tiene las siguientes características:

• Centraliza la administración y gestión de los expedientes de identificación creados en un único acceso común y automatizado.
• Posibilita la rápida localización de un expediente a través de diversos criterios de búsqueda ajustados a las necesidades de cada usuario.
• Cuenta con una Herramienta de Gestión para la inclusión de comentarios realizados por los analistas de la entidad usuaria en el  estudio de la identidad.
• Permite el acceso al histórico de expedientes y su custodia durante el plazo legal de diez años fijado por la Ley 10/2010, garantizando la integridad de los datos, con una ágil recuperación y acceso a los mismos. Este Módulo habilita un sistema automatizado de archivo con las medidas de seguridad adecuadas que permite la conservación de la información impidiendo su manipulación.
• Facilita un informe con los datos del expediente para su envío o exportación.

FUNCIONAMIENTO AUTOMÁTICO DE LA PLATAFORMA

El funcionamiento automático de la PLATAFORMA  se iniciaría a partir de los datos de contratación introducidos por el cliente en la propia Web de la entidad, mediante un proceso de integración EPR entre los sistemas internos y la PLATAFORMA, con el consiguiente ahorro de tiempo y seguridad en el manejo de los datos.

De esta manera la PLATAFORMA estaría oculta a los clientes de la entidad, con lo que se potenciarían tecnológicamente los portales Web de las empresas financieras, que estarían dotados así de mecanismos de firma con DNIe o firma electrónica reconocida, además de un sistema robusto para la identificación formal de los clientes, y un sistema de prevención del fraude en solicitudes.

Fabián Zambrano Viedma

Responsable del Servicio de Prevención del Fraude