Francisco Bonatti en el Congreso INBLAC 2026: del single rulebook a un sistema de prevención demostrable

El Congreso INBLAC 2026, celebrado el pasado 17 de junio en la Asociación de la Prensa de Madrid bajo el lema «Más allá del checklist. Cómo preparar el nuevo marco AML europeo a través del Informe de Experto Externo», dedicó su segunda ponencia técnica a una cuestión especialmente práctica: cómo convertir el nuevo marco europeo de prevención del blanqueo de capitales y financiación del terrorismo en un plan de acción real para los sujetos obligados.

La intervención corrió a cargo de Francisco Bonatti Bonet, presidente de INBLAC, quien tomó la palabra después de la exposición de Sonia Lecina sobre el mapa de obligaciones y el calendario regulatorio. Si la primera ponencia había permitido identificar qué cambia y cuándo cambia, la intervención de Bonatti se centró en una pregunta distinta, pero igualmente decisiva: cómo aterrizar ese cambio dentro de la organización.

Su planteamiento fue claro desde el inicio. No se trata solo de conocer el Reglamento (UE) 2024/1624 ni de adaptar formalmente manuales y procedimientos, sino de construir un sistema capaz de demostrar que funciona. En ese sentido, su ponencia conectó de forma directa con el eje central del Congreso: pasar del cumplimiento formal a la eficacia real del sistema de prevención.

Del mapa normativo al plan de acción

Bonatti partió de una premisa muy sencilla: el nuevo paquete AML europeo obliga a pasar del single rulebook a un sistema demostrable. La existencia de reglas comunes en la Unión Europea es un avance relevante, pero no resuelve por sí sola el problema de implantación que afrontan los sujetos obligados.

En España, además, el escenario plantea una dificultad añadida. El Reglamento será directamente aplicable y, en principio, no necesitará transposición. Sin embargo, esa aplicación directa puede llegar en un contexto en el que todavía falten referencias locales, guías supervisoras o desarrollos internos que ayuden a interpretar algunas obligaciones en clave nacional.

Desde esta perspectiva, la transición hacia julio de 2027 no puede abordarse como una espera pasiva. Las organizaciones tendrán que convivir durante un tiempo con el marco actual, basado en la Ley 10/2010 y en el Real Decreto 304/2014, y con la necesidad de preparar la aplicación del nuevo Reglamento europeo. Ese tránsito exige método, priorización y, sobre todo, evidencias.

La pregunta que sobrevoló buena parte de la intervención fue muy concreta: si mañana llamara el supervisor y preguntara qué está haciendo la organización para prepararse para el nuevo paquete AML, ¿quién respondería?, ¿qué podría mostrar?, ¿qué decisiones estarían documentadas y qué grado real de avance podría acreditarse?

Un modelo de evidencia, trazabilidad y demostrabilidad

Uno de los mensajes principales de la ponencia fue que el modelo de supervisión que viene será un modelo de evidencia, trazabilidad y demostrabilidad. No bastará con disponer de políticas, manuales o procedimientos aprobados. Será necesario acreditar que las decisiones se han adoptado, que los controles se han ejecutado, que las alertas se han tratado, que los riesgos se han evaluado y que las deficiencias se han corregido.

Bonatti lo expresó con una idea que resume bien el cambio de paradigma: la evidencia es lo que convierte el cumplimiento formal en un modelo eficaz. La evidencia no debe entenderse como un archivo documental añadido al final del proceso, sino como una pieza integrada en el diseño mismo del sistema de prevención.

Esto implica revisar la forma en que se documentan las decisiones del órgano de administración, los acuerdos del órgano de control interno, los nombramientos, los informes de seguimiento, los planes de remediación, las pruebas de controles, las revisiones de alertas y las conclusiones de las auditorías o informes de experto externo.

En términos prácticos, la organización debe estar en condiciones de reconstruir una decisión adoptada hace dos años y explicar por qué se tomó, con qué información, por quién fue aprobada, qué riesgo pretendía gestionar y qué evidencia permite defenderla ante el supervisor.

Gobierno del sistema y responsabilidad del órgano de administración

La primera gran dimensión del plan de transición, según Bonatti, es el gobierno del sistema. El nuevo marco europeo intensifica la responsabilidad del órgano de administración y exige que la prevención del blanqueo deje de verse como una materia encerrada en la segunda línea o en el responsable de cumplimiento.

No basta con informar al Consejo de que viene un nuevo Reglamento. El órgano de gobierno debe recibir información sobre los riesgos detectados, las brechas existentes, las acciones previstas, los recursos necesarios y el estado de avance del plan de transición. También debe quedar constancia documental de esa implicación.

En este punto, la ponencia puso especial énfasis en la necesidad de definir quién sabe qué, quién decide qué y quién responde de qué. La responsabilidad externa puede ser colegiada, pero internamente deben existir roles claros, capacidades suficientes y mecanismos de reporte que permitan dirigir el proceso con orden.

También se destacó el papel del órgano de control interno como una pieza clave durante el periodo de transición. El OCI no debería limitarse a seguir funcionando con su lógica habitual, sino actuar como verdadero notario interno del proceso, dejando constancia de las decisiones, del seguimiento del plan y de la coordinación con las distintas líneas de defensa.

El análisis de brechas y la evaluación de riesgos como punto de partida

Otro de los ejes de la intervención fue la necesidad de realizar un diagnóstico serio. Antes de aprobar planes, actualizar manuales o modificar procedimientos, cada sujeto obligado debe saber dónde está, qué tiene, qué le falta y qué procesos resultan afectados por el nuevo marco europeo.

Ese análisis de brechas debe conectarse con el enfoque basado en riesgos y con el principio de proporcionalidad. Para Bonatti, la proporcionalidad no puede ser una expresión retórica. Debe servir para priorizar, asignar recursos y decidir qué elementos del sistema requieren una actuación inmediata y cuáles pueden abordarse de forma escalonada.

El análisis de riesgos adquiere así una función central. Ya no puede ser una fotografía estática, reglamentaria o construida a partir de una lista genérica. Debe convertirse en una metodología viva, adaptada al sujeto obligado, capaz de tener en cuenta clientes, productos, canales, geografías, tecnología, terceros, externalizaciones y cambios en la relación de negocio.

En este sentido, la ponencia recordó que muchos problemas reales no aparecen en el checklist. El riesgo surge en la operativa diaria, cambia de forma, se desplaza y puede aparecer cuando una relación que parecía razonable en el alta modifica sus patrones de comportamiento durante el seguimiento continuo.

Manuales operativos y primera línea

Bonatti dedicó una parte relevante de su intervención a una cuestión muy práctica: el manual de prevención. Tradicionalmente, el manual ha sido uno de los documentos más leídos por auditores, expertos externos y responsables de compliance, pero no siempre por quienes deben aplicarlo en la primera línea.

Ahí aparece una de las grandes oportunidades del nuevo marco. El manual no debería ser únicamente un documento jurídico o normativo. Debe convertirse en una herramienta operativa, capaz de explicar a la primera línea qué debe hacer, cuándo debe escalar, cómo debe interpretar la información del cliente y por qué determinados datos son relevantes desde la perspectiva del riesgo.

La primera línea tendrá un papel especialmente importante en el nuevo modelo. No se trata solo de que negocio o las áreas operativas reciban formación, sino de que comprendan la lógica del sistema y tengan capacidad para detectar señales que no siempre pueden ser capturadas por una regla automática.

En materia de diligencia debida, esto exige trabajar tres planos. El primero es documental: qué información se recaba, con qué calidad, con qué vigencia y con qué nivel de verificación. El segundo es analítico: cómo se interpreta esa información en función del riesgo. Y el tercero es dinámico: cómo se mantiene actualizada la evaluación del cliente durante toda la relación de negocio.

La titularidad real y la monitorización de cambios de perfil fueron dos ejemplos especialmente relevantes. No basta con solicitar un certificado o completar un campo. Es necesario comprender estructuras de control, cadenas societarias, vehículos, cambios de comportamiento y señales que pueden indicar que el riesgo real ya no coincide con el perfil inicial.

Tecnología, externalizaciones y calidad del dato

La ponencia también abordó el impacto de la tecnología y de las externalizaciones en los sistemas de prevención. El uso de proveedores de identificación remota, verificación documental, screening de sanciones, listas PEP, noticias adversas o monitorización transaccional se ha convertido en una realidad cada vez más extendida, incluso fuera de las grandes entidades financieras.

Para Bonatti, el problema no es utilizar tecnología, sino confiar ciegamente en ella. El sujeto obligado debe entender las reglas, fuentes, criterios y limitaciones de las herramientas que utiliza. También debe aplicar procesos adecuados de due diligence sobre proveedores, pactar niveles de servicio, revisar periódicamente el funcionamiento de las soluciones contratadas y conservar evidencias de su utilización.

La calidad del dato aparece aquí como un elemento esencial. Si el screening o la monitorización se realizan sobre datos incompletos, desactualizados o mal estructurados, el resultado será necesariamente débil. Por eso el nuevo modelo exige controles sobre los datos, revisión crítica de los campos utilizados y capacidad para explicar cómo se generan, tratan y descartan las alertas.

Otro riesgo identificado fue la llamada caja negra algorítmica. Las organizaciones deben disponer de una explicabilidad mínima sobre los sistemas que aplican y de una validación humana suficiente para comprobar que los algoritmos, las reglas y los parámetros son adecuados a su modelo de riesgo.

Sanciones financieras: un programa propio dentro del sistema

Aunque la jornada contaba con una ponencia específica dedicada a sanciones internacionales, Bonatti anticipó una idea que después sería desarrollada con mayor detalle: las sanciones ya no pueden ser tratadas como un apéndice del screening clásico.

El control de sanciones debe configurarse como un programa propio dentro del sistema de prevención, con modelo de gobierno, responsable, matriz RACI, política específica, criterios de aplicación inmediata, procedimientos de análisis de alertas, protocolos de congelación y comunicación, y evidencias claras de las decisiones adoptadas.

La exigencia de aplicación inmediata obliga a revisar la calidad de las fuentes, la actualización de listas, los logs de actualización, la cobertura real del screening y la trazabilidad de los descartes. Clientes, titulares reales, representantes, contrapartes y operaciones significativas deben ser analizados con un enfoque coherente con el riesgo.

En este ámbito, la ponencia trasladó una advertencia especialmente relevante: muchas organizaciones viven todavía de espaldas a sus obligaciones en materia de sanciones. Sin embargo, el nuevo marco europeo y la futura evolución del régimen de responsabilidad penal obligan a situar esta materia en un lugar prioritario del plan de transición.

Evidencias, reporte y relación con el supervisor

En la parte final de su intervención, Bonatti volvió sobre una idea transversal: la evidencia debe estar en todo el sistema. En gobierno, mediante actas, acuerdos, informes al órgano de administración y seguimiento de planes de mejora. En riesgos, mediante metodologías documentadas, matrices, fuentes y criterios de revisión. En diligencia debida, mediante expedientes que acrediten conocimiento del cliente. En monitorización, mediante alertas, análisis, descartes, escalados y decisiones.

La supervisión que viene no se limitará a leer manuales. Bajará a la eficacia. Por eso, las organizaciones deben prepararse para explicar cómo funciona su modelo, qué controles han aplicado, qué resultados han obtenido y qué correcciones han implantado cuando han detectado debilidades.

También se puso el foco en los planes de mejora y remediación. Detectar una deficiencia no basta. Debe existir un análisis de causa raíz, una acción prevista, un responsable, un plazo, una evidencia de cierre y una verificación posterior. Solo así el sistema puede demostrar que aprende y corrige.

Esta lógica obliga a crear repositorios de evidencias bien ordenados, capaces de sostener tanto el trabajo del experto externo como una eventual inspección, comprobación o requerimiento de información por parte del supervisor.

El Informe de Experto Externo como herramienta de contraste y mejora

El enfoque del Congreso hacía inevitable detenerse en el Informe de Experto Externo. Bonatti defendió una concepción del informe alejada del mero cumplimiento formal. No debe ser un checklist anual ni una pieza documental que se archiva después de ser emitida.

El informe debe funcionar como una herramienta independiente de contraste y mejora, integrada en el sistema de control interno del sujeto obligado. Su utilidad está en aportar una visión externa, técnica e independiente sobre la eficacia operativa del modelo, ayudar al órgano de administración a cumplir con su deber de diligencia y activar decisiones de corrección cuando sea necesario.

En el contexto de la transición al nuevo marco europeo, el informe de experto externo de 2026 y 2027 puede adquirir una relevancia especial. Puede servir para diagnosticar el grado de preparación, revisar la suficiencia del plan de acción, valorar la implantación efectiva de medidas y acompañar el seguimiento del proceso de adaptación.

Ahora bien, el ponente también introdujo una advertencia importante: el experto externo no puede convertirse en consultor encubierto ni el sujeto obligado puede delegar en él la responsabilidad sobre el sistema. El informe es una herramienta del sistema interno, no una garantía absoluta ni un sustituto del gobierno, de la segunda línea o de la responsabilidad del propio sujeto obligado.

Una hoja de ruta hacia julio de 2027

La intervención concluyó con una propuesta de hoja de ruta muy concreta. En primer lugar, realizar el diagnóstico y el mapa de obligaciones del plan de transición, identificando brechas, responsables y procesos afectados. En segundo lugar, priorizar esas brechas en función del riesgo, con calendario, recursos, quick wins, presupuesto y matriz RACI.

En una fase posterior, será necesario actualizar manuales y procedimientos, reforzar la formación, revisar herramientas, mejorar controles mínimos y conservar evidencias de todo el proceso. Finalmente, a partir de julio de 2027, el sujeto obligado debería estar en condiciones de verificar la implantación efectiva del nuevo modelo y preparar un informe de experto externo alineado con esa evolución.

Bonatti propuso además varias decisiones inmediatas: nombrar un responsable del proyecto de transición, realizar el gap analysis antes de cerrar el plan de acción, aprobar la hoja de ruta en el órgano de administración, crear un repositorio de evidencias y redefinir el alcance del próximo Informe de Experto Externo.

La clave, en definitiva, no está solo en llegar formalmente al 10 de julio de 2027, sino en poder demostrar que el camino se ha recorrido con diligencia, método, recursos y trazabilidad.

Una ponencia para aterrizar el cambio

La intervención de Francisco Bonatti cumplió una función esencial dentro del Congreso INBLAC 2026: transformar el mapa normativo en una agenda operativa para los sujetos obligados.

Su ponencia permitió ordenar los grandes ámbitos de actuación que marcarán los próximos meses: gobierno, análisis de brechas, evaluación de riesgos, proporcionalidad, manuales, primera línea, tecnología, externalizaciones, sanciones, evidencias, reporte e Informe de Experto Externo.

Pero, sobre todo, trasladó una idea de fondo que resume bien el espíritu de la jornada: la prevención del blanqueo de capitales y de la financiación del terrorismo ya no puede sostenerse sobre documentos formalmente correctos si no existe capacidad de demostrar que el sistema funciona.

En este sentido, el reto para los sujetos obligados no será únicamente adaptar sus procedimientos al nuevo Reglamento europeo. Será construir sistemas más trazables, más comprensibles para la organización, mejor gobernados y preparados para una supervisión que buscará datos, evidencias y resultados. Esa es, precisamente, la transición que el Congreso INBLAC 2026 quiso poner sobre la mesa: ir más allá del checklist para avanzar hacia una prevención realmente eficaz.

Autor: Francisco Bonatti Bonet