Hay una escena que se repite en casi cualquier equipo de cumplimiento: suena una alerta del screening (“posible match”) y, en segundos, el equipo queda atrapado entre dos miedos igual de caros:

• Bloquear de más y frenar operación por un falso positivo.

• Bloquear de menos y cargar con un riesgo reputacional y regulatorio.

El problema no es “tener listas”. El problema es tener un proceso: match → validación → decisión → evidencia.

Este artículo te da una guía práctica para gestionar coincidencias en listas (UIF y listas internacionales), reducir falsos positivos y dejar un rastro auditable con compliance PLD y software PLD / software LFPIORPI.

1) ¿De qué “listas” hablamos y por qué te pueden pegar aunque seas Actividad Vulnerable?

En México, el ecosistema de PLD/FT para Actividades Vulnerables vive alrededor de obligaciones que el SAT concentra en su portal (SPPLD), incluyendo el deber de verificar listas oficiales nacionales e internacionales cuando corresponda.

Además, el propio SAT (SPPLD) explica que el GAFI publica listas públicas de jurisdicciones con deficiencias estratégicas (alto riesgo/monitoreo), lo que refuerza el enfoque basado en riesgos.

Y a nivel internacional, muchas empresas también realizan screening contra listas como OFAC (SDN) o listados de sanciones de Naciones Unidas, especialmente cuando hay operaciones, proveedores, clientes o beneficiarios con exposición transfronteriza.

2) El verdadero problema: “hits” que NO son hits (falsos positivos)

Un sistema de listas bien intencionado puede generar alertas por:

• homónimos (mismo nombre),

• transliteraciones (acentos, caracteres, orden de apellidos),

• nombres parciales (“Juan Pérez”),

• empresas con razón social parecida,

• cambios de datos (dirección, fecha de nacimiento, ownership).

OFAC, por ejemplo, publicó una guía específica sobre cómo manejar false hits / false hit list (listas internas de “coincidencias descartadas”) y la necesidad de actualizarlas ante cambios relevantes.

Traducción al mundo real: si tu proceso es “revisar a ojo” y mandar un correo, vas a vivir en retrabajo.

3) Proceso operativo recomendado: match → validación → decisión → evidencia

Paso A. Clasifica la alerta (en 60 segundos)

1. ¿Contra qué lista pegó? (UIF/OFAC/ONU/u otra).

2. ¿Qué tipo de entidad es el registro? (persona física vs moral).

3. ¿Qué campos detonaron el match? (nombre completo, alias, país, etc.).

Paso B. Valida con atributos “duros” (no con intuición)

Criterios típicos de descarte/confirmación:

• fecha de nacimiento,

• nacionalidad,

• domicilio,

• identificadores (cuando existan),

• actividad/sector,

• coincidencia de alias.

La lógica es consistente con el enfoque de OFAC: comparar no solo “nombre”, sino atributos y contexto del registro para decidir si es coincidencia real.

Paso C. Decide y documenta

• No match (falso positivo): se libera la operación, pero se deja evidencia del análisis.

• Match potencial: escalamiento (legal/compliance), congelamiento o medidas internas según políticas.

• Match confirmado: ejecución de controles reforzados y registro completo del caso.

El punto es que el auditor no quiere oír “sí lo revisamos”. Quiere ver cómo lo revisaste y por qué decidiste.

4) El ingrediente que casi nadie arma bien: la “carpeta de evidencia” del screening

Para que tu compliance PLD sea defendible, cada alerta cerrada debería dejar (mínimo):

• captura o folio del resultado del screening,

• datos comparados (qué atributos usaste),

• conclusión (match/no match),

• responsable y fecha/hora,

• evidencias adjuntas (ID, acta, RFC, etc. según aplique),

• si hubo escalamiento: registro de aprobación/decisión.

El SAT ha publicado materiales donde enfatiza verificar listas oficiales y mantener el expediente con evidencia y trazabilidad, conectando identificación y control documental.

5) Cómo reducir falsos positivos sin “bajar el filtro” (lo que sí funciona)

1) Reglas de matching por nivel de riesgo

• Matching estricto para bajo riesgo (reduce ruido).

• Matching más sensible para alto riesgo (PEP, jurisdicciones de riesgo, operaciones inusuales).

2) “Lista interna de falsos positivos” (bien gobernada)

• Registra coincidencias descartadas con justificación.

• Revalida si cambian datos del cliente (ownership, razón social, etc.), tal como sugiere OFAC al mantener y ajustar listas internas de false hits.

3) Métricas operativas

• tasa de falsos positivos,

• tiempos de resolución,

• causas más comunes (homónimos, transliteración, etc.).

6) ¿Qué debería hacer un software PLD / software LFPIORPI para que esto no sea artesanal?

Un buen software PLD no solo “busca nombres”; debe ayudarte a operar un sistema:

• Workflows: asignación, SLA, escalamiento, cierre.

• Evidencia automática: bitácora completa (quién hizo qué y cuándo).

• Versionado: qué lista estaba vigente cuando se corrió el screening.

• Reglas configurables: matching por riesgo, umbrales y controles por tipo de cliente.

• Expediente integrado: que el resultado del screening viva dentro del expediente del cliente/usuario (no en un correo).

En la práctica, soluciones de software LFPIORPI orientadas a Actividades Vulnerables (por ejemplo, plataformas como Artu.ai) suelen aportar valor justo aquí: convertir el screening en un flujo con evidencia y trazabilidad, en vez de una alarma que “solo molesta”.

7) Checklist rápido para implementar en 1 semana

1. Define listas y periodicidad (UIF + internacionales relevantes a tu operación).

2. Establece 3 estados: no match / posible match / match confirmado.

3. Crea guía de atributos mínimos para validar (campos “duros”).

4. Diseña formato de evidencia (plantilla o módulo en software PLD).

5. Implementa “false hit list” con gobierno (cuándo se agrega, quién autoriza, cuándo se revalida).

6. Define escalamiento (quién decide en caso sensible).

7. Mide falsos positivos y ajusta reglas cada mes.

Cierre: el objetivo no es encontrar coincidencias; es cerrar casos con evidencia

Las listas no deberían convertir el compliance PLD en freno operativo. Bien implementadas, hacen lo contrario: reducen riesgo real y vuelven tus decisiones auditables.

Si hoy tus “hits” viven en capturas sueltas y mensajes de WhatsApp, no tienes screening: tienes estrés. Con proceso (y con un software PLD / software LFPIORPI que deje trazabilidad), el mismo evento se convierte en un caso ordenado, defendible y repetible.