En compliance, hay una frase que se repite mucho: “siempre se ha hecho así”. El problema es que esa frase suele durar… hasta que llega una investigación, una sanción o una revisión seria. Eso fue, en esencia, lo que dejó al descubierto el caso de TD Bank en Estados Unidos: una institución enorme, con crecimiento agresivo, pero con controles antilavado que no crecieron al mismo ritmo. El resultado no fue un simple regaño. Fue una sacudida histórica.

En octubre de 2024, el Departamento de Justicia de Estados Unidos informó que TD Bank se declaró culpable y acordó pagar más de 1.8 mil millones de dólares en sanciones penales. Por su parte, FinCEN impuso una sanción civil de 1.3 mil millones de dólares, la más alta de su historia contra una institución depositaria. Además, las autoridades señalaron que las fallas del programa AML permitieron que tres redes de lavado movieran más de 670 millones de dólares a través de cuentas del banco entre 2019 y 2023.

Lo más inquietante del caso no fue solo el monto. Fue la lógica del fracaso. Según las autoridades, TD Bank persiguió crecimiento sin asegurarse de contar con un programa AML adecuado, con deficiencias en controles internos, evaluación de riesgo, debida diligencia, identificación y reporte de operaciones sospechosas, gobierno corporativo, pruebas independientes y capacitación. En otras palabras: no cayó por un documento aislado, sino por una suma de pequeñas debilidades operativas que, juntas, se volvieron enormes.

Y aquí viene la parte importante para México: aunque TD Bank no operaba bajo la LFPIORPI, la moraleja aplica perfectamente a quienes realizan Actividades Vulnerables. Porque la LFPIORPI tampoco se incumple “de golpe”. Se incumple cuando el expediente se arma a medias, cuando nadie detecta acumulación a seis meses, cuando el beneficiario controlador queda en una nota suelta, cuando el aviso se manda tarde o cuando la evidencia vive regada entre correos, carpetas y Excel.

El SAT es bastante claro en lo básico. Quien realiza Actividades Vulnerables debe identificar a su cliente o usuario, integrar expedientes, recabar datos de la persona beneficiario controlador cuando corresponda, presentar avisos mediante el SPPLD y conservar información y documentación por 10 años tras la reforma publicada el 16 de julio de 2025. Además, el propio SAT recuerda que la acumulación para aviso puede detonarse por persona dentro de un periodo de seis meses.

Eso significa que el verdadero riesgo para muchas empresas en México no siempre es “hacer algo obviamente mal”. A veces el riesgo real es operar con controles que se ven suficientes mientras el volumen es bajo, pero que se rompen apenas hay crecimiento, más clientes, más operaciones, más sucursales o más presión comercial. Ese fue precisamente uno de los mensajes más duros del caso TD Bank: crecer sin rediseñar el compliance es una forma silenciosa de construir un problema futuro.

Llevado a la vida real mexicana, el paralelo es fácil de imaginar. Una empresa de joyería, inmobiliario, empeño, vehículos o servicios corporativos arranca con 20 operaciones al mes y un control “manual” parece suficiente. Luego llegan 80, después 200, luego pagos de terceros, cambios de datos, clientes recurrentes, operaciones fragmentadas y urgencia comercial. Si nadie conecta expediente, umbrales, acumulación, beneficiario controlador y trazabilidad, lo que parecía una operación ordenada se vuelve una bomba de tiempo administrativa.

La lección de fondo no es “tener más papeles”. Es tener mejor sistema. Un buen programa de cumplimiento no depende de la memoria del equipo ni de que alguien “sí se acuerde” de revisar un caso raro. Depende de procesos repetibles, evidencia accesible y alertas que no se pierdan. Por eso, cada vez más empresas están dejando atrás el cumplimiento improvisado y migrando a herramientas que centralizan expediente, riesgo, beneficiario controlador y seguimiento operativo. Ahí es donde soluciones como Artu.AI empiezan a tener sentido: no como adorno tecnológico, sino como una manera práctica de que el compliance sí sobreviva al crecimiento.

¿Qué debería aprender una empresa mexicana de este caso, sin esperar una crisis propia?

Primero, que el expediente único no puede ser un folder “bonito” pero incompleto. Debe servir para probar quién es el cliente, qué documentación se pidió, quién es el beneficiario controlador cuando aplique y qué decisiones de riesgo se tomaron.

Segundo, que el monitoreo de operaciones no puede depender solo del monto individual. El SAT ha reiterado que la acumulación por persona en seis meses puede detonar la obligación de presentar aviso. Si tu operación solo mira tickets aislados, estás viendo demasiado poco.

Tercero, que conservar información no significa solo “guardar archivos”. Significa poder encontrarlos, explicarlos y sostenerlos frente a una revisión. Con el plazo de conservación en 10 años, el problema ya no es archivar por cumplir; es archivar de forma útil.

Cuarto, que la capacitación importa más de lo que muchas empresas creen. En el caso TD Bank, las autoridades mencionaron fallas también en training y governance. En México, un equipo que no entiende qué pedir, cuándo escalar o qué documentar puede convertir una operación ordinaria en un riesgo evitable.

Y quinto, que compliance no debe entrar tarde al negocio. Cuando el área comercial ya prometió cerrar “hoy mismo” y cumplimiento entra al final a pedir documentos, el daño casi siempre ya empezó. El mejor control es el que está integrado al flujo de la operación, no el que aparece al final para frenar todo. Esta es, probablemente, la enseñanza más universal del caso.

El caso TD Bank fue bancario, sí. Pero su moraleja no pertenece solo a los bancos. También le habla a cualquier empresa que en México esté creciendo y piense que su compliance puede seguir funcionando con parches. Porque el problema rara vez empieza con una gran conspiración. Empieza con expedientes a medias, alertas ignoradas, procesos manuales y la peligrosa confianza de creer que “todavía nos alcanza así”. Cuando la autoridad toca la puerta, esa frase suele salir carísima.