Documentación de cumplimiento para empresas FinTech en Lituania

Qué cubre: Documento maestro de política sobre el marco completo de prevención de blanqueo de capitales: gobernanza, apetito de riesgo, funciones, responsabilidades y controles AML.

• Obligaciones bajo la normativa AML lituana y Directivas de la UE aplicables
• Declaración de apetito de riesgo ML/TF
• Estructura de gobernanza: consejo, alta dirección y MLRO
• Controles CDD, EDD, monitoreo de transacciones, sanciones, STR y conservación de registros
• Responsabilidades del personal y consecuencias del incumplimiento
• Consecuencias del incumplimiento: consecuencias disciplinarias internas y obligaciones de información regulatoria.
• Mecanismo de revisión anual: cómo y cuándo se revisa y actualiza el programa.
• Referencia a todos los documentos de procedimiento de apoyo: el programa AML es el documento de nivel superior; los procedimientos se encuentran debajo de él.

Qué cubre: Define qué clientes acepta la empresa, cuáles rechaza y cuáles requieren revisión reforzada antes de la aceptación.

• Categorías de clientes aceptables: los tipos de clientes a los que presta servicio la empresa y la base para su aceptación.
• Categorías de clientes prohibidas: tipos de clientes explícitamente prohibidos (por ejemplo, clientes de jurisdicciones sancionadas, empresas fantasma sin beneficiario final identificable).
• Categorías de clientes de alto riesgo: clientes que requieren una debida diligencia reforzada (DDR) conforme a la legislación aplicable en materia de prevención del blanqueo de capitales y la financiación del terrorismo (PBC/FT) o a la evaluación de riesgos documentada por la institución. Esto incluye a las personas políticamente expuestas (PPE), clientes o transacciones relevantes que involucren a terceros países de alto riesgo, y clientes con estructuras de propiedad o actividades comerciales que presenten riesgos elevados de blanqueo de capitales o financiación del terrorismo. La nacionalidad por sí sola no activa automáticamente la DDR, y las estructuras de propiedad complejas deben evaluarse según sus riesgos reales, en lugar de considerarse universalmente prohibidas o inherentemente de alto riesgo.
• Requisitos de aprobación de la alta dirección: categorías de clientes que no pueden ser aceptadas sin la aprobación explícita de la alta dirección.
• Restricciones geográficas: países y jurisdicciones desde los que la empresa no aceptará clientes.
• Restricciones geográficas y de actividad empresarial
• Disparadores de reevaluación de clientes existentes

Qué cubre: Procedimientos operativos paso a paso para identificar y verificar clientes individuales y corporativos.

• Onboarding de personas físicas: identidad, dirección, PEP, sanciones y scoring de riesgo
• Procedimiento de incorporación de la entidad corporativa (legal): recopilación de documentos corporativos, identificación del beneficiario final, mapeo de la estructura de control, verificación de la titularidad real.
• Listas de verificación para la recopilación de documentos: documentos específicos requeridos para cada tipo de cliente y jurisdicción.
• Hoja de cálculo de puntuación de riesgo: cálculo paso a paso de la puntuación de riesgo de blanqueo de capitales/financiación del terrorismo del cliente en función de criterios definidos.
• Matriz de decisión: qué hacer con la puntuación de riesgo: aceptar, escalar a la DDE, remitir al MLRO o rechazar.
• Requisitos de mantenimiento de registros: dónde almacenar los documentos de incorporación, en qué formato y durante cuánto tiempo.
• Lista de eventos que requieren que un cliente existente vuelva a pasar por el procedimiento de incorporación

Qué cubre: Procedimientos para aplicar controles reforzados a clientes de alto riesgo, PEP, jurisdicciones de riesgo y estructuras complejas.

• Identificación y screening de PEP
• Fuente de riqueza, fuente de fondos y propósito de la relación
• Procedimiento de jurisdicción de alto riesgo: se requieren controles adicionales para clientes de países incluidos en la lista del GAFI o de la UE considerados de alto riesgo.
• Procedimiento complejo de estructura de propiedad: cómo rastrear la propiedad efectiva a través de estructuras corporativas de múltiples niveles.
• Flujo de trabajo de aprobación de la alta dirección: el proceso documentado para obtener la aprobación antes de aceptar un cliente del EDD.
• Requisitos de monitoreo de EDD: umbrales de monitoreo de transacciones más frecuentes e intervalos de revisión periódica para los clientes de EDD.
• Estándar de documentación de archivos EDD: qué debe contener un archivo completo de cliente EDD para fines de examen.

Qué cubre: Procedimientos operativos para la función de monitoreo de transacciones: desde la generación de alertas hasta la investigación, pasando por la derivación al responsable de prevención del blanqueo de capitales o el cierre del caso.

• Procedimiento de clasificación de alertas: cómo categorizar las alertas entrantes por nivel de urgencia y riesgo.
• Flujo de trabajo de investigación de alertas: proceso de investigación paso a paso que incluye revisión del contexto del cliente, análisis de transacciones y evaluación de patrones.
• Guía de referencia de tipologías: tipologías documentadas de ML/TF relevantes para el modelo de negocio de la empresa, utilizadas para contextualizar las alertas.
• Criterios de escalamiento: criterios objetivos para determinar cuándo una alerta debe ser escalada al MLRO en lugar de ser cerrada por el analista.
• Estándar de documentación para el cierre de alertas: qué debe registrarse cuando se cierra una alerta sin escalamiento.
• Plantilla de memorando de remisión al MLRO: el formato en el que los analistas documentan y comunican las alertas escaladas al MLRO.
• Procedimiento de control de calidad: cómo el responsable de cumplimiento revisa las alertas cerradas para verificar el cumplimiento de los procedimientos.
• Disparador de revisión del modelo: eventos que requieren que se revisen los umbrales o tipologías del modelo de monitoreo de transacciones.

Qué cubre: Procedimientos paso a paso para cotejar clientes y transacciones con las listas de sanciones aplicables, y para gestionar los resultados que genere el sistema de control.

• Las listas de control se refieren a la identificación de los regímenes de sanciones legalmente aplicables a la institución, incluidas las medidas restrictivas de la UE y las sanciones aplicables del Consejo de Seguridad de la ONU, junto con los requisitos de implementación pertinentes en Lituania. Deben evaluarse las sanciones de la OFAC y otras sanciones de terceros países cuando sean de aplicación directa o generen riesgos contractuales, de banca corresponsal u operativos relevantes. El Servicio de Investigación de Delitos Financieros (FNTT) es una autoridad lituana competente en la implementación y supervisión de sanciones, pero la información que publica no debe considerarse una lista de sanciones nacionales universales independiente, equivalente a las listas consolidadas de sanciones de la UE o la ONU.
• Procedimiento de selección de nuevos clientes: cómo y cuándo seleccionar a los nuevos clientes antes de la activación de la cuenta.
• Procedimiento de control continuo: cómo gestionar el reanálisis automatizado cuando se actualizan las listas de sanciones.
• Procedimiento de verificación de transacciones: verificación en tiempo real o por lotes de las contrapartes de pago.
• Procedimiento de revisión de coincidencias: el proceso documentado para evaluar si una coincidencia en la prueba de detección es una coincidencia real o un falso positivo.
• Estándar de documentación de falsos positivos: qué debe registrarse cuando se confirma que un resultado es un falso positivo.
• Procedimiento de escalada por coincidencia real: verificación inmediata de las obligaciones de sanciones aplicables, identificación de cualquier persona o entidad designada directa o indirectamente, e implementación de las medidas restrictivas requeridas. Cuando se aplique la congelación de activos, la institución debe congelar los fondos o recursos económicos correspondientes y cumplir con las prohibiciones de ponerlos a disposición de las personas designadas. Las notificaciones y solicitudes de autorización deben dirigirse a las autoridades lituanas competentes de acuerdo con el régimen de sanciones aplicable. No todas las coincidencias en el control de sanciones requieren automáticamente la congelación de cuentas, y los falsos positivos deben investigarse y documentarse adecuadamente.
• Nota de capacitación sobre sanciones: breve guía de referencia para el personal sobre qué significa el cumplimiento de las sanciones y qué hacer cuando un nombre parece sospechoso.

Qué cubre: Los procedimientos que rigen cómo el personal informa internamente al responsable de prevención del blanqueo de capitales (MLRO) sobre actividades sospechosas, y cómo el MLRO evalúa esos informes y decide si presenta un informe de transacciones sospechosas (STR) ante la FNTT.

• Procedimiento interno de notificación de SAR: cómo los empleados informan de sus sospechas al MLRO (formulario, canal, plazo)
• Plantilla de formulario SAR interno: el formulario estandarizado que los empleados completan al informar una sospecha.
• Procedimiento de evaluación del MLRO: cómo el MLRO evalúa un SAR interno y llega a una decisión de presentación
• Estándar de documentación de decisiones del MLRO: lo que el MLRO debe registrar independientemente de si se presenta un STR.
• Procedimiento de presentación de STR: cómo preparar y enviar un STR al FNTT a través del sistema AML.
• Prohibición de dar información confidencial: instrucciones a todo el personal sobre por qué no se debe revelar la sospecha al sujeto.
• Procedimiento de respuesta a consultas de FNTT: cómo gestionar y responder a las solicitudes de información de FNTT.
• Plantilla de informe mensual del MLRO: el formato en el que el MLRO informa al responsable de cumplimiento y al consejo de administración.

Qué cubre: Define qué registros de cumplimiento deben conservarse, durante cuánto tiempo, en qué formato y cómo deben ponerse a disposición del regulador, en consonancia con los requisitos mínimos de conservación de registros en materia de prevención del blanqueo de capitales y el RGPD.

• Calendario de conservación de registros para la prevención del blanqueo de capitales: según el artículo 19 de la Ley lituana sobre la prevención del blanqueo de capitales y la financiación del terrorismo, los documentos de identificación del cliente, la información sobre la titularidad real y la documentación contable o contractual pertinente deben conservarse, por lo general, durante ocho años tras la finalización de la relación comercial o la transacción. Los documentos y datos relativos a operaciones o transacciones monetarias deben conservarse, por lo general, durante ocho años tras la operación o transacción correspondiente. La correspondencia comercial se conserva, por lo general, durante cinco años. Los plazos de conservación de los informes de transacciones sospechosas y los registros relacionados deben determinarse conforme a la legislación lituana aplicable en materia de prevención del blanqueo de capitales. Asimismo, deben tenerse en cuenta los requisitos de conservación adicionales o las prórrogas legalmente permitidas.
• Alineación de las obligaciones de retención de datos con el RGPD: conciliación de las obligaciones de retención de datos para la prevención del blanqueo de capitales con los principios de minimización de datos y limitación del almacenamiento del RGPD.
• Requisitos de formato de los registros: qué constituye un registro adecuado para fines de examen (integridad, legibilidad, autenticidad).
• Controles de almacenamiento y acceso: quién puede acceder a los registros de cumplimiento y en qué condiciones.
• Procedimiento de acceso del regulador: cómo responder a las solicitudes de registros del Banco de Lituania o de FNTT, dentro del plazo requerido.
• Procedimiento de destrucción de registros: cómo y cuándo se destruyen los registros una vez transcurrido el período de retención.
• Registro de retención: el documento maestro que enumera todas las categorías de registros de cumplimiento con sus períodos de retención.

Qué cubre: El Reglamento (UE) 2022/2554 sobre resiliencia operativa digital para el sector financiero (DORA) se aplica generalmente desde el 17 de enero de 2025. Este reglamento establece requisitos de gestión de riesgos de las TIC, notificación de incidentes, pruebas de resiliencia operativa y riesgos de terceros relacionados con las TIC para las entidades financieras comprendidas en su ámbito de aplicación, incluidas las entidades de dinero electrónico (EMI), las entidades de pago (PI), los proveedores de servicios de crédito al consumo (CASP) y las empresas de inversión autorizadas. No obstante, se aplican exenciones específicas y requisitos proporcionales a determinadas entidades, como las entidades de pago exentas en virtud del artículo 32, apartado 1, de la Directiva (UE) 2015/2366 y las entidades de dinero electrónico exentas en virtud del artículo 9, apartado 1, de la Directiva 2009/110/CE. Por consiguiente, la aplicabilidad y el alcance de las obligaciones del DORA deben evaluarse en función de la situación jurídica, la autorización y la clasificación regulatoria de la entidad.

• Política de gestión de riesgos de las TIC: gobernanza de los riesgos de las TIC, funciones y responsabilidades, y tolerancia al riesgo ante interrupciones operativas.
• Registro de activos de TIC: inventario de todos los sistemas y activos de TIC que son fundamentales para las actividades autorizadas.
• Procedimiento de evaluación de riesgos de las TIC: cómo identificar, evaluar y puntuar los riesgos de las TIC en toda la infraestructura tecnológica.
• Procedimiento de clasificación de incidentes de TIC: cómo clasificar los incidentes de TIC por gravedad y determinar si se requiere la presentación de informes al Banco de Lituania.
• Procedimiento de notificación de incidentes graves de TIC: el proceso documentado para notificar al Banco de Lituania los incidentes graves de TIC.
• Procedimiento de gestión de riesgos de terceros en TIC: cómo evaluar y supervisar a los proveedores de servicios de TIC críticos.
• Plan de continuidad del negocio y recuperación ante desastres: respuesta documentada a la interrupción de las TIC que afecte a las actividades reguladas.
• Programa de pruebas de resiliencia operativa digital: cronograma y metodología para evaluar la resiliencia anualmente.

Qué cubre: Obligatorio para todas las entidades autorizadas que subcontratan cualquier función: define la gobernanza de los acuerdos de subcontratación, el registro de las funciones subcontratadas y cómo se supervisa el desempeño de terceros.

• Marco de gobernanza de la subcontratación: el papel del consejo en la aprobación de los acuerdos de subcontratación y los criterios para clasificar la subcontratación como crítica o importante.
• Registro de subcontratación: un registro en tiempo real de todas las funciones subcontratadas, los proveedores y los términos del contrato.
• Procedimiento de debida diligencia para proveedores de servicios de externalización: cómo evaluar a un nuevo proveedor antes de formalizar un acuerdo de externalización.
• Condiciones mínimas del acuerdo de subcontratación: las disposiciones contractuales exigidas por las directrices de la EBA para cada acuerdo de subcontratación.
• Procedimiento de supervisión del proveedor: seguimiento continuo del desempeño y el cumplimiento de los proveedores subcontratados.
• Evaluación del riesgo de concentración: procedimiento para evaluar y gestionar el riesgo de concentración en toda la cartera de servicios externalizados.
• Procedimiento de planificación de la salida: cómo planificar y gestionar la salida de un acuerdo de externalización.
• Procedimiento de notificación del Banco de Lituania: cómo notificar al regulador sobre la subcontratación crítica o importante.

Qué cubre: Una plantilla estructurada para la revisión anual del programa de cumplimiento, que abarca todos los controles AML/KYC, la eficacia del monitoreo de transacciones, el registro de presentación de STR y la finalización de la capacitación.

• Alcance y metodología de la revisión: qué abarca la revisión anual y cómo se lleva a cabo.
• Sección de revisión de la política contra el lavado de dinero: evaluación de si la política sigue vigente y es adecuada para su propósito.
• Evaluación de la calidad de los archivos CDD: resultados del ejercicio de muestreo de archivos realizado como parte de la revisión.
• Sección de efectividad del monitoreo de transacciones: volúmenes de alertas, tasas de cierre, tasas de escalamiento y rendimiento del modelo.
• Sección de registro de presentación de STR: número de SAR recibidos, STR presentados y tendencias en comparación con el año anterior.
• Sección de finalización de la formación: confirmación de la finalización de la formación anual en materia de prevención del blanqueo de capitales por parte de todo el personal pertinente.
• Sección de actualización de la evaluación de riesgos: si la evaluación de riesgos de toda la empresa necesita actualizarse.
• Registro de remediación: acciones pendientes de la revisión del año anterior y su estado de finalización.
• Resumen de la presentación ante la junta directiva: un resumen ejecutivo de una página con los resultados de la revisión para la junta directiva.