FinCEN recorta el BOI y complica a bancos

FinCEN eliminó de forma permanente las obligaciones de reporte de información de beneficiario final para compañías domésticas y personas estadounidenses bajo la Corporate Transparency Act, y confirmó que borrará de su base de datos todas las declaraciones históricas presentadas por esas entidades y solicitantes ahora exentos. Para bancos y otras instituciones financieras, el cambio recorta una fuente centralizada de verificación y traslada más peso a sus propios controles de debida diligencia, con impacto directo en corresponsalías en dólares que atienden estructuras complejas en América Latina.

¿Qué cambia con la regla final de FinCEN?

La regla final restringe el deber de reporte a ciertas entidades extranjeras registradas para hacer negocios en jurisdicciones de EE.UU. que no califican para una exención estatutaria. Según análisis especializados, esas entidades extranjeras siguen obligadas a revelar información sobre sus propietarios extranjeros, pero no sobre solicitantes estadounidenses. Incluso una entidad extranjera propiedad íntegramente de personas estadounidenses podría presentar reporte sin identificar a ningún propietario en el formulario de declaración de beneficiario final.

Ese recorte también afecta la calidad de la información disponible para el mercado. American Banker advirtió que la reducción del régimen de reporte elimina o achica una herramienta de debida diligencia que bancos y otras instituciones financieras usaban para evaluar riesgos de clientes y contrapartes, especialmente en operaciones en dólares con estructuras societarias complejas.

¿Cómo impacta en bancos y corresponsalías?

La eliminación del reporte doméstico deja a las instituciones financieras sin el registro federal como apoyo para verificar propiedad de clientes corporativos estadounidenses. Global RADAR señaló que, desde ahora, los bancos deben depender casi por completo de sus propios archivos de CDD, del monitoreo transaccional, de registros estatales y de registros extranjeros para acreditar titularidad y control.

El mismo informe describió a los expedientes internos de CDD como la "única evidencia de propiedad" en muchos casos, con mayor riesgo operativo y probatorio para corresponsalías en dólares que trabajan con estructuras societarias complejas con vínculos a Argentina y México. También recomendó que los bancos con exposición a EE.UU. informen a sus directorios y comités de auditoría que la verificación en la base de FinCEN deja de ser una opción, y ajusten antes de fin de trimestre sus procedimientos de onboarding y listas de chequeo de CDD para eliminar dependencias de consultas al registro.

Commerce Security Authority sostuvo que la retirada del reporte doméstico sitúa a EE.UU. fuera de sintonía con la Recomendación 24 del GAFI y aumenta las expectativas de debida diligencia propia para bancos que operan transfronterizamente con EE.UU., incluidas entidades de Argentina y México. La misma pieza remarcó que la obligación bajo la Customer Due Diligence Rule de identificar y verificar beneficiarios finales sigue intacta, por lo que el registro de BOI queda como un recurso más útil para entidades extranjeras registradas en estados de EE.UU. que para la masa de clientes domésticos de bancos corresponsales.

¿Qué pasa con CDD, terceros y ciberseguridad?

La regla de FinCEN no modifica las obligaciones de Customer Due Diligence bajo BSA/AML, de modo que los bancos siguen obligados a identificar, verificar y evaluar el riesgo de los beneficiarios finales de clientes de entidades jurídicas, incluso sin respaldo en una base federal. FinCrime Central sostuvo además que la ausencia de registros o la existencia de exenciones no debe interpretarse como un indicador de bajo riesgo, porque la evaluación sigue apoyándose en información propia, comportamiento transaccional y señales de jurisdicción.

La discusión coincide con otra línea regulatoria. Secure Systems identificó como marcos clave para instituciones financieras estadounidenses el GLBA Safeguards Rule, la guía FFIEC aplicada por examinadores de la Reserva Federal, la OCC y la FDIC, y el marco de ciberseguridad de NYDFS para entidades con licencia en Nueva York, con exigencias como CISO designado, certificación anual de cumplimiento, estándares de cifrado y notificación de incidentes en 72 horas. Para filiales o sucursales de entidades argentinas y mexicanas en EE.UU., esos estándares siguen funcionando como referencias de facto.

Shumaker agregó que la FDIC propuso en 2024 una "Synapse rule" para obligar a los bancos a mantener registros precisos de beneficiarios finales en cuentas de custodia, pero la propuesta fue retirada. Esa misma pieza recordó que los contratos banco-fintech deben dejar explícito que la responsabilidad por BSA/AML, fair lending y seguridad y solidez no se delega y permanece en el banco, con necesidad de cláusulas de acceso a datos, derechos de auditoría y estándares de ciberseguridad en acuerdos con terceros situados en jurisdicciones latinoamericanas.

¿Por qué México aparece en el centro del contraste?

ShuftiPro describió una asimetría regulatoria entre México y Estados Unidos. En México, la reforma de la LFPIORPI de julio de 2025 y su ajuste reglamentario de marzo de 2026 redujeron el umbral de beneficiario final al 25%, exigieron identificación directa del beneficiario y obligaron a monitoreo automatizado continuo, con reporte de operaciones sospechosas en un máximo de 24 horas.

El mismo análisis indicó que las entidades mexicanas migran hacia modelos de KYC y KYB fuertemente automatizados y de retención de registros por diez años. Ese endurecimiento local contrasta con el estrechamiento del BOI estadounidense y obliga a bancos mexicanos con corresponsalías en EE.UU. a reconciliar estándares distintos, en un contexto en el que Estados Unidos reduce su reporte centralizado y México exige más trazabilidad de propiedad y control.