Esta es una versión de una historia que aparece en casi todas nuestras conversaciones con responsables de operaciones de fondos. Los detalles cambian. El patrón nunca.
Se detecta una coincidencia en listas de sanciones relacionada con el nuevo responsable de finanzas de una empresa del portafolio. Viernes, a media tarde. Llega al canal de monitoreo correctamente marcada, con la fuente correspondiente y un enlace directo a la entrada de la lista original. El lunes por la mañana, tres personas la ven al recorrer los mensajes. Las tres la registran. Las tres suponen que la persona responsable de cumplimiento ya se está ocupando. Esa persona va en un avión rumbo a una reunión con un LP y no abre el canal hasta el miércoles, cuando la alerta ya quedó veinte mensajes atrás. El asunto reaparece once días después, cuando el banco de la empresa del portafolio llama para informar que la cuenta está congelada.
Nadie en esa cadena hizo algo evidentemente incorrecto. La plataforma funcionó. Encontró exactamente lo que debía encontrar, el día en que debía encontrarlo, e incluyó el enlace a la fuente en el mensaje.
Lo que falló fue todo lo que venía después del mensaje.
La detección nunca fue la parte difícil
Esta es la parte a la que los compradores suelen dar menos importancia de la debida. Las demos se centran en la detección: cuántas fuentes, qué rapidez, qué precisión, cuánto ruido se elimina antes de que una persona lo vea. Es razonable. Esas cosas importan, y una plataforma que falla en ellas no sirve.
Pero nunca hemos visto que un fondo abandone el monitoreo continuo porque la detección fuera mala. Sí hemos visto a muchos abandonarlo porque las alertas llegaban a un lugar que nadie revisaba, sin dirigirse a nadie en particular, y al cabo de seis semanas el canal se había convertido en ruido de fondo que todos habían aprendido a pasar por alto.
Así que la pregunta que realmente determina si todo esto funciona no es “¿qué va a detectar?”. Es “¿qué lugar ocupa esto en nuestra semana y quién actúa cuando se activa una alerta?”.
Cuatro formas en que una alerta queda sin efecto
Unas cuatro, al menos. Suelen acumularse.
Nadie la ve. La alerta llega a una bandeja compartida, a un panel o a un canal que ya recibe trescientos mensajes al día. Técnicamente está ahí. Nadie la encuentra mientras todavía importa.
Nadie se hace responsable. Es lo que ocurre en la historia anterior y, por mucho, lo más común. Una alerta dirigida a “el equipo” no está dirigida a nadie. La literatura sobre respuesta a incidentes tiene un nombre para esto: difusión de la responsabilidad. Se ha documentado en tantos análisis posteriores a incidentes que uno supondría que el sector ya lo resolvió. No lo ha resuelto.
La alerta no dice qué hacer. No indica la gravedad, no especifica la siguiente acción y no explica en absoluto por qué importa. Una persona de operaciones que se encuentra con una señal ambigua a las 4:40 de un jueves la deja para después. Ya sabes cómo acaba eso.
Fatiga por alertas. Demasiado volumen, muy pocas coincidencias relevantes, y el equipo aprende poco a poco que ignorar el flujo no tiene consecuencias. SANS Institute ha escrito mucho sobre esto en el contexto de los centros de operaciones de seguridad (SOC), y las cifras son preocupantes: los analistas suelen clasificar apenas una pequeña parte de lo que reciben. La dinámica en inteligencia de riesgos es idéntica. Señales distintas, el mismo límite de capacidad humana.
El correo electrónico no es el canal adecuado para lo urgente
El correo electrónico es donde se guarda información para encontrarla después. Esa función es real y resulta adecuada para una parte considerable de lo que produce el monitoreo continuo.
Para cualquier asunto que exija rapidez, no es el canal adecuado. La razón es el tiempo de respuesta, no una supuesta inferioridad del correo. La mediana del tiempo de respuesta a un correo de trabajo se mide en horas. En un canal de chat que tu equipo ya tiene abierto, se mide en minutos. Cuando una entidad sancionada aparece en el flujo de pagos de una empresa del portafolio, el plazo en el que una respuesta todavía resulta útil se parece mucho más al segundo que al primero.
Conviene recordar la rapidez con la que cambian los datos de origen. El flujo de acciones recientes de OFAC se actualiza continuamente, sin ajustarse a tus hábitos de revisión del correo. Lo mismo ocurre con las demás fuentes de esta categoría.
Por qué Telegram y cuándo no conviene
Para una gran parte de las empresas con las que trabajamos, ese canal que ya está abierto es Telegram. Esto sorprende a quienes nunca han trabajado en distintos sectores y no sorprende a quienes sí lo han hecho.
Los equipos simplemente ya están ahí. Conversaciones sobre operaciones, comunicación con el portafolio, grupos de fundadores, conversaciones con LP. Para algunas empresas, Telegram no es un canal que se agrega. Es el canal. Enviar las alertas ahí no exige ningún cambio de hábitos al equipo, y una adopción del flujo de trabajo que no exige cambiar hábitos es la única que sobrevive a un trimestre de mucha actividad.
También permite comunicarse entre organizaciones de una forma que la mayoría de las herramientas empresariales evita deliberadamente. Slack y Teams están diseñadas para uso interno, lo cual es adecuado para casi todo y poco práctico en este caso. Cuando hay una campaña de suplantación de identidad contra una empresa del portafolio, necesitan enterarse tanto el responsable de operaciones del fondo como el equipo del fundador. Los grupos de Telegram permiten hacerlo de forma nativa.
Y la entrega funciona de manera confiable a escala internacional. Los fondos con equipos distribuidos o con inversiones en varias jurisdicciones tienen problemas de entrega de correo con más frecuencia de la que esperarías. Filtros regionales, reglas corporativas contra el spam, lo habitual. Telegram no tiene ese problema de la misma forma.
Ahora, la salvedad, porque importa más que el argumento de venta. Telegram no es el canal adecuado para todos los fondos. Si tu fondo es institucional y tiene una política de mensajería empresarial, o tus LP tienen criterios firmes sobre dónde deben mantenerse las comunicaciones del fondo, envía las alertas a Slack, Teams o a un resumen estructurado por correo y no te preocupes por ello. Lo que importa es que las alertas lleguen a donde tu equipo ya revisa. El canal concreto depende por completo de tu equipo, no del nuestro.
Clasificar por niveles: la solución poco emocionante que casi nadie aplica
La mayoría de los fondos con los que hablamos recibe su flujo de riesgos como un torrente sin clasificar. Todo llega al mismo lugar, con la misma prioridad, y se espera que el responsable de operaciones lo ordene. Esto funciona unas tres semanas.
La solución es poco emocionante. Consiste en clasificar por niveles. Tres bastan; puedes agregar más, pero probablemente no deberías.
Crítico. Una coincidencia en listas de sanciones. Una señal de fraude activo. Una medida regulatoria inminente. Una vulneración de seguridad confirmada en una empresa del portafolio. Esto se envía a un canal con notificaciones inmediatas y una persona responsable identificada. No un equipo. Una persona. Se espera confirmación de recepción en un plazo de cuatro horas, no “cuando alguien tenga tiempo”.
Relevante. Medios adversos con información sustancial, un cambio en la situación de la entidad, actividad verificada de suplantación de identidad, litigios contra un fundador o un directivo. Se envía al canal de operaciones y se clasifica durante la jornada laboral.
Informativo. Todo lo que conviene saber, pero no justifica interrumpir a nadie. Cambios regulatorios del sector, menciones de poca relevancia en medios, presentaciones menores ante registros o autoridades. Se agrupa. Se entrega el viernes, se lee en diez minutos y listo.
Los niveles concretos no importan mucho. Tener niveles sí importa enormemente. Si quieres un atajo, la guía de manejo de incidentes de NIST (SP 800-61) formalizó este modelo para los equipos de seguridad hace dos décadas, y su lógica se puede trasladar casi sin cambios. Adopta el marco, cambia los nombres de las categorías y sigue adelante.
Dos tareas distintas, dos resultados distintos
El monitoreo continuo responde una pregunta: qué ha cambiado en nuestro portafolio desde la semana pasada.
Hay una segunda pregunta que los fondos hacen constantemente y que requiere algo completamente distinto. Dime todo lo que sabes sobre esta entidad, en este momento, en un solo documento. Una nueva operación en debida diligencia. Un LP que pregunta por una inversión específica. La reverificación anual. Eso no es un flujo de alertas. Es un informe, y debe ser exhaustivo, estructurado y fácil de compartir con personas que no participaron en la conversación.
Ambas cosas importan. Comprar una plataforma que resuelve una a la perfección y trata la otra como algo secundario es un error que vemos con frecuencia, normalmente porque el comprador solo tenía en mente el primer caso de uso durante la evaluación y el segundo apareció en el mes dos.
Deja de obligar a las personas a iniciar sesión en otro sitio
Cada clic entre una señal y una decisión es un punto en el que esa decisión puede quedarse sin tomar.
Eso significa que el panel, por bueno que sea, no debería ser la interfaz principal. Debería ser el lugar al que vas cuando ya sabes qué buscas. Las alertas deben llegar directamente a las herramientas que el equipo ya usa.
Para la mayoría de los fondos de capital de riesgo con los que trabajamos, funciona más o menos así. Las señales se envían al CRM de operaciones para que el historial de riesgos esté ahí la próxima vez que alguien abra el registro. El resumen semanal se publica en Notion, junto al documento de revisión del portafolio, donde el equipo ya trabaja los viernes por la tarde. Las alertas críticas generan una tarea en la herramienta que el equipo de operaciones utiliza para dar seguimiento al trabajo, porque una alerta sin responsable ni fecha límite no es una tarea. Es una nota.
La plataforma detecta. Tus herramientas actuales dan seguimiento. Crear un segundo sistema de registro dentro de la herramienta de riesgos es precisamente la forma de perder información.
La rutina lo es todo
Puedes diseñar un esquema de distribución perfecto, pero se deteriorará en ocho semanas si nadie lo revisa de forma deliberada. Por eso, la frecuencia de revisión importa tanto como los canales.
Cada semana, treinta minutos, bajo la dirección del responsable de operaciones. Revisar el resumen informativo. Comprobar el estado de todo lo que se haya escalado durante la semana. Registrar las decisiones, incluida la de no actuar, porque “lo revisamos y consideramos que no era relevante” es una postura defendible y “nunca encontramos tiempo para revisarlo” no lo es.
Cada mes, buscar patrones en lugar de incidentes. Que tres empresas del portafolio sufran suplantación de identidad en las mismas seis semanas no son tres problemas. Es uno y probablemente sea una campaña. Las alertas individuales casi nunca te lo dicen. Treinta días de alertas, leídas en conjunto, normalmente sí.
Cada trimestre, y esto es lo que todos se saltan: sentarse a revisar qué alertas realmente generaron una acción y cuáles fueron ruido. Después, ajustar los umbrales. Los equipos cuyos programas de gestión de riesgos siguen activos a los dieciocho meses son, casi sin excepción, los que hacen esto. Los programas que dejaron de funcionar sin que nadie lo notara seguían usando en el mes catorce la configuración del primer mes.
Los errores que vemos cometer a los equipos
Una lista breve, y apostaría a que la mayoría de los fondos que lee esto comete al menos uno:
- Enviar todo a una bandeja compartida de cumplimiento
- Configurar los umbrales de gravedad una sola vez durante el onboarding y no volver a modificarlos
- Entregar las alertas críticas por correo electrónico
- Tratar la alerta como el final del proceso en lugar de su inicio
- Construir todo el flujo de trabajo alrededor de la configuración predeterminada de la plataforma en lugar de la semana real del equipo
Los cinco se pueden corregir en una tarde. La mayoría de los equipos corrige al menos uno alrededor del tercer mes, normalmente una o dos semanas después de que algo se le haya escapado.
Preguntas frecuentes
La detección es la parte que los proveedores muestran en sus demos y suele funcionar bien. Las alertas se pierden más adelante, en su distribución. Llegan a un canal que nadie revisa en tiempo real, todas con la misma prioridad, sin una persona responsable y sin una rutina para revisarlas. Corrige el canal y la asignación de responsabilidades, y desaparecerá la mayoría de las quejas de que “nuestra herramienta no funciona”.
El correo electrónico es donde se guarda información para encontrarla después, y eso es exactamente lo que necesita una buena parte de lo que produce el monitoreo continuo, porque un resumen semanal sí corresponde a una bandeja de entrada. No es el canal adecuado para nada urgente. Si una señal necesita una decisión hoy, debe llegar a un lugar que el equipo ya tenga abierto.
Porque para una gran parte de los equipos con los que trabajamos es el canal que ya está abierto todo el día. El punto no es Telegram en particular. Es que las alertas deben llegar a donde las personas ya están, sin exigir otro inicio de sesión. No conviene cuando tu política exige un registro con control de acceso que indique quién vio qué y cuándo; en ese caso, la alerta debe estar en el sistema de registro y el chat solo debe incluir una referencia.
Clasificar por niveles significa dividir el flujo según su gravedad y enviar cada nivel por una vía distinta: los asuntos críticos a un canal inmediato con una persona responsable identificada, y todo lo demás a un resumen. La mayoría de los equipos envía un torrente sin clasificar a un solo lugar y espera que el responsable de operaciones lo ordene. Eso funciona unas tres semanas; después, las personas dejan de leerlo.
Responden preguntas distintas y no deberían usar el mismo formato. El monitoreo responde “¿qué ha cambiado en nuestro portafolio desde la semana pasada?”. Un informe responde “¿qué sabemos de esta contraparte y puedo reenviarlo?”. Uno es un flujo; el otro, un documento. Intentar que uno haga ambas tareas es la forma en que los equipos terminan sin ninguno de los dos.
Un esquema de distribución se deteriora. Las personas cambian de puesto, el portafolio crece y los umbrales dejan de ajustarse a las necesidades. Sin una frecuencia deliberada de revisión, una configuración bien diseñada deja de corresponder al equipo en un par de meses, sin que nadie lo note. Reserva un espacio recurrente en el calendario para revisar qué alertas se activaron, cuáles generaron acciones y cuáles se ignoraron.
Enviar todo con la misma prioridad; dirigir las alertas a un canal sin una persona responsable identificada; obligar a las personas a iniciar sesión en otro sitio para ver los detalles; y no volver a revisar la configuración después de la puesta en marcha. Cada clic entre una señal y una decisión es un punto en el que esa decisión puede quedarse sin tomar.
Conclusión
Así se ve una configuración que funciona, y es menos espectacular de lo que pensarías.
El responsable de operaciones se entera en minutos cuando se activa una alerta crítica. Las señales informativas se agrupan en un resumen del viernes que se lee en diez minutos. Los informes de debida diligencia aparecen dentro del documento de la operación, no en un portal aparte que alguien deba acordarse de abrir. Ningún asunto se escala dos veces sin resolverse. Y nadie revisa un panel por si acaso, porque no hay motivo para hacerlo.
El resultado final es un equipo que deja de pensar en la herramienta de riesgos, del mismo modo que no piensas en que tu correo electrónico esté funcionando. Ese es el estándar, y la mayoría de los fondos está más lejos de alcanzarlo de lo que cree.
Si quieres diseñar ese esquema con tus propias herramientas, Beady AI lo revisará contigo. Telegram o Slack, frecuencia de los resúmenes, CRM y responsabilidades. Agenda una sesión de trabajo y lo haremos con tu portafolio real en lugar de uno de demostración.
