Outsourcing de KYC y Compliance PLD en México: cómo subcontratar (sin subcontratar tu responsabilidad) con software PLD y LFPIORPI

Imagina este escenario: tu operación crece, el equipo de cumplimiento ya no da abasto y alguien propone “la solución perfecta”: subcontratar el KYC, la verificación documental y hasta el armado del expediente de identificación. Suena lógico… hasta que llega una visita de verificación, un requerimiento o un incidente de datos, y la pregunta clave aparece:

¿Quién responde ante el SAT y ante la ley?
Spoiler: tú, aunque el trabajo lo haya hecho un tercero.

Este artículo es una guía práctica (y realista) para tercerizar tareas de compliance PLD sin abrir un boquete operativo, legal y reputacional. Y sí: también para hacerlo mejor usando software PLD.

1) Lo que sí puedes tercerizar (y lo que nunca deberías soltar)

En la práctica, muchas empresas tercerizan partes del proceso PLD para ganar velocidad:

Sí es común tercerizar:

• Captura y validación documental (INE, actas, poderes, etc.).

• Verificación de identidad con proveedores (biometría, validación de documentos, etc.).

• Screening inicial (listas internas/externas), siempre con control interno.

• Operación administrativa del expediente (orden, foliado, clasificación).

Lo que no deberías “soltar” (porque te explota):

• La decisión final de aceptación/rechazo del cliente (y sus excepciones).

• El diseño de tu enfoque basado en riesgos (matriz, perfiles, reglas).

• La conservación y trazabilidad de evidencias “a prueba de auditoría”.

• La presentación correcta y oportuna de avisos (y la lógica de umbrales).

¿Por qué? Porque la obligación de identificar y armar el expediente único de cliente/usuario (con datos y documentos específicos) recae en quien realiza la Actividad Vulnerable, no en el proveedor.

2) La trampa mental: “si lo hace mi proveedor, el riesgo se va con él”

En compliance PLD hay una regla de oro: puedes delegar tareas, pero no puedes delegar responsabilidad.

La LFPIORPI establece el marco de obligaciones para prevenir y detectar operaciones con recursos de procedencia ilícita.
Y el propio SAT, en su portal PLD, aterriza obligaciones operativas (identificación, expediente, avisos, etc.) para quienes realizan Actividades Vulnerables.

En cristiano: si tu tercero falla, tu cumplimiento falla.

3) “Outsourcing” también es dato personal: tu riesgo LFPDPPP crece sin avisarte

El KYC no es solo compliance: es tratamiento de datos personales (a veces sensibles). Y en México, el responsable del tratamiento debe asegurar medidas administrativas, técnicas y físicas para proteger los datos.

Cuando entra un tercero (encargado/proveedor), el reto real es doble:

1. Cumplir LFPIORPI (identificación, expediente, conservación).

2. Cumplir LFPDPPP (seguridad, control, finalidades, transferencias, contratos y límites).

Si no amarras esto, el problema no es “si pasa algo”, sino cuándo.

4) Checklist de tercerización segura en compliance PLD

Aquí va lo que funciona en campo (y lo que normalmente falta):

A) Due diligence del proveedor (antes de firmar)

• Evidencia de controles de seguridad (accesos, cifrado, bitácoras, respaldos).

• Capacidad de trazabilidad: ¿puede probar quién hizo qué, cuándo y con qué documento?

• Experiencia en Actividades Vulnerables (no “cumplimiento genérico”).

• Procesos de gestión de incidentes y notificación.

• Subcontratación: ¿usa subprocesadores? ¿cuáles? (si no te lo dicen, mala señal).

B) Contrato “a prueba de auditoría”

Incluye cláusulas claras de:

• Finalidades y límites del tratamiento (solo lo necesario).

• Confidencialidad y controles de acceso (mínimo privilegio).

• Conservación y devolución/depuración al terminar el servicio.

• Auditorías: derecho de revisión (y evidencia disponible).

• Niveles de servicio (SLA) para tiempos de respuesta, incidencias y expedientes.

• Bitácoras y evidencias: formatos, integridad, y retención.

Tip: si tu contrato no te permite reconstruir el expediente como evidencia, no es un contrato de compliance; es un contrato de “operación”.

C) Operación: el “modelo de doble control”

Aunque tercerices:

• Define puntos de control internos (muestreo, revisiones, aprobaciones).

• Establece criterios de escalamiento (alertas, inconsistencias, PEP, listas).

• Asegura que el expediente se integra previo o durante la operación (no “después, cuando se pueda”).

5) ¿Qué dice el estándar internacional sobre depender de terceros?

A nivel global, los estándares AML (FATF/GAFI) permiten apoyarte en terceros para elementos del CDD bajo condiciones, pero con un principio clave: la institución sigue siendo responsable y debe gestionar el riesgo del tercero (incluido riesgo país y supervisión adecuada).

Esto es útil para una idea muy concreta: “tercerizar” no es “desentenderse”; es crear un esquema controlado con evidencia.

6) El papel del software PLD cuando hay proveedores (la diferencia entre orden y caos)

La tercerización se vuelve peligrosa cuando tu cumplimiento vive en:

• carpetas dispersas,

• correos,

• drives sin control,

• PDFs sin bitácora,

• y aprobaciones “de palabra”.

Un software PLD bien implementado convierte la tercerización en un proceso gobernable:

• Expediente digital auditable con checklist, control de versiones y trazabilidad.

• Flujos de aprobación (quién valida, quién autoriza, quién escala).

• Evidencia centralizada: cada documento con fecha, origen y estatus.

• Reglas y alertas consistentes para KYC y monitoreo (menos improvisación).

• Reportabilidad y preparación para requerimientos/visitas.

En términos simples: si tu proveedor hace el trabajo, el software PLD conserva la prueba.

(Mención sutil pero útil: plataformas enfocadas en compliance PLD para Actividades Vulnerables suelen facilitar este “doble control” porque ya están diseñadas alrededor de expediente, umbrales, evidencias y estandarización operativa.)

7) Mini-guía: señales de que tu outsourcing te está metiendo en riesgo

Si detectas 2 o más, actúa:

• “Luego te paso el soporte” (no hay evidencia inmediata).

• No pueden reconstruir un expediente completo en minutos.

• No existe bitácora de accesos ni trazabilidad por usuario.

• Operan con subcontratistas que “nadie conoce”.

• Tu aviso de privacidad y tu operación real no coinciden.

• El SLA no contempla picos, urgencias ni incidentes.

Conclusión: terceriza tareas, no tu control

En compliance PLD y LFPIORPI, la tercerización puede ser una ventaja… si la tratas como lo que es: un riesgo que se administra con controles, evidencia y tecnología.

Si quieres que el outsourcing te dé velocidad sin quitarte el sueño, la fórmula es:

Due diligence + contrato correcto + doble control + software PLD auditable.