¿Cómo deben documentarse los procesos de originación digital para sobrevivir una auditoría regulatoria?

Digitalizar el proceso de originación — onboarding de clientes, verificación de identidad, firma de contratos — resuelve problemas operativos reales: elimina papel, reduce tiempos, permite atender clientes a distancia. Pero lleva consigo una pregunta que las áreas de compliance y legal se hacen tarde o temprano: si mañana llega la CNBV, la UIF o la STPS, ¿podemos demostrar que hicimos las cosas bien?

La respuesta depende menos de qué tecnología se usó y más de cómo se documentó el proceso. Una auditoría regulatoria no evalúa si el proceso fue digital o presencial — evalúa si existe evidencia suficiente de que se cumplieron las obligaciones. Este artículo explica qué evidencia necesita existir y cómo estructurarla.

Qué busca un auditor regulatorio

Independientemente de la autoridad — CNBV, UIF, STPS, INAI — un auditor que revisa un proceso de originación digital está buscando respuesta a las mismas preguntas básicas:

• ¿La empresa sabía con quién estaba contratando? (identificación del cliente)

• ¿Puede demostrar que verificó esa identidad? (evidencia del proceso de KYC)

• ¿El cliente consintió libremente las condiciones? (consentimiento informado y firma)

• ¿Puede demostrar que el documento no fue alterado después? (integridad documental)

• ¿Cuándo ocurrió cada paso? (temporalidad)

• ¿Conservó correctamente esa información? (retención y accesibilidad)

Un proceso de originación digital bien documentado responde todas esas preguntas con evidencia verificable. Uno mal documentado deja lagunas que el auditor interpreta como incumplimientos, aunque el proceso haya sido correcto en la práctica.

Los componentes del expediente de originación digital

1. Identificación del cliente

El expediente debe contener los datos de identificación del cliente — nombre, CURP, RFC, domicilio, actividad — y la evidencia de que esos datos fueron verificados, no solo declarados.

Para personas físicas, eso incluye:

• Imagen del documento de identidad oficial (anverso y reverso)

• Resultado de la validación del documento (que no sea una imagen de una imagen, que los datos sean consistentes)

• Resultado de la validación contra RENAPO (que el CURP del documento corresponda a los datos de la persona registrada en el Registro Nacional)

• Fecha y hora exacta en que se realizó la verificación

2. Evidencia biométrica

Cuando el proceso incluye verificación biométrica — lo que es recomendable y en muchos contextos regulatorio — el expediente debe contener:

• Resultado del face match: el score de similitud entre el rostro del documento y la selfie capturada

• Resultado del liveness: la confirmación de que hay una persona real frente a la cámara, no una foto o video

• Las imágenes capturadas durante el proceso

• Metadatos de la sesión: IP, geolocalización, timestamp

Estos elementos son la evidencia de que la persona que se identificó en el proceso es quien dice ser. Sin ellos, el expediente acredita que alguien presentó un documento, no que el titular del documento fue quien se presentó.

3. Consentimiento informado

Para cumplir tanto con la regulación financiera como con la Ley de Protección de Datos Personales, el expediente debe acreditar que el cliente:

• Recibió el aviso de privacidad antes de que se recolectaran sus datos

• Aceptó explícitamente el tratamiento de sus datos biométricos (consentimiento expreso para datos sensibles)

• Leyó y aceptó los términos y condiciones del producto o servicio

Esto significa que el flujo digital debe registrar el momento exacto en que el usuario confirmó cada consentimiento, con timestamp.

4. El contrato firmado con constancia de integridad

El documento que formaliza la relación contractual debe estar firmado electrónicamente y acompañado de la constancia NOM-151. La constancia es lo que permite demostrar:

• Que el documento existía en ese estado exacto en esa fecha y hora

• Que no fue modificado después de firmarse

Sin la constancia NOM-151, un PDF firmado digitalmente puede ser cuestionado en cuanto a su integridad — no hay forma de probar que el documento que se presenta hoy es idéntico al que firmó el cliente.

5. Registro de auditoría del proceso

Además del expediente del cliente, debe existir un log del proceso completo: qué pasos ocurrieron, en qué orden, en qué momento. Este registro de auditoría permite reconstruir el flujo de onboarding de cualquier cliente ante una revisión.

Los elementos mínimos del log:

• Inicio del proceso (timestamp)

• Cada paso completado (captura de documento, validación, biometría, consentimientos, firma)

• Resultado de cada paso

• Finalización del proceso (timestamp)

Cómo estructurar el expediente para que sea auditable

El expediente auditado debe ser accesible y recuperable. No basta con que exista en algún servidor — debe poder presentarse ante la autoridad en tiempo razonable y en un formato que sea legible y comprensible.

Las prácticas que facilitan la auditoría:

Indexación por cliente y por fecha: el expediente debe poder recuperarse tanto por identificador del cliente como por rango de fechas. Un auditor que pide los expedientes de los clientes onboarding en un período específico debe poder obtenerlos sin procesos manuales lentos.

Expediente completo en un solo lugar: los datos de identificación, las imágenes biométricas, los resultados de validación, los consentimientos y el contrato firmado deben estar vinculados en un expediente coherente, no dispersos en sistemas distintos que requieren cruzarse manualmente.

Acceso controlado y registrado: el acceso al expediente debe estar restringido a las personas con necesidad operativa o de compliance, y cada acceso debe quedar registrado. Esto responde a los requisitos de la Ley de Protección de Datos Personales sobre seguridad de los datos personales.

Período de retención cumplido: el sistema de almacenamiento debe garantizar que los expedientes se conserven durante el período que exige la regulación aplicable — que puede ser de cinco a diez años según el sector — y que no puedan eliminarse antes de ese período por error o por acción de un usuario.

Los errores más comunes que dejan expuesto a una empresa

Expedientes fragmentados: el resultado del KYC está en un sistema, el contrato en otro y los consentimientos en un formulario web que nadie exportó. Reconstruir el expediente ante una auditoría toma días y abre la posibilidad de que algo no se encuentre.

Sin constancia de integridad en los documentos: contratos firmados digitalmente sin NOM-151 pueden ser impugnados. La firma dice quién firmó; la constancia dice que el documento no fue alterado. Sin la segunda, la primera pierde parte de su valor probatorio.

Consentimientos sin timestamp: saber que el cliente aceptó el aviso de privacidad no es suficiente si no se puede demostrar cuándo lo hizo y qué versión del aviso vio.

Biometría sin evidencia del proceso: guardar solo el score final del face match, sin las imágenes capturadas ni los metadatos de la sesión, deja el expediente incompleto. El auditor puede cuestionar cómo se obtuvo ese número.

Retención sin política: no tener definido formalmente por cuánto tiempo se conserva cada tipo de expediente, y quién es responsable de asegurar esa retención, es un incumplimiento en sí mismo ante reguladores como la CNBV o el INAI.

Cómo una plataforma de originación digital bien implementada resuelve esto

Una plataforma como DIGID genera por diseño los elementos del expediente auditables: imagen del documento, resultado de validación RENAPO, score de biometría con imágenes, timestamp de cada paso, consentimientos registrados, contrato firmado y constancia NOM-151 vinculada.

Lo que la empresa debe garantizar adicionalmente es que ese expediente se archiva en sus propios sistemas con la organización y los períodos de retención correctos — no depender indefinidamente de que esté disponible en los servidores del proveedor.

La combinación de un proceso digital robusto y una política de retención bien definida es lo que convierte la originación digital en un activo ante una auditoría, en lugar de una fuente de incertidumbre.

Preguntas frecuentes

¿El auditor puede rechazar un expediente digital y pedir los documentos en papel? Las disposiciones regulatorias mexicanas reconocen los medios electrónicos como válidos para la conservación de expedientes. Un auditor puede pedir que se demuestre la integridad del expediente digital — para lo que sirve la constancia NOM-151 — pero no puede exigir papel si el proceso digital cumple los requisitos establecidos.

¿Qué pasa si el cliente realizó el proceso desde un dispositivo móvil? No cambia nada en términos de validez. Lo que importa es que el proceso capturó la información requerida y la documentó correctamente, independientemente del dispositivo. Los metadatos del expediente — tipo de dispositivo, sistema operativo, IP — son datos adicionales que enriquecen el registro de auditoría.

¿Cuánto tiempo debe estar disponible el expediente para consulta rápida versus en archivo? Depende de la política interna y de los requerimientos regulatorios. Para expedientes recientes o de clientes activos, la disponibilidad inmediata es lo recomendable. Para expedientes históricos de clientes inactivos, pueden migrar a almacenamiento de archivo más económico siempre que puedan recuperarse en un plazo razonable ante un requerimiento.

¿La empresa puede delegar la responsabilidad del expediente al proveedor de KYC? No. La responsabilidad de conservar el expediente y de poder presentarlo ante la autoridad recae en la empresa regulada. El proveedor puede ser un aliado tecnológico en el proceso, pero no asume la responsabilidad regulatoria.

¿Qué evidencia necesita el expediente si el cliente fue una persona moral? Para personas morales se suma la documentación corporativa: escritura constitutiva, poderes del representante, e identificación individual del representante legal. El representante pasa por el proceso de verificación biométrica; la empresa queda documentada a través de sus instrumentos notariales.

Originación digital con expediente listo para auditoría

DIGID documenta cada paso del proceso — identificación, biometría, consentimientos, firma y NOM-151 — en un expediente coherente con timestamp en cada elemento. Lo que necesitas para responder a cualquier requerimiento regulatorio.

Habla con tu ejecutivo de DIGID para revisar cómo tu implementación actual cubre los requisitos de evidencia que exige tu regulador.