Summary

  • NatWest se declaró culpable de tres infracciones de cumplimiento bajo las Money Laundering Regulations 2007; no fue condenada por blanqueo sustantivo.
  • La sentencia mantuvo una frontera explícita: el banco no fue cómplice del blanqueo, aunque sus fallos fueron importantes para que la actividad pudiera avanzar.
  • La causa raíz fue una cadena de evidencia rota: expectativa de poca o ninguna caja manejada por el banco, grandes depósitos reales, rating equivocado, efectivo clasificado como cheque, avisos de empleados, alertas y revisiones incompletas.
  • La automatización no solo falló al generar o cerrar una alerta. Cambió el significado de algunos depósitos, careció de reglas adecuadas en periodos críticos y no acumuló señales con suficiente fuerza.
  • La reparación debe medirse por resultados: archivos de cliente reproducibles, reconciliación de canales de efectivo, alertas que envejecen hasta resolverse, muestreo independiente y prueba de que una preocupación creíble puede cambiar el tratamiento de una relación rentable.

Primero hay que fijar el perímetro legal

La FCA anunció en marzo de 2021 el inicio de procedimientos penales contra NatWest. En ese momento el caso estaba en fase de alegaciones, con cargos relacionados con los requisitos de las Money Laundering Regulations 2007, y ningún individuo fue acusado dentro de esa actuación de la FCA. Una lectura fiable no convierte esa fase inicial en una condena retroactiva.

El 7 de octubre de 2021, la autoridad comunicó que NatWest se había declarado culpable de tres delitos. El primer cargo se refería a una vigilancia continua inadecuada entre el 7 de noviembre de 2013 y el 23 de junio de 2016. Los otros trataban sobre vigilancia proporcional al riesgo y vigilancia reforzada desde el 8 de noviembre de 2012 hasta el 23 de junio de 2016. Las fechas importan porque separan obligaciones distintas y evitan reducir el caso a un único punto de fallo.

La FCA informó después de que NatWest había sido multada con 264,8 millones de libras por fallos AML. Ese resumen oficial recoge las condenas y la sanción, pero también preserva la frontera indicada por el juez: NatWest no fue tratada como cómplice del blanqueo. Esta no es una concesión retórica. Es la arquitectura legal del caso. La responsabilidad institucional puede ser severa incluso cuando la acusación no prueba participación corporativa en la conducta criminal subyacente.

La atribución a personas físicas también requiere precisión. En su respuesta sobre la investigación reciente de NatWest, la FCA explicó que no había base suficiente para los avisos individuales solicitados y que las condiciones probatorias de la ruta bajo la regulación 47 no se habían cumplido al estándar penal necesario. Esto no significa que todas las decisiones internas fueran correctas. Significa que esa vía de responsabilidad personal no quedó probada.

Las obligaciones eran verificables

Las Money Laundering Regulations 2007 exigían vigilancia continua, medidas sensibles al riesgo y controles reforzados en situaciones de mayor riesgo. La vigilancia no consiste en tener una carpeta de alta del cliente. Incluye comparar las transacciones con el conocimiento que el banco tiene de la actividad, mantener la información actualizada y poder demostrar al supervisor por qué el nivel de medidas aplicado era apropiado.

Las Regulations de 2017 mantienen una arquitectura moderna de diligencia debida, evaluación de riesgos, vigilancia continua y medidas reforzadas. Sirven para pensar la reparación actual, no para reescribir la base legal de la responsabilidad histórica de NatWest entre 2012 y 2016. Un buen análisis separa la norma aplicable al hecho pasado de los estándares actuales que deben cerrar los modos de fallo revelados por el caso.

La obligación es más concreta que “detener el crimen”. Un banco debe entender a quién sirve, comparar actividad real con actividad esperada, actualizar su conocimiento cuando la evidencia cambia, investigar señales de advertencia, incrementar la vigilancia si el riesgo sube y documentar una respuesta proporcional. No puede garantizar que jamás entre dinero criminal. Sí debe operar un sistema defendible y capaz de intervenir.

La relación empezó con una línea base que pronto fue contradicha

Fowler Oldfield fue incorporado como cliente comercial en 2011. El modelo registrado era la compra y venta de oro, con una facturación anual proyectada de unas 15 millones de libras, y con el entendimiento de que NatWest no manejaría efectivo para el negocio. Esa premisa era una línea base clara. Si el canal, el volumen o la naturaleza de los fondos cambiaban, la vigilancia debía recalibrarse.

La contradicción fue enorme. El agreed statement of facts indica que durante la relación se depositaron aproximadamente 365 millones de libras, de los cuales unos 264 millones fueron en efectivo. Casi todo ese efectivo siguió a un cambio material del modelo de negocio desde noviembre de 2013, y en el punto máximo los depósitos diarios alcanzaron alrededor de 1,8 millones de libras. Esos números no prueban por sí solos que cada libra fuera producto del delito. Sí prueban un choque tan grande con el perfil inicial que el rating, la fuente de fondos, la revisión del cliente y la intensidad de vigilancia debían cambiar.

El documento identifica tres vías de control: vigilancia manual y revisiones, monitorización automatizada de transacciones e investigación de actividades detectadas por una u otra ruta. Por eso el problema no fue la ausencia completa de arquitectura. Fue la incapacidad de las piezas para trabajar sobre una misma versión del cliente. La relación comercial podía tener una narrativa, la base de datos podía tener una clasificación, el centro de efectivo veía billetes físicos, el motor de vigilancia veía un código de cheque y el investigador veía un caso aislado.

Sin reconciliación, cada acción local podía parecer completa mientras la relación total se volvía indefendible.

La unidad correcta de control es la relación que evoluciona, no la alerta individual. La facturación esperada, los canales esperados, el sector, los beneficiarios efectivos, los depositantes, la geografía, las observaciones de sucursal, los informes internos, las alertas anteriores y cualquier contacto de las autoridades deben converger en un registro de riesgo. Una contradicción material debe permanecer abierta hasta que sea explicada de forma independiente.

El dato de riesgo dejó de mandar

Fowler Oldfield debía haber sido tratado como cliente de alto riesgo durante la relación relevante. Sin embargo, el rating registrado bajó de alto a bajo en diciembre de 2013 dentro de una remediación más amplia, sin una decisión específica que demostrara que el riesgo real había disminuido. La descripción del sector pasó de metales preciosos a una categoría de metales y minerales al por mayor, clasificación incorrecta que redujo el resultado. La entidad no pudo explicar definitivamente cómo ocurrió la rebaja.

En abril de 2014, el gestor de relación movió el rating a medio, y solo volvió a alto en marzo de 2016. Durante más de dos años, el sistema trató a la relación con menos intensidad de la que exigía su comportamiento. Este es un fallo de gobierno de datos con consecuencias de cumplimiento. Un score controlaba la vigilancia, pero la línea de decisión que lo modificó no era reproducible.

Los motores de riesgo no son calculadoras neutrales. Cada dato de entrada tiene origen, propietario, valores permitidos y ruta de cambio. Un código sectorial parece administrativo, pero puede alterar la frecuencia de revisión, las reglas aplicables, los umbrales de aprobación y las expectativas del investigador. Cualquier remediación masiva que afecte ratings debería producir un informe de antes y después, con cola de excepciones para clientes cuya actividad observada contradiga el nuevo resultado.

Un control duradero conserva rating anterior, motivo, iniciador, evidencia, versión del modelo y efectos downstream. Pregunta si una rebaja propuesta encaja con alertas recientes, volúmenes de efectivo, declaraciones del cliente y revisiones pendientes. Si el banco no puede explicar por qué el cliente se volvió menos riesgoso, la respuesta segura no es aceptar la etiqueta. Es restaurar tratamiento reforzado hasta que una revisión independiente cierre la contradicción.

El efectivo se convirtió en cheque dentro del sistema

El fallo técnico más claro fue semántico. Parte del efectivo pagado a través de centros de cash fue interpretado por la monitorización automatizada como depósitos de cheque. Como la actividad de cheque tenía otro tratamiento de riesgo, esos importes no recibieron reglas específicas de efectivo. Además, durante periodos relevantes, el conjunto de reglas no cubría adecuadamente el comportamiento cash. El evento físico era efectivo; la capa de riesgo lo leyó como algo distinto.

Esto no es solo un algoritmo que no detecta una anomalía. Es una ruptura de significado entre sistemas. Si un depósito de 20.000 libras en billetes entra como crédito genérico o cheque en la interfaz usada por el motor, el modelo ya recibe una realidad alterada. Ningún tuning compensa una entrada que cambia la naturaleza del hecho. El control debe empezar en la ingestión y reconciliar el registro físico, el producto de depósito, el código contable y el atributo enviado a vigilancia.

Una regla basada en historial también puede normalizar lo anómalo. Cuando una actividad extraordinaria se repite lo suficiente, el pasado del cliente empieza a parecer compatible con el presente. Por eso los bancos necesitan reglas por perfil y por pares, pero también reglas absolutas que no se desensibilicen ante un patrón sostenido. El efectivo masivo contrario al propósito declarado debe seguir siendo una señal, aunque se haya repetido durante meses.

La gobernanza del modelo debe inventariar cada canal de entrada de efectivo, el campo que lo identifica, los escenarios aplicables, la lógica de umbral, el historial de tuning, el propietario de validación y las limitaciones conocidas. Las pruebas deben seguir la transacción desde el hecho físico hasta el motor. Si la identidad de efectivo se pierde en una transformación, el test falla.

El personal vio señales que la automatización no integró

El expediente incluye advertencias de empleados. Personal de sucursales y centros de efectivo observó depósitos grandes, billetes escoceses apareciendo en Inglaterra, olor a humedad y conductas sospechosas de depositantes. Hubo informes internos de sospecha y también alertas automáticas. Por tanto, el banco no carecía por completo de detección. Carecía de una ruta confiable para convertir detección en investigación acumulativa y acción.

Las investigaciones se apoyaron demasiado en explicaciones transmitidas por la relación comercial, sin buscar siempre corroboración suficiente. No compararon de forma consistente el comportamiento de la cuenta con la línea base de onboarding. No reconocieron adecuadamente el rating erróneo. Y, de manera central, no evaluaron el peso acumulado de preocupaciones anteriores. Varios casos cerrados por separado fragmentaron una evidencia que debía haber elevado el riesgo.

La observación de primera línea tiene valor porque capta información que la transacción digital no contiene: textura del depósito, repetición humana, conducta evasiva, contexto físico. Pero un informe interno debe entrar en un workflow que preserve las palabras originales, proteja al empleado, relacione cliente y contrapartes, asigne urgencia y alcance a investigadores independientes del propietario comercial. El gestor de relación aporta información a probar; no debería ser la fuente única de verdad.

El diseño de escalada necesita rutas ordinarias y rutas rápidas. Informes corrientes pueden pasar por triage con plazos. Activadores como efectivo grande contrario al perfil, depósitos repetidos por terceros, comportamiento evasivo, contacto policial o múltiples informes en un periodo corto deben generar revisión senior, retención temporal o restricción. El cierre debe exigir corroboración mínima y visibilidad de señales previas.

La revisión periódica no hizo de reinicio independiente

Una revisión periódica no es renovar documentos. Debe reconstruir el periodo: entradas y salidas, efectivo por canal, contrapartes, geografía, cambios de actividad, alertas, informes internos, rating, explicaciones del cliente y decisiones de cuenta. En el caso NatWest no se completó una revisión periódica adecuada durante casi cinco años, pese a que los clientes de alto riesgo debían revisarse anualmente.

Dos revisiones event-driven, en noviembre de 2013 y marzo de 2016, fueron inadecuadas y no identificaron diferencias materiales entre actividad esperada y real. Otros eventos que debieron haber disparado revisión no lo hicieron. El proceso diseñado para mantener vigente la información del cliente falló tanto en calendario como en sustancia.

La revisión debe activarse por contradicción, no solo por fecha. Si el cliente que no iba a manejar efectivo empieza a depositar grandes volúmenes, el expediente existente queda en suspenso. La explicación del cliente no basta. Debe corroborarse, incorporarse al rating, traducirse en nuevas reglas o límites y dejar una decisión trazable. Sin ese reinicio, el banco administra documentos mientras el riesgo real se desplaza.

La notificación policial expuso lo que el banco ya podía haber conectado

West Yorkshire Police informó a NatWest en junio de 2016 de sus sospechas sobre una operación a gran escala vinculada a Fowler Oldfield. A partir del 23 de junio, el banco cooperó con la investigación, salió después de la relación, notificó preocupaciones a la FCA y presentó reportes retrospectivos de actividad sospechosa sobre conducta que se extendía hasta 2013. La cronología separa los fallos anteriores a la notificación de la cooperación posterior.

El contrafactual es duro. Mucha información ya existía dentro del banco: expectativa inicial de no efectivo, volúmenes masivos, observaciones físicas, alertas, informes internos, problemas de clasificación y revisiones incompletas. Un sistema maduro no debería necesitar que la policía una esos elementos. La notificación externa debe acelerar, preservar y coordinar la investigación, no ser la primera instancia capaz de conectar los datos internos.

Cuando llega información externa, la entidad debe hacer una revisión de exposición más amplia que la respuesta al nombre citado. Identificadores de cliente, cuentas, beneficiarios reales, directores, depositantes, direcciones, destinatarios de pagos y vínculos grupales deben buscarse con controles legales y de confidencialidad. La revisión debe registrar qué se sabía antes y qué casos anteriores deben reabrirse porque el contexto cambió.

La sentencia mide daño sin mezclar categorías

Las sentencing remarks muestran cómo el tribunal abordó gravedad, culpabilidad, daño y escala corporativa en un caso de incumplimientos regulatorios, no de blanqueo sustantivo. Las partes usaron los fondos pagados en las cuentas durante el periodo de acusación como punto inicial del cálculo de daño, excluyeron importes posteriores al 23 de junio de 2016 tras el inicio de la cooperación y reconocieron que las infracciones no eran lo mismo que blanquear dinero.

La orden de confiscación fue de 460.047,04 libras; la multa, de 264.772.619,95 libras; los costes de la FCA, de 4.297.466,27 libras. Son categorías distintas. No deben comprimirse en una cifra única sin etiqueta. La multa incorporó una reducción de un tercio por las declaraciones tempranas de culpabilidad; la confiscación respondió a otra lógica; los costes reembolsaron la persecución. Cada cifra responde a una pregunta legal y contable diferente.

El tribunal también registró que la relación no generó beneficio neto para el banco y terminó en una pequeña pérdida después de compensar comisiones con un préstamo pendiente. Eso no borra los delitos. Sí impide afirmar que la sanción confiscó ganancias obtenidas por sumarse al blanqueo. El impacto real está en el canal financiero usado, la detección tardía, los costes de investigación y remediación, la confianza dañada y las señales enviadas a empleados que habían advertido problemas.

Fowler Oldfield, Stunt & Co y Barclays pertenecen a carriles distintos

Las causas conectadas con Fowler Oldfield involucran personas y entidades distintas. Correos de efectivo, directores, James Stunt, Stunt & Co y bancos relacionados tienen sus propios expedientes, cargos y resultados. Un análisis responsable no congela declaraciones procesales de 2021 como si fueran desenlaces finales ni usa la condena de una persona como prueba de complicidad de NatWest.

La FCA dio una actualización oficial en 2025 al anunciar la resolución contra Barclays por su gestión de riesgos de criminalidad financiera: Gregory Frankel y Daniel Rawson, directores de Fowler Oldfield, fueron condenados por blanqueo y sentenciados, mientras que James Stunt fue absuelto de los cargos de blanqueo relacionados con dinero recibido por Stunt & Co desde Fowler Oldfield. Esos resultados son específicos de esos acusados y cargos.

El final notice de Barclays Bank plc se refiere a otra entidad regulada y a su relación con Stunt & Co. Es evidencia conectada para entender exposición de red: el dinero de un cliente de un banco puede tocar a un cliente de otro, y una señal sobre una entidad debe activar búsqueda de relaciones expuestas. Pero no modifica el acuerdo de hechos de NatWest, no añade una multa a su sentencia y no convierte sus infracciones MLR en blanqueo sustantivo.

Separar los carriles fortalece la lección. Un banco puede y debe actuar sobre riesgo antes de que exista un veredicto penal definitivo, siempre que documente evidencia, incertidumbre y justificación de control. Cuando llegan resultados posteriores, deben actualizar el grafo de riesgo y reabrir casos si procede, no reescribir lo que se sabía en la fecha de la decisión original.

La remediación declarada es compromiso, no prueba completa

En octubre de 2021, NatWest publicó una declaración en la que admitía debilidades operativas y describía inversiones: casi 700 millones de libras invertidas en cinco años, más de 5.000 especialistas, un FinCrime Hub centralizado y planes de más inversión en controles. Son representaciones relevantes de la empresa. No son, por sí solas, prueba independiente de que los modos de fallo históricos hayan desaparecido.

Tras la sentencia, NatWest emitió otra declaración corporativa de diciembre de 2021 sobre el alcance de la condena, el tratamiento financiero y las inversiones previstas en diligencia debida de clientes, monitorización de transacciones, sanciones y controles antisoborno. Es útil para entender la respuesta corporativa, pero el expediente judicial y la FCA controlan el resultado legal.

El Annual Report and Accounts 2021 divulgó el pleito, la multa, el trabajo de mejora y una revisión skilled person de los arreglos de gobernanza de criminalidad financiera. Un informe anual tiene peso de gobierno corporativo y reporting. Aun así, la descripción pública no entrega población de prueba, excepciones, archivos de muestra ni resultados de eficacia operativa.

La página actual de NatWest sobre detectar y prevenir la criminalidad financiera habla de conocimiento del cliente, monitorización, acciones de cuenta, formación, colaboración y transformación iniciada en 2020. Su Financial Crime Statement describe diligencia debida, vigilancia, evaluación de riesgos, auditoría independiente y colaboración. Son compromisos de diseño y autodescripción. La pregunta de cierre sigue siendo si los controles producen resultados medibles contra las causas raíz.

El gasto puede ser una métrica cómoda y engañosa. Puede cubrir cambios regulatorios, fraude, sanciones, plataformas, personal y procesos en todo el grupo. La evidencia importante es más concreta: canales de efectivo reconciliados, clientes afectados revisados, reglas validadas, colas de alertas cerradas con calidad, downgrades rechazados, investigadores supervisados y relaciones rentables restringidas cuando la evidencia lo exige.

Los controles modernos deben preservar el servicio legítimo

La guía actual de la FCA sobre cash-based money laundering enfatiza verificación de transacciones, formación del personal, monitorización efectiva, límites de depósito y uso de datos para identificar discrepancias entre actividad esperada y real. Su contexto inmediato incluye canales no sucursal, como Post Office, y no es una conclusión retrospectiva sobre Fowler Oldfield. Pero refuerza una regla básica: el efectivo debe conservar su identidad de riesgo en todos los canales.

La guía de la FCA sobre sistemas y controles de criminalidad financiera aporta el marco de gobierno: evaluación de riesgo, proporcionalidad, buenas y malas prácticas, sistemas adecuados y control independiente. No es el instrumento de condena, pero sí un referente para diseñar vigilancia como sistema de producción controlado, no como software instalado y olvidado.

La continuidad del servicio importa. Comercios, hostelería, organizaciones comunitarias y empresas rurales pueden depender del efectivo y de rutas locales de depósito. Una respuesta indiscriminada que rechace efectivo tras un caso de enforcement desplaza costes a clientes legítimos. La sensibilidad al riesgo exige excepciones explícitas, límites claros, revisión de fuente, identificación de depositantes, ubicación, estacionalidad, aprobación con caducidad y monitorización que no se apague por existir una excepción.

La evidencia duradera empieza con replay de transacciones

Los validadores independientes deberían seleccionar clientes por volumen de efectivo, rating, sector, canal, cambios de riesgo, historial de alertas y excepciones. Para cada muestra, tendrían que reproducir onboarding, actividad esperada, actualizaciones, depósitos por canal, historial de rating, alertas, informes internos, investigaciones, revisiones periódicas y event-driven, información externa y acción final. El test debe reconstruir la decisión desde los datos fuente, no aceptar capturas de pantalla de casos cerrados.

Las excepciones deben clasificarse por causa raíz: exactitud de datos cliente, mapping de canal, diseño de escenarios, investigación de alertas, cadencia de revisión, autoridad de escalada, acción de cuenta, formación o supervisión. Si un código de efectivo estaba mal, la pregunta no es solo si se corrigió en el cliente de muestra. Es cuántas transacciones y clientes usaron ese código, qué periodos se afectaron y si hubo monitorización retrospectiva.

La validación debe separar diseño, implementación y operación sostenida. Una política puede aprobar diseño antes de que la tecnología funcione. Una regla puede estar desplegada mientras faltan investigadores. Un proceso puede operar un trimestre y fallar en el ciclo anual. La comunicación pública debería distinguir qué etapa está probada y qué limitaciones permanecen abiertas.

Las métricas deben revelar autoridad para detener

La métrica central no son las alertas generadas. Es si el riesgo creíble cambia el tratamiento: rating elevado, vigilancia reforzada, diligencia actualizada, restricción, decisión SAR, salida o revisión senior. El consejo debe ver quién pide excepciones, quién las aprueba, cuánto duran y si sus condiciones se cumplen antes de que se mueva más valor.

Las métricas de datos deberían incluir eventos de efectivo reconciliados entre fuentes y monitorización, tasas de mala clasificación, retrasos de feed, registros rechazados y canales sin reglas validadas. Las métricas de cliente deberían mostrar clientes de alto efectivo por rating, rebajas de riesgo, cambios inexplicados de clasificación, revisiones vencidas y varianza entre esperado y real. Las métricas de investigación deberían revelar alertas repetidas, visibilidad de preocupaciones previas, envejecimiento, fallos de calidad y cierres apoyados en explicaciones no corroboradas.

La prueba más exigente es la capacidad de resistir presión comercial. El banco debería poder mostrar una relación rentable limitada o terminada, una rebaja patrocinada rechazada, una limitación de sistema elevada antes del enforcement y personal de primera línea que ve su preocupación convertida en revisión independiente. Sin autoridad de parada, inversión y formación describen capacidad, no rendición de cuentas.

La norma final es pasar de contradicción a acción

La raíz no fue una “mala cultura” abstracta ni un único algoritmo defectuoso. Fue una falla conjunta de registro de actividad esperada, clasificación del cliente, codificación del efectivo, cobertura de reglas, tuning, investigación, acumulación de alertas, revisión y ownership. Cada debilidad redujo la probabilidad de que la siguiente corrigiera la relación. Juntas permitieron que una contradicción evidente persistiera.

El detonante operativo fue la notificación policial de junio de 2016. El detonante público de responsabilidad fue la actuación de la FCA, seguida por las declaraciones de culpabilidad y la sentencia. El impacto incluye el uso de un canal bancario por una operación tratada por el tribunal, detección tardía, costes legales y de remediación, pérdida de confianza y el riesgo de controles demasiado contundentes para empresas legítimas que usan efectivo.

La lección duradera es sencilla de decir y difícil de operar: cuando la actividad real contradice la historia del cliente, la contradicción debe cambiar la acción. Debe actualizar el riesgo, intensificar la vigilancia, conectar preocupaciones anteriores, llegar a autoridad independiente y producir una decisión documentada. Ni la narrativa comercial ni un score de sistema deben poder borrar evidencia física y transaccional.

Para efectivo, el estándar empieza con clasificación correcta. Cada depósito físico debe conservar su identidad en operaciones, contabilidad y monitorización. El importe esperado, el canal, el depositante y la geografía deben registrarse. Las variaciones deben crear casos. Las alertas deben acumularse. Y las funciones independientes deben poder restringir actividad rentable. Esa es la prueba de responsabilidad que la relación Fowler Oldfield deja para todo banco que todavía acepta efectivo.