Multa a Bank of America por lavado de dinero: qué falló y qué revisar

En diciembre de 2024, Bank of America recibió una orden para corregir las deficiencias de su programa antilavado. Ahora, casi dos años después, el banco enfrenta una sanción sin precedentes: más de 1,210 millones de dólares por incumplimientos relacionados con la prevención del lavado de dinero y los programas de sanciones de Estados Unidos.

El 13 de octubre de 2026, el Departamento del Tesoro estadounidense anunció un paquete de sanciones que pone sobre la mesa una pregunta importante para cualquier empresa que trabaja con clientes y proveedores en Latinoamérica: ¿qué tan rápido identifica las señales de alerta y, sobre todo, qué hace cuando las encuentra?

El caso demuestra que tener controles y procedimientos no siempre es suficiente. También importa que las alertas se investiguen a tiempo, que los responsables actúen y que los problemas detectados se traduzcan en medidas correctivas.

A continuación, revisamos qué sancionó cada autoridad, cuáles fueron las principales fallas detectadas y qué aspectos puede evaluar una empresa para fortalecer su propio programa de cumplimiento.

¿Qué sancionó el Tesoro de EE. UU. y cuánto suman las multas?

El anuncio reúne tres resoluciones de distintas autoridades estadounidenses, todas publicadas el mismo día. Cada una aborda un aspecto diferente de las fallas de Bank of America.

FinCEN: La Red de Control de Delitos Financieros del Tesoro (FinCEN, por sus siglas en inglés) impuso una sanción de 1,200 millones de dólares por no mitigar ni reportar oportunamente riesgos prioritarios para la seguridad nacional. Entre ellos se encontraban redes chinas de lavado de dinero y flujos financieros ilícitos relacionados con la frontera suroeste de Estados Unidos. En su resolución, el banco admitió haber violado deliberadamente la Ley de Secreto Bancario (BSA, por sus siglas en inglés).

OCC: La Oficina del Contralor de la Moneda, responsable de supervisar a los bancos nacionales, impuso una multa civil de 750 millones de dólares por las deficiencias de su programa antilavado. Se trata de la sanción más alta que esta autoridad ha impuesto en su historia.

OFAC: La Oficina de Control de Activos Extranjeros llegó a un acuerdo por 11.6 millones de dólares relacionado con 475 presuntas violaciones de programas de sanciones, incluidos los aplicables a Irán, Rusia, el narcotráfico y el terrorismo global. OFAC consideró que las infracciones no fueron flagrantes y que, en su mayoría, no se autodenunciaron. Tampoco concedió reducciones por las medidas correctivas ni por la cooperación del banco.

El paquete suma más de 1,211 millones de dólares, pero la cifra no resulta de sumar las tres sanciones. FinCEN impuso una multa de 1,200 millones, dentro de la cual se acredita la sanción civil de 750 millones de la OCC, de modo que ese monto no se cuenta dos veces. Por separado, OFAC llegó a un acuerdo por 11,662,930 dólares por 475 presuntas violaciones de programas de sanciones relacionados con Rusia, Bielorrusia, Irán, Birmania, Somalia, narcóticos y terrorismo global. Al sumar la multa de FinCEN y el acuerdo de OFAC, el total asciende a unos 1,211.7 millones de dólares. El Tesoro describió el caso como la tercera sanción más alta de su historia, y la multa de la OCC como la mayor que ha impuesto ese regulador.

¿Qué falló en el programa antilavado de Bank of America?

Las resoluciones describen un problema que va más allá de la ausencia de controles: había mecanismos de vigilancia, pero las alertas no siempre se investigaban ni se reportaban a tiempo.

Las autoridades identificaron deficiencias en distintos frentes, desde la detección de operaciones sospechosas hasta la debida diligencia de clientes y el cumplimiento de los programas de sanciones.

Reportes de actividad sospechosa fuera de tiempo

1. Reportes de actividad sospechosa que llegaron tarde

Cuando un banco detecta una operación que podría estar relacionada con el lavado de dinero u otro delito, debe presentar un reporte de actividad sospechosa (SAR, por sus siglas en inglés) ante FinCEN.

En este caso, FinCEN determinó que Bank of America no reportó oportunamente transacciones sospechosas por más de 5,000 millones de dólares. De ese monto, más de 1,000 millones correspondían a riesgos prioritarios, entre ellos posibles vínculos con redes chinas de lavado de dinero, fraude y esquemas de lavado basado en el comercio relacionados con la frontera suroeste de Estados Unidos.

La OCC también encontró que muchos de los reportes presentados fuera de tiempo contenían indicios de lavado de dinero. El banco sabía desde hacía años que parte de la actividad potencialmente sospechosa no llegaba a los investigadores, y el personal responsable de cumplimiento no había recibido la capacitación necesaria para identificar, investigar y reportar estas operaciones.

A esto se sumó otra falla: la auditoría interna del programa de cumplimiento no detectó problemas que llevaban tiempo presentes y que posteriormente fueron identificados por los examinadores.

En otras palabras, las señales estaban ahí, pero los mecanismos para atenderlas no funcionaron como debían.

2. Un sistema de monitoreo que dejó sin revisar billones de dólares

La OCC señaló que las deficiencias del sistema de monitoreo de transacciones provocaron que el banco dejara de vigilar adecuadamente operaciones por billones de dólares (millones de millones).

El problema no se limitaba a la tecnología utilizada. Según el Tesoro, el banco diseñó un sistema que no respondía adecuadamente a los riesgos que enfrentaba y no realizó mejoras de fondo, incluso después de que las pruebas evidenciaran sus deficiencias. La OCC también identificó operaciones potencialmente relacionadas con el lavado de dinero basado en el comercio que pasaron por alto debido a una falla sistémica del monitoreo.

FinCEN destacó otra consecuencia: el banco dependía demasiado de las consultas de las autoridades y de las solicitudes de información de otras instituciones financieras para detectar actividades sospechosas.

Esto trasladaba parte de la responsabilidad de detección a terceros, cuando el banco debía contar con controles propios capaces de identificar riesgos de manera proactiva. Mientras tanto, las operaciones se acumulaban sin investigarse durante periodos prolongados y los reportes terminaban llegando tarde, con información poco útil para las autoridades.

3. Debida diligencia de clientes y cuentas corresponsales

La debida diligencia de clientes (CDD), parte del proceso conocido como Know Your Customer (KYC), permite conocer mejor a los clientes, entender sus operaciones e identificar posibles riesgos durante la relación comercial.

FinCEN encontró que los procesos de Bank of America no consideraban adecuadamente que ciertos clientes dependían en gran medida de pagos de terceros desconocidos. Esta situación generaba señales de alerta que se acumularon con el tiempo, incluidos posibles vínculos con recursos procedentes del narcotráfico.

La respuesta tampoco llegó a tiempo después de que el propio personal de cumplimiento expresara preocupaciones relacionadas con el lavado de dinero basado en el comercio y el fraude.

Además, el banco admitió que no había aplicado la debida diligencia requerida en cuentas corresponsales de instituciones financieras extranjeras.

4. Fallas en los controles de sanciones

Las deficiencias también alcanzaron los controles diseñados para impedir operaciones con personas, empresas e instituciones sujetas a sanciones.

OFAC encontró que Bank of America procesó pagos de banca corresponsal a través de bancos bloqueados debido a errores técnicos y humanos. También permitió que personas designadas realizaran pagos y retiraran fondos por una calibración deficiente de sus alertas.

A esto se sumaron retrasos en la actualización de las listas de vigilancia tras nuevas designaciones y errores en el manejo de cuentas empresariales vinculadas con personas bloqueadas.

El caso pone de manifiesto que contar con listas de sanciones y sistemas de verificación no basta por sí solo. Los controles deben mantenerse actualizados y funcionar de manera que las coincidencias relevantes se detecten antes de que una operación represente un riesgo.

5. ¿Por qué la orden de 2024 no fue suficiente?

En diciembre de 2024, la OCC emitió una orden de cese y desistimiento contra Bank of America, sin imponerle una multa en ese momento. La instrucción era clara: corregir las deficiencias de su programa antilavado.

Sin embargo, casi dos años después, la autoridad concluyó que el banco seguía sin dar suficiente prioridad al cumplimiento. Muchos de los pasos necesarios para establecer un programa eficaz no se habían completado y, más de un año después de la orden, todavía había actividades potencialmente sospechosas que no se escalaban a los investigadores.

FinCEN también cuestionó las prioridades del banco. Según su resolución, cuando surgieron los problemas, Bank of America dio prioridad a sus ingresos y buscó limitar el impacto sobre los recursos destinados al cumplimiento. Esa postura se mantuvo incluso después de que las pruebas mostraran deficiencias importantes.

El mensaje del Tesoro es relevante para cualquier organización: identificar un problema, documentarlo o prolongar una revisión interna no sustituye la obligación de corregirlo.

Tampoco basta con depender de las consultas de las autoridades o de las referencias de otras instituciones. Cada organización debe contar con mecanismos propios para identificar y atender los riesgos que enfrenta.

Como parte de las medidas correctivas, FinCEN ordenó al banco contratar a un tercero para revisar las transacciones que no se detectaron oportunamente y reportarlas. También exigió revisiones independientes de sus sistemas de monitoreo, los procesos de debida diligencia de clientes y cuentas corresponsales extranjeras, y el gobierno de datos que alimenta su programa antilavado.

Estas revisiones deberán evaluar si los controles responden adecuadamente a los riesgos prioritarios, con especial atención a la frontera suroeste de Estados Unidos, el narcotráfico y los programas de sanciones relacionados con Irán y Rusia.

El costo para el banco: utilidades y reacción del mercado

Las fallas de cumplimiento también tuvieron un impacto directo en los resultados financieros del banco.

El 14 de octubre, Bank of America reportó una utilidad de 6,900 millones de dólares durante el tercer trimestre de 2026, un descenso de 16.8% frente a los 8,300 millones registrados en el mismo periodo de 2025.

El resultado incluyó un cargo superior a 1,200 millones de dólares por las sanciones, equivalente a 17 centavos por acción. Además, los ingresos del trimestre fueron de 30,120 millones de dólares, por debajo de los 30,690 millones que esperaban los analistas.

La reacción del mercado tampoco se hizo esperar: las acciones del banco llegaron a caer más de 8% al inicio de la jornada, aunque moderaron la pérdida durante la mañana.

El caso recuerda que las deficiencias de cumplimiento no solo representan un riesgo regulatorio. También pueden afectar los resultados, la confianza de los inversionistas y la percepción que el mercado tiene de una institución.

Qué puede revisar una empresa de Latinoamérica en su propio programa de cumplimiento

Aunque Bank of America es una institución financiera de gran escala, las fallas identificadas por las autoridades plantean preguntas que también aplican a las empresas que evalúan clientes y proveedores.

En México, además, la reforma antilavado incorporó el monitoreo automatizado y el enfoque basado en riesgos como obligaciones con un calendario de exigibilidad a partir de 2027, de acuerdo con lo señalado en el artículo sobre la Ley Antilavado en México.

El caso permite identificar cinco aspectos que vale la pena revisar en un programa de cumplimiento.

1. Atención oportuna de las alertas

Una alerta pierde valor si permanece abierta durante semanas o meses sin que nadie la investigue. En el caso de Bank of America, la acumulación de operaciones sin revisar contribuyó a que los reportes llegaran tarde y fueran menos útiles para las autoridades.

Para evitar situaciones similares, conviene medir cuánto tiempo permanecen abiertas las alertas, establecer plazos de revisión y definir cuándo deben escalarse. Así es posible identificar retrasos antes de que se conviertan en un problema mayor.

2. Perfiles de riesgo actualizados

El riesgo de un cliente o proveedor puede cambiar a lo largo de una relación comercial. Por eso, no basta con evaluarlo al momento de su incorporación.

El Tesoro subraya la importancia de mantener actualizados los perfiles de riesgo y actuar cuando aparece información nueva que modifica la evaluación inicial. Para las empresas, esto implica dar seguimiento continuo a clientes y proveedores, con criterios claros de debida diligencia y revisión periódica.

3. Seguimiento de las advertencias internas

Las alertas de un analista, los hallazgos de una auditoría y los resultados de una prueba de control deben conducir a acciones concretas.

El caso de Bank of America muestra qué puede ocurrir cuando las preocupaciones internas se conocen, pero no se atienden oportunamente. Para evitarlo, cada hallazgo debe tener un responsable, una fecha de resolución y un mecanismo de seguimiento que permita comprobar que la medida correctiva realmente se implementó.

4. Verificación de listas de sanciones y PEP

Las listas de sanciones y de personas expuestas políticamente (PEP) son herramientas importantes para identificar riesgos asociados con clientes, proveedores y otras contrapartes.

Sin embargo, su utilidad depende de que estén actualizadas y de que los sistemas de verificación estén bien calibrados. Una lista desactualizada o un umbral de coincidencia demasiado restrictivo puede impedir que una empresa identifique a tiempo una relación de riesgo.

Por eso, conviene revisar tanto la actualización de las listas como la configuración de las alertas y los procedimientos para investigar posibles coincidencias.

5. Calidad y actualización de los datos

Los sistemas de monitoreo solo pueden ofrecer resultados confiables si trabajan con información adecuada.

La orden de FinCEN incluye una revisión del gobierno de datos que alimenta el programa antilavado. Esto es relevante porque los datos incompletos, desactualizados o inconsistentes pueden dificultar la identificación de riesgos, incluso cuando existen herramientas tecnológicas para detectarlos.

Para una empresa, revisar la calidad de la información de clientes y proveedores es parte fundamental de cualquier estrategia de cumplimiento.

¿Cómo puede ayudarte la tecnología a fortalecer estos controles?

En la práctica, dar seguimiento a clientes y proveedores, verificar sus antecedentes y mantener actualizada la información de riesgo puede convertirse en una tarea compleja, especialmente cuando una empresa administra una cartera amplia de terceros.

CIAL ofrece dos soluciones que ayudan a atender distintas necesidades dentro de este proceso.

Compliance Intelligence permite vigilar de manera continua el cumplimiento regulatorio de una cartera de terceros y recibir alertas cuando cambia el estatus de alguno de ellos.

Compliance Watch permite investigar empresas e individuos para realizar procesos de debida diligencia, por ejemplo, al incorporar un nuevo proveedor o antes de firmar un contrato. La solución permite contrastar la información con listas de sanciones y de personas expuestas políticamente (PEP), además de mantener un registro de los procesos para facilitar su trazabilidad y auditoría.

Ambas soluciones pueden ayudar a fortalecer la revisión de terceros, aunque su efectividad depende también de los procesos internos, los criterios de evaluación y el seguimiento que cada organización dé a las alertas identificadas.

Agenda una demo de Compliance Watch y conoce cómo verificar a clientes y proveedores contra listas de sanciones y PEP antes de establecer una relación comercial.

Preguntas frecuentes sobre la multa a Bank of America

¿Por qué multaron a Bank of America?

El Departamento del Tesoro de Estados Unidos sancionó a Bank of America por deficiencias en su programa antilavado, retrasos en el reporte de transacciones sospechosas por más de 5,000 millones de dólares y 475 presuntas violaciones de programas de sanciones. Las autoridades también señalaron que el banco no corrigió oportunamente problemas que ya habían sido identificados en una orden de la OCC de diciembre de 2024. Bank of America admitió haber violado deliberadamente la Ley de Secreto Bancario. Las sanciones se anunciaron el 13 de octubre de 2026.

¿Cuánto suman las multas y quién las impone?

El paquete asciende a aproximadamente 1,211.6 millones de dólares. FinCEN impuso una sanción de 1,200 millones; la OCC, una multa de 750 millones que se acredita dentro de esa cantidad; y OFAC llegó a un acuerdo por 11.6 millones de dólares. El caso representa la tercera sanción más alta en la historia del Tesoro estadounidense y la multa más elevada impuesta por la OCC.

¿Qué es un reporte de actividad sospechosa (SAR)?

Es un reporte confidencial que una institución financiera presenta ante FinCEN cuando detecta una operación que podría estar relacionada con lavado de dinero u otros delitos. Los bancos utilizan sistemas de monitoreo y procedimientos internos para identificar estas operaciones y determinar cuándo deben reportarlas. En el caso de Bank of America, los reportes llegaron tarde y, según la OCC, muchos contenían indicios de lavado.

¿Qué es la Ley de Secreto Bancario?

La Ley de Secreto Bancario es una norma estadounidense que establece obligaciones para prevenir y detectar el lavado de dinero. Entre ellas están mantener un programa antilavado, aplicar medidas de debida diligencia a clientes y cuentas corresponsales extranjeras, y reportar actividades sospechosas a FinCEN. Bank of America admitió haberla violado deliberadamente.

¿Qué es OFAC y por qué importa fuera de EE. UU.?

OFAC es la Oficina de Control de Activos Extranjeros del Departamento del Tesoro estadounidense. Su función es administrar y aplicar sanciones económicas y comerciales.

Estas disposiciones pueden ser relevantes para empresas de otros países que mantienen relaciones comerciales o financieras con personas y entidades incluidas en las listas de sanciones, dependiendo de las circunstancias y de las normas aplicables. En el caso de Bank of America, OFAC identificó pagos procesados a través de bancos bloqueados y operaciones que involucraban a personas designadas.

¿Qué debe revisar una empresa para no repetir estas fallas?

Conviene evaluar cinco aspectos: el tiempo que tardan en atenderse las alertas, la actualización de los perfiles de riesgo de clientes y proveedores, el seguimiento de las advertencias internas, la vigencia de las listas de sanciones y PEP, y la calidad de los datos utilizados en los procesos de monitoreo.

La lección central del caso es que detectar un riesgo no es suficiente. También hay que investigarlo, tomar medidas correctivas y dejar evidencia de que se atendió oportunamente.

‍