Bank of America: multa AML de $1.200 M y el nuevo compliance

El 13 de octubre de 2026, la Red de Control de Delitos Financieros del Tesoro de los Estados Unidos (FinCEN) anunció una sanción civil de 1.200 millones de dólares contra Bank of America — la tercera mayor multa de FinCEN en la historia del Tesoro estadounidense, tras el acuerdo de 4.300 millones de dólares con Binance en 2023 y la sanción de 1.300 millones impuesta a TD Bank en 2024. La Oficina del Contralor de la Moneda (OCC) impuso simultáneamente una evaluación de 750 millones — la mayor en la historia del organismo — que se acredita parcialmente sobre el total de FinCEN. Un acuerdo separado con la OFAC de 11,6 millones de dólares cubre aparentes violaciones de varios programas de sanciones, incluidos Irán, Rusia, redes de narcotráfico y terrorismo global.

La cifra es notable. Lo que resulta más relevante para los equipos de compliance en todo el mundo es el marco jurídico que la produjo: Bank of America admitió haber violado deliberadamente la Ley de Secreto Bancario (BSA). Esa admisión — poco frecuente en grandes instituciones financieras — cambia el contexto en el que cualquier equipo de cumplimiento normativo debe leer este caso.

Las cifras: qué encontró FinCEN

La acción regulatoria de FinCEN se fundamenta en fallos documentados a escala, no en gaps marginales del programa.

Indicador	Valor
Multa civil FinCEN	$1.200 millones
Multa civil OCC	$750 millones (acreditados al total FinCEN)
Acuerdo OFAC	$11,6 millones
Transacciones sospechosas no reportadas	Más de $5.000 millones
Programas de sanciones afectados	Irán, Rusia, narcotráfico, terrorismo global

Los 5.000 millones de dólares en transacciones sospechosas no informadas no escaparon al sistema porque el banco careciera de un programa de compliance. Bank of America opera uno de los departamentos de cumplimiento en delitos financieros más grandes de Estados Unidos. El programa fracasó, durante un período prolongado, en producir los informes de actividad sospechosa (SAR) que exige la BSA.

Qué significa la admisión de "violación deliberada"

En el ámbito regulatorio estadounidense, la determinación de violación dolosa de la BSA tiene un peso jurídico y operativo significativamente mayor que una constatación de negligencia o controles inadecuados.

El estándar de dolo en la BSA no exige demostrar que el equipo de compliance decidió conscientemente permitir transacciones ilícitas. Exige acreditar que la institución conocía sus obligaciones BSA, era consciente del gap de cumplimiento y no tomó medidas para corregirlo. En el caso de Bank of America, ese fundamento ya estaba establecido: la investigación de FinCEN deriva en parte de una Orden de Consentimiento de 2024, lo que significa que el banco había sido formalmente notificado por su regulador de la existencia de deficiencias materiales en su programa AML.

Una orden de consentimiento pone al banco sobre aviso formal. Seguir operando con esas deficiencias después de dicha notificación es precisamente lo que da lugar a la determinación de dolo. La progresión regulatoria — orden de consentimiento en 2024, multa de 1.200 millones en 2026 — describe una ventana de dos años en la que los controles deficientes persistieron después de que el regulador ya los hubiera señalado por escrito.

Esta secuencia temporal genera una pregunta incómoda para cualquier entidad que opere actualmente bajo una orden de consentimiento, MRA o hallazgo supervisor: ¿cómo se vería su programa bajo el mismo prisma de intencionalidad?

Tres acciones regulatorias mayores en cinco semanas

El caso Bank of America no llega de manera aislada. Tres grandes acciones regulatorias de BSA/AML fueron anunciadas en un período de cinco semanas en el otoño de 2026:

Fecha	Entidad	Regulador	Sanción
17 junio 2026	Ikano Bank	Finansinspektionen	SEK 140M (~€13M)
8 octubre 2026	American Express	OCC + Reserva Federal	$350M
13 octubre 2026	Bank of America	FinCEN + OCC + OFAC	~$1.200M

La acción regulatoria contra Ikano Bank documentó cuatro deficiencias estructurales: evaluación de riesgo de producto incompleta, tipologías de blanqueo obsoletas, diligencia debida reforzada inadecuada e inteligencia regulatoria excluida del modelo de riesgo. Un patrón de fallos estructuralmente comparable produjo la multa de 350 millones de dólares a American Express una semana antes del anuncio contra Bank of America.

La multa contra Bank of America es un orden de magnitud superior a la de American Express. Lo que comparten los tres casos es un arquetipo común: un programa de cumplimiento que existía en la documentación pero que se había degradado en la práctica, con el tiempo y a escala. Reguladores de tres instituciones distintas, en dos continentes, encontraron la misma brecha estructural.

Las poblaciones de riesgo que el programa no detectó

El anuncio del Tesoro identificó dos poblaciones específicas de financiación ilícita que el programa de monitoreo de Bank of America no detectó ni reportó:

Redes chinas de blanqueo de capitales. FinCEN citó operaciones de lavado de dinero vinculadas a redes criminales chinas como una categoría en la que la actividad sospechosa no fue identificada ni reportada de forma sistemática. Este es un vector de amenaza que los reguladores estadounidenses han ido escalando durante varios años, con orientación tipológica específica publicada sobre patrones de transacciones asociados con operadores de cambio de divisas sin licencia utilizados por estas redes. La guía existía; la calibración contra ella estaba ausente o era inadecuada.

Financiación ilícita en la frontera suroeste. La segunda población involucra ganancias del tráfico de drogas y flujos ilícitos relacionados en la frontera entre Estados Unidos y México. Esta categoría de exposición no es nueva para los grandes bancos minoristas y comerciales estadounidenses. Aparece en los informes de tipología del GAFI, en los avisos de FinCEN y en acciones regulatorias previas contra bancos regionales y nacionales. Su presencia en una acción contra un banco de esta escala indica un fallo de monitoreo sistemático, no incidental.

Ninguna de las dos poblaciones es nueva. Ambas han sido objeto de orientación regulatoria específica publicada en años anteriores. El fallo de cumplimiento aquí no es la ausencia de guías relevantes — es la ausencia de calibración operativa contra ellas.

El problema de la detección agregada

La cifra de 5.000 millones de dólares requiere contexto para comprender qué revela sobre la arquitectura de monitoreo.

Cuando un programa de monitoreo pasa por alto 5.000 millones en transacciones sospechosas, el modo de fallo raramente es que esa suma circuló por una sola cuenta que una regla de alerta simple debería haber detectado. El patrón más común — y el consistente con lo que FinCEN documentó — es que la actividad sospechosa se acumula a lo largo de una población de cuentas, cada una de las cuales, individualmente, genera volúmenes o patrones de transacciones por debajo de cualquier umbral de alerta individual. El agregado a nivel poblacional es detectable; ninguna cuenta individual activa una regla.

Esta es la limitación estructural de los programas de monitoreo basados en conjuntos de reglas estáticas aplicadas al nivel de cuenta individual. Las reglas calibradas para patrones de transacciones individuales no pueden detectar sistemáticamente redes distribuidas que operan conscientemente por debajo de esos umbrales en su conjunto.

El monitoreo continuo y el KYC perpetuo abordan esto a nivel de cartera en lugar de a nivel de cuenta. El reconocimiento de patrones aplicado a segmentos de clientes, corredores geográficos y ventanas temporales — no solo a importes de transacciones individuales — es la respuesta arquitectónica al modo de fallo que FinCEN documentó aquí.

Lo que la IA cambia en las investigaciones AML

La multa contra Bank of America llegó la misma semana en que FIS y Anthropic anunciaron el lanzamiento comercial de su Agente de Investigaciones AML a bancos estadounidenses. La coincidencia temporal es circunstancial, pero el contexto no lo es.

Las instituciones financieras estadounidenses gastan aproximadamente entre 35.000 y 40.000 millones de dólares anuales en compliance AML. Esa inversión no ha evitado acciones regulatorias de esta escala. Lo que ha financiado en gran medida es un número muy elevado de analistas realizando triaje manual frente a volúmenes de alertas que superan estructuralmente cualquier capacidad de revisión manual exhaustiva.

Los agentes de IA en el cumplimiento financiero están recibiendo validación regulatoria formal precisamente porque el modelo manual no ha cerrado la brecha de cobertura. Un sistema de agentes autónomos que revisa cada alerta de nivel 1, investiga cada caso escalado y prepara narrativas SAR con documentación vinculada no reemplaza la supervisión humana — cambia lo que esa supervisión humana realmente revisa. Los analistas examinan anomalías confirmadas, no colas de alertas.

Los agentes de compliance autónomo de Joinble operan sobre este modelo arquitectónico: monitoreo continuo contra tipologías regulatorias actualizadas, puntuación de riesgo que se ajusta conforme se emite nueva guía de FinCEN, y rastros de auditoría construidos en tiempo real en lugar de reconstruidos bajo presión regulatoria.

Qué deben hacer ahora los equipos de compliance

Cinco preguntas se corresponden directamente con los fallos documentados:

Sobre exposición a órdenes de consentimiento y MRA. ¿Opera actualmente su entidad bajo una orden de consentimiento, MRA o hallazgo supervisor escrito que identifique brechas AML? En ese caso, la cronología de Bank of America es directamente aplicable. Los reguladores ya han establecido el conocimiento formal. El reloj de la intencionalidad empieza desde esa notificación, no desde la próxima inspección.

Sobre calibración tipológica. ¿Cuándo incorporaron por última vez sus reglas de monitoreo de transacciones la guía tipológica específica que FinCEN ha publicado sobre redes chinas de blanqueo, flujos en la frontera suroeste y las demás poblaciones de amenaza más relevantes para su base de clientes? La fecha de publicación de la guía y la fecha de implementación en reglas de monitoreo en producción no suelen ser la misma.

Sobre monitoreo específico por población. ¿Aplica su programa SAR lógica de monitoreo diferenciada a poblaciones de clientes distintas — por geografía, tipo de producto y segmento de riesgo — o aplica un modelo de riesgo generalizado sobre toda la cartera? Los fallos de monitoreo específicos por población son precisamente lo que FinCEN documentó.

Sobre detección de patrones agregados. ¿Producen sus sistemas de monitoreo outputs a nivel de cartera — comportamiento de transacciones agregado por segmentos de clientes, ventanas temporales y geografías — o solo alertas a nivel de cuenta individual? El modo de fallo en este caso fue poblacional, no de cuenta individual.

Sobre calidad del output SAR. ¿Qué porcentaje de las cuentas en el nivel de riesgo más alto de su cartera ha generado al menos una revisión SAR en los últimos 12 meses? Un programa que revisa consistentemente el tramo medio de la distribución de riesgo pero no genera output sobre el tramo más alto no está fallando en detectar — está fallando en mirar.

Para un marco completo de lo que debe ofrecer un programa KYC y AML de estándar actual, la guía KYC 2026 cubre los fundamentos regulatorios desde el onboarding hasta el monitoreo continuo.

---

Preguntas frecuentes

¿Qué dimensión tiene la multa AML contra Bank of America y cómo se clasifica históricamente?

FinCEN impuso una sanción civil de 1.200 millones de dólares — la tercera mayor en la historia del Tesoro estadounidense, tras los 4.300 millones de Binance en 2023 y los 1.300 millones de TD Bank en 2024. La OCC impuso simultáneamente una evaluación de 750 millones, la mayor en su historia, acreditada parcialmente al total de FinCEN. Un acuerdo OFAC separado de 11,6 millones cubre violaciones de sanciones en múltiples programas.

¿Qué significa que Bank of America haya admitido violar deliberadamente la BSA?

El estándar de dolo en la BSA exige acreditar que la institución conocía sus obligaciones, sabía que no las cumplía y no tomó medidas para remediarlo — no que intencionalmente permitiera el blanqueo. La Orden de Consentimiento de 2024 ya había puesto al banco en aviso formal del regulador. Seguir operando con las brechas conocidas después de esa notificación es lo que establece la intencionalidad. Admitir el hallazgo elimina disputas sobre hechos y señala a las entidades comparables que la defensa "no lo sabíamos" no está disponible una vez que los reguladores han documentado formalmente el gap.

¿Qué redes ilícitas específicas no detectó Bank of America?

FinCEN citó dos poblaciones específicas: redes chinas de blanqueo de capitales, incluyendo actividad asociada a operadores de cambio sin licencia; y flujos financieros ilícitos en la frontera suroeste entre Estados Unidos y México, incluidos ingresos del tráfico de drogas. Ambas han sido objeto de guías y avisos específicos de FinCEN publicados en años anteriores. El fallo fue de calibración, no de ausencia de orientación disponible.

¿Por qué no se generaron SAR con 5.000 millones en transacciones sospechosas?

El hallazgo apunta a una arquitectura de monitoreo donde la actividad sospechosa se acumuló por debajo del umbral de reglas de alerta a nivel de cuenta individual. Cuando los programas se basan en reglas estáticas aplicadas a cuentas individuales, las redes de financiación ilícita distribuidas que operan por debajo de esos umbrales individualmente pueden acumular una exposición agregada significativa sin activar ninguna escalada. La detección de patrones agregados a nivel de cartera es la respuesta arquitectónica a este modo de fallo.

¿Cómo afecta esta acción regulatoria a las entidades reguladas en la UE?

Indirectamente, sí. Los estándares técnicos CDD de AMLA, publicados en octubre de 2026, exigen a las entidades obligadas de la UE implementar monitoreo basado en riesgo con calibración documentada contra la guía tipológica vigente. El modo de fallo de Bank of America — monitoreo no calibrado contra poblaciones de amenaza identificadas específicamente — se corresponde directamente con la obligación de calibración que AMLA está codificando. Las entidades de la UE en el período transitorio del AMLR deben considerar esta acción regulatoria como un indicador del estándar supervisor que AMLA aplicará a partir de 2027.

¿Qué deben priorizar los equipos de compliance de inmediato?

Tres prioridades se derivan directamente de los fallos documentados: primero, verificar si las órdenes de consentimiento, MRA o hallazgos supervisores existentes sobre AML han sido completamente remediados — si no, la exposición por intencionalidad está activa; segundo, confirmar que las reglas de monitoreo SAR están calibradas contra la guía tipológica actual de FinCEN para los corredores geográficos y las poblaciones de clientes más relevantes para su negocio; tercero, evaluar si su monitoreo produce outputs a nivel de cartera sobre patrones sospechosos agregados, no solo alertas individuales por cuenta.