American Express pagará USD 350 millones por fallas en su programa antilavado. Lecciones para los Sujetos Obligados.
El 8 de octubre de 2026, la Oficina del Contralor de la Moneda de los Estados Unidos (OCC, por sus siglas en inglés) le impuso a American Express National Bank una orden de cese y desistimiento y una multa civil de USD 350 millones por deficiencias en su programa de cumplimiento de la Bank Secrecy Act (BSA) y de prevención del lavado de dinero (AML). El dato que más impacta surge de la propia orden: entre junio de 2014 y mayo de 2025 el banco procesó alrededor de USD 13.000 millones en operaciones sospechosas de lavado de dinero basado en el comercio (TBML), sin detectarlas ni reportarlas a tiempo en toda su dimensión.
El caso, que circuló en LinkedIn entre profesionales de compliance, es una buena oportunidad para mirar el régimen argentino con ojos críticos: casi todas las fallas que señaló el regulador estadounidense tienen un equivalente directo en las obligaciones que la Ley 25.246 y la UIF imponen a los sujetos obligados locales.
Datos del caso
Organismo: Office of the Comptroller of the Currency (OCC), en coordinación con la Junta de Gobernadores de la Reserva Federal (Fed).
Entidad sancionada: American Express National Bank, Sandy, Utah. La Fed emitió una orden paralela contra American Express Company y American Express Travel Related Services Company, Inc.
Fecha: 8 de octubre de 2026 (Comunicado OCC 2026-87).
Sanción: multa civil de USD 350 millones, destinada al Tesoro de los Estados Unidos, más una orden de cese y desistimiento con un plan integral de corrección. No incluye tope de activos.
Expedientes: AA-ENF-2026-46 (orden de cese y desistimiento) y AA-ENF-2026-47 (multa civil).
Link oficial: Comunicado de prensa de la OCC
Un emisor de tarjetas que miraba el producto equivocado
American Express National Bank es, según la propia OCC, uno de los mayores emisores de tarjetas de crédito y de cargo de los Estados Unidos por volumen transaccional. Sin embargo, su matriz de riesgo estaba construida sobre el negocio chico: las cuentas a la vista. Los productos que concentraban la actividad, las tarjetas, recibían una atención insuficiente.
Esa desalineación entre el modelo de negocio y la evaluación de riesgos es el punto de partida de todo lo demás. Si la matriz no refleja lo que el banco realmente hace, los controles, las alertas y la capacitación terminan apuntando al lugar equivocado.
Las fallas que identificó el regulador
En la orden de multa, la OCC enumera las deficiencias críticas del programa. El banco no las admitió ni las negó, como es habitual en las resoluciones por consentimiento:
Evaluación de riesgos mal calibrada: centrada en las cuentas de depósito y no en las tarjetas de crédito y de cargo, que eran el negocio dominante.
Debida diligencia del cliente (CDD) deficiente: el banco no comprendía la naturaleza y el propósito de las relaciones con sus clientes, lo que impedía asignar calificaciones de riesgo adecuadas y monitorear con eficacia.
Programa de identificación de clientes (CIP) con vacíos sustanciales: la recolección y verificación de datos de identidad era inconsistente.
Quiebres sistémicos en el monitoreo y reporte: reportes de actividad sospechosa (SAR) tardíos, omitidos o incompletos, que configuraron un patrón de incumplimiento.
Auditoría interna inefectiva: las pruebas independientes no tenían el alcance adecuado al perfil de riesgo y no detectaron a tiempo las deficiencias.
Recursos insuficientes: personal sin la experiencia y la formación necesarias para administrar el programa.
Capacitación débil: sin contenidos específicos según las funciones de cada empleado, tanto para el personal como para el directorio.
La consecuencia más grave fue el circuito de TBML: unos USD 13.000 millones en cargos sospechosos con tarjeta y sus pagos asociados, procesados durante cerca de once años, en algunos casos a través de cuentas vinculadas a personas internas del banco. La OCC aclara que el banco reportó actividad sospechosa de manera periódica, pero no contaba con los controles ni la capacidad de monitoreo necesarios para dimensionar el fenómeno completo. Por eso calificó las violaciones como parte de un patrón de conducta.
Las medidas correctivas exigidas
La orden de cese y desistimiento obliga al banco, entre otras medidas, a:
Designar dentro de los 15 días un comité de cumplimiento de al menos tres miembros, con mayoría de directores que no sean empleados ni funcionarios, que informe trimestralmente.
Presentar dentro de los 90 días un plan de acción con plazos y responsables para corregir las deficiencias.
Rehacer la evaluación de riesgos BSA/AML y someterla a la aprobación del directorio y a pruebas independientes anuales.
Implementar un nuevo programa de debida diligencia del cliente y un programa de gestión de riesgos de delitos financieros.
Reformular el programa de revisión de actividad sospechosa.
Contratar a un consultor independiente para una revisión retrospectiva (SAR Look-Back) que determine qué reportes debieron presentarse y no se presentaron.
Fortalecer la auditoría, evaluar la dotación y las competencias del área, y armar un plan de sucesión para el Oficial BSA.
Rediseñar la capacitación con un enfoque basado en riesgo y por función.
La Fed, por su parte, señaló debilidades en el programa de riesgos de delitos financieros a nivel de todo el grupo, incluido el monitoreo de transacciones, los procesos de derivación de fraudes y la evaluación de riesgos de terceros.
Antecedentes y contexto
No es el primer problema de American Express con las autoridades estadounidenses. En enero de 2025, la compañía acordó pagar cerca de USD 230 millones para cerrar investigaciones penales y civiles del Departamento de Justicia por prácticas de venta engañosas a pequeñas empresas entre 2014 y 2017, que incluyeron el uso de números de identificación de empleador (EIN) ficticios, como "123456788", en cuentas de tarjetas corporativas. El acuerdo civil fue de USD 108,7 millones. Aunque no se trató de un caso de lavado, el uso de datos de identificación falsos ya mostraba fragilidades en la apertura de cuentas, que la OCC vuelve a señalar ahora en el programa de identificación de clientes.
El precedente obligado es TD Bank. El 10 de octubre de 2024, la OCC le impuso una multa de USD 450 millones y un tope a sus activos totales, en una resolución coordinada con la Fed, la Financial Crimes Enforcement Network (FinCEN) y el Departamento de Justicia, que incluyó acuerdos de culpabilidad. La comparación es útil: en el caso de Amex la sanción es menor y no incluye tope de activos, pero la lista de fallas es muy similar (programa no razonablemente diseñado, reportes de actividad sospechosa deficientes y debida diligencia débil).
Lecciones para los sujetos obligados en Argentina
La Ley 25.246, con las reformas de la Ley 27.739 (B.O. 15/3/2024), consagró el enfoque basado en riesgos como eje del sistema. El caso Amex permite traducir cada falla en una obligación concreta del régimen local:
Una autoevaluación de riesgos que refleje el negocio real: el artículo 21, inciso h), exige determinar los riesgos asociados a clientes, productos, servicios, canales y zonas geográficas, autoevaluarlos y mitigarlos. Una matriz que no pondera los productos con mayor volumen, como le pasó a Amex con sus tarjetas, es una matriz que no cumple su función.
Conocer el propósito de la relación: el inciso g) obliga a determinar el propósito y la naturaleza de la relación con el cliente, y el inciso a) a identificarlo, verificar su identidad con fuentes confiables e independientes e identificar a los beneficiarios finales.
Un monitoreo continuo consistente con el perfil: el inciso i) exige una debida diligencia continua y reglas de monitoreo que permitan verificar que las transacciones sean coherentes con el conocimiento del cliente, incluido, cuando sea necesario, el origen de los fondos. Los esquemas de TBML se apoyan precisamente en operaciones que parecen comerciales y que solo un monitoreo bien calibrado puede detectar.
Reportar sin demora: el inciso b) obliga a informar a la UIF, sin demora alguna, toda operación sospechosa, realizada o tentada. El artículo 24 prevé multas de una a diez veces el valor de las operaciones cuando no se reporta o se reporta fuera de plazo y forma. Con un volumen como el de este caso, la exposición sería enorme.
El oficial de cumplimiento no está solo: según el inciso f), el oficial de cumplimiento debe integrar el órgano de administración, pero la responsabilidad por el cumplimiento es solidaria e ilimitada para todos sus integrantes. El artículo 24 extiende las sanciones a los directores y prevé la inhabilitación de hasta cinco años para ejercer como oficial de cumplimiento.
Manuales, recursos y capacitación: el inciso e) exige documentar los procedimientos en manuales internos con responsabilidades asignadas. La orden contra Amex demuestra que un manual sin personal idóneo, sin capacitación por función y sin una revisión independiente efectiva no resiste una inspección.
El riesgo interno también cuenta: parte de las operaciones sospechosas pasó por cuentas vinculadas a personas internas del banco. Los controles sobre empleados y relacionados deben estar dentro del alcance del programa.
Una lectura final
La multa es importante, pero el costo más alto del caso probablemente sea la corrección de las fallas: revisiones retrospectivas, consultores independientes, rediseño de sistemas y años de supervisión intensiva. Para una entidad financiera, una fintech, una aseguradora, un escribano o un contador alcanzado por el régimen, la lección es la misma: el programa de prevención tiene que acompañar el crecimiento del negocio, y no quedarse anclado en su versión inicial.
Fuentes oficiales
Nuestro Estudio asesora a sujetos obligados, empresas y profesionales en el diseño, la revisión y la auditoría de sus programas de prevención a través de su departamento de Prevención de Lavado de Activos / Compliance: autoevaluaciones de riesgo, manuales, matrices, monitoreo transaccional, capacitación y defensa en sumarios ante la UIF. Si querés revisar tu programa, escribinos desde la sección Contacto de nuestro sitio.
Comentarios