La guía del CBRT en la práctica: un playbook de cumplimiento para empresas de pagos
Por Selim Destanci
Fundador
La guía del banco central de Türkiye para instituciones de pago y dinero electrónico suele leerse como una checklist. Léela como un documento de arquitectura: casi cada cláusula corresponde a una propiedad que tu sistema tiene por diseño o fingirá para siempre — monitoreo continuo de transacciones, prevención del fraude proporcional al riesgo y la capacidad de reconstruir cualquier decisión a posteriori.
El monitoreo es el ejemplo más claro. Un informe batch nocturno técnicamente “monitorea”, pero el espíritu de la guía es conductual: velocidades que se disparan, dispositivos que cambian, patrones que derivan. Eso implica contadores y señales en tiempo real en la ruta de autorización — no un job de data warehouse que encuentra los problemas tres días tarde.
La auditabilidad es el segundo pilar. Cuando el regulador pregunta por qué se rechazó un pago — o peor, por qué se aprobó uno fraudulento — “lo dijo el modelo” no es una respuesta. Cada decisión necesita un código de motivo y un rastro a prueba de manipulación: eventos solo-añadir, encadenados por hash, para que nadie — ni siquiera tú — reescriba la historia en silencio.
El cribado completa el cuadro. En Türkiye las obligaciones de sanciones y listas no son solo OFAC y ONU: MASAK y las listas de los reguladores locales importan, igual que la coincidencia con caracteres turcos: un motor que no ve que dos nombres escritos distinto son la misma persona inundará a tus analistas de ruido mientras se le escapan los aciertos reales.
La checklist práctica: señales de riesgo en tiempo real en el hot path, decisiones explicables con códigos de motivo, un registro de auditoría solo-añadir con verificación de integridad, cribado que entiende Türkiye con gestión de casos para analistas, y límites que puedas demostrar, no solo describir. Constrúyelo una vez y la guía deja de ser un proyecto de cumplimiento: se vuelve una propiedad de la plataforma.