Qué le pide la 38ª Disposición al sistema con el que operas

Entre las Disposiciones de Carácter General para Centros Cambiarios hay una que se cita mucho y se entiende poco: la 38ª. A diferencia de otras, que te dicen qué reportar o cada cuándo, ésta habla de la herramienta: obliga a apoyarse en sistemas automatizados que cumplan una lista de funciones.

Dicho de otro modo: no basta con que tu operación cumpla; tu sistema tiene que poder demostrarlo. Y eso convierte a la 38ª en la disposición más útil que existe a la hora de comparar proveedores de software.

Qué pide, en términos prácticos

La 38ª enumera trece funciones que debe tener el sistema automatizado. Sin entrar al texto literal de cada una, en la práctica se agrupan en cuatro cosas:

1. Conservar y localizar la información. Expedientes de Usuarios y operaciones disponibles y consultables durante los plazos que marca la normativa.
2. Detectar y clasificar. Identificar operaciones que ameriten análisis, apoyar la clasificación por grado de riesgo y el seguimiento del perfil transaccional.
3. Generar los reportes en los términos y formatos que exige la autoridad.
4. Proteger y auditar. Garantizar que la información sea íntegra, esté disponible, sea confidencial y —esto es lo que suele faltar— auditable.

La fracción IX: auditabilidad

Esta fracción pide mantener esquemas que garanticen la integridad, disponibilidad, auditabilidad y confidencialidad de la información.

"Auditabilidad" es la palabra que hace trabajar de más a muchos sistemas. No significa poder consultar los datos: significa poder reconstruir quién hizo qué y cuándo. Si alguien editó un expediente, canceló una operación, cambió un parámetro crítico o exportó un reporte, tiene que quedar registrado — y ese registro no debe poder alterarse después desde la propia aplicación.

Muchos sistemas tienen bitácoras parciales: registran los accesos, o los cambios de una tabla. Lo que pide la norma es un rastro transversal.

La fracción XI: cotejo contra el original

Esta fracción pide que el sistema facilite la verificación de los datos y documentos que proporcionó el Usuario y que el centro cambiario haya cotejado contra los documentos originales.

Aquí hay una trampa muy común: casi cualquier sistema te deja adjuntar el escaneo de una identificación. Pero adjuntar no es cotejar. Lo que la norma quiere saber es si alguien tuvo el documento original en la mano y lo confirmó. Eso exige una marca estructurada —cotejado sí o no, por quién, en qué fecha— y no una nota libre en un campo de observaciones.

Cinco preguntas para tu proveedor

Si estás comparando software, éstas separan rápido a los que cumplen de los que dicen cumplir:

1. ¿Puedo ver quién editó este expediente y cuándo? Pide una demostración en vivo, no una captura de pantalla.
2. ¿La bitácora se puede borrar o editar desde la aplicación? La respuesta correcta es que no, ni siquiera por el administrador.
3. ¿Cómo registran que un documento fue cotejado contra el original? Si la respuesta es "en el campo de observaciones", no está resuelto.
4. ¿El reporte sale en el formato exacto o en algo que hay que ajustar? Pide ver un archivo generado de verdad.
5. ¿Qué pasa si el cajero intenta operar con un expediente incompleto? Si el sistema solo advierte pero deja pasar, el control es decorativo.

Dónde está Cambisoft

Cambisoft se auditó internamente contra las funciones de la 38ª y se construyó a partir de esos hallazgos. En concreto:

• Auditabilidad: bitácora transversal de altas, ediciones, bajas, cancelaciones, exportaciones y reversiones, con operador, rol, sucursal, equipo y hora, sin posibilidad de editarla desde la aplicación.
• Cotejo contra original: marca estructurada por documento, con quién cotejó y en qué fecha, que se imprime en el expediente exportado.
• Detección y clasificación: matriz de riesgo de 15 elementos ponderables, perfil transaccional recalculado con cada operación, y detección de fraccionamiento.
• Reportes: los archivos .002, .FD1 y .DE1 con su formato y nombre correctos (ver el detalle).
• Constancia de listas: bitácora específica de cada actualización de listas de riesgo, con fuente, resultado y responsable.

Como cualquier proveedor serio te dirá: el software es la mitad. La otra mitad es que tu operación efectivamente use esos controles, y eso lo sostiene tu oficial de cumplimiento.