Cumplimiento normativo
Assurtech AI diseña un cumplimiento operativo para corredurías de seguros: RGPD, LCB-FT, trazabilidad, registro, permisos, conservación de evidencias y auditabilidad.
El cumplimiento normativo y la seguridad no se añaden después del desarrollo. Estructuran la arquitectura funcional y técnica desde el origen.
La plataforma está concebida para: producir pruebas, limitar riesgos operativos, trazar decisiones, controlar accesos y estructurar responsabilidades. El cumplimiento se convierte en una propiedad del sistema.
Cada acción significativa realizada en la plataforma queda:
Esto incluye en particular la creación o modificación de un contrato, la validación de un documento, la modificación de una parametrización, la interacción con la IA y la validación de una recomendación.
El objetivo es doble: asegurar las decisiones internas y permitir una restitución clara en caso de auditoría.
El registro cubre:
Los registros se centralizan, se protegen frente a alteraciones y se conservan conforme a una política de retención definida.
La conservación respeta las exigencias regulatorias aplicables, los plazos adaptados a los objetos operativos concernidos y las obligaciones vinculadas a los controles internos.
La plataforma permite demostrar:
Esta capacidad de auditabilidad es esencial para los controles internos, las auditorías externas y las solicitudes de justificación regulatoria.
La plataforma está concebida para limitar la recogida de datos a lo estrictamente necesario. Los formularios y procesos evitan campos no justificados, distinguen los datos obligatorios de los opcionales y estructuran la información según su finalidad. La minimización no es declarativa. Está integrada en el diseño de pantallas y flujos.
La protección de los datos se basa en particular en el cifrado de las comunicaciones, el control de acceso por rol, la separación de entornos, la gestión centralizada de secretos y la supervisión de accesos sensibles. Los permisos se asignan según el principio de mínimo privilegio. Un usuario solo puede acceder a los datos necesarios para su función.
La estructuración de los datos permite identificar los datos vinculados a una persona, corregir una información, exportar los datos cuando sea necesario y anonimizar o suprimir según las reglas aplicables. Las operaciones sensibles quedan trazadas, atribuidas y documentadas.
Cada tratamiento estructurado en la plataforma corresponde a una finalidad identificada, se basa en una base jurídica y puede documentarse. Las evoluciones importantes pueden dar lugar a una evaluación de impacto cuando sea necesario. El cumplimiento de RGPD se basa en la articulación entre arquitectura técnica, reglas de gestión y gobernanza interna.
La lucha contra el blanqueo de capitales y la financiación del terrorismo (la Ley 10/2010 y su normativa de desarrollo en materia de PBC/FT) se basa en la identificación de las partes, la recopilación de justificantes, la trazabilidad de las verificaciones y la conservación de pruebas. La plataforma permite asociar a un expediente los elementos de identificación, los documentos recopilados, las fechas de control y la identidad del responsable de control.
Las diligencias realizadas se registran, se fechan y se vinculan a un expediente concreto. En caso de revisión interna o externa, es posible demostrar: las etapas seguidas, los documentos examinados y las validaciones realizadas. La plataforma no sustituye el análisis humano. Estructura la prueba de dicho análisis.
En la mediación de seguros, el cumplimiento no puede limitarse a políticas internas o documentos de principio. Debe encarnarse en las herramientas, los procesos y las evidencias producidas a diario.
Cuando una correduría se apoya en sistemas fragmentados, el cumplimiento se vuelve difícil de demostrar: validaciones dispersas, documentos no estructurados, historiales incompletos y poca visibilidad de las responsabilidades.
Una plataforma de negocio correctamente concebida permite vincular las acciones significativas a un usuario, una fecha, un contexto documental y un expediente identificado.
El cumplimiento se vuelve así más demostrable, más auditable y más integrado en la realidad operativa de la correduría.
El objetivo no es solo respetar una regla. El objetivo es poder probar, explicar y recuperar lo que se hizo.
La consideración de RGPD en un software para corredores de seguros no responde a una simple presentación jurídica. Implica una estructuración concreta de los tratamientos y de los accesos.
La protección de los datos se vuelve más sólida cuando la arquitectura funcional respalda realmente las exigencias regulatorias.
Las exigencias de la Ley 10/2010 y su normativa de desarrollo en materia de PBC/FT suponen una organización rigurosa de la identificación, los controles, las pruebas y las validaciones.
Un sistema de negocio adecuado debe permitir asociar a un expediente los elementos recopilados, las fechas de verificación, la identidad del responsable del control y los justificantes utilizados.
Esta estructuración reduce las zonas de sombra y facilita tanto las revisiones internas como los controles externos.
También permite distinguir mejor qué se verificó, por quién, en qué momento y sobre qué base documental.
El valor de un control no reside solo en su existencia. También reside en la capacidad de la correduría para conservar una evidencia utilizable.
El cumplimiento de una plataforma de seguros también depende de su capacidad para controlar quién puede hacer qué, en qué perímetro y con qué nivel de trazabilidad.
El registro y los permisos no son mecanismos accesorios. Constituyen una base de control operativo y regulatorio.
En un sector regulado, no basta con ejecutar correctamente una operación. También hay que poder documentar su realidad, su contexto y su cronología.
Una plataforma adaptada conserva los elementos necesarios para justificar una validación, un control, una modificación de expediente o una decisión estructurante.
Esta auditabilidad facilita los controles internos, las auditorías externas, las revisiones de calidad y la gestión de situaciones sensibles.
También mejora la disciplina operativa, porque las acciones importantes se vuelven más legibles, más atribuibles y más fáciles de verificar.
Un cumplimiento creíble se basa en una capacidad de justificación duradera, no en una memoria organizativa frágil.
La Directiva sobre la Distribución de Seguros (DDA) impone a los intermediarios estructurar la relación de distribución, formalizar determinadas diligencias y conservar la prueba de los elementos útiles para el asesoramiento, la información y el seguimiento del cliente.
La plataforma no sustituye el análisis regulatorio ni las obligaciones de la correduría. Permite disponer de un marco más estructurado para documentar el recorrido, conservar evidencias y reducir las zonas de sombra operativas en la distribución.
La plataforma ayuda a la correduría a estructurar la evidencia del recorrido de distribución, conservar los elementos significativos del asesoramiento y reforzar la legibilidad de las actuaciones realizadas.
La plataforma se apoya en una infraestructura cloud estructurada. Los principios aplicados incluyen separación de entornos (desarrollo, test, producción), gestión centralizada de identidades, control de accesos por rol (RBAC) y registro de eventos críticos. La arquitectura está concebida para limitar accesos no autorizados, modificaciones no trazadas y dependencias técnicas frágiles.
Los accesos son nominativos, autenticados, sometidos a reglas de seguridad reforzadas y revisados periódicamente. Los roles se definen según funciones operativas, responsabilidades y principio de separación de funciones cuando procede. Los accesos sensibles pueden estar sujetos a controles reforzados y validaciones específicas.
Los elementos sensibles (claves, secretos, identificadores técnicos) no se almacenan en el código. Se centralizan, se protegen y se someten a reglas de rotación. Esta organización limita los riesgos de exposición accidental.
La plataforma implementa copias de seguridad regulares, una política de conservación definida y pruebas periódicas de restauración. El objetivo es garantizar la disponibilidad de los datos, la capacidad de recuperación y la continuidad operativa.
La IA interviene como asistencia. Determinadas categorías de uso pueden exigir validación humana obligatoria, umbrales de confianza y limitación del perímetro documental. Las reglas están definidas y documentadas.
Se versionan los siguientes elementos: modelos utilizados, corpus documental, reglas de generación e instrucciones dirigidas al modelo. Cada interacción importante conserva la consulta, el contexto utilizado, la respuesta producida, el usuario y la fecha.
La IA: cita sus fuentes, indica el perímetro utilizado, no toma decisiones autónomas y no se apoya en un corpus indeterminado. La decisión final pertenece al usuario.
El entorno regulatorio evoluciona. La plataforma está concebida para:
La modularidad técnica permite integrar evoluciones sin poner en cuestión la arquitectura global.