El monitoreo del cumplimiento normativo en atención al cliente consiste en comprobar en cada conversación los pasos que exigen sus normas, como los controles de identidad, los avisos obligatorios y el tratamiento de los datos de tarjeta, y en conservar la evidencia. Hecho sobre una muestra, le dice que existe un problema.
Hecho sobre cada llamada, chat y correo electrónico, le dice qué conversaciones se vieron afectadas y le permite demostrar que el resto estaban bien.
En resumen
- El monitoreo del cumplimiento comprueba los pasos obligatorios en cada conversación; el QA de calidad juzga lo bien que fue la conversación, y ambos pueden compartir una scorecard.
- Una muestra puede mostrar que los agentes omiten un aviso, pero no qué clientes se vieron afectados, que es la siguiente pregunta de un auditor o un regulador.
- Una scorecard de cumplimiento necesita controles de suspenso automático para los pasos que nunca deben omitirse y controles ponderados para el resto.
- PCI DSS prohíbe conservar los códigos de verificación de la tarjeta después de la autorización, también en las grabaciones, y algunos estados de EE. UU., entre ellos California, exigen el consentimiento de todos para grabar una llamada.
- Seis pasos lo ponen en marcha, y el resultado es un expediente de evidencias que puede entregar cuando se lo pidan.
Para la parte de la plataforma, la página de calidad del servicio al cliente muestra cómo Kaizo evalúa cada conversación según sus criterios, y la página de cumplimiento normativo explica cómo los criterios de cumplimiento conviven en la misma scorecard.
¿Qué es el monitoreo del cumplimiento normativo en atención al cliente?
El monitoreo del cumplimiento normativo en atención al cliente es la revisión de las conversaciones de soporte frente a las normas que una empresa debe seguir: leyes, requisitos del regulador, normas de las marcas de tarjetas y sus propias políticas. Pregunta si se dio cada paso obligatorio, no lo agradable que fue la conversación.
Se solapa con el QA, pero no es lo mismo. El QA pregunta si el agente resolvió bien el problema.
El monitoreo del cumplimiento hace preguntas de sí o no con consecuencias: ¿se verificó al cliente?, ¿se dio el aviso de grabación?, ¿se leyó la advertencia de riesgo?, ¿acabó un número de tarjeta en la transcripción? En el soporte regulado, como los servicios financieros o el juego, estas preguntas deciden si puede defenderse ante una reclamación.
| QA de calidad | Monitoreo del cumplimiento | |
|---|---|---|
| Pregunta | ¿Qué tan bien se gestionó? | ¿Se dio cada paso obligatorio? |
| Evaluación | Criterios ponderados, una nota sobre 100 | Aprobado o suspenso por control, a menudo con suspenso automático |
| Quién pregunta | Líderes de equipo, QA, dirección de CX | Cumplimiento, auditores, reguladores, marcas de tarjetas |
| Qué cuesta un fallo | Un momento de coaching | Una reclamación que no puede defender, una multa, un proceso de reparación |
| Evidencia necesaria | Una nota y un comentario | La línea exacta de la transcripción, conservada durante el plazo de retención |
Los dos funcionan mejor en una sola scorecard, para que los agentes reciban una revisión y un estándar. Nuestra guía sobre los criterios de suspenso automático (en inglés) explica cómo un solo control de cumplimiento fallido puede dejar la nota en cero sin distorsionar el resto.
¿Por qué el muestreo no supera una auditoría de cumplimiento?
El muestreo no supera una auditoría de cumplimiento porque puede estimar con qué frecuencia se omite un paso, pero no puede decirle qué conversaciones lo omitieron, y eso es lo siguiente que pregunta un auditor o un regulador.
Ejemplo práctico (cifras ilustrativas, no son datos de Kaizo). Un contact center recibe 30.000 llamadas al mes. En 8.000 de ellas, pagos y cambios de cuenta, los agentes deben leer un aviso obligatorio. Lo omiten en una de cada 50 de esas llamadas: 160 llamadas. QA revisa una muestra aleatoria de 900 llamadas.
| Valor | |
|---|---|
| Llamadas al mes | 30.000 |
| Llamadas que requieren el aviso | 8.000 |
| Llamadas en las que se omitió | 160 |
| Llamadas revisadas | 900 |
| Llamadas con omisión esperadas en la muestra | unas 5 |
| Llamadas con omisión que nadie miró | unas 155 |
La muestra cumple su función como medición: cinco omisiones en unas 240 llamadas que requerían el aviso le dicen que el problema existe.
Entonces empiezan las preguntas. ¿Qué clientes se vieron afectados? ¿Era una de ellas la llamada detrás de esta reclamación? ¿La omisión ocurrió en todos los equipos o en uno? Con una muestra, responde escuchando 8.000 llamadas a posteriori. Con cada llamada evaluada, filtra por un criterio fallido y tiene la lista.
Hay una segunda brecha. Las llamadas con más riesgo de cumplimiento, una reclamación, un cliente vulnerable, una disputa sobre límites, son poco frecuentes, así que una muestra aleatoria es la que menos probabilidades tiene de contenerlas. La estadística detrás de esto está en por qué una muestra de QA del 3% no sirve para decisiones por agente (en inglés).
Los controles que necesita una scorecard de cumplimiento
Una scorecard de cumplimiento contiene controles de suspenso automático para los pasos que nunca deben omitirse, como la verificación de identidad y el tratamiento de datos de tarjeta, y controles ponderados donde cabe una omisión parcial. Cada control debe poder responderse con la transcripción.
Aquí tiene un conjunto inicial que puede adaptar. Sustituya los ejemplos por la redacción exacta que exigen sus normas.
| Control | Ejemplo de aprobado | Tipo | Evidencia |
|---|---|---|---|
| Identidad verificada antes de dar datos de la cuenta | El agente hizo las preguntas de seguridad exigidas antes de hablar del saldo | Suspenso automático | Las líneas de verificación |
| Aviso de grabación dado | “Esta llamada se graba con fines de calidad y formación” al inicio | Suspenso automático donde rigen normas de consentimiento | El inicio de la llamada |
| Aviso obligatorio leído | La advertencia de riesgo, la comisión o las condiciones aprobadas, completas | Suspenso automático | La línea del aviso |
| Sin datos de tarjeta en la transcripción | Ningún número de tarjeta completo ni código de seguridad escrito en chat o correo | Suspenso automático | La ausencia, comprobada en cada mensaje |
| Sin asesoramiento personal donde no está permitido | El agente dio información, no una recomendación | Ponderado o suspenso automático, según sus normas | La respuesta en cuestión |
| Reclamación reconocida y registrada | El agente la identificó como reclamación y siguió el proceso | Ponderado | La reclamación y el paso siguiente |
| Vulnerabilidad señalada | Se detectaron señales de vulnerabilidad y se gestionaron según la política | Ponderado | Las palabras del cliente y la respuesta del agente |
| Aviso de IA (agentes de IA) | Se informó al cliente de que hablaba con una IA | Suspenso automático donde se exija | El primer mensaje o saludo |
Redacte cada control como una pregunta con respuesta de sí o no, e indique qué cuenta como evidencia. “¿Leyó el agente el aviso de comisiones antes de cobrar el pago?” se puede evaluar igual en cada llamada. “¿Cumplió el agente la normativa?” no.
PCI DSS, grabaciones de llamadas y QA
PCI DSS no permite almacenar los códigos de verificación de la tarjeta después de la autorización, ni siquiera cifrados, y el PCI Security Standards Council afirma que esto incluye las grabaciones de audio. El QA debe comprobar que los datos de tarjeta nunca acaban en grabaciones ni transcripciones.
Los detalles, según la fuente:
- El requisito 3.3.1 de PCI DSS establece que los datos de autenticación confidenciales no se almacenan después de la autorización, aunque estén cifrados. Las preguntas frecuentes del PCI SSC sobre grabaciones de audio indican que almacenar códigos de verificación de tarjeta en cualquier grabación de audio digital después de la autorización lo infringe, que debe hacerse todo lo posible para impedir que esos datos se graben y que, donde exista la tecnología, debe activarse la supresión o el enmascaramiento.
- Si no se puede impedir la grabación, las mismas preguntas frecuentes indican que los datos deben eliminarse de forma segura una vez autorizada la transacción, con controles compensatorios si eso no es viable.
- PCI DSS v4.0.1 es la versión vigente; el PCI SSC anunció que la v4.0 se retiraría el 31 de diciembre de 2024.
- PCI DSS no prevalece sobre las leyes locales que fijan cuánto tiempo deben conservarse las grabaciones, como señalan esas mismas preguntas frecuentes.
Lo que esto significa para el QA en la práctica: los controles que mantienen los datos de tarjeta fuera de las grabaciones corresponden a su configuración de telefonía y pagos, no al QA. El papel del QA es comprobar que funcionan en cada conversación.
Evalúe si los agentes pidieron a los clientes que leyeran en voz alta un código de seguridad cuando el proceso dice que no deben hacerlo, y si aparece un número de tarjeta completo en la transcripción de un chat o un correo. La propia página de cumplimiento de Kaizo usa “Card number shared” (número de tarjeta compartido) como ejemplo de criterio de suspenso automático.
Normas de EE. UU. sobre el consentimiento para grabar llamadas
La ley federal de EE. UU. permite grabar con el consentimiento de una de las partes, pero algunos estados exigen el consentimiento de todas, por lo que la mayoría de los contact centers dan un aviso de grabación al inicio de cada llamada.
- Federal: según 18 U.S.C. § 2511(2)(d), no es ilegal que una persona que no actúa bajo la autoridad del Estado (color of law) intercepte una comunicación cuando es parte de ella o una de las partes ha dado su consentimiento previo, salvo que lo haga para cometer un acto delictivo o ilícito civil.
- California: el Penal Code § 632 tipifica como infracción grabar una comunicación confidencial sin el consentimiento de todas las partes, con una multa de hasta 2.500 dólares por infracción en la primera vez.
- Otros estados: el Reporters Committee for Freedom of the Press enumera unos 11 estados que exigen principalmente el consentimiento de todas las partes, y aconseja suponer que se aplica la ley del estado más estricto cuando una llamada cruza fronteras estatales.
Esto es un resumen, no asesoramiento jurídico; compruebe con su asesor jurídico las normas de cada estado y país en el que presta servicio. Para el QA, el paso es concreto: convierta “aviso de grabación dado” en un control de suspenso automático al inicio de cada llamada grabada, para poder demostrar que se dio en cada una.
Cómo poner en marcha el monitoreo del cumplimiento en cada llamada
Para poner en marcha el monitoreo del cumplimiento en cada llamada, haga una lista de las normas, convierta cada una en un control de sí o no, añada los controles a su scorecard, pruebe la evaluación, evalúe todo y revise cada fallo.
Paso 1: haga una lista de las normas aplicables
Trabaje con su equipo de cumplimiento para listar cada norma que afecta a una conversación de soporte: leyes, requisitos del regulador, normas de las marcas de tarjetas, sus propias políticas. Para cada una, anote a qué conversaciones se aplica, como llamadas de pago, reclamaciones o cierres de cuenta.
Paso 2: convierta cada norma en un control
Redacte una pregunta de sí o no por norma, con la redacción o el comportamiento exactos que cuentan como aprobado y la evidencia que espera. Decida qué controles son de suspenso automático. Sea breve: un control que nadie puede evaluar de forma coherente es peor que no tenerlo.
Paso 3: ponga los controles en su scorecard de QA
Añada los controles de cumplimiento junto a sus criterios de calidad, para que cada conversación reciba una sola revisión. Limite cada control a las conversaciones a las que se aplica, para que un control de aviso no suspenda una llamada en la que no hacía falta ningún aviso. Nuestra guía sobre cómo ponderar los criterios de la scorecard explica cómo se combinan los criterios de suspenso automático y los ponderados.
Paso 4: pruebe la evaluación antes de confiar en ella
Evalúe a mano un conjunto de conversaciones pasadas, con su equipo de cumplimiento, y compare los resultados con las notas automáticas o de los revisores. Corrija los controles en los que no coincidan. Este es el paso que hace defendibles los resultados.
Paso 5: evalúe cada conversación
Evalúe todas las llamadas, chats y correos electrónicos a los que se aplican los controles, con cada resultado vinculado a la línea de la transcripción que lo justifica. Nuestra guía sobre la trazabilidad de las notas de QA (en inglés) explica por qué una nota sin su evidencia es difícil de defender.
Paso 6: revise cada fallo
Envíe cada control de suspenso automático fallido a una persona esa misma semana. Decida si fue un error del agente, una carencia del proceso o un error de evaluación, actúe en consecuencia y registre lo que hizo. Después busque patrones por equipo, cola y control.
Véalo en una demo en vivo. Kaizo evalúa cada conversación según sus criterios de cumplimiento y vincula cada nota a la transcripción. Reserve una reunión.
El expediente de evidencias para un auditor o regulador
Muestre la norma, el control que la comprueba, la cobertura, los fallos y lo que hizo con cada uno. Un expediente de evidencias con estas cinco partes responde a la mayoría de las preguntas de cumplimiento sobre las conversaciones de soporte.
Úselo como plantilla:
| Parte | Qué contiene |
|---|---|
| 1. Norma | El requisito, su fuente y a qué conversaciones se aplica |
| 2. Control | La pregunta de la scorecard, qué cuenta como aprobado y si es de suspenso automático |
| 3. Cobertura | Cuántas conversaciones del alcance se evaluaron en el periodo, sobre cuántas |
| 4. Fallos | Cada conversación fallida, con la línea de la transcripción y la fecha |
| 5. Acciones | Lo que hizo con cada fallo: coaching, cambio de proceso, reparación al cliente, y cuándo |
Si la pregunta se refiere a una sola conversación, como una reclamación, el mismo registro la responde: la nota en cada control y las líneas de la transcripción que la justifican. Ese es el sentido de la cobertura total de QA en un contexto regulado: el registro de auditoría es la propia revisión, no un informe montado a posteriori.
Kaizo está hecho para esta parte. Su página de cumplimiento indica que evalúa cada conversación según sus criterios de cumplimiento y vincula cada nota a la transcripción, con criterios personalizados para su contexto regulatorio, y sus scorecards admiten sus criterios actuales en lugar de una plantilla.
Kaizo cuenta con las certificaciones SOC 2 Type II e ISO 27001 y cumple el RGPD, con los informes en su Trust Center. Kaizo revisa las conversaciones una vez terminadas, así que no detiene un error durante una llamada en directo. Para un ejemplo del sector regulado del juego, vea cómo GAMING1 usa Kaizo en las conversaciones sobre juego responsable.
Cómo empezar el monitoreo del cumplimiento
Empiece por una norma sobre la que un regulador o un auditor preguntaría primero, conviértala en un control de suspenso automático y evalúe durante un mes cada conversación a la que se aplica. La lista de fallos es su primer expediente de evidencias, y sus lagunas muestran qué control añadir a continuación.
Para equipos regulados, la página para equipos de soporte de fintech muestra cómo Kaizo aplica los criterios de cumplimiento a cada conversación.
Preguntas frecuentes
¿Qué diferencia hay entre el monitoreo del cumplimiento y el control de calidad?
El control de calidad juzga lo bien que se gestionó una conversación, normalmente con criterios ponderados y una nota. El monitoreo del cumplimiento comprueba si se dio cada paso obligatorio, normalmente con aprobado o suspenso y conservando la evidencia. Funcionan bien en una sola scorecard: los controles de cumplimiento como criterios de suspenso automático, los de calidad ponderados y una revisión por conversación.
¿Cumple PCI un call center que graba las llamadas?
Puede cumplir, pero grabar añade riesgo. PCI DSS no permite almacenar los códigos de verificación de la tarjeta después de la autorización, y el PCI SSC lo aplica a las grabaciones de audio: impida la grabación cuando sea posible o elimine los datos de forma segura. Si su configuración cumple se decide en su evaluación PCI, no en su herramienta de QA.
¿Hace falta consentimiento para grabar llamadas de atención al cliente en EE. UU.?
La ley federal permite grabar con el consentimiento de una de las partes, que puede ser la propia empresa. Varios estados, entre ellos California, exigen el consentimiento de todas las partes en una llamada confidencial. Como los clientes llaman desde muchos estados, la mayoría de los contact centers reproducen un aviso de grabación al inicio de cada llamada. Compruebe las normas de sus estados con su asesor jurídico.
¿Con qué frecuencia conviene monitorear las llamadas para el cumplimiento?
En cada llamada a la que se aplica la norma, si puede evaluar automáticamente, porque un aviso omitido en una llamada es un problema para ese cliente, esté o no en la muestra. Si revisa a mano, revise cada llamada de las categorías de mayor riesgo, como reclamaciones y disputas de pagos, y tome una muestra del resto.
¿Puede la IA comprobar los avisos obligatorios en las llamadas?
Sí, si cada aviso es un control claro, como “el agente leyó el aviso de comisiones antes de cobrar el pago”, y la evaluación se prueba antes con sus propias revisiones anteriores. Cada resultado debe vincularse a la línea de la transcripción que lo justifica, para que una persona pueda comprobar cualquier nota, y los controles fallidos deben pasar a una persona para su revisión.
