AML/KYC para EMI y entidades de pago

Una entidad de dinero electrónico (EMI) o una entidad de pago se sitúa entre sus clientes y el resto del sistema financiero, y esa posición conlleva un deber: saber quiénes son sus clientes y mantener el dinero delictivo fuera de los flujos que opera. El AML — el conjunto de controles que impiden que una plataforma se use para blanquear dinero o mover fondos con fines sancionados o ilícitos — y el KYC — la verificación de la identidad de un cliente en el momento de su admisión — son el modo en que una entidad cumple ese deber. Para un EMI o una entidad de pago no son funciones añadidas al margen de un producto; son las condiciones bajo las cuales la entidad está autorizada a mantener dinero de clientes y a moverlo.

Estos controles suelen archivarse bajo coste de compliance, pero para una entidad de pago o de dinero electrónico están más cerca de una condición de operación que de un gasto general. Deciden si la entidad puede admitir a un cliente, si puede satisfacer al regulador que la examina y si los bancos y schemes de los que depende la mantendrán conectada. Una entidad que no puede verificar la identidad de forma fiable, cribar frente a las listas pertinentes y monitorizar un riesgo cambiante no puede demostrar que es un lugar seguro por donde pase el dinero, por fuerte que sea su propuesta comercial.

El asunto atañe a cada función directiva bajo una óptica propia. Para una dirección general, el AML y el KYC fijan el equilibrio entre admitir clientes con fluidez y admitir un riesgo que la entidad no puede soportar. Para una dirección técnica son controles que la plataforma debe estar construida para soportar — verificación de identidad, cribado y monitorización cableados en el onboarding y en el ledger, no añadidos después. Para una función de compliance o un MLRO son una disciplina diaria y un cuerpo de evidencia que debe resistir el examen. Este artículo expone cómo encajan el AML y el KYC en un EMI o una entidad de pago en el plano del concepto, el control y el riesgo, y cómo juzgar una plataforma por su capacidad de soportarlos — sin prescribir umbrales de cribado ni un procedimiento de diligencia.

Qué significan el AML y el KYC para un EMI o una entidad de pago

El KYC y el AML están relacionados pero son distintos. El KYC es el trabajo de establecer, en el onboarding, que un cliente es quien dice ser y de reunir lo suficiente sobre él para comprender el riesgo que representa. El AML es el programa más amplio — cribado, monitorización, evaluación del riesgo y escalado de inquietudes — por el que la entidad impide que su plataforma sirva para el blanqueo o la elusión de sanciones a lo largo de toda la relación. El KYC es la puerta; el AML es la disciplina que vigila más allá de la puerta. Una entidad necesita ambos y necesita que funcionen juntos, porque una verificación de identidad limpia en el onboarding no dice nada sobre cómo se comportará una cuenta un año después, y la monitorización vale tanto como la identidad a la que está unida.

Para un EMI o una entidad de pago, la finalidad de estos controles es concreta: la entidad mantiene cuentas y mueve dinero por cuenta de otros, lo que la convierte justamente en el conducto que busca el dinero delictivo. Los controles existen para que la entidad pueda admitir a una clientela legítima, reconocer a quienes no debería admitir y advertir cuándo un cliente legítimo empieza a comportarse de un modo que exige atención. Nada de esto se logra con una sola comprobación. Se logra con un conjunto de controles que establecen la identidad, la contrastan con las listas pertinentes y siguen poniendo a prueba la relación a medida que evoluciona, cada uno respondiendo a una pregunta distinta y ninguno bastando por sí solo.

Identidad y onboarding en el punto de entrada

El onboarding es donde el AML y el KYC encuentran por primera vez al cliente, y donde se decide buena parte del riesgo posterior. Verificar a una persona física significa confirmar que hay una persona real presente, que la identidad que presenta es auténtica y que ambas cosas van juntas — normalmente mediante una comprobación documental, una comprobación biométrica o de liveness que ata el documento a la persona viva, y datos corroborantes. Verificar a una empresa es un ejercicio más amplio: entender la entidad, quién está detrás de ella y quién la controla en última instancia, para que la entidad no admita una estructura opaca cuyo dueño real nunca ve. La profundidad de este trabajo debería seguir el riesgo que representa el cliente en lugar de una única rutina fija aplicada a todos.

La experiencia de onboarding lleva además un peso comercial que las discusiones de AML y KYC a veces pasan por alto. Cada paso adicional pierde una proporción de solicitantes genuinos, de modo que una entidad tiene un interés real en una verificación a la vez rigurosa y rápida en lugar de rigurosa y lenta. Aquí es donde la automatización se gana su lugar: una verificación de identidad que se resuelve dentro del flujo, combinando comprobaciones documental, biométrica y de datos, admite a los buenos clientes sin fricción a la vez que establece la identidad como es debido. Grumpio aborda esto con un software de verificación KYC que devuelve un resultado automatizado a partir de comprobaciones documental, NFC, de liveness y de face matching, de modo que el onboarding sigue siendo rápido sin que la entidad renuncie al rigor del que depende el control.

Cribado frente a sanciones, PEP y adverse media

Una vez identificado un cliente, la entidad tiene que contrastar esa identidad con lo que se sabe del riesgo en el mundo más amplio. El cribado de sanciones comprueba si un cliente o una contraparte figura en las listas que hacen prohibido o restringido el trato con él; esto no es basado en el riesgo sino absoluto, porque una infracción de sanciones es una infracción con independencia de la intención. El cribado PEP establece si un cliente es una persona políticamente expuesta, cuya posición exige mayor atención en lugar de exclusión. El cribado de adverse media hace aflorar información negativa creíble asociada públicamente a un cliente, que puede señalar un riesgo que las listas aún no reflejan. Cada uno responde a una pregunta distinta, y juntos convierten una identidad verificada en una evaluada.

Lo que el cribado produce son señales, no veredictos. Un nombre que coincide con una entrada de sanciones puede ser la parte sancionada o una persona ajena que comparte el nombre; una coincidencia PEP señala un estatus, no una conducta indebida; un resultado de adverse media informa de una asociación, no de un hecho probado. La disciplina está en resolver qué significa una coincidencia antes de actuar sobre ella, y en hacerlo de forma constante y con constancia. Agrupar estas comprobaciones en un único flujo, en lugar de llevar la identidad en un sistema y el cribado en otro, permite a una entidad ver a un cliente en su conjunto y guardar su evidencia en un solo lugar. El software de control AML de Grumpio reúne el cribado de personas y empresas, las comprobaciones de sanciones, PEP y adverse media y la puntuación de riesgo de wallets blockchain en un único flujo con acceso por API y panel web y re-cribado periódico; los detalles se exponen en legichain.com. El cribado establece qué dicen las listas y el registro público; la entidad sigue decidiendo qué significa una señal.

El enfoque basado en el riesgo

El AML y el KYC en una entidad de pago o de dinero electrónico se rigen por un enfoque basado en el riesgo y no por uno uniforme. El principio es que los controles deben ser proporcionados al riesgo que representa un cliente, un producto o una transacción: un cliente de bajo riesgo que usa un servicio de bajo riesgo se verifica y monitoriza con un estándar más ligero que un cliente de alto riesgo, y el recurso se concentra donde el riesgo es mayor. No es una licencia para hacer menos; es la exigencia de hacer la medida correcta en el lugar correcto, y de poder explicar por qué un cliente dado recibió el tratamiento que recibió. Una entidad que aplica el mismo proceso pesado a todos malgasta esfuerzo y pierde buenos clientes; una que aplica el mismo proceso ligero a todos deja sus peores riesgos poco examinados.

Hacer real el enfoque basado en el riesgo depende de que la entidad pueda asignar y registrar el riesgo, y variar sus controles en consecuencia. Eso significa capturar los factores que inciden en el riesgo de un cliente, llegar a una evaluación y aplicar una diligencia, una frecuencia de cribado y una intensidad de monitorización que se deriven de ella — y luego llevar un registro de la evaluación y del tratamiento para que la lógica pueda mostrarse más tarde. Los factores, ponderaciones y umbrales concretos que una entidad emplea son cuestión de su propia metodología de riesgo y exceden el alcance de este artículo; el papel de la plataforma es hacer operable y evidenciable un enfoque basado en el riesgo, en lugar de forzar a cada cliente por un camino idéntico.

Monitorización continua y revisión periódica

Una identidad verificada en el onboarding y un cribado ejecutado el primer día describen a un cliente en un instante único. El riesgo, sin embargo, se mueve. Un cliente puede aparecer en una lista de sanciones después de haber sido admitido, convertirse en PEP por un cambio de cargo, o empezar a comportarse de un modo que ya no encaja con el perfil sobre el que se le onboardeó. La monitorización continua y el re-cribado periódico existen porque un control ejecutado solo al principio se queda anticuado, y una entidad que no vuelve a mirar no puede pretender conocer a sus clientes con el paso del tiempo. Re-cribar frente a listas actualizadas, y revisar a los clientes con una cadencia que siga su riesgo, es lo que mantiene el conocimiento al día en lugar de congelado en el punto de entrada.

La monitorización abarca dos cosas relacionadas: mantener frescas las comprobaciones permanentes y observar cómo se comporta realmente una cuenta. La primera es el re-cribado periódico — contrastar a los clientes existentes con listas que cambian sin cesar, de modo que una parte recién sancionada se capture en lugar de pasarse por alto. La segunda es la atención a una actividad que se aparta de lo que el perfil de un cliente haría prever, y que puede exigir una revisión. Este artículo no expone cómo deben diseñarse las reglas de monitorización de transacciones ni las cadencias de revisión — son cuestiones operativas moldeadas por el apetito de riesgo de una entidad — pero la plataforma debe hacer operables y evidenciables la monitorización continua y la revisión periódica, porque un programa AML que se detiene en el onboarding no es un programa AML.

El AML y el KYC como control evidenciado

El AML y el KYC no son solo actividades; son controles, y un control que no puede evidenciarse ofrece poca garantía por diligentemente que se haya ejecutado. No basta con que una entidad verifique la identidad, cribe y monitorice; tiene que poder mostrar que lo hizo, a quién, cuándo y con qué resultado, y conservar ese registro durante todo el tiempo que la relación y las reglas exijan. La evidencia es lo que convierte un conjunto de acciones internas en algo en lo que un regulador, un auditor o un banco socio pueden confiar. Una entidad que ejecuta controles sólidos pero no puede producir su registro es, vista desde fuera, indistinguible de una que no los ejecutó en absoluto.

Por eso el modo en que una plataforma captura y conserva la evidencia de AML y KYC importa tanto como las propias comprobaciones. Un resultado de verificación, un desenlace de cribado, la resolución de una coincidencia, una evaluación de riesgo y una decisión de monitorización necesitan cada uno registrarse en una forma duradera y recuperable, para que la entidad pueda reconstruir por qué se admitió a un cliente y cómo se le trató después. Un informe de evidencia estructurado para cada comprobación, conservado y recuperable, es parte de lo que hace examinable un programa AML en lugar de meramente afirmado. Juzgar una plataforma EMI o de pago por lo bien que soporta el AML y el KYC como controles evidenciados — y no solo por si puede ejecutar las comprobaciones — es una de las pruebas más reveladoras que un operador puede aplicar.

El AML, el KYC y el marco regulatorio

Para un EMI o una entidad de pago, estos controles se sitúan dentro de una expectativa regulatoria, no junto a ella. En el Reino Unido, las entidades de dinero electrónico y de pago operan bajo las regulaciones de dinero electrónico y servicios de pago junto con las reglas de la FCA, y sus obligaciones de AML nacen de las regulaciones sobre blanqueo, que exigen diligencia debida sobre la clientela, cribado de sanciones y PEP, y monitorización continua aplicada sobre una base basada en el riesgo. El registro bajo un régimen no es la autorización bajo otro, y una entidad debe poder demostrar sus controles de AML y KYC ante el organismo que la examine. La posición de Grumpio al respecto es deliberadamente acotada. No emitimos dictámenes jurídicos ni garantizamos autorizaciones. Implementamos los requisitos regulatorios y de auditoría en la tecnología, la infraestructura y las operaciones.

En la Unión Europea, las entidades de dinero electrónico y de pago operan en el marco establecido de servicios de pago y dinero electrónico, con una reforma adicional de servicios de pago en camino más que ya en vigor, de modo que una plataforma debería construirse en torno a los requisitos actuales y a la vez seguir siendo adaptable. El marco AML de la UE también se está consolidando: una autoridad AML dedicada está ya operativa y asumió las tareas de lucha contra el blanqueo a escala de la UE a comienzos de 2026, con un código normativo AML único cuyas disposiciones principales se aplican desde mediados de 2027 y una supervisión directa de entidades seleccionadas prevista a partir de 2028. La implicación práctica no es esperar, sino construir controles que ya satisfagan las obligaciones actuales y puedan absorber un régimen más estricto y armonizado. Cómo encajan el AML y el KYC en una postura más amplia se desarrolla en las páginas de preparación regulatoria, que tratan la capacidad de evidenciar estos controles como un componente de la preparación y no como un informe producido a posteriori.

Resumen y próximos pasos

El AML y el KYC son el modo en que un EMI o una entidad de pago gana el derecho a mantener y mover dinero de clientes: el KYC establece quién es un cliente, y el AML impide que la plataforma se use en contra de su finalidad a lo largo de la relación. Se apoyan en una identidad verificada como es debido en el onboarding, en un cribado frente a fuentes de sanciones, PEP y adverse media, en un enfoque basado en el riesgo que pone el esfuerzo donde el riesgo es mayor, y en una monitorización continua que mantiene el conocimiento al día. Como controles, extraen su valor de la constancia y de la evidencia, y están entre las señales más claras que un auditor, un regulador o un banco socio leen de lo bien gestionada que está una entidad. Una plataforma se juzga no solo por si puede ejecutar las comprobaciones, sino por si hace el AML y el KYC, y su evidencia, sencillos de operar. La posición más fuerte es aquella en la que un operador posee y entiende la plataforma de la que dependen sus controles, con verificación de identidad y cribado agrupados en un flujo que puede evidenciar en todo momento.