Plazo AML · Lucha contra el blanqueo de capitales y conocimiento del cliente (KYC)

El dispositivo de lucha contra el blanqueo de capitales y la financiación del terrorismo se apoya en una cadena de obligaciones precisas: un enfoque basado en riesgos documentado, una clasificación de riesgos actualizada, medidas de vigilancia al inicio de la relación y a lo largo de ella, la identificación de los titulares reales, el filtrado de sanciones y de personas con responsabilidad pública, la supervisión de las operaciones, la declaración de sospecha a la unidad de inteligencia financiera, la conservación de los documentos y la formación de los colaboradores. El paquete europeo de 2024 convierte todo esto en una base directamente aplicable, con un reglamento único y una autoridad de supervisión europea.

En la práctica, este dispositivo se gestiona con dificultad. Las obligaciones se reparten entre el área de cumplimiento, los negocios, las operaciones y la informática, y nadie dispone de una visión consolidada del nivel de control. ¿Se utiliza realmente la clasificación de riesgos para modular la vigilancia, o queda como un documento anual? ¿Se actualizan los expedientes de clientes antiguos con una frecuencia establecida, o solo cuando surge una alerta? ¿Se tratan las alertas procedentes de la supervisión de operaciones en un plazo controlado, con trazabilidad de la decisión? Cuando intervienen varias entidades y varios países, la heterogeneidad se convierte en la norma.

El reglamento (UE) 2024/1624 armoniza aspectos hasta ahora dejados a las transposiciones nacionales: umbrales, medidas de vigilancia reforzada, alcance de las entidades obligadas, acceso a los registros de titulares reales. La AMLA, instalada en Fráncfort, ejercerá una supervisión directa sobre determinados actores y una supervisión indirecta sobre el resto. Conviene aclarar una confusión frecuente: el KYC no es el dispositivo AML. El conocimiento del cliente constituye su base documental, pero la supervisión de operaciones, el filtrado, la declaración de sospecha y la gobernanza forman la otra mitad, a menudo la peor dotada de herramientas.

La auditoría de cumplimiento concluye con una brecha o una conformidad: el procedimiento existe, está documentado, se aplica. El diagnóstico de madurez plantea otra pregunta: en qué nivel de control se sitúa cada práctica y qué acción concreta permite pasar al siguiente nivel. Un control interno que verifica la existencia de una clasificación de riesgos no dice si esta pilota realmente la intensidad de la vigilancia. El diagnóstico sí lo dice, y cuantifica el esfuerzo necesario para lograrlo.

En Datamensio, el marco de referencia está listo para usar y es adaptable. La IA ajusta los ámbitos, las preguntas y los niveles a su sector (banca, seguros, pagos, activos digitales, profesiones no financieras obligadas), o construye una versión propia a partir de sus procedimientos y de su clasificación de riesgos existente.