…
La prevención del blanqueo de capitales y de la financiación del terrorismo (PBC/FT, o AML/CFT en inglés) comprende las obligaciones y controles destinados a identificar y verificar a clientes y titulares reales, evaluar el riesgo, realizar un seguimiento continuo, comunicar operaciones sospechosas y conservar las evidencias exigidas por la normativa aplicable.
Cumplir en esta materia no consiste en tener políticas escritas. Consiste en construir controles que funcionen de verdad y que resistan cuando un supervisor los examine.
Esta guía se centra en España y la Unión Europea, con los estándares del GAFI como referencia internacional. Repasa el marco aplicable, los componentes habituales de un programa, las señales de alerta, cómo construir o revisar el programa y los cambios que están redefiniendo la función. Está escrita para directores jurídicos, compliance officers y responsables de asesoría jurídica que cargan con este riesgo.
Por qué importa
El blanqueo de capitales no circula solo por el sistema financiero. También utiliza inmuebles, comercio internacional, sociedades, bienes de lujo, profesionales intermediarios y activos digitales. Por eso un programa de PBC/FT no puede limitarse a vigilar cuentas y transferencias.
Las consecuencias de fallar tampoco son solo económicas. Las sanciones y decisiones supervisoras pueden hacerse públicas conforme a la legislación aplicable y generar consecuencias comerciales y reputacionales que persistan después de la medida formal. La publicidad, la duración y el alcance de esos efectos dependen de la jurisdicción y del caso.
Marco aplicable: GAFI, UE y España
Las obligaciones de PBC/FT se articulan en tres niveles:
- Estándar internacional. Las Recomendaciones del GAFI son el estándar internacional de referencia.
- Unión Europea. La Directiva (UE) 2015/849 regula la prevención de la utilización del sistema financiero para el blanqueo de capitales y la financiación del terrorismo. Ese marco está en plena transformación, como se explica más abajo.
- España. La Ley 10/2010, de prevención del blanqueo de capitales y de la financiación del terrorismo, y su reglamento de desarrollo fijan las obligaciones de los sujetos obligados. El Sepblac recoge en su web las obligaciones de control interno que les afectan.
La configuración exacta de un programa depende de qué normas se apliquen a cada organización, de su sector y de su condición de sujeto obligado.
Las tres fases del blanqueo de capitales
Comprender cómo funciona el blanqueo de capitales es la base para detectarlo. El modelo clásico distingue tres fases. Es un modelo pedagógico: en la práctica, las fases pueden solaparse, repetirse o no aparecer como etapas claramente separadas.
Cómo se mueve el blanqueo de capitales a través del sistema financiero
El blanqueo de capitales sigue tres etapas, y los controles eficaces deben abarcar cada una de ellas.
Colocación
La colocación es la fase en la que el dinero ilícito entra en el sistema financiero. Los depósitos en efectivo, las aportaciones a sociedades ficticias y la mezcla con ingresos empresariales legítimos son puntos de entrada habituales. Esta fase supone el mayor riesgo para el blanqueador y el mayor valor de detección para sus sistemas de supervisión.
Estratificación
La estratificación consiste en mover fondos entre cuentas, jurisdicciones y clases de activos para ocultar su origen. Las transferencias bancarias, las conversiones a criptomonedas y la manipulación basada en el comercio son métodos habituales en esta etapa. El objetivo es alejarse de la fuente.
Integración
La integración es la fase en la que los fondos blanqueados vuelven a incorporarse a la economía como activos aparentemente legítimos: inmuebles, artículos de lujo o inversiones empresariales. Llegados a este punto, rastrear el origen resulta extremadamente difícil.
Un sistema de seguimiento calibrado únicamente para detectar ingresos en efectivo sospechosos pasará por alto los patrones de «layering» e integración, que suelen ser más reveladores. Por tanto, los controles deben abarcar las tres fases.
Los cinco pilares de un programa de PBC/FT
Los programas que funcionan suelen apoyarse en cinco componentes. Su configuración exacta, los responsables, las revisiones y los plazos dependen de la jurisdicción, el sector y la condición de sujeto obligado.
1. Nombramiento de un responsable de compliance
Como buena práctica de gobierno, el programa necesita una persona de nivel sénior responsable de su supervisión diaria, con autoridad real, de la que aguanta bajo presión. Los supervisores buscan pruebas de que esa persona puede escalar preocupaciones, acceder a la alta dirección e impulsar cambios sin que las consideraciones comerciales le pasen por encima.
En España, la Ley 10/2010 contempla, según el sujeto obligado y las excepciones aplicables, un representante ante el Sepblac y órganos o procedimientos de control interno.
2. Políticas, procedimientos y controles internos
Las políticas escritas tienen que traducir los requisitos normativos en procedimientos lo bastante concretos como para que una persona recién incorporada pueda seguirlos. Eso significa flujos documentados para el alta de clientes, umbrales de monitorización, vías de escalado y plazos de conservación de documentos.
La conservación depende de la jurisdicción. En España, con carácter general, la Ley 10/2010 fija un plazo de 10 años, con restricciones de acceso una vez transcurridos 5.
Lo que convence a un supervisor es la concreción: umbrales definidos, controles en los sistemas y pasos de escalado documentados. Una política que promete «identificar actividades sospechosas» sin esos detalles no resistirá un examen.
3. Formación adaptada a cada función
Las personas cuyas funciones exigen conocer las obligaciones de PBC/FT necesitan una formación adaptada a su puesto. La de un cajero de ventanilla no es la misma que la de un gestor de clientes.
En España existe una obligación de formación permanente, que se articula en un plan anual de formación. Eso no equivale necesariamente a un curso completo para cada empleado al incorporarse y otro cada 12 meses: la formación se adapta a los riesgos y responsabilidades de cada función. Conserve evidencias de las acciones realizadas, sus contenidos y sus participantes.
4. Revisión independiente
El programa tiene que someterse a la revisión de alguien ajeno a la función de cumplimiento. La revisión evalúa si los controles están bien diseñados y si funcionan como se pretende.
«Independiente» se interpreta de forma literal. Una revisión hecha por el mismo equipo que gestiona el programa no sirve. Tampoco una que se limita a leer documentación sin probar los controles.
El término «independiente» debe interpretarse en sentido estricto. Una revisión realizada por el mismo equipo que gestiona el programa no cumple este requisito. Tampoco lo cumple una revisión que se limite a examinar la documentación sin comprobar los controles operativos.
La frecuencia no es uniforme. En España, las medidas y órganos de control interno están sujetos a examen por experto externo, con las excepciones y modalidades previstas legalmente. En determinados años, el informe completo puede sustituirse por un seguimiento de las deficiencias detectadas anteriormente.
5. Due diligence y titularidad real
Es el componente más exigente desde el punto de vista operativo. Abarca varios requisitos que se construyen unos sobre otros:
- Identificación y verificación. Identificar y verificar al cliente y, cuando proceda, al titular real mediante fuentes fiables e independientes. En España, la regla general es la comprobación mediante documentos fehacientes, con procedimientos específicos para la identificación electrónica y las relaciones no presenciales.
- Due diligence. Entender la naturaleza y el propósito de cada relación con el cliente y asignarle un perfil de riesgo.
- Due diligence reforzada. Aplicar un escrutinio adicional a los clientes de mayor riesgo, como las personas con responsabilidad pública (PEP) o los clientes de jurisdicciones de alto riesgo. Una estructura de propiedad compleja no conduce automáticamente a la misma medida reforzada: hay que evaluar su opacidad, su propósito, su coherencia económica y su nivel de riesgo.
- Titularidad real. Identificar y verificar quiénes son los titulares reales de los clientes que son personas jurídicas.
Señales de alerta: qué debe llevar a analizar una operación
Estas son algunas de las señales de alerta más habituales:
- Un cliente fracciona sus depósitos para mantenerse por debajo de los umbrales de comunicación aplicables
- Cambios significativos e inexplicados en los patrones de operaciones o en la actividad de la cuenta
- Transferencias desde o hacia jurisdicciones de alto riesgo sin una justificación de negocio clara
- Un cliente se niega a identificarse o es evasivo sobre el origen de los fondos
- Estructuras de sociedades pantalla sin propósito económico ni actividad aparentes
- Pagos de terceros sin ninguna conexión identificable con la cuenta
- Operaciones con criptoactivos que ocultan la titularidad de los monederos mediante saltos entre cadenas (chain-hopping) o servicios de mezcla
Una señal aislada no prueba la existencia de blanqueo. Los indicadores tienen que analizarse en conjunto, teniendo en cuenta el perfil del cliente, el titular real, el propósito económico, el origen de los fondos, las jurisdicciones implicadas y la explicación aportada. Lo mismo vale para el chain-hopping, los mezcladores o las transferencias entre múltiples carteras: son indicadores reconocidos, pero no prueban por sí solos una conducta ilícita.
Cómo construir o revisar un programa: 8 áreas
La siguiente estructura reúne ocho áreas que suelen formar parte del diseño o la revisión de un programa basado en el riesgo. Su aplicación debe adaptarse a la normativa, el sector, el tamaño y la exposición de cada organización.
- Evaluación de riesgos. Mapee su base de clientes, productos, servicios y geografías frente a las tipologías de blanqueo conocidas. La profundidad del programa tiene que reflejar su exposición real, no una plantilla importada de una organización con otro perfil.
- Responsable con recursos. Dele autoridad real, líneas de reporte claras con la alta dirección o el consejo y un presupuesto proporcional a su perfil de riesgo. Un responsable sin recursos ni acceso es un riesgo, no una salvaguarda.
- Políticas y procedimientos. Redáctelos a nivel operativo y pruébelos con escenarios reales antes de cerrarlos. Si una persona recién incorporada no puede seguir un procedimiento el primer día, hay que revisarlo.
- Identificación y due diligence: Defina la documentación que recabará en el alta, su metodología de segmentación por riesgo y las condiciones exactas en que se aplica la diligencia reforzada. Los criterios vagos dejan las decisiones al juicio individual, y el juicio individual genera incoherencias.
- Monitorización de operaciones. Establezca alertas automáticas y flujos de revisión humana. Documente con claridad la vía de escalado, desde la alerta inicial hasta la decisión de comunicar. Cada paso tiene que ser trazable.
- Formación. Establezca un plan anual de formación adaptado a los riesgos y responsabilidades de cada función. Incluya formación inicial cuando resulte necesaria y conserve evidencias de las acciones realizadas, sus contenidos y sus participantes.
- Revisión independiente. organícela con la periodicidad y la modalidad que exija el régimen aplicable. Haga seguimiento de las conclusiones y de los plazos de corrección como acciones formales, con responsables y fechas asignados.
- Información al consejo. el órgano de administración tiene que recibir información suficiente sobre el estado del programa, las métricas clave y las conclusiones relevantes, con una frecuencia coherente con el riesgo y con los informes que exija cada régimen. Un consejo que no recibe información sobre PBC/FT es, en sí mismo, una laguna del programa.
Tres cambios que están redefiniendo la PBC/FT
Tres cambios están redefiniendo la PBC/FT: la armonización regulatoria europea y el desarrollo de AMLA, la adopción de tecnologías avanzadas de monitorización y la incorporación plena de los activos digitales al perímetro regulado.
1. Armonización europea y AMLA
La UE ha aprobado un nuevo paquete normativo de PBC/FT. El Reglamento (UE) 2024/1624 será aplicable, con carácter general, desde el 10 de julio de 2027.
La autoridad europea AMLA, creada por el Reglamento (UE) 2024/1620, está operativa desde julio de 2025 y prepara la selección de las entidades que quedarán bajo su supervisión directa.
Para los equipos jurídicos y de cumplimiento, son fechas que conviene tener ya en el calendario.
2. Monitorización con IA
Los sistemas basados en reglas generan muchos falsos positivos, y ese volumen se traduce en carga de trabajo que distrae de las alertas reales. Cada vez se usan más modelos de machine learning para mejorar la calidad de las alertas.
La IA puede mejorar la detección de anomalías y la priorización de alertas, pero no sustituye la evaluación profesional. Su uso exige datos fiables, validación periódica, trazabilidad, control de sesgos, supervisión humana y métricas que permitan demostrar la eficacia del sistema. La EBA ha señalado además riesgos asociados a la externalización, la dependencia de proveedores, la falta de conocimientos internos y el uso de soluciones automatizadas sin salvaguardas suficientes.
3. Activos digitales dentro del perímetro regulado
Desde el 30 de diciembre de 2024 son aplicables la llamada travel rule para las transferencias de criptoactivos y, de forma plena, el Reglamento MiCA.
España modificó su marco en septiembre de 2026 para adaptar, entre otros puntos, el tratamiento de los proveedores de servicios de criptoactivos y determinadas obligaciones asociadas a las transferencias.
Si su organización realiza actividades con activos digitales, evalúe si generan obligaciones de PBC/FT o de sanciones y abórdelas en el marco de control correspondiente.
La infraestructura de gobierno que sostiene el programa
Un programa de PBC/FT es tan sólido como la estructura de gobierno que lo respalda. Los controles fallan cuando la supervisión está fragmentada: los datos de entidades en un sistema, las obligaciones contractuales en otro y los informes al consejo montados a mano a partir de exportaciones que ya están desactualizadas antes de llegar a la comisión.
Para los directores jurídicos que gestionan estas obligaciones en varias entidades o jurisdicciones, el reto es la visibilidad. Necesitan saber qué entidades están dentro del perímetro, quién ostenta la titularidad real, cuándo vencen las presentaciones y si los controles funcionan como se diseñaron en toda la organización, no solo en la unidad de negocio que se auditó la última vez.
Muchas lagunas de un programa no nacen de una política que falta, sino de una infraestructura de gobierno que nunca se terminó de construir.
Cómo puede ayudarle Dilitrust
Ahí es donde encaja DiliTrust. Puede complementar un programa de PBC/FT al centralizar información societaria y contractual, responsabilidades, plazos y evidencias:
- Legal Entity Management centraliza la información societaria, incluidas las estructuras accionariales, los administradores, los apoderados y los firmantes, y ayuda a supervisar renovaciones, caducidades y presentaciones registrales.
- Contract Management centraliza el ciclo de vida contractual y ayuda a supervisar obligaciones, renovaciones y fechas clave mediante alertas, flujos de trabajo e informes.
- Las capacidades de trazabilidad, archivo y registro de acciones pueden facilitar la preparación de evidencias para revisiones internas, auditorías o solicitudes de supervisores.
El sistema de gestión de la seguridad de la información de DiliTrust está certificado conforme a ISO/IEC 27001:2022, y DiliTrust dispone de un informe SOC 2 Type 2.
Estas capacidades no sustituyen los controles especializados de identificación, evaluación de riesgos, screening, monitorización transaccional o comunicación de operaciones sospechosas.
Si además gestiona una metodología de riesgos a escala de empresa, el marco ISO 31000 puede servir como referencia metodológica para integrar el riesgo de PBC/FT en la gestión empresarial. No es una norma de PBC/FT, no sustituye las obligaciones legales y no es certificable.
Preguntas frecuentes
¿Qué diferencia hay entre PBC/FT y KYC?
El KYC (Know Your Customer, conozca a su cliente) es una denominación operativa relacionada con la diligencia debida del cliente. Abarca los procesos para verificar la identidad de los clientes, entender su comportamiento financiero y evaluar su perfil de riesgo. Es una parte de la PBC/FT, pero no todo el marco..
¿Qué diferencia hay entre PBC/FT y cumplimiento de sanciones?
La PBC/FT se centra en detectar y prevenir el blanqueo y la financiación del terrorismo mediante la diligencia debida, el seguimiento de operaciones y la comunicación de operaciones sospechosas. El cumplimiento de sanciones consiste en asegurarse de que la organización no opera con personas, entidades o países designados. Son ámbitos distintos, aunque comparten datos y controles. No necesitan necesariamente departamentos separados, pero sí evaluaciones, escenarios y responsabilidades claramente diferenciados.
¿En qué consiste el proceso de PBC/FT?
En esencia, combina varias actividades recurrentes: identificar y verificar a clientes y titulares reales, evaluar y actualizar el riesgo, hacer un seguimiento de las operaciones, comunicar a la autoridad competente las operaciones exigidas y conservar las evidencias. Todo ello se apoya en el gobierno del programa, la formación y los controles internos, y se somete periódicamente a una revisión independiente.
Siente las bases de gobernanza de las que depende su programa de lucha contra el blanqueo de capitales.
Un programa de PBC/FT no falla solo en el plano de las políticas. También falla cuando falta la infraestructura de gobierno que debería sostenerlo (visibilidad de las entidades, seguimiento de obligaciones e información al consejo). Si su equipo gestiona esas obligaciones a mano o en sistemas desconectados, esa es la brecha que conviene cerrar primero. DiliTrust da a los equipos jurídicos y de cumplimiento una base centralizada que complementa, sin sustituirlos, los controles especializados de PBC/FT.
