Según datos de 2024 del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC), se detectaron más de 24,000 alertas de transacciones sospechosas como resultado de las verificaciones obligatorias de Conoce a tu cliente (KYC) en España, de las cuales, la mayoría correspondía a entidades financieras (86 %), seguidas de las no financieras (11.6 %) y otros tipos de entidades (2.6 %).

En España, determinadas empresas tienen la obligación legal de aplicar controles KYC. Sin embargo, toda empresa que quiera mejorar la detección y prevención del fraude también puede hacerlo de forma voluntaria. Independientemente de que KYC sea obligatorio o no para tu empresa, es importante saber cómo implementarlo. En este artículo, te explicamos qué es KYC, incluido su propósito y procedimientos.

¿Qué contiene este artículo?

• ¿Qué significa Conoce a tu Cliente (KYC)?
  
• ¿Cuáles son los beneficios de KYC?
  
• ¿Quién está obligado a implementar procedimientos de KYC en España?
  
• Requisitos legales para procedimientos de KYC en España
  
• Ejemplo de procedimiento de KYC en España
  
• Cómo Stripe Identity simplifica procedimientos de KYC
  
• Preguntas frecuentes sobre KYC en España
  

¿Qué significa Conoce a tu cliente (KYC)?

Un procedimiento de KYC está diseñado para verificar la identidad de los clientes antes de contratar servicios o completar compras en línea. Su objetivo es reducir el riesgo de fraude y otros delitos financieros, como el lavado de dinero.

Para verificar la identidad del cliente y mitigar las amenazas a la seguridad, incluidos el robo de identidad y de datos personales, las empresas pueden utilizar mecanismos como la autenticación de dos factores y las firmas digitales.

¿Cuáles son los beneficios de KYC?

Más allá de ser un requisito obligatorio en algunos sectores, la implementación de KYC ofrece ventajas a nivel operativo y estratégico para las empresas que trabajan en entornos digitales.Estos son los principales beneficios de integrar procedimientos de KYC:

• Protección contra fraudes
  La verificación de la identidad de los clientes dificulta el acceso de los estafadores, ya que KYC es la barrera inicial que permite verificar a cada cliente, lo que es especialmente importante en un entorno digital en el que los casos de robo de identidad dan cuenta del 14 % de las consultas al Instituto Nacional de Ciberseguridad (INCIBE).
  
• Estabilidad operativa
  El estricto cumplimiento de la normativa de la Ley de prevención del blanqueo de capitales es importante para garantizar la continuidad de las empresas, ya que un sistema KYC deficiente puede dar lugar a la suspensión de las actividades de la empresa o a la inhabilitación de los directores.
  
• Automatización y precisión en el procesamiento de datos
  La mayoría de las soluciones KYC modernas utilizan capacidades de reconocimiento óptico de caracteres (OCR) e inteligencia artificial (IA) para extraer información de los documentos con alta precisión. Gracias a la eliminación de la necesidad de ingresar datos manualmente, estas soluciones de KYC minimizan el error humano. Esto puede dar como resultado registros de clientes confiables y estandarizados.
  
• Onboarding rápido
  Una de las principales razones del abandono durante el proceso de registro es un onboarding lento o complejo. La integración de un sistema KYC flexible puede transformar esta experiencia. Por ejemplo, un proceso que antes requería documentación física y largos tiempos de espera ahora puede completarse en cuestión de segundos. Además, algunas soluciones de KYC son compatibles con documentos de identidad de decenas de países, lo que facilita su lanzamiento en nuevos mercados.
  

¿Quién está obligado a implementar procedimientos de KYC en España?

El Reglamento (UE) 2024/1624 establece el marco normativo que rige la solicitud de las políticas y procedimientos de KYC en la UE, pero cada Estado miembro tiene la facultad de introducir sus propios matices legales.

En España, la Ley 10/2010 de prevención de blanqueo de capitales y financiación del terrorismo rige principalmente el sistema KYC. A continuación, proporcionamos una lista de entidades que tienen la obligación legal de recopilar y verificar la información identificatoria cuando establecen o mantienen una relación comercial en España.

Instituciones financieras

Las instituciones financieras están expuestas a un mayor riesgo de transacciones fraudulentas porque se centran en la gestión de los recursos financieros de los clientes. Esto se refleja en los datos del SEPBLAC, que indican que los bancos, cajas de ahorros, instituciones de pago y otras instituciones de crédito tuvieron la mayor cantidad de informes basados en indicios en 2024. A continuación, se detalla una lista completa de instituciones financieras que están obligadas a implementar procedimientos de KYC:

• Instituciones de crédito
  
• Compañías de seguros de vida o de inversión
  
• Empresas de servicios de inversión
  
• Gestores y sociedades gestoras de fondos mutuos
  
• Gestores de fondos de pensión
  
• Gestores y sociedades gestoras de capital de riesgo
  
• Sociedades de garantía mutua (es decir, organizaciones sin fines de lucro que financian pequeñas y medianas empresas españolas [pymes] y se rigen por la Ley 1/1994)
  
• Entidades de dinero electrónico y de pago
  
• Profesionales de cambio de monedas
  
• Proveedores de servicios de criptomonedas
  

Instituciones no financieras

Algunas entidades fuera del sector financiero también están involucradas en transacciones de alto riesgo. Los administradores de loterías, registradores y notarios registraron la mayor cantidad de informes basados en indicios en 2024, según el SEPBLAC. Las siguientes son instituciones no financieras que deben implementar procedimientos de KYC:

• Proveedores de servicios de giros postales, siempre y cuando sus principales actividades impliquen logística y no las de las entidades de pago
  
• Intermediarios y prestamistas que operan sin licencia bancaria y no se consideran legalmente instituciones de crédito o establecimientos financieros de crédito
  
• Desarrolladores inmobiliarios e intermediarios con transacciones de alquiler iguales o superiores a €10,000 al mes o €120,000 al año
  
• Auditores, contadores externos y asesores fiscales
  
• Notarios y registradores de la propiedad, registradores de la propiedad personal y registradores de empresas
  
• Abogados y procuradores en ciertas transacciones en nombre de los clientes, como transacciones financieras o inmobiliarias
  
• Profesionales que prestan servicios a corporaciones y fideicomisos
  
• Casinos
  
• Comerciantes de joyas, piedras preciosas o metales preciosos
  
• Comerciantes o corredores de arte o antigüedades
  
• Vendedores de bienes con ofertas de recompra
  
• Operadores de loterías y juegos de azar cuando pagan las ganancias
  
• Vendedores de bienes con compras realizadas por personas que no residen en España por un valor superior a €10,000 y que pagaron con métodos de pago de alto riesgo, como efectivo
  
• Fundaciones y asociaciones cuando aportan o reciben fondos
  
• Gestores de sistemas de acreditación de fondos y pago
  

Aunque la ley no obligue a una empresa a adoptar un sistema KYC, se recomienda aplicarlo para mejorar la gestión del riesgo, ya que KYC implica verificar la identidad y las actividades financieras de los clientes, y puede ayudar a mitigar amenazas como el robo de identidad.

Requisitos legales para procedimientos de KYC en España

La Ley 10/2010 también establece los requisitos que deben cumplir todas las entidades requeridas para implementar procedimientos de KYC. Los requisitos se clasifican en diligencia debida y medidas de control. A continuación, describimos los más importantes de estos requisitos.

Diligencia debida

La diligencia debida implica recopilar información sobre las identidades y actividades económicas de los clientes. Las medidas de diligencia debida se aplican en proporción al nivel de riesgo del cliente, el tipo de producto, o la naturaleza de la transacción. Este análisis de riesgo debe formalizarse por escrito con anticipación para determinar el perfil de riesgo y, en última instancia, los requisitos aplicables.

Requisitos de diligencia debida para perfiles de bajo riesgo

En los casos en que el análisis determina que el perfil de riesgo es bajo, la normativa permite la solicitud de medidas simplificadas de diligencia debida. Esto simplifica los procedimientos sin comprometer el cumplimiento de la normativa. A continuación, se describen los requisitos más importantes:

• Identificación del cliente
  El primer paso para las empresas o profesionales que implementan procedimientos de KYC es identificar formalmente al cliente. Si se trata de una entidad jurídica (p. ej., una empresa que quiere comprar una oficina), se debe identificar al beneficiario efectivo (es decir, el particular que posee más del 25 % o que controla la empresa).
  
• Verificación de la actividad profesional o comercial
  La entidad responsable del procedimiento de KYC debe verificar que la actividad profesional o comercial del cliente sea veraz (p. ej., a través de las nóminas o ganancias de la empresa). Esta verificación debe ser razonable (es decir, proporcional al nivel de riesgo de la transacción).
  
• Determinación del propósito de la transacción
  A continuación, es necesario descubrir el propósito del cliente en la realización de la transacción financiera. Esto debe ser coherente con la actividad profesional o comercial previamente verificada. Por ejemplo, si el propósito de la transacción es destinar parte de los ahorros de la entidad a invertir en criptomonedas, una compra de €500,000 en bitcoines puede ser razonable si la empresa tiene ingresos anuales de varios millones. Sin embargo, no sería razonable para un particular con un salario mensual de €1,500.
  
• Implementación de una supervisión continua
  El sistema KYC no se limita al inicio de la relación de la empresa. En cambio, implica un monitoreo continuo. Por ejemplo, si un cliente ganó un salario de €2900 cuando invirtió en un fondo, pero ahora está desempleado y sin ingresos, es importante que la entidad financiera conozca esa información. Por lo tanto, es importante actualizar los datos de los clientes cuando se producen cambios significativos en sus perfiles.
  

Requisitos de diligencia debida para perfiles de alto riesgo

Si el análisis determina que el perfil del cliente, la transacción, o el activo adquirido es de alto riesgo, se implementarán medidas reforzadas de diligencia debida. Estas se suman a los requisitos para los perfiles de bajo riesgo. A continuación, te explicamos algunas de las medidas más comunes en España:

• Localización del origen de los fondos
  Esta medida reforzada se aplica, por ejemplo, cuando el cliente ocupa un cargo de responsabilidad pública, como un ministro o un alto dirigente de un partido político con representantes en el Parlamento.
  
• Solicitud de firma electrónica
  Si la transacción se realiza electrónicamente, la entidad debe verificar la identidad del cliente con una firma electrónica que cumpla los requisitos establecidos en el Reglamento (UE) no 910/2014.
  
• Obtención de autorización express
  En ciertos pagos transfronterizos de un banco español a un banco extranjero, se requiere la autorización express de la alta gerencia antes de proceder a transferir los fondos.
  

Medidas de control e información

Si los resultados de diligencia debida apuntan a una posible actividad ilegal, la empresa responsable del procedimiento de KYC deberá adoptar las siguientes medidas de control e información:

• Verificación especial
  La entidad debe implementar sus protocolos de control interno para investigar el caso específico y elaborar un informe que detalle los motivos de la sospecha y las conclusiones a las que se llegue.
  
• Informes sistemáticos o establecidos en indicios
  Si la conclusión de la verificación especial confirma o refuerza la sospecha inicial, la empresa debe enviar un informe al SEPBLAC en el que se detalle la identidad, actividad y transacción sospechosa del cliente. Aunque no exista evidencia de sospecha, es obligatorio enviar un informe sistemático de aquellas transacciones con orígenes o destinos en países con altos riesgos de lavado de dinero.
  
• Cancelación de transacciones
  La empresa debe abstenerse de realizar la transacción, a menos que esto sea imposible o pueda obstaculizar el curso de la investigación.
  
• Prohibición de divulgación
  La entidad tiene prohibido informar al cliente o a terceros sobre el informe al SEPBLAC, independientemente de que esté basado en indicios o sea sistemático.
  
• Cooperación con las autoridades
  Si las autoridades pertinentes solicitan información adicional, la entidad debe proporcionarla con rapidez y precisión para facilitar la investigación.
  
• Retención de documentos
  La empresa deberá conservar durante 10 años toda la documentación que acredite el cumplimiento de la normativa de los requisitos legales para procedimientos de KYC en España.
  

Ejemplo de procedimiento de KYC en España

Aunque las verificaciones de diligencia debida del cliente varían en función del perfil de riesgo y del tipo de empresa, los pasos fundamentales son similares en la mayoría de los casos. A continuación, se muestra un ejemplo de un procedimiento KYC en España:

• Acceso al formulario
  Booking.com es el sistema de reservas de alojamiento más utilizado en el entorno B2C en España, incluso más que las reservas directas con hoteles. La dirección de un hotel tradicional decide iniciar una relación de empresa con esta agencia de viajes en línea como parte de su estrategia de transformación digital. Para operar en la plataforma, primero debe completar el formulario de KYC de Booking.com.
  
• Determinación del tipo de entidad
  Booking.com aplica diferentes requisitos según el tipo de entidad, por ejemplo, los particulares autónomos solo tienen que introducir sus datos personales y los datos de su cuenta bancaria, pero el hotel está inscrito en el Registro Mercantil como empresa de responsabilidad limitada (SL), por lo que los gerentes del hotel eligen la opción «Entidad comercial».
  
• Cumplimentación del formulario
  El representante completa el formulario en nombre de la SL. Para operar como empresa asociada, Booking.com solicita información, como el nombre de la empresa, la fecha de constitución y el Código Internacional de Cuenta Bancaria (IBAN) de la cuenta bancaria de la empresa.
  
• Verificación de la información y análisis del riesgo
  Tras recibir el formulario, Booking.com realiza el proceso de verificación, que incluye varios pasos, como identificar a los titulares de la SL y verificar que la información coincida con la que figura en el Registro Mercantil. A continuación, realizará un análisis de riesgo y, si el resultado es favorable, iniciará una relación comercial con el hotel.
  
• Implementación de un procedimiento de KYC para realizar reservas
  Es habitual que plataformas como Booking.com amplíen este procedimiento a los clientes que hacen reservas de hoteles para reforzar sus protocolos de KYC. En este video, mostramos cómo procesan la verificación con Stripe Identity y las medidas que los clientes deben completar durante el proceso de reserva.
  

Cómo Stripe Identity simplifica los procedimientos de KYC

Si legalmente estás obligado a implementar un sistema de KYC en España, debes asegurarte de que los procedimientos de recopilación de información cumplan con el Reglamento General de Protección de Datos (RGPD). Stripe Identity facilita esta tarea, ya que simplifica la verificación de identidad durante el proceso de onboarding y cumple con la normativa española de KYC.

Identity te permite verificar las identidades de tus clientes y reducir el riesgo de filtraciones confidenciales de datos. Además, simplifica las cargas de trabajo de los equipos antifraude, ya que reduce las tareas manuales, al tiempo que ayuda a los clientes legítimos a beneficiarse de procesos de verificación más rápidos y sencillos.

Además, combinar Stripe Payments (la plataforma de pagos electrónicos de Stripe) con Stripe Radar (su herramienta de prevención de fraude) puede ayudar a prevenir ataques fraudulentos, debido a las medidas de seguridad de estos sistemas y a la prevención de falsos positivos que podrían afectar la conversión.

En el caso de las plataformas y marketplaces, Stripe Connect puede simplificar los procedimientos de KYC para gestionar pagos multilaterales e integra verificaciones de KYC para los clientes, además de verificaciones para empresas y profesionales que ofrecen sus productos y servicios en tu sitio web.

Preguntas frecuentes sobre KYC en España

¿Es obligatorio realizar procedimientos de KYC para todas las transacciones?

El hecho de que los procedimientos de KYC sean obligatorios o no depende del tipo de entidad. Las instituciones financieras (p. ej., instituciones de crédito y proveedores de servicios de criptomonedas) deben aplicar procedimientos de KYC a todas las transacciones. Sin embargo, algunas entidades no financieras solo están obligadas a realizar estas verificaciones en casos específicos. Por ejemplo, los comercios y profesionales deben llevar a cabo el procedimiento de KYC con transacciones a no residentes por importes superiores a €10,000 pagados con métodos de pago de alto riesgo.

¿Qué sucede si no se implementa el procedimiento de KYC pese a ser obligatorio?

Si una empresa no cumple con la obligación de implementar procedimientos de KYC, tendrá que aceptar las sanciones aplicables. Las infracciones menores, como no identificar a un cliente en una sola transacción, pueden dar lugar a sanciones disciplinarias privadas o multas de hasta €60,000. En el caso de una infracción grave, como no identificar al cliente cuando hay indicios o certeza de lavado de dinero o financiamiento de terrorismo, la multa mínima es de €60,000. En el caso de infracciones muy graves, incluidas las reincidentes, la sanción mínima es de €150,000. Además de las multas, las infracciones graves y muy graves pueden dar lugar a otras consecuencias, como la suspensión temporal de la autorización administrativa para operar y la inhabilitación de los gerentes.

¿Es recomendable implementar procedimientos de KYC en una empresa de comercio electrónico?

Aunque las empresas de comercio electrónico no están obligadas legalmente a implementar un sistema de KYC, se recomienda que lo hagan para detectar y prevenir fraudes en comercio electrónico. Si recopilas información sobre los clientes y sus actividades económicas, puedes determinar el nivel de riesgo en las relaciones comerciales y, de ser necesario, tomar precauciones adicionales para evitar amenazas como el robo de identidad. Se recomienda especialmente aplicar el procedimiento de KYC para las empresas que aceptan métodos de pago más riesgosos, como las empresas de comercio electrónico que aceptan pagos con criptomonedas o pagos en cuotas.