Qué es el KYC, qué comprueba y quién está obligado a hacerlo
El KYC es comprobar quién es el cliente antes de firmar con él. Qué revisa el proceso, a quién obliga la ley en México y América Latina, y cómo hacerlo en remoto.
Introducción
KYC son las siglas de Know Your Customer, conozca a su cliente: el conjunto de comprobaciones que confirma quién es la persona o la empresa antes de aceptarla como cliente. Cada país hispanohablante lo exige con su propia norma: en México la Ley Antilavado de 2012 y los avisos a la UIF de la SHCP, en Argentina la Ley 25.246 y la UIF, en Colombia el SARLAFT y la UIAF, en Chile la Ley 19.913 y la UAF, en Perú la UIF de la SBS y en España la Ley 10/2010. Y le conviene a cualquiera que firme contratos en remoto, esté o no en la lista.
El onboarding digital no termina en un formulario bonito. Lo que de verdad decide su valor es una pregunta: ¿la persona del otro lado es quien dice ser, y lo sabemos antes de que alguien firme? Bancos, contadores, despachos de abogados, notarías e inmobiliarias están obligados por la normativa antilavado de su país. El resto debería hacerlo por un motivo más simple: dar de alta a un cliente en remoto se ha convertido en el punto más fácil para suplantar una identidad.
Hay dos preguntas que se confunden constantemente. Una firma electrónica demuestra que el documento no cambió después de firmarse. No dice nada sobre el humano que hizo clic. Hacen falta las dos cosas, y las establecen mecanismos distintos.
Esta guía explica qué comprueba realmente la verificación de identidad, a quién obliga la ley y cómo meter el control dentro del propio flujo de firma en lugar de dejarlo al lado. Si lo que le interesa es la otra mitad del problema, comprobar archivos ya firmados, está en nuestra guía de verificación de documentos en línea.
Chaindoc ejecuta la comprobación del documento, la detección de vida y el screening de listas en el mismo flujo que recoge la firma, de modo que la identidad verificada y el documento firmado quedan unidos. Vea la verificación KYC.
Por qué el alta de clientes en remoto se tuerce
Tratar con un cliente al que nunca se ha visto en persona era raro. Ahora es lo normal, y el punto débil se ha movido con ello. El fraude, en cambio, rara vez es sofisticado. Suele ser una identificación oficial escaneada que pertenece a otra persona, una credencial del INE, un DNI o una cédula, reenviado en un hilo de correo que nadie revisó.
El documento parece auténtico porque lo es
El caso más habitual de fraude en el alta es un documento auténtico en manos equivocadas. El pasaporte es real, la foto es real, solo que quien lo envía no es el titular. Mirar el escaneo no lo detecta. Para eso existe la detección de vida, y por eso "pedimos una copia del DNI" no es una verificación.
Nadie es el responsable del control
En muchos despachos el paso de identidad vive en el buzón de una sola persona. Comercial recoge el documento, alguien lo reenvía a cumplimiento, allí se archiva, y la hoja de encargo sale por una herramienta distinta. Cuando el supervisor pregunta dos años después qué documento constaba en el expediente en el momento de la firma, la respuesta tarda una semana. A veces no llega.
Conviene verlo así: es tanto un problema de trazabilidad como de fraude. Muchas firmas verificaron bien a sus clientes y simplemente no pueden demostrarlo después.
Qué comprueba de verdad el proceso KYC
"Verificar a un cliente" suena a un solo paso. En la práctica son cuatro comprobaciones que responden a preguntas distintas, y se puede superar alguna mientras se falla en otras.
Autenticidad del documento
El sistema lee el documento de identidad y comprueba si es auténtico: elementos de seguridad, tipografías, la plantilla propia de ese país y año de emisión, y el contraste del texto impreso con la zona de lectura mecánica y el chip. Lo que más se detecta aquí son plantillas que no encajan.
Detección de vida
Un selfi corto o un vídeo confirma que hay una persona real presente ahora y que su cara coincide con la foto del documento. Es el control que corta el caso del pasaporte prestado, y es el que más se omite porque añade fricción al alta.
Screening de listas
Listas de sanciones, personas con responsabilidad pública y prensa negativa. Para un sujeto obligado no es opcional, y hay que repetirlo en lugar de ejecutarlo una sola vez al principio.
Unir el resultado a la firma
El punto que se olvida. Si la verificación acaba en un sistema y la firma en otro, quedan dos registros sin vínculo demostrado. Ate la identidad verificada al hash del documento en el instante de la firma y tendrá una sola cadena de prueba en lugar de dos archivadores.
Con honestidad: ninguna comprobación de identidad garantiza que no haya fraude. Los modelos generativos ya producen imágenes de documentos ante las que el análisis de píxeles falla con frecuencia, y por eso el contraste con el chip y la zona de lectura mecánica pesa cada año más que el análisis visual. Lo tratamos en verificación de documentos con IA.
Quién está obligado por ley a identificar al cliente
Unas empresas verifican por prudencia. Otras porque el supervisor multa si no lo hacen. Para estas últimas, la norma fija qué pruebas se conservan y durante cuánto tiempo.
Dos cosas se malinterpretan a menudo. La primera: la obligación nace *antes* de iniciar la relación de negocio, no en el primer cobro, así que su sitio natural es la hoja de encargo o el contrato. La segunda: la videoidentificación está expresamente admitida por SEPBLAC con requisitos técnicos concretos, de modo que "el cliente tiene que venir a la oficina" dejó de ser cierto hace años.
Cuando además se exige un nivel de firma concreto, el control de identidad y el nivel de firma se relacionan. El detalle está en nuestra guía de firma electrónica cualificada.
Detrás de esa obligación está el régimen de prevención del blanqueo al completo, y ambos se confunden a menudo: KYC y AML explica qué cubre cada uno.
Meter el control dentro del flujo de firma
El orden de los pasos decide cuánto vale la prueba después. Primero verificar, luego firmar, y mantener ambas cosas unidas.
Verificar antes de abrir el documento
El cliente recibe un enlace, completa la comprobación del documento y la detección de vida, y solo entonces llega al contrato. Nada que firmar hasta que la identidad esté resuelta. Parece obvio, pero lo habitual es lo contrario: enviar el contrato, perseguir el DNI después, cruzar los dedos.
Atar el resultado a la firma
Al firmar se escriben juntos el resultado de la comprobación, el sello de tiempo y el hash del documento. Ese hash es una huella del contenido exacto del archivo. Cambie un carácter y deja de coincidir. Así demuestra dos cosas: el documento no se ha modificado, y quien lo firmó es la persona verificada. Chaindoc ancla ese registro en una blockchain para que el sello de tiempo no dependa de nuestra propia base de datos, algo que importa justo cuando la otra parte discute.
Que la prueba se pueda encontrar
Una prueba que nadie localiza no es una prueba. Comprobación, documento y registro de auditoría van al mismo sitio, con permisos por rol para que solo abran datos de identidad quienes deben. Cualquiera puede después comprobar un documento terminado de forma independiente en verificación de firma.
Verifique al cliente y después recoja la firma
Comprobación del documento, detección de vida y screening en el mismo flujo que el contrato, con un solo registro de auditoría.
Qué gana verificando antes de firmar
Hacer bien el control cambia tres cosas, y solo una se llama cumplimiento.
La prueba se sostiene
Un expediente completo muestra qué identidad se verificó, con qué método y qué documento exacto firmó esa persona. En una inspección esa es la diferencia entre una conversación corta y reconstruir el expediente. Lo sostiene el registro de auditoría.
Las disputas se acortan
El no repudio significa que quien firma no puede sostener con credibilidad que nunca aceptó. Con una identidad verificada atada a un documento con hash, "ese no era yo" deja de ser un argumento.
El alta se acelera
Esto sorprende. Se da por hecho que verificar la identidad ralentiza, y en manual así es. Una comprobación automática se resuelve en menos de un minuto y elimina el ir y venir de correos, que es donde se iban los días de verdad.
Una advertencia honesta: añade un paso para el cliente, y algunos abandonarán justo ahí. En un alta de autoservicio y poco valor, una comprobación completa con documento y vídeo puede costar más en abandonos de lo que evita en fraude. La profundidad del control debe ir con el riesgo.
Cómo añadir la verificación de identidad al alta
No hace falta cambiar sus herramientas para añadir esta pieza. Tres movimientos, en este orden.
1. Decidir quién recibe qué nivel de control
No todos necesitan la misma profundidad. Escriba los niveles: una renovación pequeña se resuelve con correo y firma, un cliente empresa nuevo con volumen alto pide documento, vida y screening. Los sujetos obligados tienen poco margen, la ley marca el suelo. Los demás deberían escribir igualmente la regla, porque unos controles irregulares valen menos que unos ligeros pero constantes.
2. Poner el control delante de la firma
El paso de identidad y el contrato pertenecen al mismo flujo, para que el cliente recorra un camino y no dos. Error clásico en este punto: se mantiene la vieja petición por correo "por si acaso" y acaban conviviendo dos procesos con dos archivos. El circuito antiguo hay que cerrarlo del todo.
3. Repetir el screening con calendario
El estado en listas de sanciones y de personas con responsabilidad pública cambia. Quien estaba limpio en marzo puede aparecer en una lista en octubre, y una comprobación hecha una vez es una comprobación caducada. Fije un intervalo y cúmplalo: trimestral en riesgo alto, anual para el resto.
Qué revisar en cada ciclo:
- El screening contra las listas actualizadas
- Quién en el equipo puede abrir datos de identidad, y si sigue haciendo falta
- Documentos caducados desde el alta
- Si la prueba sigue localizable en un clic
Buenas prácticas con los datos de identidad
Unas cuantas costumbres separan a quien pasa las inspecciones de quien busca a la carrera.
Recoger lo mínimo
Los datos de identidad son la categoría más delicada que va a guardar. El RGPD obliga a conservar solo lo necesario y solo el tiempo previsto. Acumular copias de pasaportes "por si acaso" es justo lo contrario de ir sobre seguro.
Limitar el acceso por rol
Comercial y soporte rara vez necesitan ver el documento de identidad de un cliente. Dé acceso a los roles de cumplimiento y jurídico que lo requieren, revise la lista con periodicidad y registre cada consulta.
No aceptar la foto de una foto
Una captura de pantalla de una identificación oficial enviada por chat no es una verificación, por nítida que sea. Si el documento no pasó por un control que lo examinara y confirmara una persona viva, sigue siendo una afirmación sin respaldo.
Formar a quien da de alta
Las personas que hablan con clientes recibirán presión para saltarse el paso en una cuenta importante. Tienen que saber que pueden decir que no y a quién escalar. La mayoría de los fallos de control que he visto no eran técnicos.
Identidad e integridad responden a preguntas distintas. La verificación de identidad dice quién es la persona. El hash del documento dice que el archivo no ha cambiado desde que se firmó. Ninguna sustituye a la otra, y una prueba sólida necesita las dos.
Conclusión
El onboarding digital dejó de ser un trámite bancario en cuanto las relaciones de negocio pasaron a nacer del todo en remoto. Si es sujeto obligado, la norma le dice qué recoger y cuánto conservarlo. Si no lo es, el motivo es más simple: está a punto de firmar un compromiso vinculante con alguien a quien no ha visto nunca.
Acierte con la secuencia y desaparece casi toda la dificultad. Verificar a la persona, dejar que firme, y guardar la verificación y el documento firmado unidos. Un control que vive en un sistema distinto al de la firma es precisamente el que le fallará dos años después, cuando la única pregunta que importe sea qué identidad firmó qué archivo.
Para seguir leyendo
Las obligaciones anteriores están, según el país, en la Ley Antilavado mexicana, en la Ley 25.246 argentina, en la Ley 10/2010 española y en las directivas europeas contra el blanqueo.
Compare planes en la página de precios y encuentre más guías en el blog de Chaindoc.
Etiquetas
Preguntas frecuentes
Respuestas rápidas sobre Chaindoc y los flujos de firma segura de documentos.
KYC significa Know Your Customer, conozca a su cliente. En la práctica es el conjunto de comprobaciones que confirma identidad, documento y situación de la persona o empresa antes de aceptarla. En España la Ley 10/2010 de prevención del blanqueo de capitales lo impone a los sujetos obligados, y el SEPBLAC supervisa que se cumpla. Quien no es sujeto obligado no tiene el deber, pero se come la pérdida solo cuando el contrato acaba firmado por otra persona.
El onboarding digital es el alta de un cliente sin presencia física: verificar su identidad, recoger sus datos y firmar electrónicamente los contratos necesarios. Su núcleo es la identificación, que suele combinar comprobación del documento, detección de vida y screening contra listas de sanciones y de personas con responsabilidad pública.
Bancos y aseguradoras, asesorías y auditores, abogados y notarios, inmobiliarias y prestadores de servicios a sociedades, entre otros sujetos obligados. La obligación nace antes de iniciar la relación de negocio, no en el primer cobro.
Sí. SEPBLAC admite la identificación por vídeo con requisitos técnicos concretos, y también los procedimientos no presenciales basados en firma electrónica cualificada. Lo que no vale es una copia del DNI recibida por correo electrónico.
La verificación de identidad es una parte del KYC. El KYC abarca además conocer la actividad del cliente, evaluar su riesgo, revisarlo en listas contra listas y vigilar la relación con el tiempo. Verificar la identidad es donde empieza el KYC, no donde acaba.
Por sí sola no. Una firma electrónica simple demuestra que el documento no se alteró después de firmarse y deja constancia del acto de firma. No establece de forma independiente que el humano tras el clic sea su cliente. Por eso hay que unir el control de identidad con el registro de firma, o recurrir a la firma cualificada, que ya lleva una identidad verificada por un prestador de servicios de confianza.
En España la Ley 10/2010 fija diez años desde la terminación de la relación de negocio, un plazo más largo que el mínimo europeo de cinco. Conviene comprobar el régimen propio del sector.
Evita que alguien use un documento auténtico que pertenece a otra persona, el fraude más común en el alta. Un escaneo no dice quién lo envió, un vídeo corto sí.
Más guías sobre firma electrónica y blockchain
Guías prácticas sobre firmas electrónicas, registros de auditoría en blockchain y gestión segura de documentos, seleccionadas para ampliar lo que acabas de leer.
