KYC y AML: uno es una comprobación, el otro un régimen

Dos siglas, una reunión, y nadie se pone de acuerdo sobre cuál es cuál. Cumplimiento dice que la empresa necesita AML. Comercial responde que ya hacen KYC con cada cliente nuevo. Los dos creen que hablan del mismo trabajo.

No es así. En ese hueco es donde las inspecciones salen mal.

La versión corta: el KYC es algo que hace sobre un cliente, al principio. El AML es el marco que le obliga a hacerlo, más todo lo que sigues debiendo después. Uno es una tarea. El otro es un régimen con esa tarea dentro.

La distinción no es académica. Hay empresas que compran una herramienta de identificación, dan el punto por cerrado y descubren en una inspección que la comprobación de identidad era quizá una quinta parte de lo que debían.

KYC viene de Know Your Customer, conozca a su cliente. AML viene de Anti-Money Laundering. En América Latina se le llama prevención de lavado de activos, PLA o PLAFT según el país; en España, prevención del blanqueo de capitales. Es la misma cosa con tres nombres.

El AML es el más amplio de los dos. Es el conjunto de ley, supervisión y procedimiento interno construido para mantener el dinero criminal fuera de los negocios legítimos. El KYC es una obligación dentro de él: establecer quién es su cliente antes de entrar en relación de negocio.

Preguntar "necesitamos KYC o AML?" se parece bastante a preguntar si hace falta el examen de conducir o el código de circulación. Hace el examen porque la ley lo exige, y haberlo aprobado no le libra de nada más en la carretera.

Por qué se enredaron las dos palabras

La mayor parte del enredo vino de los proveedores, siendo honestos. La verificación de identidad es la parte del régimen más fácil de vender como software, así que se llevó el marketing más ruidoso. Busca una herramienta AML y encontrarás sobre todo productos KYC con AML en el título de la página.

El resto se empaqueta mal. Seguimiento de operaciones, comunicación por indicio, análisis de riesgo escrito, formación, conservación de documentación: nada de eso se demuestra en un cuarto de hora.

¿El KYC responde a una sola pregunta: esta persona o sociedad es quien dice ser?

En la práctica se parte en tres comprobaciones, y la mayoría de las empresas ejecuta solo la primera.

Verificación documental. ¿La identificación oficial, el pasaporte o la constancia del registro público son auténticos y están vigentes? Una comprobación que sirve lee los elementos de seguridad y la zona legible por máquina, en lugar de mirar un escaneo.

Prueba de vida. ¿Hay una persona real presentando ese documento ahora, o alguien sostiene una foto ante la cámara? Es la comprobación que atrapa el patrón de fraude más común, aquel en que un documento auténtico lo usa la persona equivocada.

En tercer lugar viene el screening, y el screening de sanciones es una obligación propia y sin umbral.

¿Aparece el cliente en listas de sanciones, o es una persona con responsabilidad pública cuyo expediente exige diligencia reforzada?

Quien ejecuta las tres sabe desde el primer día con quién trata, y de eso trata por entero nuestra guía sobre qué es el KYC. Ese es todo el alcance. Sobre lo que ese cliente haga con usted en el séptimo mes, el KYC no dice nada, y ese silencio es exactamente el espacio que ocupa el régimen.

Cinco obligaciones quedan fuera de la comprobación de identidad, y en cada una es donde las empresas se quedan cortas.

1. 1
   Un análisis de riesgo escrito. Tiene que documentar qué clientes, productos, países y canales le exponen al blanqueo, y clasificarlos. El inspector pide ese documento primero, y un número sorprendente de sujetos obligados no lo tiene.
2. 2
   Seguimiento continuo. La relación se vigila, no solo se abre. Un cliente que pasó el KYC en enero y empieza a mover importes atípicos en junio es un problema de blanqueo, y ninguna comprobación de documento lo va a señalar.
3. 3
   Comunicación por indicio. Cuando algo desentona, lo comunica a la unidad de inteligencia financiera de su país, el Sepblac en España, la UIF en México y Argentina, la UIAF en Colombia, y no se lo dices al cliente. Equivocarse en los plazos aquí no es una sanción administrativa en la mayoría de jurisdicciones, es materia penal.
4. 4
   Conservación, diez años en España y cinco en la mayoría de regímenes latinoamericanos, contados desde el fin de la relación. Justificantes de identidad, el razonamiento tras las decisiones de riesgo, los papeles de cada comunicación.
5. 5
   Alguien con nombre y responsabilidad. Casi todos los regímenes quieren un representante ante el organismo supervisor, más formación del personal que se pueda acreditar.

Conviene decirlo claro: una empresa puede llevar un KYC impecable y suspender la inspección en los cinco puntos.

Los estándares son globales. La redacción es local.

Todo régimen de esta lista desciende de la misma fuente, el GAFI y sus 40 recomendaciones, y por eso la forma de las obligaciones rima entre países aunque los números de artículo no lo hagan.

Dejó de ser un asunto bancario hace mucho

Este es el punto que pilla a los despachos profesionales. Los bancos lo saben desde hace décadas. En México el régimen de actividades vulnerables alcanza a notarios, contadores, agentes inmobiliarios, comercios de bienes de alto valor y prestadores de servicios societarios; el artículo 2 de la Ley 10/2010 española cubre a los mismos oficios, prestadores de servicios a sociedades y fideicomisos, y comerciantes de bienes de valor por encima de un umbral en efectivo.

Una inmobiliaria de cinco personas es sujeto obligado con las mismas obligaciones centrales que un banco, sin departamento de cumplimiento que las sostenga. Es una posición incómoda, y es justo la razón por la que la comprobación de identidad tiene que vivir dentro del trabajo que ya existe y no al lado.

Dónde mirar, según jurisdicción

• México: Ley Antilavado de 2012, régimen de actividades vulnerables, avisos a la UIF de la SHCP
• Argentina: Ley 25.246, artículo 20 para sujetos obligados, reportes a la UIF
• Colombia: SARLAFT, reportes a la UIAF
• Chile: Ley 19.913, reportes a la UAF
• España: Ley 10/2010, artículo 2 para sujetos obligados, comunicaciones al Sepblac
• Unión Europea: las directivas de blanqueo se trasponen a nivel nacional, los deberes coinciden y los nombres de las normas no
• Alemania: la Geldwäschegesetz, supervisión de la BaFin, comunicaciones a la FIU
• Francia: el régimen LCB-FT del Code monétaire et financier, comunicaciones a Tracfin
• Brasil: Lei 9.613/1998, comunicaciones al COAF
• Estados Unidos: la Bank Secrecy Act, supervisión de FinCEN

Hay un punto en que identidad y régimen dejan de ser asuntos separados, y es la firma.

Un contrato firmado es la prueba de que la relación existe, y demostrar que el archivo en sí está intacto es otro ejercicio, el de la verificación de identidad y de documentos. Si no puede mostrar quién estaba al otro lado cuando se firmó, la comprobación que hiciste tres semanas antes en otra herramienta demuestra bastante poco. Los dos registros viven aparte, y juntarlos después significa rebuscar en un buzón.

Este es el fallo práctico, y resulta aburrido en vez de dramático. Comercial recogió un escaneo del documento por correo. Cumplimiento lo aprobó en una hoja de cálculo. El contrato salió por una herramienta de firma que no vio ninguno de los dos. Tres sistemas, tres sellos de tiempo, ninguna traza continua.

Ejecutar la comprobación dentro del flujo de firma cierra ese hueco. Resultado de identificación, prueba de vida, screening y la propia firma acaban en una sola traza de auditoría, anclada para que nadie la retoque en silencio después. Cuando un inspector pregunte cómo sabía usted quién firmó, la respuesta es un registro en lugar de tres.

Tratar las siglas como sinónimos. La empresa que dice "cumplimos con AML, hacemos KYC" suele haber completado una quinta parte del trabajo y todavía no lo sabe.

Comprar una herramienta en vez de escribir un procedimiento. El software ejecuta comprobaciones. No decide su apetito de riesgo, y el inspector pedirá el análisis escrito antes de preguntar qué proveedor usa.

Dar de alta una vez y no volver a mirar es el tercero. Las clasificaciones de riesgo envejecen. Un cliente de riesgo bajo al alta puede cambiar de socio, de jurisdicción o de conducta, y nada de la comprobación original le lo va a avisar.

Guardar la prueba de identidad en un sitio distinto del contrato. Dos registros que no se referencian entre sí son difíciles de defender bajo preguntas, aunque cada uno sea impecable por separado.

El KYC le dice quién ha entrado por la puerta. El AML es todo lo que debe desde ese momento hasta años después de que el cliente se haya ido.

Acertar con el vocabulario importa porque el presupuesto sigue a las palabras. La empresa que cree que ambos términos significan lo mismo compra verificación de identidad y da el programa por terminado, y luego descubre en una inspección que el análisis de riesgo, el seguimiento y las comunicaciones nunca fueron tarea de nadie.

Empiece por el análisis de riesgo escrito, porque es lo primero que abre un inspector y de ahí cuelgan las demás decisiones. Después asegúrese de que la comprobación de identidad y el contrato firmado acaben en el mismo sitio, porque es esa pareja la que le van a pedir junta.