Cumplimiento KYC/AML para fintechs: Mejores prácticas

Key takeaways:

El cumplimiento KYC/AML es fundamental para las fintechs en un entorno regulatorio cada vez más exigente, con costes de implementación que alcanzaron los 28 millones de dólares por empresa en 2022.

Un enfoque basado en riesgos permite a las fintechs optimizar recursos y mejorar la eficacia en la detección de actividades sospechosas, adaptándose a los perfiles de riesgo de productos, clientes y ubicaciones geográficas.

Los componentes esenciales de un programa KYC/AML robusto incluyen la identificación del cliente, la debida diligencia, el AML screening, la monitorización de transacciones y los informes regulatorios, respaldados por tecnologías avanzadas.

La implementación efectiva de programas de cumplimiento KYC/AML no solo evita sanciones, sino que también se convierte en una ventaja competitiva para las fintechs, fortaleciendo la confianza de clientes y reguladores.

El cumplimiento de KYC/AML para fintechs se ha convertido en un auténtico desafío para las empresas financieras. Según un informe de Fintech Alliance, el coste medio global del cumplimiento KYC/AML para instituciones financieras se disparó un 19% en 2022, alcanzando casi los 28 millones de dólares por empresa.

La industria evoluciona cada día y la digitalización financiera trae consigo nuevas oportunidades, pero también nuevos riesgos asociados al fraude y al blanqueo de capitales. La prevención del fraude y la verificación de identidad son cruciales en este contexto. Por ejemplo, en España, donde el sector fintech creció un 16% en 2023, la necesidad de implementar procesos de verificación KYC y prevención del blanqueo de capitales (AML) es una realidad. Las normativas locales están preparadas para ello.

La Sexta Directiva Europea contra el Blanqueo de Capitales (AMLD6), cuya implementación total está prevista para julio de 2027, ha elevado el listón de la regulación, exigiendo a las fintechs medidas de cumplimiento mucho más sólidas. La alternativa: hacer frente a sanciones millonarias, retiradas de licencias u otras sanciones que podrían poner en jaque el futuro de tu empresa.

¿Cómo pueden las fintech garantizar el cumplimiento de KYC/AML sin sacrificar la innovación y la experiencia de usuario? Descubre las claves en este artículo y aprende cómo convertir el cumplimiento normativo en una ventaja competitiva para tu empresa.

El panorama regulatorio del cumplimiento KYC/AML para fintechs

El panorama regulatorio del cumplimiento KYC/AML para fintechs es un terreno complejo y en continua evolución. Las empresas fintech deben moverse entre distintas regulaciones globales y regionales diseñadas principalmente para combatir el lavado de dinero y la financiación del terrorismo. Entender esta dificultad es crucial para que las empresas financieras puedan desarrollar estrategias de cumplimiento efectivas, proteger al sistema financiero y evitar sanciones.

A nivel global, las normas del Grupo de Acción Financiera Internacional (GAFI) establecen las políticas de KYC y AML. Estas 40 recomendaciones, que no son legalmente vinculantes, sí se aceptan ampliamente como un marco de referencia en la lucha contra el blanqueo de capitales y la financiación del terrorismo. Los países miembros de esta organización, así como otras muchas naciones, basan sus regulaciones en estas recomendaciones, tomadas como estándares internacionales.

Cerrando el círculo sobre el ámbito regional, por ejemplo, las Directivas Antilavado de Dinero de la Unión Europea han sido fundamentales en la creación de un marco regulatorio para las fintechs que operan en Europa. Todas estas normativas han evolucionado a lo largo de los años, en función de las nuevas amenazas y tecnologías que han surgido.

Regulaciones específicas por región que las fintechs deben cumplir

Como hemos visto, además de las normas globales y regionales, las fintechs deben adaptarse a las regulaciones específicas de cada país en el que operan. Estas normativas pueden variar significativamente de una jurisdicción a otra, añadiendo todavía más complejidad al cumplimiento normativo.

En Estados Unidos, la Ley de Secreto Bancario (BSA, por sus siglas en inglés) de 1970 y la Ley USA PATRIOT de 2021 son pilares fundamentales dentro del marco regulatorio. Estas leyes exigen a las instituciones financieras, incluidas las fintech, implementar programas robustos de verificación KYC, monitorear las transacciones sospechosas y reportar de aquellas actividades potencialmente ilícitas a las autoridades competentes a través de Informes de Actividades Sospechosas (SAR). Para cumplir con estas regulaciones, las fintechs deben adoptar un enfoque basado en el riesgo, realizando evaluaciones de riesgos periódicas y aplicando medidas de debida diligencia proporcionales al nivel de riesgo identificado.

Por su parte, la Unión Europea ha endurecido las sanciones y ampliado la responsabilidad penal de los delitos de lavado de dinero con la Sexta Directiva contra el Blanqueo de Capitales (AMLD6). Esta directiva, que entró en vigor en diciembre de 2020 (aunque no estará completamente implementada hasta 2027), obliga a las fintech a implementar medidas más estrictas de debida diligencia del cliente, incluyendo la verificación de identidad de los beneficiarios reales y el monitoreo continuo de las relaciones comerciales. Además, la AMLD6 introduce requisitos más estrictos para la prevención del fraude, como la obligación de reportar transacciones sospechosas dentro de las 24 horas.

En el Reino Unido, por otro lado, las Regulaciones de Lavado de Dinero de 2017 (MLRs) transponen la Cuarta Directiva Antilavado de Dinero de la Unión Europea al derecho británico. Estas regulaciones establecen requisitos detallados para la verificación de clientes, la evaluación de riesgos y el mantenimiento registros, unas obligaciones aplicables tanto para instituciones financieras tradicionales como fintechs. En este sentido, habrá que poner la lupa en la evolución de este marco regulatorio tras el Brexit.

Sanciones por incumplimiento normativo

No cumplir con las regulaciones KYC/AML puede tener consecuencias completamente devastadoras para las fintech. Hablamos de multas multimillonarias, pero también otros daños poco cuantificables, como reputación, acciones penales contra ejecutivos o la revocación de licencias.

De hecho, en los últimos años, hemos sido testigos de algunos acontecimientos que deben servir como llamada de atención para todo el sector financiero. En 2022, por ejemplo, un exchange de criptomonedas fue multado con 50 millones de dólares por la Comisión de Valores y Bolsa de Estados Unidos (SEC) por deficiencias en sus programas de KYC y AML.

Este caso no es único, pero sí refleja (con la millonaria multa) la importancia de que las fintech cuenten con un programa de cumplimiento KYC/AML robusto, adaptable y actualizado.

Enfoque basado en riesgos: una solución para el cumplimiento KYC/AML en fintechs

El enfoque basado en riesgos se ha convertido en un pilar fundamental para que muchas fintech aseguren el cumplimiento KYC/AML. Este método permite a las empresas asignar recursos de forma más eficiente, centrándose en las áreas de mayor riesgo y adoptando sus controles en consecuencias. Para muchas fintech, sobre todo aquellas startup que operan con recursos limitados, aplicar este enfoque es crucial para mantener el cumplimiento efectivo sin comprometer ni innovación ni crecimiento.

Este enfoque basado en riesgos permite a las fintech optimizar recursos para concentrar sus esfuerzos en otras áreas de mayor crecimiento, mejora la eficacia al adoptar controles para detectar actividades sospechosas y facilita la escalabilidad, puesto que se pueden ajustar de forma proporcional.

Evaluación de riesgos AML según productos o servicios ofrecidos por fintechs

No todos los productos o servicios financieros conllevan el mismo nivel de riesgo de lavado de dinero. Algunos de los productos de mayor riesgo son:

• Transferencias internacionales: Alto riesgo debido a la posibilidad de mover fondos entre distintas jurisdicciones. Las fintechs deben implementar controles robustos de KYC y monitoreo de transacciones para mitigar los riesgos asociados con las transferencias internacionales, especialmente cuando involucran países de alto riesgo (veremos qué son más abajo).
• Criptomonedas: Con su naturaleza descentralizada y la falta de una regulación uniforme, se convierten en herramientas vulnerables al blanqueo de capitales. Las fintechs que ofrecen servicios relacionados con criptomonedas deben aplicar medidas de diligencia debida reforzadas, incluyendo la verificación de la identidad de los clientes y el monitoreo de transacciones en busca de patrones sospechosos.
• Préstamos P2P: Pueden ser usados para estructurar transacciones y ocultar el origen real de los fondos. Las fintechs que facilitan préstamos P2P deben implementar controles para verificar la identidad de los prestatarios y prestamistas, así como monitorear las transacciones en busca de actividades sospechosas, como el fraccionamiento de préstamos para evadir los umbrales de reporte.

Además de estos productos de alto riesgo, las fintechs también deben evaluar cuidadosamente los riesgos asociados con otros servicios, como las cuentas de dinero móvil, las tarjetas de prepago y los servicios de pago online. Cada producto debe ser evaluado minuciosamente en función de lo vulnerable que sea con respecto al lavado de dinero y se deben implementar controles proporcionales al nivel de riesgo identificado.

Distintos perfiles de clientes y su impacto en la evaluación de riesgos

El perfil del cliente es otro de los factores que se deben tener en cuenta a la hora de desarrollar una estrategia basada en riesgos en las fintech. Algunos de los perfiles más destacados son:

• Personas Políticamente Expuestas (PEPs): Requieren una diligencia debida reforzada debido al mayor riesgo de corrupción. Puedes leer más acerca de las PEPs en nuestro blog. Las fintechs deben implementar procesos para identificar a las PEPs, incluyendo el uso de listas de verificación y herramientas de detección automatizadas. Una vez identificadas, se deben aplicar medidas de diligencia debida reforzadas, como la verificación de la fuente de los fondos y el monitoreo continuo de las transacciones.
• Clientes de alto patrimonio: Pueden presentar riesgos adicionales debido a la complejidad de sus transacciones y su posición financiera. Las fintechs deben aplicar medidas de diligencia debida reforzadas para los clientes de alto patrimonio, incluyendo la verificación de la fuente de la riqueza y el monitoreo de transacciones en busca de actividades inusuales o sospechosas.
• Empresas con estructuras de propiedad complejas: Dificultan la identificación del beneficiario final, aumentando el riesgo de lavado de dinero. Es una de las cuestiones que trata de abordar la Travel Rule. Las fintechs deben implementar procesos para identificar a los beneficiarios finales de las empresas con estructuras de propiedad complejas, incluyendo la obtención de documentación de respaldo y la verificación de la información proporcionada.

Además de estos perfiles de alto riesgo, las fintechs también deben considerar otros factores también importantes, como la ocupación del cliente, el propósito de la relación comercial y el comportamiento transaccional esperado. Al desarrollar perfiles de riesgo de clientes completos, las fintechs pueden aplicar medidas de diligencia debida proporcionales y detectar actividades sospechosas de manera más efectiva.

La ubicación geográfica de los clientes y su relevancia en la evaluación de riesgos

El lugar donde se encuentren nuestros clientes y las transacciones que realicen (de las que sean emisores o beneficiarios) también son un factor crucial en la evaluación de riesgos AML para las fintech.

¿Qué aspectos se deben considerar? Según el GAFI, existen países de alto riesgo debido a sus deficiencias en sus sistemas de prevención del blanqueo de capitales. También se pone el foco en aquellos centros financieros offshore, que pueden presentar muchísimo riesgo debido a la opacidad de los reguladores y el contar con normativas más "laxas". También es importante vigilar aquellas zonas en conflicto o inestabilidad política, puesto que suelen ser focos de mayor riesgo para el blanqueo de capitales.

Las fintechs deben implementar procesos para identificar y gestionar los riesgos asociados con las ubicaciones geográficas de sus clientes y transacciones. Esto puede incluir:

• Mantener listas actualizadas de países de alto riesgo y aplicar medidas de diligencia debida reforzadas para los clientes y transacciones relacionados con estas jurisdicciones.
• Monitorear las transacciones transfronterizas en busca de patrones sospechosos, como transferencias frecuentes a países de alto riesgo o transacciones que no se ajustan al perfil del cliente.
• Obtener información adicional sobre el propósito de las transacciones y la fuente de los fondos para las transacciones que involucran jurisdicciones de alto riesgo.
• Capacitar al personal sobre los riesgos específicos asociados con diferentes ubicaciones geográficas y cómo identificar y reportar actividades sospechosas.

Al incorporar la ubicación geográfica en sus evaluaciones de riesgos, las fintechs pueden adaptar sus controles KYC/AML para abordar los riesgos específicos asociados con diferentes jurisdicciones y garantizar el cumplimiento de las regulaciones locales e internacionales.

Desarrollando una metodología de evaluación de riesgos

Para implementar un enfoque basado en riesgos efectivo, las fintechs deben desarrollar una metodología sólida de evaluación de riesgos. Esta metodología debe incluir los siguientes pasos clave:

1. Identificación de riesgos: El primer paso es mapear todos los posibles riesgos de lavado de dinero asociados con los productos, servicios, clientes y ubicaciones geográficas de la fintech. Esto implica realizar un análisis exhaustivo de las vulnerabilidades potenciales y considerar cómo podrían ser explotadas por los delincuentes.
2. Evaluación de riesgos: Una vez identificados los riesgos, la fintech debe evaluar su probabilidad e impacto potencial. Esto implica asignar niveles de riesgo (por ejemplo, bajo, medio, alto) a cada factor identificado, basándose en criterios predefinidos y consistentes.
3. Mitigación de riesgos: Basándose en la evaluación de riesgos, la fintech debe desarrollar e implementar controles proporcionales al nivel de riesgo identificado. Esto puede incluir medidas como la diligencia debida reforzada para clientes de alto riesgo, el monitoreo de transacciones más frecuente para productos de alto riesgo y la capacitación especializada para el personal que maneja situaciones de alto riesgo.
4. Monitoreo y revisión: La evaluación de riesgos no es un ejercicio único, sino un proceso continuo. Las fintechs deben establecer procesos para revisar y actualizar periódicamente su evaluación de riesgos, teniendo en cuenta los cambios en su negocio, el panorama regulatorio y las tendencias del lavado de dinero.

Los componentes esenciales para implementar un programa de KYC/AML sólido para fintechs

Las características propias de las fintech y su riesgo con respecto al blanqueo de capitales hacen que los programas de cumplimiento KYC/AML sean fundamentales. Estos sirven para proteger al negocio, cumplir con las regulaciones y evitar multas.

Si bien es cierto que algunos detalles pueden variar en función de la jurisdicción y el modelo concreto de negocio de la fintech, existen algunos componentes clave que sí o sí todas las fintech deben incluir en sus programas de cumplimiento normativo.

Programas de identificación del cliente (CIP)

En cualquier programa de KYC/AML, la identificación y verificación segura de los clientes es el primer paso. Es el punto previo a iniciar cualquier relación comercial. ¿Qué deben incluir los programas de identificación del cliente (CIP)?

Por un lado, las empresas deben contar con métodos de verificación de identidad confiables. No basta con que un usuario nos diga que se llama Pepe Pérez; debe tener algún documento de identidad (principalmente) emitido por el gobierno de su país o región que permita asegurar y verificar la identidad de las personas.

Aquí, la tecnología juega un papel fundamental. La automatización de los procesos de KYC ayudan a las fintech a hacer este proceso mucho más seguro. Desarrollos como la verificación de documentos, para validad la originalidad y extraer la data, o el reconocimiento facial, con biometría y liveness test para autenticar al usuario, permiten realizar la verificación KYC en remoto y en pocos segundos, brindando una experiencia de usuario sin igual y asegurando el cumplimiento normativo.

En Didit ofrecemos una servicio de KYC gratuito, ilimitado y para siempre. ¿Por qué? Porque en tiempos de fraude, como deepfakes e inteligencia artificial generativa, verificar que quien está al otro lado de la pantalla es realmente un humano no debería ser un lujo y sí un derecho fundamental.

Debida diligencia del cliente (CDD)

Después de verificar la identidad de los nuevos clientes, las fintech deben realizar una diligencia debida para entender qué riesgos asociados se vinculan a cada perfil de cliente. De esta forma, aquellos clientes que presenten un mayor riesgo de lavado de dinero, como las Personas Políticamente Expuestas, se someterán a debidas diligencias mejoradas (EDD).

La CDD implica recopilar y analizar información sobre la actividad económica del cliente, el origen de sus fondos y el propósito de la relación comercial. Para clientes de alto riesgo, la EDD puede incluir una verificación más exhaustiva de la fuente de riqueza y un monitoreo más frecuente de las transacciones.

Detección de sanciones y PEPs (AML Screening)

Las tareas de AML Screening son fundamentales en cualquier programa de cumplimiento de fintechs. Estos procesos permitirán detectar qué clientes y transacciones pueden estar sujetas a sanciones o presentar un mayor riesgo de corrupción.

El AML Screening, entre otras tareas, se encarga de identificar a las Personas Políticamente Expuestas mediante el cotejo de diferentes listas y bases de datos; mientras que las detección contra las listas de sanciones trata de verificar a los clientes y sus transacciones contras distintas listas emitidas por organismos nacionales e internacionales para garantizar el cumplimiento de las obligaciones legales.

Monitorización de las transacciones

El monitoreo efectivo de las transacciones ayuda a las fintech a detectar e informar de aquellas actividades sospechosas. De esta forma, las fintech pueden identificar patrones de actividades sospechosas que potencialmente pueden acabar en distintas formas de lavado de dinero.

Las fintechs deben implementar sistemas de monitoreo automatizados que utilicen reglas basadas en escenarios y análisis de comportamiento para detectar transacciones inusuales. Estos sistemas deben ser capaces de adaptarse a los perfiles de riesgo de los clientes y a las tendencias emergentes en el lavado de dinero.

Informes regulatorios

Cuando se detecta una actividad sospechosa, las fintech deben informar a las autoridades competentes de forma oportuna y completa. Cada país o territorio cuenta con su propia autoridad competente. En España, por ejemplo, es el SEPBLAC (Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias); mientras que en Estados Unidos es FinCEN (Financial Crimes Enforcement Network); en Reino Unido, el National Crime Agency (NCA); en Alemania, el Financial Intelligence Unit (FIU) o en Francia, Tracfin (Traitement du renseignement et action contre les circuits financiers clandestins)

Las fintechs deben estar familiarizadas con los requisitos de presentación de informes en todas las jurisdicciones en las que operan y tener procesos establecidos para presentar Informes de Actividades Sospechosas (SAR) o sus equivalentes de manera oportuna y precisa.

Formación continua y cultura de cumplimiento

Un componente crucial que a menudo se pasa por alto es la formación continua del personal y el fomento de una cultura de cumplimiento en toda la organización. Las fintechs deben asegurarse de que todos los empleados, desde el nivel ejecutivo hasta el personal de primera línea, comprendan la importancia del cumplimiento KYC/AML y estén al tanto de las últimas regulaciones y mejores prácticas.

Implementar estos componentes de manera efectiva no solo ayudará a las fintechs a cumplir con las regulaciones, sino que también les proporcionará una ventaja competitiva al construir confianza con los clientes y los reguladores.

Conclusión: El cumplimiento KYC/AML es un pilar fundamental para las fintechs

El panorama del cumplimiento KYC/AML para fintechs es un terreno complejo y en constante evolución, pero su importancia no puede subestimarse. Hemos explorado los componentes esenciales de un programa de cumplimiento sólido, desde la identificación del cliente hasta la monitorización de transacciones y los informes regulatorios. También hemos analizado cómo un enfoque basado en riesgos permite a las fintechs optimizar sus recursos y adaptarse a un entorno regulatorio cambiante.

La implementación proactiva de un programa de cumplimiento KYC/AML sólido no solo es una obligación legal, sino también una ventaja competitiva. Protege a la empresa de sanciones costosas, fortalece la confianza de los clientes y reguladores, y permite a las fintechs innovar con seguridad. En un sector donde la confianza es fundamental, un cumplimiento robusto se convierte en un diferenciador clave. Las fintechs que adopten este enfoque no solo estarán mejor posicionadas para navegar los desafíos regulatorios, sino que también estarán construyendo una base sólida para un crecimiento sostenible y responsable en el cambiante mundo de las finanzas digitales.

Da el primer paso con nuestra solución de verificación KYC gratuita. Haz clic en el banner de debajo y nuestros compañeros te resolverán cualquier duda. ¡Da el salto a un nuevo paradigma en el que verificar la identidad de tus usuarios no tiene coste!