¿Cómo cumplir las obligaciones AML/KYC al crear un exchange en España?

¿Tienes razón?

No todo servicio que opera con criptomonedas configura automáticamente una obligación AML/KYC completa, pero muchas plataformas de intercambio, custodia o intermediación sí quedan dentro del ámbito de sujetos obligados por normativa de prevención de lavado y financiamiento del terrorismo. Lo que determina si debes aplicar medidas estrictas son cuatro elementos:

1) La naturaleza del servicio: si ofreces convertibilidad entre cripto y moneda fiduciaria, custodia de activos de terceros, o medios de pago, la obligación es clara. Servicios puramente informativos o herramientas de software sin custodia suelen quedar fuera.

2) El grado de interacción con el sistema financiero: integraciones con cuentas bancarias, transferencias fiduciarias y pasarelas de pago aumentan la supervisión y expectativas regulatorias.

3) El volumen y perfil de clientes: plataformas que operan con público general y altas entradas de fondos deben implementar procedimientos más robustos que sistemas cerrados entre empresas.

4) Riesgo sectorial: activos con mayor volatilidad o jurisdicciones de alto riesgo implican medidas adicionales. Un análisis de riesgo es imprescindible.

Si tu modelo cumple alguno de estos factores, debes diseñar y aplicar un programa de cumplimiento AML/KYC.

Cómo se soluciona

1) Determinar obligación regulatoria y registro. Consulta con un abogado para confirmar si tu servicio debe inscribirse ante la autoridad competente o cumplir requisitos específicos. Esto condiciona el resto del diseño.

2) Diseñar políticas y procedimientos AML/KYC. Crea manuales con políticas de identificación de clientes (KYC), debida diligencia simplificada y reforzada, monitoreo de transacciones, reportes internos y procedimientos para bloqueo y congelamiento de activos. Incluye un oficial de cumplimiento con funciones y recursos claros.

3) Implementar identificación y verificación. Define pasos prácticos: recolección de documentos de identidad válidos, verificación de origen de fondos, validación de identidad mediante biometría o certificados, y procesos para personas jurídicas (documentación societaria, beneficiario final). Automatiza verificaciones cuando sea posible y registra toda la información con marcas temporales.

4) Evaluación de riesgo y monitoreo contínuo. Establece matrices de riesgo por cliente, país, método de pago y activo. Implementa alertas automáticas para operaciones inusuales, fragmentación de montos o patrones que indiquen intento de evasión.

5) Reporte y cooperación con autoridades. Prepara protocolos para reportar operaciones sospechosas y para responder a requerimientos judiciales o administrativos. Mantén logs y registros que permitan la reconstrucción de operaciones con metadata suficiente.

6) Protección de datos y conservación. Conserva registros según normas aplicables y asegúrate de cumplir derechos de acceso y rectificación. Protege la información con controles de acceso y cifrado.

7) Auditorías y capacitación. Realiza auditorías internas y externas del programa AML y capacita regularmente al personal operativo y de cumplimiento.

Qué puedes hacer tú y qué necesita un profesional:

• Tú: definir modelo de negocio, recopilar requisitos técnicos, colaborar en implementación de KYC técnico y recopilar documentación para registro.
• Profesional: evaluar obligación legal, redactar políticas AML, apoyar inscripción/registro, elaborar procedimientos de reporte e identificación del beneficiario final, y preparar defensas ante autoridades.

Qué puede pasar

1) Se arregla internamente con ajustes operativos. Muchas fallas se corrigen con mejoras en los procesos KYC y capacitación; los problemas administrativos pueden resolverse sin sanción si cooperas.

2) Acuerdo administrativo o multas. Si hay incumplimientos administrativos en los registros, la autoridad puede imponer sanciones o medidas correctivas. Aun así, negociar rectificaciones y remediaciones suele ser posible.

3) Investigación penal y responsabilidad. En casos graves, la falta de controles puede dar origen a investigaciones penales por facilitación de lavado. Si se demuestra negligencia grave, la responsabilidad penal o sanciones más severas son posibles.

Y si ganas, ¿cobras? En materia de sanciones administrativas, obtener una resolución favorable puede evitar multas, pero la reputación y pérdidas operativas pueden persistir; en pleitos civiles contra terceros, la ejecución depende de la solvencia del demandado.

Errores que arruinan el caso

• Copar la plataforma con procesos KYC manuales ineficientes sin registros adecuados.
• No documentar la evaluación de riesgo o las razones para aplicar debida diligencia reforzada.
• Confiar exclusivamente en proveedores externos sin supervisión contractual y auditorías.
• No conservar logs y metadatos de verificación; sin ellos no puedes demostrar que cumpliste.
• Ignorar las obligaciones de reporte ante operaciones sospechosas: la mera omisión se valora negativamente.