Preparar AML y KYC para mi plataforma de cripto

¿Tienes razón?

Si tienes una plataforma que facilita compra, venta, intercambio o custodia de criptoactivos, necesitas un programa de prevención de lavado de dinero y financiamiento del terrorismo (AML/CFT) y procedimientos de conocimiento del cliente (KYC) proporcionales a tu modelo de negocio. Lo que determina tus obligaciones son cuatro factores: (1) si realizas actividades de custodia o sólo operas como marketplace; (2) el volumen y número de operaciones; (3) si prestas servicios a clientes locales o internacionales; y (4) si ofreces instrumentos que se asemejen a servicios financieros tradicionales (por ejemplo, servicios de custodia con wallets gestionadas por la plataforma). Aunque la regulación financiera chilena sobre cripto ha ido evolucionando, no puedes ignorar obligaciones generales de prevención de ilícitos y las expectativas regulatorias de la Unidad de Análisis Financiero y otros entes: los principios de identificación, debida diligencia y reporte de operaciones sospechosas son la base.

Un programa adecuado no es sólo un checklist; debe ser un sistema vivo que incluya políticas escritas, roles y responsabilidades claros, procesos para conocer al cliente, monitoreo de transacciones, tipologías de riesgo, procedimientos para reportar operaciones sospechosas y formación continua del personal. Además, considera la protección de datos personales: los KYC recaban información sensible que exige medidas de seguridad y cumplimiento con normas de privacidad.

Cómo se soluciona

1. Mapea tu negocio: documenta los productos, clientes, contrapartes, flujos de fondos y puntos de riesgo (por ejemplo, depósitos en exchanges externos, uso de mixers, clientes PEP —personas expuestas políticamente—). Este mapa determina el nivel de diligencia requerido.
2. Redacta política AML/KYC: incluye objetivos, estructura organizativa, identificación del oficial de cumplimiento, procedimientos de debida diligencia al cliente (identificación básica y reforzada), criterios para clasificar riesgo de clientes y procedimientos de monitoreo de transacciones. Asegúrate de que la política contenga tipologías concretas de sospecha aplicadas a cripto.
3. Implementa KYC por niveles: define qué datos exigir en incorporación (documentos de identidad, comprobante de domicilio, fuente de fondos) y cuándo escalar a diligencia reforzada (operaciones inusuales, transacciones con jurisdicciones de riesgo, clientes institucionales). Para cada nivel, define la documentación exacta y el proceso de verificación.
4. Sistema de monitoreo y alertas: instala herramientas que permitan rastrear patrones (fraccionamiento de depósitos, uso de mixers, transferencias a direcciones conocidas por delitos) y genera alertas configurables. Define umbrales y workflows para que el equipo investigue y decida bloqueo o reporte.
5. Procedimiento de reportes: establece cómo y cuándo reportar internamente y, si corresponde, a la unidad competente. Define plantillas, responsables y tiempos internos (sin publicar plazos públicos específicos). Mantén registros de todos los reportes y resoluciones.
6. Formación y controles internos: capacita a todo el personal sensible, realiza auditorías internas y revisiones externas periódicas. Designa un oficial de cumplimiento con autoridad y recursos.
7. Protección de datos y contrato con clientes: incorpora cláusulas de tratamiento de datos en T&C, y en contratos con proveedores exige SLAs para seguridad y respuesta ante incidentes.

Tareas que puedes hacer internamente: mapeo, redacción inicial de políticas, recopilar plantillas de KYC y definir niveles de riesgo. Necesitarás asesoría externa para validar que tu programa cumpla expectativas regulatorias y para integrar soluciones técnicas de monitoreo o para negociar condiciones con proveedores que guardan registros internacionales.

Qué puede pasar

1) Se arregla internamente: en muchas ocasiones, una mejora rápida en KYC y validaciones resuelve riesgos y evita sanciones. Un onboarding detenido para pedir documentación suele bastar para filtrar clientes problemáticos.

2) Acuerdo o supervisión: si un organismo detecta deficiencias, puede exigirte mejorar controles y someterte a supervisión reforzada; un plan de adecuación bien documentado reduce sanciones y restablece confianza.

3) Sanción o medidas administrativas: en casos de incumplimiento grave que facilite lavado de activos, puede haber multas, medidas restrictivas o incluso pérdida de capacidad operativa. Además, clientes o bancos corresponsales pueden cortar relaciones si te consideran de alto riesgo.

Recuerda: incluso con políticas perfectas, los controles no garantizan la eliminación de riesgo; reducen probabilidad e impacto. Si un cliente resulta estar vinculado a delitos, tus reportes y cumplimiento documentado son la mejor defensa.

Errores que arruinan el caso

• Copiar plantillas estándar sin adaptar al modelo de negocio ni al riesgo de cripto.
• Exigir documentación pero no verificarla efectivamente (por ejemplo, no contrastar fotos de documento con bases o con un proveedor de verificación).
• No registrar las decisiones de negocio (por qué se aceptó o rechazó a un cliente), lo que impide defender tus criterios ante supervisores.
• Subestimar la gestión de proveedores: confiar en un tercero sin SLAs claros puede dejarte sin registros en una investigación.
• Olvidar la formación: personal no entrenado no reconocerá señales de alarma.