¿Cómo cumplir las obligaciones AML/KYC al crear un exchange en España?

¿Tienes razón?

Lo que decide si su exchange puede operar sin riesgo de sanción son, básicamente, cuatro cosas. Primero, si identifica correctamente a sus clientes: botones para registrar una cuenta sin verificación no son compatibles con plataformas que operan con dinero real. Segundo, si tiene políticas escritas y procedimientos de prevención de lavado y financiación del terrorismo (AML) y de conocimiento del cliente (KYC) que se aplican de verdad, no sólo en papel. Tercero, la monitorización de operaciones: su sistema debe detectar patrones atípicos y conservar trazabilidad de las transferencias. Cuarto, el tratamiento de datos personales y la seguridad informática: almacenar identidades y claves implica obligaciones de protección de datos y de seguridad operativa.

Si cumple estas cuatro cosas, su riesgo regulatorio baja mucho. Si falla en una, una inspección o una investigación pueden terminar en medidas administrativas, bloqueo de cuentas o, en casos graves, decomiso de fondos. Para saber en qué punto está su proyecto, la comprobación práctica es sencilla: haga un registro de usuario real y recorra el proceso hasta ver qué datos quedan, quién puede leerlos y cómo se archivan. Eso le mostrará las brechas reales, no las teóricas.

Cómo se soluciona

1) Documente el servicio y el modelo de negocio.

• Determine si ofrecerá custodio, custodia parcial, solo ejecución de órdenes, intercambio entre cripto y fiat, o servicios para terceros. Cada combinación cambia el riesgo y las obligaciones.
• Defina los flujos de dinero y cripto: origen y destino de fondos.

2) Redacte un programa AML/KYC operativo.

• Escriba políticas claras: identificación de cliente, verificación de identidad, medidas de debida diligencia simplificada y reforzada, reporte de operaciones sospechosas y retención de registros.
• Incluya procedimientos sobre verificación de identidades con documentos, verificación facial, listas de personas políticamente expuestas y comprobación de contrapartes.

3) Implementación técnica y pruebas.

• Seleccione proveedores de verificación de identidad y análisis de blockchain. Configure reglas de monitoreo transaccional (por ejemplo, alertas por origen desconocido o patrones de intercambio rápido entre muchas cuentas).
• Haga pruebas con cuentas reales y revise los falsos positivos y negativos: ajuste los umbrales.

4) Protección de datos y seguridad operativa.

• Encripte datos sensibles, controle accesos, mantenga registros de auditoría y un plan de respuesta ante incidentes.
• Defina responsables internos: un Oficial de Cumplimiento con potestades para bloquear operaciones y someter reportes a autoridad competente.

5) Procedimientos para reportar y colaborar con la autoridad.

• Decida cómo manejará alertas internas y cuándo elevar a la autoridad competente. Establezca formatos, responsables y plazos internos.

6) Formación y cultura de cumplimiento.

• Capacite al equipo de atención al cliente y a operaciones para detectar indicios de fraude o lavado. Registre la formación y evalúe su eficacia.

Qué hacer usted ahora solo y qué necesita contratar:

• Usted puede mapear su modelo de negocio y reunir documentación básica. También puede contratar y probar proveedores de verificación.
• Necesitará asesoría legal y técnica para redactar el programa AML/KYC y evaluar la necesidad de registrarse ante la autoridad competente; para la implementación de reglas de monitoreo y la integración con proveedores, una firma especializada o un consultor técnico es recomendable.

Qué puede pasar

1. Arreglo operativo mediante ajustes: lo más frecuente es que la autoridad exija mejoras documentadas y la puesta en marcha de controles. Si su manual y su sistema se corrigen, la plataforma sigue operando.

1. Acuerdo con condiciones: la autoridad puede permitir la operación condicionada a medidas concretas, supervisión o auditorías externas. Aunque aceptar condiciones puede imponer costes, evita sanciones mayores y permite funcionamiento con respaldo administrativo.

1. Sanción y medidas coercitivas: en casos de incumplimiento grave —por ejemplo, permitir operaciones visibles de lavado— la autoridad puede imponer sanciones, órdenes de bloqueo de cuentas o medidas administrativas que afecten la operativa.

¿Qué sucede si hay una sanción y usted gana en una impugnación? Conseguir una resolución favorable no garantiza que recupere reputación ni que no haya costes asociados: una operación judicial puede dejar pruebas de investigación pública y causar pérdida de clientes. Además, una sentencia no siempre equivale a efectivo recuperable si los fondos ya fueron transferidos a terceros.

Errores que arruinan el caso

• Diseñar políticas solo para la web y no integrarlas en los sistemas: un manual bonito que no dispara controles es inservible.
• Depender exclusivamente de un único proveedor de verificación sin pruebas alternativas: los proveedores fallan y eso deja cuentas sin verificar.
• No conservar registros de identificación y transacciones con trazabilidad clara: la ausencia de registros impide justificar operaciones ante una inspección.
• Mezclar custodio y exchange sin separar responsabilidades contables y tecnológicas: eso dificulta auditorías y favorece errores en el manejo de fondos.
• Ignorar la protección de datos: fugas o accesos indebidos generan sanciones y pérdida de confianza.