¿Cómo cumplir las obligaciones AML/KYC al crear un exchange en España?

¿Tienes razón?

Que debas cumplir obligaciones AML/KYC depende de la actividad concreta que vayas a realizar: custodia, intercambio entre fiat y cripto, servicios de custodia o mercado entre usuarios son actividades que, según el diseño, suelen implicar obligaciones de prevención de operaciones con recursos de procedencia ilícita y reporte de operaciones sospechosas. Lo que determina el alcance es el modelo de negocio y si la plataforma realiza servicios que tocan dinero fiat o custodia claves privadas por terceros.

Otro factor es la normativa aplicable y la interpretación de autoridades: tu obligación se define tanto por la ley como por la práctica supervisora. Por eso es esencial diseñar un programa de cumplimiento desde el inicio, con políticas escritas, responsables y controles técnicos que integren KYC, monitoreo, reporte y conservación de registros.

Documentación mínima que debes preparar: políticas internas de prevención, manuales de identificación y debida diligencia, formularios de captura de datos del cliente, políticas de gestión de riesgo, y registros de transacciones. También necesitas un responsable de cumplimiento y personal capacitado para detectar y reportar operaciones inusuales o sospechosas.

Cómo se soluciona

1. Define el alcance de tus servicios y mapea riesgos. Determina si vas a ofrecer custodia, intercambio con moneda nacional, swaps entre criptomonedas, o solo servicios de interfaz. Cada actividad tiene riesgos distintos: custodia trae obligaciones de protección de activos y riesgo de responsabilidad por fugas; intercambio fiat-cripto exige controles que vinculen identidad bancaria.

1. Implementa un procedimiento KYC escalonado. Recolecta datos identificativos al registrarse (nombre, identificación oficial, domicilio) y aplica niveles de debida diligencia según el riesgo: transacciones de mayor monto o patrones inusuales requieren identificación reforzada y fuentes de fondos. Establece listas internas y controles para clientes de alto riesgo.

1. Monta sistemas de monitoreo de transacciones. Usa reglas automatizadas que detecten comportamientos atípicos: múltiples depósitos y retiros a direcciones nuevas, transacciones estructuradas para evitar controles, o transferencias hacia/exdesde jurisdicciones de alto riesgo. Conserva historiales y razones de las banderas levantadas.

1. Registra y reporta operaciones sospechosas a la autoridad competente. Ten un mecanismo interno para revisar alertas, documentar la investigación y, cuando proceda, presentar el reporte con evidencia. Asigna claramente la responsabilidad y la escala de aprobación para enviar reportes.

1. Conserva registros y documentación. Guarda, según el criterio legal aplicable, los expedientes KYC, los logs de transacciones y las comunicaciones con clientes. Facilita la trazabilidad de fondos y la identificación de beneficiarios finales.

1. Capacita personal y realiza auditorías. Forma al equipo en detección de lavado de dinero y actualiza procedimientos conforme cambie el riesgo. Programa auditorías internas y externas sobre cumplimiento.

Acción práctica que puedes hacer sin abogado: empezar a diseñar el formulario de captura de cliente y las reglas básicas de monitoreo, y reunir políticas modelo; luego buscar opinión legal para validar y adaptar a requisitos regulatorios.

Qué puede pasar

1) Se arregla con ajustes operativos. Muchas deficiencias se corrigen con mejoras en procesos y controles sin sanciones mayores si la empresa coopera y demuestra buena fe en la corrección.

2) Procedimiento administrativo y sanciones. Si las autoridades detectan incumplimiento grave, pueden iniciar procedimiento administrativo que implique sanciones, órdenes de ajuste operativo y, en casos de violaciones graves, medidas precautorias sobre operaciones.

3) Sanciones penales o bloqueo operativo. En situaciones de abuso o complicidad en operaciones ilícitas puede abrirse investigación penal; también existe el riesgo de que bancos o pasarelas cierren cuentas si no se demuestra un programa de cumplimiento serio. Si el negocio depende de intermediarios financieros, su rechazo puede comprometer la operación.

Si ganas un procedimiento administrativo, la principal recompensa es la continuidad operativa y el levantamiento de medidas; pero si la autoridad demuestra que recibiste o facilitaste activos ilícitos, el riesgo real es la imposibilidad de operar y sanciones económicas.

Errores que arruinan el caso

• Diseñar el producto antes que el programa de cumplimiento: la arquitectura técnica sin controles hace costoso corregir después.
• Confiar solo en revisiones manuales sin automatización para grandes volúmenes.
• No documentar decisiones de riesgo: sin registros, justificar operaciones ante autoridad será difícil.
• Compartir claves privadas entre personal sin control: crea riesgo de fuga y responsabilidad.
• Subestimar la necesidad de capacitación continua y auditorías independientes.