Quiero aceptar cripto en mi empresa y cumplir PLD/FT

¿Tienes razón?

Lo que determina si tienes obligación de PLD/FT son tres cosas: la actividad económica que desarrollas, cómo integras los activos digitales en tu proceso de negocio y si la ley te considera sujeto obligado. No todas las empresas que aceptan cripto están en el mismo nivel de regulación: una pasarela de pagos o un servicio de custodia enfrenta requisitos distintos a un comercio que solo recibe cripto como pago por bienes. También importa cómo transformas la cripto: si la conviertes a pesos, si la custodias en nombre de clientes, o si haces intercambio entre usuarios.

Además, el tamaño y la frecuencia de las operaciones, y la relación con plataformas extranjeras, condicionan los controles que debes aplicar. Si operas con entidades internacionales o si tus clientes usan servicios que permiten el anonimato, tendrás que reforzar medidas de conocimiento de cliente (KYC) y de monitoreo de transacciones.

Cómo se soluciona

1. Determina si eres sujeto obligado. Revisa la normativa mexicana aplicable y analiza tu modelo de negocio: recibir un pago puntal de cripto difiere de operar un exchange o custodiar activos por terceros. Si eres sujeto obligado, pasarás a implementar un programa de cumplimiento.
2. Diseña un Programa de Prevención. Elabora políticas internas, procedimientos operativos y controles de KYC/AML adaptados a activos digitales. Incluye evaluación de riesgo por cliente, por producto y por jurisdicción, y define umbrales de revisión para identificar operaciones inusuales.
3. Implementa KYC reforzado. Para clientes y contrapartes establece procesos para verificar identidad, obtener documentación y evaluar el origen de fondos. Usa proveedores de verificación digital cuando proceda y conserva evidencia con metadatos. Documenta la vinculación entre identidad y direcciones on‑chain.
4. Monitorea transacciones on‑chain y off‑chain. Configura alertas para movimientos atípicos, consolidaciones de fondos y transacciones desde direcciones asociadas a actividades ilícitas. Integra herramientas de trazabilidad blockchain y registra los resultados de los análisis.
5. Reporta a la autoridad competente cuando identifiques operaciones relevantes o intentos de lavado. Mantén registro de reportes y de las decisiones internas que sostuvieron la clasificación.
6. Forma al personal y nombra responsables. Designa un oficial de cumplimiento con funciones claras y protocolos para la conservación de documentación y la auditoría interna.

Qué puedes hacer solo hoy: mapear los flujos de cripto en tu operación y guardar capturas de las integraciones técnicas. Qué debe hacer un abogado: revisar si eres sujeto obligado, redactar el programa de cumplimiento y adaptar contratos con proveedores y clientes para cubrir responsabilidades.

Qué puede pasar

1) Se resuelve internamente con ajustes de control. Muchas empresas que empiezan a aceptar cripto lo solucionan implementando controles y políticas, sin sanción, cuando la obligación no estaba completamente cubierta.

2) Acuerdo con autoridad o multa administrativa. Si la autoridad detecta incumplimiento, puede imponerse una sanción administrativa y exigirse la adecuación del programa de cumplimiento. Aceptar la imposición y corregir las fallas suele ser una salida frecuente.

3) Sanción y consecuencias penales en casos graves. Cuando hay indicios de colaboración con operaciones ilícitas, la investigación puede derivar en acciones penales o decomisos. Si las conductas son atribuibles a la empresa por falta de controles, la responsabilidad puede llegar a personas físicas encargadas.

Y si ganas un recurso administrativo, ¿recuperas el negocio? Cumplir con un programa robusto mejora la confianza de clientes y bancos; pero la reparación reputacional es gradual y depende de la transparencia en la corrección.

Errores que arruinan el caso

• No documentar la relación entre dirección on‑chain y la identidad real del cliente.
• Confiar solo en capturas de pantalla de exchanges sin exportar históricos y hashes.
• No articular acuerdos contractuales con proveedores de custodia que delimiten responsabilidades.
• No actualizar el programa conforme cambian las amenazas y los proveedores tecnológicas.
• Tratar la PLD/FT como un trámite burocrático en lugar de un proceso transversal de la empresa.