Quiero establecer un sistema de compliance KYC/AML en mi exchange

¿Tienes razón?

Si quieres operar un exchange en España o prestar servicios sujetos a prevención de blanqueo, no basta con una checklist técnica: lo que determina si tu sistema es aceptable es la coherencia entre políticas escritas, procedimientos operativos, tecnología aplicada y la actuación del responsable de cumplimiento. Los factores clave son: identificar el alcance de los servicios que ofreces (custodia, intercambio, wallet hosting), la clasificación de tu cliente (profesional o particular), los riesgos inherentes a los activos que manejas, y los controles para detectar operaciones sospechosas. Otra variable decisiva es la documentación: conservar registros de due diligence, evaluaciones de riesgo y reportes a las autoridades es la base para justificar tu actuación.

Un buen sistema requiere además segregación de funciones —por ejemplo, que quien ejecuta operaciones no sea la misma persona que aprueba excepciones— y pruebas de que aplicas medidas proporcionales al riesgo. Si tu sistema sólo es un procedimiento técnico sin responsable ni documentación, estarás expuesto a sanciones y a la inmovilización de activos por exigencia administrativa. Por tanto, lo importante no es sólo implantar KYC/AML, sino demostrar que se aplica y se revisa.

Cómo se soluciona

1. Define el alcance y el mapa de riesgos.

• Identifica los servicios que prestas y los productos ofrecidos. Clasifica clientes y activos según riesgo inherente.
• Elabora matriz de riesgos para tipificar clientes, jurisdicciones y operaciones sospechosas.

1. Redacta políticas y procedimientos escritos.

• Crea una política KYC/AML que describa identificación de clientes, procedimientos de onboarding, verificación documental y monitorización continua. Incluye protocolos para operaciones de alto riesgo y para reportes internos.
• Documenta el procedimiento de bloqueo y conservación de activos en sospecha de delito o en caso de requerimiento de autoridad.

1. Nombra un Responsable de Cumplimiento y define funciones.

• El responsable debe tener autoridad y acceso a la dirección. Define sus responsabilidades, la cadena de reporte y el protocolo para reportes a la autoridad competente.

1. Implementa controles técnicos y formación.

• Integra soluciones de verificación de identidad, listas de sanciones y sistemas de monitorización de transacciones. Configura alertas que permitan revisar patrones inusuales.
• Impulsa formación periódica para el personal que realiza onboarding y revisiones.

1. Registra, audita y mejora.

• Conserva registros de due diligence y de decisiones sobre operaciones; prepara auditorías internas y externas. Revisa y actualiza las políticas de forma periódica conforme evolucionan riesgos y normativa.

Qué puedes hacer por tu cuenta: diseñar el mapa de riesgos básico, redactar una primera versión de políticas y solicitar herramientas tecnológicas; puedes también formar al equipo con materiales básicos. Qué necesita un abogado o consultor de cumplimiento: adaptar las políticas a la normativa española y europea vigente, redactar documentación legal, y ayudar en la relación con la autoridad competente y en procedimientos de reporte de operaciones sospechosas.

Qué puede pasar

1) Se arregla con una carta y ajuste operativo: muchas deficiencias se corrigen con un plan de remediación y mejora de controles. Si una autoridad detecta fallos, a veces basta con demostrar un plan serio y su implementación para evitar sanciones mayores.

2) Acuerdo administrativo: puedes negociar medidas correctoras formales con la autoridad, que incluyen auditorías, informes periódicos y la obligación de subsanar deficiencias. Ese acuerdo permite seguir operando con supervisión reforzada.

3) Sanción o medidas coercitivas: si las deficiencias son graves o hay incumplimiento reiterado, la autoridad puede imponer sanciones, suspensiones o exigencias de bloqueo de cuentas y reporte de transacciones. En ese escenario, la defensa jurídica tratará de mitigar la sanción mostrando diligencia y medidas de remediación aplicadas.

Y si ganas una disputa administrativa, ¿significa que no habrá consecuencias? Ganar un recurso puede revertir una sanción formal, pero la reputación y la relación con partners y bancos pueden haberse visto afectadas. Por eso conviene implantar medidas sólidas desde el inicio.

Errores que arruinan el caso

• Documentación incompleta o desaparecida de due diligence: no podrás justificar decisiones ante la autoridad.
• No nombrar responsable de cumplimiento: la ausencia de un responsable con autoridad dificulta remedios y es un fallo táctico grave.
• Configurar alertas sin procedimiento para revisarlas: las alertas tecnológicas sin proceso humano para evaluarlas son inservibles.
• Externalizar por completo sin control: la subcontratación de verificación no exime de responsabilidad; necesitas comprobar controles de terceros.
• No formar al personal: la falta de formación es repetidamente señalada en sanciones y procedimientos administrativos.