Obligaciones AML/CFT para los VASP · Lección 2 de 5
El VASP como entidad obligada
9 min de lectura
Antes de que una empresa pueda diseñar un programa de AML/CFT, debe responder una pregunta previa: ¿somos una entidad obligada y, de ser así, respecto de cuáles de nuestras actividades? Equivocarse sobre el alcance tiene un costo elevado. Una empresa que concluye erróneamente que está fuera del perímetro opera sin licencia y sin controles; una empresa que no puede explicar por qué un producto queda fuera del alcance tendrá dificultades ante un supervisor o un socio bancario.
Las definiciones del GAFI
El Glosario del GAFI contiene las dos definiciones que la mayoría de los regímenes nacionales copian o adaptan.
Un activo virtual (VA) es una representación digital de valor que puede negociarse o transferirse digitalmente y que puede utilizarse para pagos o fines de inversión. No incluye las representaciones digitales de monedas fiat, valores y otros activos financieros que ya están contemplados en otras partes de las Recomendaciones del GAFI.
Un proveedor de servicios de activos virtuales (VASP) es toda persona natural o jurídica que no esté contemplada en otra parte de las Recomendaciones y que, como actividad empresarial, realice una o más de las siguientes actividades por cuenta de otra persona natural o jurídica, o en su nombre:
- intercambio entre activos virtuales y monedas fiat;
- intercambio entre una o más formas de activos virtuales;
- transferencia de activos virtuales (trasladar un VA de una dirección o cuenta a otra por cuenta de otra persona);
- custodia y/o administración de activos virtuales o de instrumentos que permitan controlar activos virtuales;
- participación en la prestación de servicios financieros relacionados con la oferta y/o venta de un activo virtual por parte de un emisor.
La Recomendación 15 y su Nota Interpretativa someten entonces a los VASP a las mismas medidas preventivas que las instituciones financieras (Recomendaciones 10 a 21): debida diligencia del cliente, conservación de registros, monitoreo, reporte de transacciones sospechosas, sanciones financieras dirigidas y la Travel Rule. Los bancos y las empresas de valores que ofrecen las mismas actividades ya son entidades obligadas. En la lección La Recomendación 15 y su Nota Interpretativa se explica en detalle lo que los países deben hacer en virtud de la R.15.
Interpretación funcional de la definición
La Guía actualizada del GAFI sobre un enfoque basado en el riesgo para los activos virtuales y los VASP (octubre de 2021) pide a los países que interpreten ambas definiciones de forma amplia y apliquen un enfoque funcional: lo que importa es el servicio que realmente se presta, no la denominación, el marketing ni la tecnología. Cuatro expresiones son determinantes.
- «Como actividad empresarial» excluye las actividades ocasionales y no comerciales. Una persona que vende sus propias monedas una sola vez no es un VASP; una persona que compra y vende regularmente por cuenta de otros, a cambio de una comisión o un margen, sí lo es.
- «Por cuenta de otra» persona o en su nombre excluye la actividad realizada por cuenta propia. Una empresa de trading que invierte su propia tesorería no es un VASP por esa actividad.
- El control es el hilo conductor de la custodia, la transferencia y el intercambio. Tener las claves, poder mover o bloquear los activos de los clientes o poder cambiar el funcionamiento de un servicio son indicios de que se trata de un VASP.
- «No contemplada en otra parte» evita la doble cobertura. Todos los activos pertinentes están cubiertos por los estándares, ya sea como VA o como otro activo financiero; por lo tanto, la pregunta es qué conjunto de reglas se aplica, no si se aplica alguno.
Qué queda fuera
La guía menciona varias actividades que quedan fuera de la definición de VASP cuando eso es todo lo que hace la persona.
| Fuera de la definición | Por qué | Cuándo puede cambiar |
|---|---|---|
| Desarrolladores y editores de software, incluido el software de billeteras no alojadas | Escribir o vender software no es un servicio prestado a terceros | El desarrollador también custodia claves, ejecuta transferencias u opera un servicio de exchange |
| Fabricantes de billeteras de hardware | Vender un dispositivo no es prestar un servicio de custodia | La empresa también ofrece custodia o recuperación que le otorga control |
| Infraestructura auxiliar (alojamiento, nube, conectividad) | Da soporte al servicio de otra empresa, pero no lo presta | El proveedor asume por sí mismo una actividad contemplada |
| Validadores de transacciones y mineros | Validar bloques no es un servicio para un cliente determinado | El validador también presta servicios de staking o custodia a clientes |
| Usuarios de billeteras no alojadas que actúan por cuenta propia | Actúan por cuenta propia | El usuario empieza a comprar y vender para terceros como actividad empresarial |
| Transferencias entre pares (P2P) puras entre personas | No interviene ningún intermediario | Una plataforma mantiene fondos en depósito en garantía, empareja órdenes con control o realiza intercambios por cuenta de terceros |
Quedar fuera de la definición no significa quedar fuera del programa de cumplimiento de un VASP. Las transferencias desde y hacia billeteras no alojadas y la actividad P2P son factores de riesgo que la empresa debe evaluar, como se explica en las lecciones Riesgos tecnológicos específicos de las criptomonedas y Billeteras no alojadas y transferencias autogestionadas.
DeFi y la prueba de propietarios/operadores
La guía establece una distinción cuidadosa para las finanzas descentralizadas (DeFi). Una aplicación DeFi, es decir, el software, no es un VASP, porque los estándares no se aplican a la tecnología subyacente. Sin embargo, los creadores, propietarios y operadores, u otras personas que mantienen el control o una influencia suficiente sobre un acuerdo DeFi, pueden ser VASP cuando prestan o facilitan activamente servicios contemplados, aunque el acuerdo se autodenomine descentralizado.
Entre los factores que el GAFI señala para realizar esa evaluación se encuentran:
- el control sobre el protocolo o la capacidad de establecer o cambiar sus parámetros (en la práctica, claves de administrador, derechos de actualización o la facultad de pausar contratos);
- una relación comercial continua con los usuarios, aunque se lleve a cabo mediante un contrato inteligente o un protocolo de votación;
- obtener ganancias del servicio, por ejemplo, cobrando comisiones o márgenes.
En la práctica, los equipos de cumplimiento también preguntan si alguien puede mover, congelar o redirigir los activos de los usuarios, ya que eso constituye una prueba directa de control.
La descentralización es una cuestión de hecho, no de marketing. Un operador de interfaz que cobra comisiones por cada swap y puede cambiar los contratos de enrutamiento es muy distinto de un protocolo cuyas claves se destruyeron hace años. Cuando no se puede identificar a ninguna persona con control o influencia suficiente, el GAFI espera que los países monitoreen los riesgos y consideren medidas de mitigación; además, sus posteriores actualizaciones específicas han señalado reiteradamente que DeFi sigue siendo un desafío de implementación pendiente.
NFT y monedas estables
El enfoque funcional se aplica tanto a los activos como a los servicios.
Los tokens no fungibles (NFT) que son únicos y se utilizan en la práctica como objetos de colección generalmente no son VA según la definición del GAFI. Un NFT que se utiliza en la práctica para pagos o inversiones —por ejemplo, tokens emitidos en grandes series fungibles o fraccionados y negociados como inversiones— puede ser un VA, y las plataformas que lo intercambian o custodian por cuenta de terceros pueden ser VASP. Un NFT que simplemente representa un valor está cubierto como valor.
Las monedas estables pueden ser VA u otros activos financieros según su diseño; en cualquier caso, están cubiertas. La guía establece que el órgano central de gobernanza de una moneda estable, es decir, las personas que establecen las reglas del acuerdo, estará por lo general cubierto por los estándares como VASP o institución financiera, en particular si también desempeña otras funciones en el acuerdo. El informe específico del GAFI sobre monedas estables y billeteras no alojadas (marzo de 2026) mencionó como buena práctica exigir a los emisores que adopten controles basados en el riesgo, como la capacidad de congelar, quemar o retirar tokens del mercado secundario.
Una tabla de decisión
La siguiente tabla aplica las definiciones a modelos de negocio comunes. Es una herramienta de análisis; la respuesta final depende de los hechos y de la implementación nacional.
| Modelo de negocio | ¿Probablemente es un VASP? | Razonamiento |
|---|---|---|
| Exchange con depósitos en fiat y custodia | Sí | Actividades 1, 2 y 4 para clientes, como actividad empresarial |
| Operador de cajeros automáticos o quioscos de criptomonedas | Sí | Intercambio entre VA y fiat para clientes |
| Mesa OTC que realiza operaciones para clientes | Sí | Intercambio por cuenta de terceros; operar solo por cuenta propia no lo es |
| Custodio que mantiene claves para fondos | Sí | Custodia y administración |
| Aplicación de billetera sin custodia que no cobra comisiones por transferencias | Por lo general, no | Solo software; el usuario conserva las claves |
| Interfaz de DEX con claves de administrador y mecanismo de comisiones | Posiblemente | Hay indicios de control y de obtención de ganancias |
| Mercado de NFT de arte coleccionable | Por lo general, no | Los objetos de colección generalmente no son VA; revisar si se negocian series como inversiones |
| Plataforma de venta de tokens para emisores | Sí | Servicios financieros relacionados con la oferta de un emisor |
Registro o licencia en todos los casos
En virtud de la Nota Interpretativa de la R.15, los VASP deben estar autorizados o registrados, como mínimo, en la jurisdicción donde se constituyen y, en el caso de las personas naturales, donde se encuentre su lugar de actividad. Los países también pueden exigir la autorización de los VASP que presten servicios a clientes en su territorio o que operen desde él, y muchos lo hacen. Asimismo, los países deben tomar medidas para identificar a las personas que operan sin licencia o registro e imponer sanciones. Un país puede prohibir la actividad de los VASP, pero entonces debe hacer cumplir la prohibición.
Para un responsable de cumplimiento, esto tiene tres consecuencias. Analice todas las actividades frente a la definición en cada país donde atienda a clientes, porque los regímenes varían en cuanto a umbrales, alcance de DeFi y tipos de licencias disponibles (véase la lección Cómo implementan los regímenes nacionales el estándar). Documente el análisis, incluidos los motivos por los que los productos quedan fuera del alcance. Y evalúe a las contrapartes de la misma manera: determinar si otro VASP está debidamente registrado es una de las primeras cuestiones de la debida diligencia de contrapartes.
Enfoque del examen: las definiciones del GAFI de activo virtual y VASP, y las cinco actividades; el significado de «como actividad empresarial» y «por cuenta de otra persona o en su nombre»; el enfoque funcional (la sustancia por encima de la denominación y la tecnología); qué queda fuera de la definición (software, hardware, infraestructura auxiliar, validadores, usuarios de billeteras no alojadas y P2P puro) y cuándo puede cambiar; la prueba de propietarios/operadores de DeFi y sus indicios de control, relación y obtención de ganancias; el tratamiento de los NFT y las monedas estables; la autorización o el registro, al menos en el lugar de constitución del VASP, y la obligación de identificar a los operadores sin licencia.