Diligencia debida del cliente y puntuación de riesgo · Lección 4 de 5
Debida diligencia reforzada y simplificada
9 min de lectura
El enfoque basado en el riesgo funciona en ambos sentidos: mayor escrutinio cuando el riesgo es más alto y menor cuando es demostrablemente más bajo. La debida diligencia reforzada es donde el equipo de cumplimiento debe ejercer más su criterio y, en el ámbito de las criptomonedas, su pregunta más difícil suele ser «¿de dónde proceden estas monedas?». Las medidas simplificadas son igual de importantes, porque aplicar procedimientos completos a todos los clientes de bajo riesgo desperdicia recursos y excluye a las personas que los estándares pretenden proteger.
Cuándo se requiere debida diligencia reforzada
| Supuesto | Referencia en el estándar del GAFI | Qué exige |
|---|---|---|
| Países de mayor riesgo | Recomendación 19 | Debida diligencia reforzada (EDD), proporcional al riesgo, para las relaciones y transacciones con personas de países para los que el GAFI la solicita; contramedidas cuando el GAFI las solicita |
| Personas expuestas políticamente extranjeras | Recomendación 12 | Siempre: aprobación de la alta dirección, medidas razonables para establecer el origen del patrimonio y el origen de los fondos, monitoreo continuo reforzado |
| PEP nacionales y de organizaciones internacionales | Recomendación 12 | Medidas razonables para identificarlas; las mismas medidas que para las PEP extranjeras cuando la relación presenta un mayor riesgo |
| Clientes, productos y actividades de mayor riesgo | Recomendación 10, INR.10 | EDD cuando la evaluación de la empresa o la puntuación del cliente indican un mayor riesgo |
El GAFI publica dos listas públicas (véase la lección El GAFI y el estándar mundial). Para las jurisdicciones de alto riesgo sujetas a un llamado a la acción, solicita debida diligencia reforzada y, en los casos más graves, contramedidas. Para las jurisdicciones bajo monitoreo intensificado, no solicita EDD, sino que pide a las empresas que tengan en cuenta la inclusión en la lista en sus evaluaciones de riesgo. Confundir las dos listas es un error frecuente.
Las medidas relativas a las PEP se extienden a los familiares y asociados cercanos. La Guía del GAFI sobre personas expuestas políticamente (junio de 2013) indica que el tiempo durante el cual se trata como PEP a una persona que ya no ocupa un cargo debe determinarse en función del riesgo, no de un plazo fijo. Las verificaciones deben abarcar tanto a los beneficiarios finales como a los clientes.
Entre los supuestos habituales que requieren EDD en el ámbito de las criptomonedas conforme al enfoque basado en el riesgo se incluyen: operaciones extrabursátiles (OTC) de alto valor; transferencias frecuentes hacia o desde billeteras autocustodiadas; uso de monedas de privacidad o mezcladores; clientes empresariales que sean a su vez proveedores de servicios de activos virtuales (VASP), operadores de juegos de azar o empresas de pagos; estructuras complejas (véase la lección Personas jurídicas y titularidad real); y exposición significativa en la cadena a categorías de alto riesgo. La INR.10 añade ejemplos generales, como clientes no residentes, negocios con uso intensivo de efectivo, accionistas nominales y circunstancias inusuales.
La EDD no sustituye la presentación de reportes. Si los hechos constituyen una sospecha, la empresa presenta un reporte de operación sospechosa; no se limita a recopilar más documentos.
En qué consisten las medidas de EDD
La INR.10 enumera ejemplos que una empresa de criptomonedas puede aplicar directamente:
- obtener más información sobre el cliente (ocupación, volumen de activos, fuentes públicas) y sobre la naturaleza prevista de la relación;
- establecer el origen de los fondos y el origen del patrimonio;
- obtener los motivos de las transacciones previstas o realizadas;
- obtener la aprobación de la alta dirección para iniciar o continuar la relación;
- realizar un monitoreo reforzado, con controles más frecuentes y patrones de transacciones seleccionados para su revisión;
- exigir que el primer pago proceda de una cuenta a nombre del cliente en una institución con estándares similares de debida diligencia del cliente (CDD).
Las medidas adicionales específicas de las criptomonedas incluyen una prueba de que el cliente controla las direcciones desde las que realiza depósitos (véase la lección Billeteras no alojadas y transferencias autocustodiadas), la revisión por parte de un analista del historial en la cadena de esas billeteras, límites más bajos hasta que el expediente esté completo y ciclos de revisión más cortos.
Origen de los fondos y origen del patrimonio
Las preguntas frecuentes del Wolfsberg Group sobre el origen del patrimonio y el origen de los fondos (2020, redactadas para la banca privada y la gestión patrimonial) establecen la distinción que utiliza la mayoría de las empresas:
- El origen del patrimonio (SoW) es la forma en que el cliente acumuló su patrimonio neto total: salario, un negocio, una herencia, ganancias de inversiones, tenencias tempranas de criptomonedas.
- El origen de los fondos (SoF) es la procedencia de los activos específicos utilizados en la relación o transacción: estos 40 BTC, esta transferencia bancaria de 2 millones de USD.
El SoF tiene un alcance más limitado y es más fácil de acreditar. El SoW busca determinar si el patrimonio global del cliente es coherente con su perfil. Una PEP extranjera necesita ambos; un operador con un gran volumen de operaciones y un perfil sin particularidades puede necesitar únicamente el SoF para depósitos elevados.
Acreditar el patrimonio en criptomonedas mediante la cadena
Las criptomonedas generan historias de acumulación patrimonial para las que no se diseñaron los procedimientos tradicionales de SoW. La buena noticia es que gran parte de las pruebas son públicas y tienen marcas de tiempo.
| Origen declarado | Qué solicitar | Comprobaciones en la cadena | Señales de alerta |
|---|---|---|---|
| Minería | Estados de pagos del grupo de minería, contratos de alojamiento o electricidad, facturas de equipos | Pagos desde direcciones atribuidas al grupo de minería, o salidas coinbase en el caso de minería individual, en fechas e importes coherentes con la tasa de hash declarada | Monedas «minadas» que llegan desde un exchange o un mezclador; pagos muy superiores a lo que podrían producir los equipos |
| Tenencias tempranas | Estados de cuenta o correos electrónicos antiguos del exchange, transferencias bancarias al exchange, copias de seguridad de las billeteras | Fecha de la primera recepción de fondos de la dirección, precio en esa fecha y prueba de control mediante un mensaje firmado | Ausencia de prueba de control; monedas que permanecieron inactivas durante años y luego pasaron por un mezclador justo antes del depósito |
| Ingresos de DeFi | Direcciones de las billeteras utilizadas, posiciones en protocolos, informes fiscales o de cartera | Depósitos en protocolos, reclamaciones de recompensas y retiros de liquidez que concuerden con el capital y el rendimiento declarados | «Rendimientos» que en realidad son transferencias entrantes sin relación; vínculos con un protocolo explotado o con su atacante |
| Airdrops | Explicación de los requisitos de elegibilidad, transacciones de reclamación | Una reclamación desde el contrato distribuidor a la dirección del cliente, valorada en la fecha de reclamación | Cientos de billeteras que reclaman y consolidan los fondos en una sola (lo que suele llamarse un patrón sybil), lo cual indica el control de múltiples billeteras y requiere una explicación |
Un método práctico:
- Registrar la declaración del cliente con sus propias palabras, con importes y fechas.
- Recopilar los documentos externos a la cadena que se desprenden de la declaración.
- Obtener una prueba de control de cada dirección en la que se basa la historia.
- Rastrear desde el origen declarado hasta el depósito, anotando cada salto y cualquier servicio intermedio (los métodos de rastreo se abordan en el curso IDFE-CF).
- Conciliar las cantidades y los valores en las fechas pertinentes, utilizando una fuente documentada de precios históricos.
- Redactar una conclusión que indique qué está acreditado, qué es plausible pero no está demostrado y qué queda pendiente.
El criterio es la plausibilidad razonable, no la certeza. Un minero de 2013 rara vez conserva todas las facturas, pero el registro en la cadena puede respaldar o contradecir su historia.
Caso resuelto. El Sr. R, un cliente ficticio, deposita 40 BTC y afirma que los minó en 2013 y 2014. Firma un mensaje con la clave de la dirección de envío. El analista rastrea su procedencia: las monedas se consolidaron en 2014 a partir de muchas salidas pequeñas pagadas por una dirección atribuida a un conocido grupo de minería y no volvieron a moverse hasta el mes pasado. Los pagos del grupo de minería son coherentes con unas pocas máquinas dedicadas a la minería de aquella época, y el Sr. R aporta una publicación antigua en un foro y un recibo de compra de equipos. Conclusión: SoF acreditado en la cadena, SoW plausible; aprobar con monitoreo estándar. Si, en cambio, el rastreo hubiera mostrado que los 40 BTC llegaron desde un exchange en 2021, la historia de la minería quedaría contradicha y el expediente se remitiría a una instancia superior.
Cuándo son aceptables las medidas simplificadas
La debida diligencia simplificada (SDD) está permitida cuando se ha identificado un riesgo menor mediante un análisis adecuado realizado por el país o la empresa. En febrero de 2025, el GAFI modificó la Recomendación 1, su Nota Interpretativa y partes de la INR.10 y la INR.15 para que los países deban permitir y fomentar explícitamente las medidas simplificadas en escenarios de menor riesgo, y sustituyó «acorde» por «proporcional» en todas las Recomendaciones. Ahora se espera que los supervisores comprueben que las empresas no estén aplicando medidas de cumplimiento excesivas.
La INR.10 ofrece ejemplos de medidas simplificadas:
- verificar la identidad después de que se haya iniciado la relación;
- actualizar los datos del cliente con menor frecuencia;
- reducir la intensidad del monitoreo continuo, por ejemplo, utilizando un umbral monetario;
- inferir el propósito y la naturaleza de la relación a partir del tipo de producto en lugar de recopilar información específica.
Para un VASP, esto podría significar un nivel con límites bajos, utilizando un nivel de garantía menor, como sugiere la Guía del GAFI sobre identidad digital para la CDD por niveles, con pequeños depósitos en moneda fiduciaria, topes mensuales bajos y retiros únicamente a una cuenta a nombre del cliente, y CDD completa una vez alcanzados los topes. La SDD sigue exigiendo identificar al cliente. Nunca es aceptable cuando existe una sospecha de lavado de activos o financiamiento del terrorismo, o cuando se dan escenarios específicos de mayor riesgo.
Enfoque del examen: los supuestos que requieren EDD en R.19, R.12 e INR.10, y la diferencia entre las dos listas públicas del GAFI; las medidas relativas a las PEP, incluidos los familiares, los asociados cercanos y el tratamiento basado en el riesgo de quienes han dejado de ser PEP; los ejemplos de medidas de EDD de la INR.10 y las medidas adicionales para criptomonedas; el origen del patrimonio frente al origen de los fondos; la acreditación en la cadena de la minería, las tenencias tempranas, los ingresos de DeFi y los airdrops, con sus señales de alerta; el método de seis pasos para SoW y SoF y el criterio de plausibilidad; cuándo son aceptables las medidas simplificadas, los cambios de febrero de 2025 sobre proporcionalidad y por qué nunca se permite la SDD cuando existe sospecha.