Debida diligencia continua y salidas

La debida diligencia del cliente no termina cuando se abre la cuenta. Un cliente incorporado como operador minorista de bajo riesgo puede convertirse en mula de dinero, víctima de una estafa o fachada de otra persona en cuestión de meses, y el expediente solo es útil si se actualiza cuando cambia el cliente. Esta lección abarca cómo mantener los datos actualizados, detectar cambios de comportamiento, realizar búsquedas de noticias adversas, restringir y terminar relaciones, y hacerlo todo sin alertar al cliente ni excluir a grupos enteros del sistema regulado.

Qué significa la debida diligencia continua

La Recomendación 10 del GAFI exige la debida diligencia continua en todas las relaciones comerciales. Tiene dos partes:

• examinar las transacciones durante toda la relación para asegurarse de que sean coherentes con lo que la empresa sabe del cliente, su negocio y perfil de riesgo y, cuando sea necesario, el origen de sus fondos;
• mantener actualizados y pertinentes los documentos, datos e información, mediante la revisión de los registros existentes, especialmente en el caso de clientes de mayor riesgo.

La primera parte es el tema del monitoreo de transacciones (consulta la lección Monitoreo de transacciones para empresas de criptomonedas). Esta lección se centra en el expediente del cliente y en las decisiones que se derivan de él.

Mantener los datos actualizados

Los ciclos de revisión se determinan según la puntuación de riesgo del cliente: revisiones periódicas por categoría, además de revisiones activadas por eventos (consulta la lección Puntuación del riesgo del cliente). En la práctica, los datos quedan desactualizados de maneras previsibles:

Muchas empresas están pasando de las revisiones por calendario a la revisión basada en eventos (a veces llamada KYC perpetuo): las fuentes de datos y las señales de monitoreo activan actualizaciones específicas, de modo que no se solicitan documentos sin motivo a un cliente de bajo riesgo, mientras que se revisa oportunamente a un cliente cuyo perfil ha cambiado. El calendario sigue siendo una medida de respaldo. Cada campo del expediente debe incluir la fecha de su última verificación, para que los datos desactualizados sean visibles.

Detectar cambios de comportamiento

El perfil recopilado durante la incorporación es la referencia inicial. Entre las señales de que el riesgo de un cliente ha cambiado se incluyen:

• volúmenes muy superiores a la actividad prevista declarada, o un cambio repentino en el tamaño o el ritmo de las transacciones;
• nuevos tipos de activos, como el primer uso de monedas de privacidad;
• nuevas contrapartes: mezcladores, exchanges de alto riesgo, servicios de apuestas, muchas billeteras autocustodiadas sin relación entre sí;
• inicios de sesión desde nuevos países, ubicaciones de IP que no coinciden con la residencia declarada o varios clientes que comparten un dispositivo;
• una cuenta inactiva que se reactiva repentinamente, especialmente después de un cambio de credenciales;
• entradas de fondos de muchas personas sin relación entre sí seguidas de retiros rápidos, un patrón clásico de mula de dinero.

Una regla sencilla puede convertir la primera señal en un desencadenante de revisión:

-- Clientes cuyas entradas de fondos durante 30 días superan tres veces su volumen mensual declarado
SELECT c.customer_id,
       c.expected_monthly_usd,
       SUM(t.amount_usd) AS inflow_30d,
       SUM(t.amount_usd) / NULLIF(c.expected_monthly_usd, 0) AS ratio
FROM customers c
JOIN transactions t ON t.customer_id = c.customer_id
WHERE t.direction = 'in'
  AND t.booked_at >= CURRENT_DATE - INTERVAL '30' DAY
GROUP BY c.customer_id, c.expected_monthly_usd
HAVING SUM(t.amount_usd) > 3 * c.expected_monthly_usd
   AND SUM(t.amount_usd) > 10000;

La consulta suma las transacciones entrantes de cada cliente (fiat y criptomonedas, convertidas a USD en el momento de contabilizarlas) de los últimos 30 días y las compara con el volumen mensual previsto declarado. NULLIF evita la división por cero cuando no se registró ningún valor previsto, y la segunda condición HAVING descarta las cuentas pequeñas en las que triplicar el volumen no es significativo. La aritmética de fechas varía según el motor (algunos usan DATEADD o DATE_SUB en lugar de INTERVAL). El resultado debería iniciar una revisión del cliente, no una alerta que deba cerrarse en cuestión de minutos: el analista evalúa si es necesario cambiar el perfil, la puntuación de riesgo o la relación. El multiplicador y el umbral mínimo son ilustrativos y deben ajustarse (consulta la lección Ajuste, métricas y gobernanza de modelos).

Búsqueda de noticias adversas

Las noticias adversas (noticias negativas) son información pública creíble que vincula a un cliente o titular real con delitos financieros u otros daños relacionados. Las preguntas frecuentes sobre la revisión de noticias negativas del Grupo Wolfsberg (2022) respaldan un enfoque basado en el riesgo: definir qué temas son pertinentes, qué fuentes son creíbles y qué profundidad de búsqueda se requiere para cada nivel de riesgo, en lugar de tratar cada mención como un resultado positivo. Un procedimiento viable:

1. Definir el alcance: categorías como fraude, corrupción, evasión de sanciones, terrorismo, delincuencia organizada, delitos fiscales y ciberdelincuencia.
2. Confirmar la coincidencia: verificar que el artículo se refiere a este cliente mediante la fecha de nacimiento, la ubicación, el negocio y las fotografías, no solo el nombre.
3. Ponderar: distinguir entre acusaciones, cargos y condenas, así como entre medios consolidados y publicaciones anónimas.
4. Decidir y dejar constancia: ningún impacto, cambio en la puntuación de riesgo, debida diligencia reforzada o reporte de transacción sospechosa, con el razonamiento correspondiente.

El sector de las criptomonedas añade sus propias fuentes: acusaciones de rug pulls en redes sociales, hilos de investigadores que atribuyen un exploit, advertencias de la comunidad sobre los fundadores de un token. Pueden ser tempranas y acertadas, o equivocadas y malintencionadas; por eso, deben ponderarse como cualquier otra fuente y buscar corroboración en la cadena.

Restringir cuentas

Entre «continuar» y «terminar la relación» existe una gama de medidas graduales:

• solicitar al cliente información sobre una actividad concreta;
• reducir los límites de depósito o retiro;
• deshabilitar productos específicos, como los retiros a billeteras autocustodiadas o las operaciones OTC;
• intensificar el monitoreo y fijar una fecha de revisión más próxima;
• retener fondos específicos mientras se resuelven las dudas, cuando las condiciones de la empresa y la ley lo permitan.

Un congelamiento obligatorio es distinto: cuando los fondos pertenecen a una persona designada, la legislación sobre sanciones exige congelarlos y presentar un reporte, independientemente de las preferencias de la empresa (consulta la lección Revisión de billeteras y transacciones). Cada restricción debe indicar el motivo, quién la aprobó y la fecha de revisión, para que no se convierta en un bloqueo permanente e inexplicado.

Reducción del riesgo frente a gestión del riesgo

La reducción del riesgo (de-risking) consiste en poner fin a relaciones o negarse a establecerlas con categorías enteras de clientes para evitar el riesgo en lugar de gestionarlo. En octubre de 2014, el GAFI afirmó que el enfoque basado en el riesgo requiere decisiones caso por caso, no una reducción indiscriminada del riesgo. En octubre de 2021 publicó un balance de las consecuencias no deseadas de sus estándares, que abarcaba la reducción del riesgo, la exclusión financiera, la focalización indebida de organizaciones sin fines de lucro y la limitación de los derechos humanos. Sus enmiendas de febrero de 2025 sobre proporcionalidad ahora piden a los supervisores que comprueben si hay cumplimiento excesivo.

El razonamiento es práctico además de social. Los clientes excluidos de empresas reguladas no dejan de realizar transacciones; se trasladan a plataformas no reguladas y canales entre pares donde nadie realiza revisiones ni presenta reportes. Terminar la relación con un cliente cuyo riesgo supera el apetito de riesgo de la empresa y no puede mitigarse es una gestión del riesgo sensata. Cerrar todas las cuentas de un país o de todos los clientes que usan billeteras autocustodiadas no lo es.

Terminar la relación sin alertar al cliente

Cuando se decide terminar la relación, el orden de los pasos importa:

1. Decidir y documentar: una persona autorizada aprueba la terminación y deja constancia de los motivos.
2. Considerar presentar un reporte primero: si la terminación se debe a una sospecha, o la empresa no pudo completar la DDC, considera presentar un reporte de transacción sospechosa antes de actuar; la Recomendación 10 exige expresamente hacerlo cuando no se pudo completar la DDC. Cuando la ley exige el consentimiento de la autoridad antes de transferir los fondos, hay que obtenerlo.
3. Comprobar si hay un congelamiento: una obligación relacionada con sanciones prevalece sobre cualquier devolución de fondos.
4. Notificar de forma neutral: basarse en el derecho contractual a poner fin a la relación, sin mencionar sospechas ni reportes. El personal que se comunique con el cliente debe tener un guion aprobado.
5. Devolver los saldos de forma segura: a una cuenta bancaria a nombre del cliente o a una dirección cuyo control haya demostrado el cliente, no a una nueva dirección de un tercero proporcionada al terminar la relación.
6. Impedir el reingreso: marcar la identidad, los dispositivos y las billeteras para que el cliente no pueda simplemente volver a abrir una cuenta, dentro de los límites de la protección de datos.
7. Conservar los registros durante al menos cinco años después de que termine la relación (consulta la lección Conservación de registros, protección de datos e intercambio de información).

Alertar al cliente (tipping-off) significa revelar que se está presentando o ya se presentó un reporte de transacción sospechosa, o información relacionada, lo cual está prohibido por la Recomendación 21 (consulta la lección Obligaciones de presentación de reportes de transacciones sospechosas). La INR.10 añade que, cuando una empresa tiene una sospecha y cree razonablemente que continuar con la DDC alertaría al cliente, puede detener el proceso de DDC y presentar un reporte en su lugar. Un aviso de terminación que diga «nuestro equipo de cumplimiento tiene inquietudes sobre sus transacciones» ya podría alertar al cliente; uno que cite las condiciones del servicio no lo hace.

Enfoque del examen: las dos partes de la debida diligencia continua según la R.10; la revisión periódica frente a la basada en eventos y el registro de la fecha de cada campo de datos; las señales de cambios de comportamiento y una regla sencilla que compare el volumen con el perfil; un procedimiento de revisión de noticias adversas basado en el riesgo (definir el alcance, confirmar la coincidencia, ponderar, decidir); las restricciones graduales frente a los congelamientos obligatorios por sanciones; la postura del GAFI sobre la reducción del riesgo (declaración de 2014, balance de 2021, cambios de proporcionalidad de 2025); la secuencia para terminar la relación, incluida la presentación de reportes antes de terminarla, la devolución segura de fondos y la conservación de registros; alertar al cliente conforme a la R.21 y la opción de la INR.10 de detener la DDC y presentar un reporte.