Nuevo marco europeo AML

Para las organizaciones, el impacto irá mucho más allá de la adaptación de políticas y procedimientos. La calidad de los datos, la evaluación del riesgo, la identificación de los titulares reales, los controles de filtrado y monitorización de listas globales y la capacidad de justificar las decisiones adoptadas, pasarán a desempeñar un papel cada vez más relevante.

El verdadero reto no consistirá únicamente en incorporar nuevas obligaciones regulatorias, sino en asegurar que los controles responden adecuadamente a los riesgos identificados, se aplican de forma consistente y pueden sostenerse ante unas expectativas supervisoras cada vez más exigentes.

Los cuatro pilares del nuevo marco europeo AML (antiblanqueo de capitales)

• Reglamento (UE) 2024/1624: constituye el marco normativo único europeo en materia de prevención del blanqueo de capitales y la financiación del terrorismo. Sus disposiciones serán directamente aplicables a los sujetos obligados comprendidos en su ámbito de aplicación, e incluyen requisitos sobre evaluación de riesgos, controles internos, diligencia debida, titularidad real, comunicación de operaciones sospechosas, conservación de documentación y determinados controles relacionados con las sanciones financieras específicas.
• Sexta Directiva (UE) 2024/1640 de prevención de blanqueo de capitales: establece los mecanismos que deberán desarrollar los Estados miembros, incluidas las funciones y facultades de las autoridades supervisoras y de las unidades de inteligencia financiera, los registros de titularidad real, así como la cooperación entre autoridades. Al tratarse de una directiva, debe ser transpuesta a la legislación nacional de cada país miembro.
• Reglamento (UE) 2024/1620: por el que se crea la nueva Autoridad para la Lucha contra el Blanqueo de Capitales y la Financiación del Terrorismo (AMLA, por sus siglas en inglés), con sede en Frankfurt, Alemania. AMLA promoverá la convergencia supervisora de la UE, reforzará la cooperación entre las unidades de inteligencia financiera y supervisará directamente a determinadas entidades y grupos del sector financiero seleccionados conforme a criterios que incluyen su nivel de riesgo y su actividad transfronteriza.
• Reglamento (UE) 2023/1113 sobre transferencias de fondos y criptoactivos: amplía y refuerza la información que debe acompañar a las transferencias de fondos y de determinados criptoactivos para facilitar su identificación y seguimiento. Sus requisitos son aplicables desde el 30 de diciembre de 2024.

Fechas clave

¿Qué deberán reforzar las organizaciones antes de 2027?

Aunque el nuevo marco europeo establece reglas comunes, su impacto variará significativamente entre organizaciones en función de su actividad, los mercados y jurisdicciones en los que operan, su perfil de riesgo y su grado de madurez. No todas las entidades deberán realizar los mismos cambios, pero sí responder a una expectativa común: demostrar que sus controles son adecuados para los riesgos a los que están expuestas y que funcionan de forma efectiva en la práctica.

Para muchas organizaciones, esto supondrá revisar no solo sus políticas y procedimientos, sino también sus datos, procesos operativos, sistemas de control y mecanismos de supervisión y auditorías. Las seis áreas que se presentan a continuación representan algunos de los ámbitos donde previsiblemente se concentrarán los principales esfuerzos de adaptación.

1. Un enfoque basado en el riesgo como punto de partida de los controles

La armonización reducirá el margen para aplicar estándares materialmente distintos según la jurisdicción. Las entidades deberán conectar su evaluación global de riesgos con políticas, controles, escenarios de monitorización, frecuencia de revisión y decisiones de aceptación o continuidad de clientes. La cuestión ya no será únicamente qué controles existen, sino por qué son adecuados para el riesgo identificado de cada entidad, cómo se aplican en la práctica y qué información sustenta las decisiones adoptadas. Las futuras normas técnicas y regulatorias europeas establecerán directrices concretas y requisitos específicos sobre la recolección de datos. Por ello, los programas deberán distinguir entre obligaciones ya establecidas en la normativa y aspectos operativos que aún se encuentran en desarrollo.

2. Diligencia debida y monitorización continua

La diligencia debida deja de percibirse como un ejercicio concentrado en el alta de clientes. La identificación y verificación del cliente, los controles sobre titularidad real, el propósito de la relación, la evaluación del riesgo y la monitorización continua deberán mantenerse alineadas durante todo el ciclo de vida de la relación. La principal implicación para las organizaciones es que la diligencia debida dejará de ser vista como un proceso de incorporación para convertirse en un proceso continuo de evaluación del cliente. Las revisiones periódicas deberán ser proporcionales al riesgo y apoyarse en la capacidad de identificar cambios en la propiedad, el control, la actividad, la exposición geográfica o el comportamiento transaccional.

3. Titularidad real: mayores exigencias de documentación y verificación

El Reglamento armoniza los criterios de titularidad y control en toda la Unión Europea. La referencia se sitúa en una participación del 25 % o más de las acciones, los derechos de voto u otros intereses de la propiedad, pero la identificación de la titularidad real no podrá limitarse a un cálculo basado únicamente en porcentajes de participación. El control ejercido por otros medios seguirá siendo un elemento clave, especialmente en estructuras de titularidad complejas, cadenas societarias a diversos niveles, acuerdos de voto o determinados vehículos jurídicos.

Para muchas organizaciones, el principal reto no será únicamente identificar al titular real, sino comprender y documentar adecuadamente la estructura de propiedad y control que sustenta esa conclusión. Esto exigirá una mayor atención a la calidad de las fuentes y datos utilizados, la gestión de discrepancias y la actualización constante de la información a lo largo de la relación con el cliente. A medida que aumentan las expectativas supervisoras, también lo hará la necesidad de disponer de información suficiente para explicar cómo se ha determinado la titularidad real y por qué se considera que una persona ejerce la propiedad o el control efectivo de una entidad.  

4. Screening y sanciones financieras específicas como parte del marco de control

El Reglamento AML refuerza la importancia de los controles destinados a garantizar el cumplimiento de las sanciones financieras específicas. Asimismo, exige verificar si los clientes o sus titulares reales están sujetos a sanciones financieras específicas y, cuando corresponda, examinar la propiedad o el control de personas jurídicas por personas sancionadas. 

El cumplimiento de las sanciones financieras específicas no puede limitarse a comparar nombres con listas oficiales. Las organizaciones deben analizar las estructuras de propiedad y control para determinar si las restricciones alcanzan también a entidades no designadas directamente. Este análisis deberá realizarse conforme a las reglas aplicables en cada jurisdicción, ya que los criterios de Estados Unidos, la Unión Europea y el Reino Unido presentan diferencias relevantes.

Esto exigirá una mayor atención a la calidad de los datos utilizados, la cobertura de las fuentes consultadas, la identificación de estructuras de propiedad y control, la gestión de alertas y la documentación de las decisiones adoptadas. La legislación no impone una única configuración tecnológica, pero sí eleva las expectativas sobre la capacidad de los controles para responder al riesgo y demostrar su eficacia en la práctica.

5. Calidad de datos, documentación y trazabilidad

La calidad y la actualización de los datos se convierten en un factor determinante para la eficacia de los controles. Las organizaciones necesitarán asegurarse de que la información utilizada en los procesos de diligencia debida, screening y monitorización sea suficientemente completa, fiable y actualizada para respaldar las decisiones adoptadas. A medida que aumentan las expectativas supervisoras, las organizaciones necesitarán asegurarse de que los datos utilizados en los procesos de diligencia debida, screening y monitorización sean completos, consistentes y estén adecuadamente actualizados.

Cuando se utilicen capacidades analíticas avanzadas, machine learning o inteligencia artificial, la automatización deberá ir acompañada de una adecuada supervisión humana, documentación, validación y capacidad de explicar los resultados obtenidos. La tecnología puede mejorar la eficiencia y reducir falsos positivos, pero no sustituye la responsabilidad de la entidad sobre las decisiones adoptadas.

6. Nuevas expectativas de supervisión en toda la Unión Europea

AMLA combinará elaboración de estándares, coordinación y supervisión. A partir de 2028, AMLA supervisará directamente a determinadas entidades y grupos financieros seleccionados conforme a los criterios establecidos en la normativa, incluidos factores relacionados con su perfil de riesgo y actividad transfronteriza. Para el resto de las organizaciones, el impacto se reflejará en una mayor armonización de los criterios de supervisión y en unas expectativas más consistentes sobre cómo identificar riesgos, aplicar controles y documentar decisiones.

La preparación no debería limitarse a las posibles entidades directamente seleccionadas. Los estándares desarrollados por AMLA probablemente se convertirán en una referencia práctica para el mercado europeo en su conjunto.

Incorporación de nuevos sujetos obligados

El nuevo paquete legislativo europeo mantiene las obligaciones aplicables a los sectores tradicionalmente regulados, pero amplía o precisa su alcance a otras actividades y categorías de sujetos obligados. Entre los sectores que merecen especial atención se encuentran los proveedores de servicios de criptoactivos, determinadas plataformas e intermediarios de financiación participativa, proveedores y operadores de programas de residencia y ciudadanía por inversión, así como los comerciantes de metales preciosos, piedras preciosas y otros bienes de alto valor cuando dicha actividad se ejerza de forma profesional y habitual. 

La incorporación de los agentes y clubes de fútbol profesional constituye una de las novedades más relevantes del nuevo marco europeo, al extender las obligaciones de prevención del blanqueo de capitales a un sector que hasta ahora no estaba sujeto de forma generalizada a este nivel de exigencia regulatoria.

Esta ampliación del ámbito de aplicación refleja la creciente atención de los reguladores hacia actividades que, aun desarrollándose fuera del sector financiero tradicional, pueden presentar riesgos significativos de blanqueo de capitales y financiación del terrorismo.

Para muchas de estas organizaciones, el principal desafío no consistirá únicamente en implantar nuevos controles. También será necesario desarrollar capacidades para identificar y evaluar clientes y contrapartes, aplicar medidas de diligencia debida proporcionales al riesgo y mantener una supervisión continua de las relaciones establecidas.

En muchos casos, esto supondrá integrar requisitos de prevención del blanqueo de capitales y de la financiación del terrorismo en procesos comerciales que históricamente no fueron diseñados con este propósito, así como establecer responsabilidades claras, garantizar la calidad de los datos utilizados y reforzar la capacidad para documentar y justificar las decisiones adoptadas.

Alcance internacional

Aunque las nuevas obligaciones se aplican principalmente a los sujetos obligados establecidos en la Unión Europea, su impacto probablemente trascenderá las fronteras comunitarias. Las organizaciones internacionales con presencia u operaciones en la Unión Europea deberán adaptar sus marcos de control a los nuevos requisitos regulatorios europeos. Del mismo modo, un número elevado de entidades de terceros países podrían verse indirectamente afectadas como consecuencia de las exigencias impuestas por clientes, contrapartes o grupos empresariales establecidos en Europa.

¿Cómo impactará a las entidades españolas?

España parte de un marco consolidado de prevención del blanqueo de capitales, pero la aplicación directa de la nueva Regulación Europea exigirá revisar hasta qué punto los controles actuales responden a los nuevos requisitos europeos.

El principal ejercicio para las entidades españolas será determinar si sus modelos actuales de control están preparados para operar en un entorno regulatorio más armonizado y con criterios de supervisión más homogéneos.

La futura Autoridad Nacional de Integridad Financiera (ANIFI) está llamada a desempeñar un papel relevante en la evolución del modelo supervisor español. En paralelo, el nuevo marco europeo favorecerá un mayor intercambio de información entre autoridades, reforzará la cooperación supervisora y contribuirá a una aplicación más consistente de las exigencias en materia de prevención del blanqueo de capitales.

Para las entidades, esto se traducirá previsiblemente en mayores expectativas sobre la calidad de los datos, la documentación de las decisiones adoptadas y la capacidad de demostrar la eficacia de los controles aplicados.

Las entidades con actividad en varios Estados miembros tendrán además una oportunidad para revisar hasta qué punto las diferencias existentes entre jurisdicciones siguen siendo realmente necesarias. La progresiva armonización de requisitos permitirá avanzar hacia modelos de control más consistentes a nivel europeo, manteniendo únicamente aquellas particularidades nacionales que continúen siendo exigibles.

¿Cómo construir un programa robusto?

En el nuevo marco normativo y operativo AML, el cumplimiento ya no se basará únicamente en controles realizados durante el alta del cliente, sino en la supervisión continua de clientes, contrapartes y operaciones a lo largo de toda la relación comercial.

Por otro lado, la capacidad de las organizaciones de identificar riesgos, adaptarse rápidamente a cambios regulatorios y disponer de información fiable tendrá un impacto directo sobre la responsabilidad corporativa e individual y los riesgos reputacional, regulatorio y financiero. La adaptación al nuevo marco europeo no partirá del mismo punto para todas las organizaciones. Sin embargo, existen algunos indicadores que permitirán identificar aquellas áreas donde previsiblemente se concentrarán los principales esfuerzos de adaptación.

Estas pueden ser algunas de las principales acciones que las empresas pueden evaluar para construir un programa de cumplimiento robusto:

Preparar el personal de cumplimiento: capacitar a los empleados de forma continua en materia regulatoria, operativa y tecnológica, para que conozcan y entiendan las nuevas políticas, procedimientos y herramientas, será fundamental para desarrollar una cultura de cumplimiento basada en el riesgo y que esté a la altura de las nuevas exigencias regulatorias.

Fortalecer los procesos: las entidades deberán evaluar y optimizar los procesos de todas las fases de la relación comercial para que sean más eficaces y escalables y puedan cumplir con el requisito de monitorización continua, contar con archivos documentales más completos y actualizados y mejorar la capacidad de respuesta a las expectativas de supervisión y control.  

Contar con datos actualizados y procesos más automatizados: la gestión continua de clientes, titulares reales, sanciones y otros datos relevantes exigirá mecanismos capaces de identificar cambios de forma temprana y garantizar que estos se incorporen a la evaluación del riesgo y a los controles aplicados. La automatización, el uso del machine learning y la inteligencia artificial (IA) pueden contribuir significativamente a mejorar la eficiencia operativa, permitiendo gestionar mayores volúmenes de información sin incrementar de forma proporcional la carga operativa.

Gobernar la innovación: la adopción de nuevas herramientas tecnológicas, especialmente la IA, deberá ir acompañada de un marco de gobernabilidad sólido que priorice la supervisión humana y la trazabilidad de los procesos. Las organizaciones deberán desarrollar políticas y sistemas de control que aseguren un uso ético, seguro y en línea con las exigencias regulatorias aplicables

Elegir un proveedor de screening y cumplimiento: con el nuevo marco regulatorio, la selección de un proveedor de screening y cumplimiento se convierte en una decisión estratégica. Entre los aspectos que conviene evaluar durante el proceso de selección se encuentran los siguientes:

• Cobertura, calidad y actualización de los datos: la tecnología debe proporcionar acceso a información fiable y actualizada, así como permitir detectar cambios en el perfil de riesgo, la titularidad real o la situación de clientes y contrapartes para que los controles puedan ajustarse cuando sea necesario.
• Identificación de estructuras de propiedad y control y detección de riesgos indirectos: la solución debe permitir identificar relaciones societarias complejas, determinar la titularidad real y detectar entidades que, aun sin aparecer expresamente en listas oficiales, puedan estar sujetas a medidas restrictivas o presentar riesgos derivados de relaciones de propiedad o control.
• Adaptación continua al riesgo: la herramienta debe permitir configurar controles proporcionales al riesgo, teniendo en cuenta factores como el tipo de cliente, la actividad, la jurisdicción, los productos y servicios ofrecidos y otras variables que puedan incrementar o mitigar la exposición al riesgo.
• Auditabilidad y trazabilidad de las decisiones: la solución debe proporcionar un registro completo y verificable de la información utilizada, las reglas aplicadas, las alertas generadas y las decisiones adoptadas, permitiendo reconstruir y justificar el proceso de decisión ante auditorías internas, supervisoras o frente a autoridades competentes.
• Reducción de falsos positivos y minimización de falsos negativos: la solución debe equilibrar la eficiencia operativa con una elevada capacidad de identificación, incorporando mecanismos avanzados que permitan detectar coincidencias relevantes incluso cuando existan variaciones en los nombres, errores ortográficos, transliteraciones, alias o formatos diferentes de nombres y entidades. 
• Integración con los sistemas y procesos existentes: la tecnología debe poder incorporarse a los modelos operativos de la organización e integrarse con las distintas aplicaciones, fuentes de datos y procesos utilizados en la gestión del riesgo y el cumplimiento normativo.
• Gobernanza y validación de modelos analíticos avanzados e inteligencia artificial: cuando se utilicen capacidades analíticas avanzadas, la organización deberá contar con mecanismos de supervisión, documentación y validación proporcionados a su uso y a los riesgos asociados, sin perjuicio de los requisitos legales aplicables.
• Escalabilidad, resiliencia y preparación para futuras exigencias regulatorias: las organizaciones deberían evitar soluciones rígidas y priorizar tecnologías capaces de adaptarse no solo a la evolución de las diversas normativas en la materia y a nuevas expectativas supervisoras, sino también a cambios en el modelo de negocio, la oferta de productos, la expansión geográfica o la evolución de la estrategia comercial.
• Adaptación a requisitos regulatorios y marcos normativos diversos: especialmente en organizaciones con actividad transfronteriza, la solución debe permitir responder a obligaciones regulatorias diferentes entre jurisdicciones sin comprometer la coherencia de los datos, los procesos y controles aplicados a nivel global.

2027 no es el punto de partida

2027 no representa el inicio del cambio regulatorio, sino una fecha para la que las organizaciones deberían haber completado gran parte de su adaptación al nuevo marco europeo.

La calidad de los datos, la diligencia debida, la identificación de la titularidad real y la eficacia de los controles son ámbitos que no pueden transformarse de forma inmediata y que requerirán una preparación progresiva.

El verdadero reto no será incorporar más controles, sino garantizar que los controles existentes respondan adecuadamente a los riesgos identificados y puedan demostrar su efectividad en la práctica.

En LexisNexis® Risk Solutions ofrecemos soluciones avanzadas diseñadas para agilizar los esfuerzos de cumplimiento, automatizar la diligencia debida y gestionar el riesgo de manera eficaz. Si quiere saber más sobre cómo podemos ayudarle a adaptarse al nuevo marco europeo AML, contáctenos.