KYC (Conozca a su cliente)

KYC, siglas de Conozca a su cliente, es el proceso regulado que las instituciones financieras utilizan para verificar quiénes son sus clientes, comprender el propósito de la relación y evaluar el riesgo que el cliente representa. Es un requisito legal en la mayoría de las jurisdicciones y se aplica antes de abrir una cuenta y de forma continua a partir de entonces.

El KYC existe para evitar que las instituciones financieras sean utilizadas —consciente o inconscientemente— para el blanqueo de capitales, la financiación del terrorismo, el fraude, la elusión de sanciones y la evasión fiscal. Es el componente orientado al cliente de un programa de cumplimiento en materia de lucha contra el blanqueo de capitales (AML) más amplio.

La obligación se extiende mucho más allá de los bancos. Normalmente se aplica a instituciones de microfinanzas, cooperativas de crédito y SACCO, proveedores de pago, operadores de dinero móvil, aseguradoras, sociedades de valores, proveedores de servicios de criptoactivos y, en muchas jurisdicciones, a abogados, contadores, agentes inmobiliarios y comerciantes de metales preciosos.

Por qué existe el KYC

El organismo internacional encargado de establecer las normas es el Financial Action Task Force (FATF), un organismo intergubernamental fundado en 1989 cuyas recomendaciones constituyen la base de la mayoría de las leyes nacionales en materia de lucha contra el blanqueo de capitales. La Recomendación 10 del FATF establece las obligaciones de diligencia debida del cliente, y los países miembros las transponen a la legislación nacional y a las directrices de los reguladores.

Dado que la aplicación es de carácter nacional, los documentos, umbrales y plazos concretos difieren según la jurisdicción, pero la arquitectura subyacente es coherente en casi todas partes: identificar al cliente, verificar la identidad, comprender la relación, calificar el riesgo y realizar un seguimiento a lo largo del tiempo.

Los cuatro pilares del KYC

1. Programa de identificación del cliente (CIP)

Recopilar información identificativa y verificarla con fuentes fiables e independientes. En el caso de una persona física, suele tratarse del nombre completo, la fecha de nacimiento, el domicilio y un número de identificación expedido por el gobierno. La verificación puede ser documental (un documento de identidad junto con un justificante de domicilio) o no documental (cotejar los datos con una base de datos nacional de identidad, una central de información crediticia o un registro de telecomunicaciones).

2. Diligencia debida del cliente (CDD)

Ir más allá de la identidad para comprender al cliente: la naturaleza y el propósito de la relación, el origen esperado de los fondos, el patrón de transacciones previsto y, en el caso de las entidades, la estructura de propiedad y control. La diligencia debida del cliente genera la base de referencia con la que se evalúa la actividad futura.

3. Diligencia debida reforzada (EDD)

Un escrutinio adicional para los clientes de mayor riesgo. La EDD suele requerir la aprobación de la alta dirección para incorporar al cliente, pruebas documentales del origen del patrimonio, así como del origen de los fondos, y una revisión más frecuente. Entre los factores desencadenantes más habituales se incluyen:

• Personas expuestas políticamente (PEP) — personas que ocupan funciones públicas destacadas, junto con sus familiares y asociados cercanos.
• Clientes domiciliados en jurisdicciones de alto riesgo o sancionadas, o que realizan transacciones con dichas jurisdicciones.
• Estructuras de propiedad complejas, fideicomisos o entidades con acciones al portador.
• Negocios con uso intensivo de efectivo, empresas de servicios monetarios y otros sectores de alto riesgo.
• Informaciones adversas en los medios o patrimonio de origen inexplicable.

4. Seguimiento continuo

El KYC no es un control que se realiza una sola vez. Las instituciones deben supervisar las transacciones en relación con el perfil esperado, cribar a los clientes con las listas de sanciones y de PEP de forma continua, actualizar periódicamente los registros de clientes e investigar y notificar las actividades sospechosas a la unidad nacional de inteligencia financiera.

El proceso de KYC paso a paso

1. Recopilar la información identificativa y los documentos necesarios durante la incorporación.
2. Verificar la información con fuentes independientes: un registro nacional de identidad, un registro mercantil, una central de información crediticia o una verificación de autenticación documental y biométrica.
3. Cribar al cliente con las listas de sanciones, las bases de datos de PEP y la información adversa de los medios de comunicación.
4. Identificar a los titulares reales de las personas jurídicas: las personas físicas que en última instancia poseen o controlan al cliente. Muchas jurisdicciones utilizan un umbral de propiedad del 25 % como factor desencadenante, junto con una prueba de control independiente.
5. Calificar el riesgo del cliente, normalmente en bandas baja, media y alta, en función de la ubicación geográfica, el producto, el canal, la ocupación o el sector y el perfil de transacción esperado.
6. Aprobar o escalar. Los clientes de bajo riesgo pueden acogerse a una debida diligencia simplificada; los clientes de alto riesgo requieren EDD y la aprobación de un responsable de nivel superior.
7. Supervisar y actualizar. El seguimiento de las transacciones se realiza de forma continua; los ciclos de revisión periódica suelen ser anuales para el riesgo alto y cada dos a cinco años para los riesgos más bajos, con revisiones motivadas por eventos cuando algo cambia.

Documentos KYC habituales

Personas físicas

• Identificación oficial con fotografía emitida por el gobierno: documento nacional de identidad, pasaporte o licencia de conducir
• Justificante de domicilio: factura de servicios públicos, extracto bancario, contrato de arrendamiento o carta de una autoridad reconocida
• Número de identificación fiscal o nacional, cuando proceda
• Una fotografía o una prueba de vida, en la incorporación digital

Empresas (Know Your Business o KYB)

• Certificado de constitución o registro mercantil
• Escritura de constitución y estatutos sociales, o documentos constitutivos equivalentes
• Registro de directores y accionistas
• Justificante del domicilio social registrado
• Acuerdo del consejo o mandato que identifique a los firmantes autorizados
• Documentos de identificación de directores, firmantes autorizados y beneficiarios reales
• Registro fiscal y, cuando proceda, una licencia comercial o de explotación

eKYC y verificación digital

eKYC es la ejecución electrónica de las mismas obligaciones. En lugar de recopilar documentos en papel, la entidad verifica la identidad mediante medios digitales:

• Captura de documentos con verificación automatizada de autenticidad
• Cotejo biométrico: una selfi o prueba de vida que se compara con la fotografía del documento de identidad
• Verificación directa con bases de datos o registros nacionales de identidad
• Cruce de datos de operadores de redes móviles y burós de crédito
• Firma electrónica y captura del consentimiento con registro de auditoría

El eKYC reduce la incorporación de días a minutos y elimina la dependencia de la sucursal. También concentra el riesgo: los ataques de presentación, las identidades sintéticas y la falsificación de documentos apuntan todos a la verificación automatizada, por lo que la mayoría de las entidades mantienen una revisión manual para las excepciones y los perfiles de mayor riesgo.

KYC vs AML vs CDD vs KYB

• AML (lucha contra el lavado de dinero): El programa de cumplimiento completo: políticas, controles, supervisión, informes, formación y auditoría.
• KYC (conocimiento del cliente): La parte de AML orientada al cliente: identificar, verificar y calificar el riesgo de los clientes.
• CDD (debida diligencia del cliente): El trabajo de debida diligencia dentro del KYC: comprender la finalidad, el origen de los fondos y la titularidad.
• KYB (conocimiento de la empresa): KYC aplicado a clientes empresariales, incluida la identificación del beneficiario real.
• EDD (Debida Diligencia Reforzada): La versión reforzada de la CDD para clientes de mayor riesgo.

En resumen: la CDD y la EDD son componentes del KYC, el KYC es un componente del AML y el KYB es el KYC para entidades.

Costo, fricción e inclusión financiera

El KYC impone costos reales a ambas partes de la relación.

Para las instituciones, implica infraestructura de verificación, suscripciones de filtrado, personal de cumplimiento, sistemas de monitoreo y campañas periódicas de actualización — en gran medida, costos fijos que recaen con fuerza en carteras de bajo importe y alto volumen donde el ingreso por cliente es bajo.

Para los clientes, los requisitos documentales pueden ser una barrera. El comprobante de domicilio es difícil cuando los sistemas de direcciones son informales; los documentos de identidad no son universales; los documentos de registro mercantil pueden estar desactualizados o no estar disponibles para los pequeños comerciantes. Por eso el GAFI y los reguladores nacionales respaldan explícitamente un enfoque basado en riesgo: aplicar la debida diligencia simplificada a productos demostrablemente de bajo riesgo — cuentas de saldo reducido, monederos móviles con límites y crédito de bajo importe — para que el cumplimiento no excluya a los clientes a los que los sistemas financieros deberían llegar.

También existe una tensión permanente con la legislación de protección de datos. El KYC obliga a recopilar y conservar una cantidad considerable de datos personales, mientras que los regímenes de privacidad exigen minimización, limitación de la finalidad, seguridad y plazos de conservación definidos. Las instituciones deben cumplir ambas cosas: recopilar lo que exigen las normas AML, conservarlo durante el plazo obligatorio, protegerlo y eliminarlo cuando ya no se aplique ninguna de las dos obligaciones.

Consecuencias de un KYC deficiente

La aplicación de la normativa es contundente y pública. Los reguladores han impuesto sanciones muy elevadas a las instituciones por deficiencias sistémicas de KYC y AML, y las consecuencias van más allá de las multas: órdenes de subsanación, restricciones de negocio, acuerdos de enjuiciamiento diferido, responsabilidad personal de los oficiales de cumplimiento, condiciones de licencia y revocación. El acceso a la banca corresponsal — la capacidad de mover dinero internacionalmente — suele ser la primera víctima, lo que para una institución pequeña puede ser existencial.