Cumplimiento del AMLR: de la obligación a la evidencia en una única plataforma

El AMLR es un reglamento y, por tanto, se aplica directamente en todos los Estados miembros. AMLD6 es una directiva que regula aspectos como los registros, la supervisión y las autoridades nacionales, por lo que debe transponerse al derecho de cada país. AMLA es la nueva autoridad de la UE con sede en Fráncfort, responsable de elaborar normas técnicas y de supervisar directamente a determinadas entidades financieras.

No. El umbral es del 25 % o más. El 15 % es el umbral máximo que podría fijar un posible acto delegado futuro para determinados sectores de mayor riesgo, una posibilidad que la Comisión debe evaluar antes del 10 de julio de 2029. No existe ningún acto de este tipo.

La obligación procede de eIDAS, no del AMLR, y será aplicable a partir del 24 de diciembre de 2027. Solo se aplica cuando ya se exige autenticación reforzada del usuario, quedan excluidas las microempresas y pequeñas empresas y el cliente debe solicitar utilizar su cartera. El propio AMLR no menciona la cartera.

No por sí sola. El conjunto obligatorio de datos de identidad de la cartera consta de cinco atributos y no incluye el lugar de residencia habitual, mientras que el AMLR sí exige este dato. Por tanto, la residencia debe obtenerse por otros medios, como una declaración electrónica cualificada de atributos o una verificación documental.

Sí. Además, el factor de mayor riesgo asociado a las relaciones no presenciales de la Directiva de 2015 no tiene un equivalente en el AMLR. Los canales remotos quedan sujetos al enfoque general basado en el riesgo, aunque las directrices de la EBA sobre onboarding remoto seguirán siendo aplicables hasta que AMLA las sustituya.

Los clientes de mayor riesgo deben revisarse al menos una vez al año y el resto, como mínimo cada cinco años. Se trata de plazos máximos, no de periodos orientativos basados en el riesgo, y además deben realizarse revisiones cuando se produzcan determinados eventos que las hagan necesarias.

La verificación, el screening, la monitorización y la recopilación de evidencias pueden externalizarse. Sin embargo, hay seis decisiones que deben permanecer en manos de la entidad obligada, entre ellas la determinación del perfil de riesgo del cliente, la decisión de iniciar una relación comercial y la comunicación a la Unidad de Inteligencia Financiera. Además, debe notificarse al organismo supervisor antes de que el proveedor comience a prestar el servicio.

Durante cinco años desde la finalización de la relación comercial, la operación ocasional o el rechazo de la operación. Transcurrido ese periodo, los datos personales deben eliminarse. El plazo solo puede ampliarse caso por caso a petición de una autoridad competente y por un máximo de cinco años adicionales.

Todavía no. A finales de julio de 2026, la Comisión no había adoptado ni se había publicado en el Diario Oficial ninguna de estas normas, incluida la relativa a la diligencia debida del cliente, cuya consulta finalizó en mayo de 2026. Cuando esta página hace referencia a borradores, los presenta expresamente como tales.

Ambas cosas, con condiciones distintas. Esta página trata sobre la plataforma. Si necesitas que se evalúe tu programa actual frente al Reglamento, requisito por requisito, de eso se encarga nuestra consultoría sobre el AMLR.