¿Qué es el cumplimiento de KYC? Requisitos, regulaciones y actualizaciones.

Resumen: El cumplimiento de las normas KYC (Conozca a su cliente) es un requisito legal para bancos, empresas fintech, plataformas de criptomonedas y otras empresas reguladas según las Recomendaciones del GAFI y la legislación nacional contra el blanqueo de capitales. Las principales obligaciones de cumplimiento son el Programa de Identificación del Cliente (CIP), la Debida Diligencia del Cliente (CDD), la verificación KYC contra listas de sanciones y PEP, y el monitoreo continuo. El incumplimiento conlleva graves consecuencias: las multas mundiales por blanqueo de capitales alcanzaron los 2910 millones de dólares solo en el segundo trimestre de 2025, lo que supone un aumento del 193 % con respecto al trimestre anterior. Las actualizaciones de 2026 incluyen la entrada en vigor de la Ley contra el Blanqueo de Capitales de la UE, nuevas normas para la transferencia de criptomonedas y la revisión de los estándares del GAFI sobre la titularidad real y la inclusión financiera.

¿Qué es el KYC?

Conozca a su cliente (KYC) Se refiere al proceso de verificación de identidad que las empresas utilizan antes de establecer cualquier relación con sus clientes. Inicialmente implementado en el sector financiero, las leyes KYC se han extendido posteriormente a empresas no financieras. Según el sector, también se conoce como Conozca a su Cliente (KYC), Conozca a su Paciente (KYP), Conozca su Negocio (KYB) o Conozca su Transacción.

¿Qué es el cumplimiento de KYC?

El cumplimiento de las normas KYC (Conozca a su Cliente) es un requisito normativo tanto para organizaciones financieras como no financieras. Este proceso implica verificar la identidad del cliente, evaluar sus actividades financieras y determinar su nivel de riesgo asociado. Estas entidades deben implementar procesos de identificación de clientes y verificarlos periódicamente, de acuerdo con las directrices regulatorias. Los requisitos de Conozca a su Cliente ayudan a las empresas a evitar sanciones, combatir el fraude y mitigar delitos financieros como el lavado de dinero y la financiación del terrorismo.

¿Quiénes deben cumplir con las regulaciones KYC?

El cumplimiento de las normas KYC se aplica a una amplia gama de empresas en múltiples sectores. Las entidades comunes que deben cumplir con estas normas incluyen:

• Instituciones financieras: bancos, compañías de seguros, empresas de corretaje y prestamistas hipotecarios
• Fintech y criptomonedas: Intercambios de criptomonedas, billeteras digitales, plataformas de pago y proveedores de préstamos en línea. Tras una declaración conjunta de 2019 de FinCEN, CFTC y la SEC, las plataformas de criptomonedas se clasifican como empresas de servicios monetarios y están totalmente sujetas a los requisitos de cumplimiento de KYC.
• Bienes raíces: agencias y empresas de gestión inmobiliaria
• Cuidado de la salud: hospitales, farmacias y proveedores de atención médica en línea
• Juegos y apuestas: Plataformas de juegos electrónicos, casinos en línea y empresas de lotería
• Servicios jurídicos y profesionales: bufetes de abogados y despachos de contabilidad
• Metales preciosos y comerciantes de arte: galerías, joyerías y anticuarios

La verificación de la identidad del cliente también es adoptada cada vez más por empresas no reguladas como: mercados de comercio electrónico y economía de gig plataformas donde el fraude y el abuso de cuentas conllevan un riesgo financiero y reputacional significativo.

Requisitos de KYC

Los requisitos KYC especifican qué información deben recopilar, verificar y mantener las empresas reguladas. Los requisitos KYC estándar incluyen:

• Recopilación del nombre completo, fecha de nacimiento y dirección del cliente durante el proceso de incorporación.
• Verificación de identidad mediante documentos oficiales como pasaporte, permiso de conducir o documento nacional de identidad.
• Verificación KYC contra las listas de sanciones globales (OFACBases de datos de la ONU, la UE y el HMT) y PEP para identificar riesgos elevados.
• Evaluar el nivel de riesgo del cliente y aplicar el nivel de diligencia debida adecuado.
• Mantener los registros de los clientes durante el período mínimo requerido por la jurisdicción aplicable, generalmente de cinco a siete años.
• Informar sobre transacciones sospechosas a la unidad de inteligencia financiera correspondiente.

Los requisitos de KYC varían según la jurisdicción y el sector. En Estados Unidos, la Ley de Secreto Bancario establece los requisitos mínimos para las instituciones financieras. En la UE, las sucesivas Directivas contra el Blanqueo de Capitales imponen requisitos en todos los Estados miembros. En Australia, AUSTRAC vela por el cumplimiento de los requisitos de la Ley contra el Blanqueo de Capitales y la Financiación del Terrorismo.

Cumplimiento de las normas KYC en el sector bancario

Los bancos se enfrentan a las obligaciones de cumplimiento de KYC más estrictas de cualquier sector, ya que se encuentran en el centro del sistema financiero. Los requisitos de KYC para los bancos van más allá de la verificación de identidad al abrir una cuenta e incluyen:

• Comprender la naturaleza y el propósito de cada relación con el cliente.
• Evaluación del riesgo de blanqueo de capitales y financiación del terrorismo para cada cliente.
• Realizar una debida diligencia reforzada sobre clientes de alto riesgo, incluyendo: personas políticamente expuestas y clientes de jurisdicciones de alto riesgo
• Monitoreo continuo de transacciones para detectar patrones de actividad sospechosa.
• Presentar informes de actividades sospechosas (SAR, por sus siglas en inglés) ante la autoridad competente cuando se identifique un comportamiento sospechoso.
• Mantener los registros de los clientes actualizados y accesibles a los reguladores cuando se les solicite.

En Estados Unidos, la Ley de Secreto Bancario exige a los bancos verificar a sus clientes e informar sobre actividades sospechosas a la Red de Control de Delitos Financieros (FinCEN). En la UE, los bancos deben cumplir con las sucesivas Directivas contra el Blanqueo de Capitales que rigen la debida diligencia del cliente y la divulgación de la titularidad real.

Normativa global de KYC y actualizaciones de 2026

A continuación se presentan los marcos regulatorios KYC más importantes que operan a nivel mundial, con su estado actual a fecha de 2026:

• Recomendaciones del GAFI: Las 40 Recomendaciones establecen estándares internacionales contra el lavado de dinero y la financiación del terrorismo en 38 jurisdicciones miembros. En febrero de 2025, el GAFI actualizó las Recomendaciones 1, 10 y 15 para lograr un mejor equilibrio entre la debida diligencia en materia de identificación del cliente (KYC) y los objetivos de inclusión financiera.
• Estados Unidos BSA y Ley contra el blanqueo de capitales de 2020: Requiere programas KYC, la notificación de actividades sospechosas a FinCEN y la declaración de beneficiarios finales conforme a la Ley de Transparencia Corporativa. La Ley de 2020 introdujo requisitos más estrictos para los beneficiarios finales y amplió las facultades de control de FinCEN.
• Directivas de la UE contra el blanqueo de capitales y la Ley contra el Blanqueo de Capitales: La Autoridad Europea contra el Blanqueo de Capitales (AMLA), creada en Fráncfort a mediados de 2025, centraliza la supervisión de las entidades financieras de alto riesgo en todos los Estados miembros y armoniza los requisitos de divulgación de la titularidad real. El Reglamento actualizado sobre transferencias de fondos ahora abarca todas las transferencias de criptoactivos, independientemente de su valor.
• Ley de Prevención del Blanqueo de Capitales y la Financiación del Terrorismo de Canadá: Supervisado por FINTRAC, requiere programas KYC (Conozca a su cliente), informes de transacciones sospechosas y el mantenimiento de registros durante al menos cinco años.
• Ley australiana contra el blanqueo de capitales y la financiación del terrorismo: La normativa implementada por AUSTRAC exige que los registros se conserven durante un mínimo de siete años.

Cumplimiento de KYC para criptomonedas

En la mayoría de las jurisdicciones, las plataformas de intercambio de criptomonedas y los proveedores de servicios de activos digitales están sujetos al cumplimiento de las normas KYC (Conozca a su cliente). En Estados Unidos, la declaración conjunta de 2019 de FinCEN, CFTC y la SEC clasificó las plataformas de criptomonedas como empresas de servicios monetarios, lo que las incluye en el ámbito de aplicación de la Ley de Secreto Bancario.

En la UE, la normativa actualizada sobre transferencia de fondos exige a los proveedores de servicios de criptoactivos (CASP) que apliquen el cumplimiento de las normas KYC a todas las transferencias, eliminando una exención previa. Los CASP también deben registrarse ante las autoridades nacionales competentes y aplicar una debida diligencia reforzada para las transacciones de alto valor o alto riesgo.

Elementos básicos de KYC

El proceso KYC (Conozca a su cliente) consta de tres componentes clave que ayudan a crear una base sólida para protegerse contra diversas formas de fraude y transacciones peligrosas.

1. Programa de Identificación del Cliente (CIP)

Programa de identificación del cliente (CIP) El proceso implica recopilar la información de identificación más básica del cliente, como su nombre completo, fecha de nacimiento y dirección. Un componente clave del CIP es la inclusión de documentos de identificación oficiales (por ejemplo, pasaporte, licencia de conducir, documento nacional de identidad), los cuales pueden variar significativamente entre regiones. Estos documentos deben verificarse para comprobar su autenticidad mediante soluciones tecnológicas fiables que permitan diferenciar entre documentos oficiales y falsificados.

2. Debida diligencia del cliente (DDC)

Hay tres tipos de debida diligencia del cliente se realiza en función del nivel de riesgo asociado al cliente.

• Debida diligencia simplificada (SDD) Se aplica a clientes con bajo riesgo de blanqueo de capitales o financiación del terrorismo, por lo que el nivel de verificación requerido es mínimo. 
• Diligencia debida ordinaria (RDD) Es el enfoque estándar para los nuevos clientes cuyo nivel de riesgo es normal o desconocido, e implica comprender el propósito de la relación y verificar las listas de sanciones y las listas de Personas Políticamente Expuestas (PEP). 
• Due Diligence mejorado (EDD) Se utiliza para clientes considerados de alto riesgo, como aquellos que han realizado negocios en jurisdicciones de alto riesgo, son Personas Políticamente Expuestas (PEP) o han participado en transacciones grandes o inusuales. La debida diligencia reforzada (EDD) suele implicar un examen más exhaustivo del historial comercial del cliente, un análisis más detallado de sus transacciones y la evaluación del origen de su patrimonio.

3. Monitoreo Continuo

Una vez que los clientes se incorporan, las instituciones están obligadas a realizar monitoreo continuo de sus transacciones y actividades para identificar y señalar comportamientos sospechosos. Cuando surgen nuevos riesgos, el nivel de riesgo del cliente debe reevaluarse con mayor rigor. 

¿Cuándo se debe realizar el proceso KYC?

El cumplimiento de las normas KYC es una obligación continua, no una verificación de incorporación única. Las empresas reguladas deben realizar el proceso KYC en los siguientes puntos clave:

• Al abrir una cuenta o antes de establecer cualquier relación con el cliente.
• Cuando un cliente realiza una transacción por encima del umbral de notificación aplicable
• Cuando la empresa tiene motivos para dudar de la exactitud de la información existente sobre los clientes.
• Cuando los patrones de transacción cambian significativamente o surge la sospecha de un delito financiero
• A intervalos regulares como parte de la revisión periódica, en función de la calificación de riesgo del cliente.
• Cuando las circunstancias de un cliente cambian sustancialmente, como por ejemplo un cambio en la estructura de propiedad efectiva para los clientes empresariales.

Sanciones por incumplimiento de KYC

Las consecuencias financieras y regulatorias del incumplimiento de las normas KYC son graves y están aumentando en frecuencia y magnitud a nivel mundial. Ejemplos recientes de medidas coercitivas:

• 2026 de enero: La Autoridad de Supervisión Financiera de Dinamarca multó a Saxo Bank con 313 millones de coronas danesas (aproximadamente 49 millones de dólares estadounidenses) por infracciones a la Ley danesa contra el blanqueo de capitales. No se identificó ningún caso de blanqueo de capitales; la multa se debió únicamente a fallos en los controles estructurales.
• 2025: Alemania de BaFin Se impuso una multa récord de 45 millones de euros (53 millones de dólares) a JP Morgan SE por retrasos sistemáticos en la presentación de informes de actividades sospechosas.
• Julio 2025: MAS de Singapur Se impusieron sanciones por un total de 27.45 millones de dólares singapurenses (aproximadamente 21.64 millones de dólares estadounidenses) a nueve instituciones financieras por incumplimientos en materia de prevención del blanqueo de capitales y la financiación del terrorismo, incluyendo una diligencia debida inadecuada con los clientes y la omisión de investigar señales de alerta.
• Q2 2025: Según Corlytics, las sanciones financieras globales por blanqueo de capitales alcanzaron los 2.91 millones de dólares, lo que supone un aumento del 193% con respecto al trimestre anterior.

Además de las multas, el incumplimiento puede dar lugar a órdenes de subsanación, restricciones comerciales, la pérdida de la licencia de explotación, investigaciones penales y un daño duradero a la reputación ante socios bancarios e inversores.

desafíos del cumplimiento de KYC

Regulaciones globales complejas

Las empresas que operan internacionalmente se enfrentan a un panorama regulatorio fragmentado, donde los requisitos de cumplimiento de KYC difieren según el país, el sector y el tipo de cliente. Mantenerse al día sobre los requisitos en todos los mercados donde operan y actualizar los programas de cumplimiento cuando cambian las regulaciones representa una importante inversión operativa continua.

Altos costos operativos

Los procesos manuales de verificación de identidad (KYC) consumen muchos recursos, especialmente las revisiones exhaustivas de diligencia debida. Los costos aumentan a medida que las empresas se expanden a nuevos mercados con requisitos diferentes. Las soluciones automatizadas de KYC reducen significativamente el costo por verificación, manteniendo al mismo tiempo los estándares de cumplimiento.

Privacidad y protección de datos

Los programas de cumplimiento KYC recopilan volúmenes significativos de información de identificación personal, lo que coloca a las empresas dentro del alcance de las leyes de protección de datos, incluidas GDPR en europa y la Ley de Privacidad del Consumidor de California (CCPA) En Estados Unidos, los proveedores de KYC deben demostrar la minimización de datos, bases legales para el procesamiento y la capacidad de gestionar las solicitudes de eliminación sin comprometer las obligaciones regulatorias de mantenimiento de registros.

Cómo Shufti respalda el cumplimiento de KYC

Solución KYC de Shufti Cubre la verificación de identidad, el control KYC contra las listas de sanciones globales y PEP, y el monitoreo continuo en más de 240 países desde una única pila de tecnología propia. Incluye verificación de documentos impulsada por IA, detección pasiva de vitalidad certificada para iBeta Nivel 3 (ISO/IEC 30107-3) con una tasa de error del 0% y monitorización de medios adversos, todo ello accesible a través de una única API.

Para las empresas que buscan automatizar el cumplimiento de KYC sin agregar costos de integración, Shufti se encarga de Verificación de identidadVerificación de identidad (KYC) y monitoreo continuo en un flujo de trabajo unificado, sin depender de proveedores de datos de terceros.

Preguntas más frecuentes:

¿Qué es el cumplimiento de KYC?

El cumplimiento de las normas KYC (Conozca a su Cliente) es una obligación legal que exige a las empresas verificar la identidad de sus clientes, realizar controles KYC cotejándolos con las listas de sanciones y de Personas Políticamente Expuestas (PEP), evaluar los riesgos y supervisar la actividad en curso conforme a las Recomendaciones del GAFI y la legislación nacional contra el blanqueo de capitales. El incumplimiento puede acarrear importantes sanciones económicas y la suspensión de la licencia.

¿Cuáles son los requisitos KYC?

Los requisitos de KYC incluyen recopilar y verificar la identidad del cliente mediante documentos emitidos por el gobierno, realizar un control KYC cotejándolo con las listas de sanciones globales y de personas políticamente expuestas (PEP), asignar una calificación de riesgo, aplicar el nivel adecuado de diligencia debida y mantener registros durante el período mínimo requerido por la jurisdicción aplicable.

¿Qué es el proceso de verificación KYC?

El proceso de verificación KYC consiste en cotejar los datos de identidad de un cliente con listas de sanciones, bases de datos de personas políticamente expuestas (PEP) y fuentes de información negativas en los medios. Es un paso obligatorio en la debida diligencia del cliente para todas las empresas reguladas.

¿Cuándo se debe realizar el proceso KYC?

El proceso KYC (Conozca a su cliente) debe realizarse al abrir una cuenta, antes de realizar transacciones importantes, cuando la información del cliente cambie o genere dudas, y a intervalos regulares según la calificación de riesgo del cliente. Se trata de una obligación de cumplimiento continua, no de una verificación puntual.

¿Cuáles son las sanciones por incumplimiento de las normas KYC?

Las sanciones incluyen multas multimillonarias, órdenes de subsanación, restricciones comerciales y la pérdida de la licencia de operación. En el segundo trimestre de 2025, las sanciones financieras globales por blanqueo de capitales alcanzaron los 2910 millones de dólares, un aumento del 193 % con respecto al trimestre anterior. Ejemplos recientes incluyen una multa de 313 millones de coronas danesas impuesta a Saxo Bank y una multa de 45 millones de euros a JP Morgan SE.

¿Es obligatorio cumplir con el requisito KYC para las criptomonedas?

Sí. En la mayoría de las jurisdicciones importantes, las plataformas de intercambio de criptomonedas y los proveedores de monederos digitales se clasifican como empresas de servicios monetarios y deben cumplir con todos los requisitos de KYC (Conozca a su cliente), incluida la verificación de identidad, el control KYC y la supervisión de las transacciones.

¿Qué cambios se produjeron en la normativa KYC en 2025 y 2026?

Las principales novedades de 2025 y 2026 incluyen: la revisión por parte del GAFI de las Recomendaciones 1, 10 y 15 sobre titularidad real e inclusión financiera (febrero de 2025); el lanzamiento por parte de la UE de la Ley contra el Blanqueo de Capitales en Fráncfort para centralizar la supervisión en materia de lucha contra el blanqueo de capitales (mediados de 2025); la actualización del Reglamento de la UE sobre transferencia de fondos, que ahora abarca todas las transferencias de criptoactivos; y la ampliación de los requisitos de información sobre el beneficiario final por parte de la Ley de Transparencia Corporativa de EE. UU.