Verificación KYC y KYB para sujetos obligados españoles

Qué significa la diligencia debida hoy y desde 2027

Como sujeto obligado de la Ley 10/2010 — «obliged entity» en el lenguaje del Reglamento (UE) 2024/1624 (el AMLR) — debe identificar a sus clientes y comprobar su identidad mediante documentos fehacientes con carácter previo al establecimiento de la relación de negocios (art. 3 de la Ley 10/2010). Hoy lo regulan la ley española y su Reglamento (Real Decreto 304/2014); desde el 10 de julio de 2027, el AMLR impone estas obligaciones directamente, sin transposición nacional. Conocer al cliente «de toda la vida» y una copia del DNI enviada por correo nunca fueron un expediente sólido — con el AMLR, sencillamente no son un proceso.

Los umbrales también se mueven: desde el 10 de julio de 2027, las operaciones ocasionales exigen diligencia debida desde 10.000 € y las operaciones ocasionales en efectivo desde 3.000 € — y llega un tope europeo de 10.000 € a los pagos comerciales en efectivo. En España ese tope cambia poco: el límite nacional de 1.000 € a los pagos en efectivo con intervención de un empresario o profesional (Ley 11/2021) es mucho más estricto y seguirá aplicándose. CompliDesk muestra avisos en ambos puntos, directamente en los flujos de cliente y de operación. El panorama completo, en nuestra página sobre el Reglamento europeo (AMLR).

Qué debe cubrir su proceso de verificación

• Verificación de personas físicas. Recabar el nombre, la fecha de nacimiento y los demás datos de identidad y comprobarlos con documentos fehacientes — o mediante identificación electrónica conforme al marco eIDAS, que el AMLR reconoce expresamente (art. 22).
• Verificación de sociedades (KYB). Comprobar la existencia y los datos de los clientes que son personas jurídicas — con contraste del Registro Mercantil — e identificar a las personas físicas que en último término las poseen o controlan.
• Consulta del RCTIR. Consultar el Registro Central de Titularidades Reales (Real Decreto 609/2023) al verificar a los titulares reales — los sujetos obligados tienen acceso precisamente para eso — y documentar la consulta en el expediente.
• Screening PEP. Determinar si el cliente, sus familiares o sus allegados son personas con responsabilidad pública.
• Screening de sanciones. Contrastar a clientes y titulares reales con la lista consolidada de sanciones financieras de la UE y las listas de la ONU.
• Evidencias en el expediente. Conservar la documentación que acredita cada verificación — diez años, en soportes que garanticen su integridad y localización (art. 25 de la Ley 10/2010).

Identificación electrónica — reconocida en el propio reglamento

Una de las novedades más discretas y a la vez más prácticas del AMLR: reconoce expresamente los medios de identificación electrónica conformes al marco eIDAS de la UE para la verificación de la identidad (art. 22). Eso pone la verificación digital, biométrica y segura sobre suelo regulatorio firme — y apunta hacia la identidad digital europea (la cartera EUDI), que se despliega por fases. El flujo de verificación de CompliDesk está construido para ese mundo: captura del documento y prueba biométrica de vida a través de Didit, con el resultado y las evidencias en el expediente del cliente en lugar de en un cajón lleno de fotocopias.

Así funciona la función

Por qué cuenta en España precisamente ahora

La verificación del cliente es lo primero que se lee en sus expedientes — y en España quien los lee tiene nombre: el SEPBLAC, el supervisor en materia de prevención del blanqueo, y, cuando le aplica el art. 28 de la Ley 10/2010, el experto externo que examina cada año sus medidas de control interno. El régimen sancionador de la Ley 10/2010 (arts. 56 a 58) llega, en las infracciones muy graves, hasta 10.000.000 €. Un expediente de verificación que puede defender — a quién verificó, cómo, cuándo y contra qué listas — marca la diferencia entre una revisión rutinaria y una revisión difícil.

Quién lo necesita

Todo sujeto obligado que acepta clientes necesita un proceso de verificación que se sostenga. CompliDesk está construido para:

• Asesores fiscales y contables — sujetos obligados sin restricción de catálogo, del alta del cliente a las estructuras con socios extranjeros.
• Abogados y procuradores — obligados en las operaciones de catálogo, como las compraventas inmobiliarias y societarias, donde la identidad lo sostiene todo.
• Inmobiliarias y promotores — compradores y vendedores en operaciones donde el expediente tiene que nacer completo.
• Servicios a sociedades — constitución de sociedades y servicios fiduciarios, donde el KYB es todo el trabajo.
• Comerciantes de bienes y arte — con el límite español de 1.000 € a los pagos en efectivo (Ley 11/2021), el efectivo es la excepción y el expediente, la regla.

Buenas prácticas para sus expedientes de diligencia debida

• Verifique con carácter previo al establecimiento de la relación de negocios (art. 3 de la Ley 10/2010) — no después de la primera factura.
• Verifique a cada titular real como persona, no solo a la sociedad — y documente la consulta del RCTIR en el expediente.
• No se apoye nunca en copias sin verificar enviadas por correo electrónico; use verificación biométrica o identificación electrónica conforme a eIDAS.
• Conozca los desencadenantes de las medidas reforzadas de diligencia debida — coincidencias PEP y terceros países de alto riesgo — y deje constancia de cuándo se activan. Cómo la clasificación gobierna las medidas reforzadas lo muestra la página Análisis de riesgo.
• Trabaje con lista de comprobación, para que a ningún expediente le falte un paso — nuestra Checklist PBC (PDF) es un buen punto de partida.

Preguntas frecuentes