¿Cuáles son los principales requisitos de diligencia debida del cliente? Una explicación breve

La diligencia debida del cliente es un conjunto básico de verificaciones que confirman quién es el cliente, por qué necesita un producto y cómo debería verse el uso "normal" del mismo. Respalda el trabajo antilavado de dinero mediante la verificación de la identidad del cliente, la recopilación de información sobre la titularidad real de las empresas, la verificación contra listas de sanciones y personas políticamente expuestas (PEP) y el registro del perfil de actividad esperada.

En la práctica, se recopila evidencia fiable en el momento de la incorporación, se mantiene actualizada a medida que las circunstancias cambian y se utiliza para evaluar las alertas con su contexto correspondiente.

El riesgo del cliente siempre varía, por lo que la intensidad de las verificaciones de CDD también varía. La mayoría de los requisitos regulatorios se dividen en tres niveles:

• Diligencia debida simplificada (SDD): se utiliza en situaciones de bajo riesgo, por ejemplo, un producto de ahorro básico con límites estrictos y segmentos de clientes claramente definidos y de bajo riesgo. De todas formas se realizan verificaciones de CDD, pero los datos recopilados y los pasos de verificación son menos exhaustivos. Se recopilan únicamente los datos esenciales (nombre, fecha de nacimiento, dirección, correo electrónico, teléfono e imagen de un documento de identidad válido), se verifican los atributos básicos y se mantiene un monitoreo rutinario para poder escalar si el riesgo aumenta.

• Diligencia debida estándar (CDD): es el procedimiento predeterminado para la mayor parte de la banca minorista y muchas cuentas empresariales. Se verifican las identidades con biometría y prueba de vida, se contrastan los documentos de identidad con bases de datos oficiales, se validan las direcciones con documentos fiables, se recopila la información sobre la titularidad real para propietarios con una participación del 25% o más, se obtienen los documentos de constitución de la empresa, se considera la exposición geográfica y se registra un perfil de actividad esperada concreto para respaldar las verificaciones de CDD y el monitoreo continuo.

• Diligencia debida reforzada (EDD): se utiliza cuando el riesgo aumenta. Los factores desencadenantes suelen incluir personas políticamente expuestas (PEP), geografías de mayor riesgo, clientes con estructuras jurídicas complejas o patrones que sugieren riesgo de delito financiero. Se verifica el origen de los fondos con evidencia sólida, se revisan los datos actuales de sanciones y PEP junto con medios adversos, se mapea y valida cada intermediario en estructuras complejas, se rastrea cualquier vínculo con jurisdicciones de alto riesgo y se analiza el historial en busca de picos o nuevas contrapartes, como parte de los requisitos adicionales de CDD.

En ocasiones, vemos personas que preguntan: "¿Cuáles son los cuatro requisitos de diligencia debida del cliente?" Sin embargo, es difícil limitarlos a cuatro sin omitir algún elemento clave. En cambio, la diligencia debida del cliente generalmente se centra en cinco componentes esenciales: verificación de identidad, verificación de la titularidad real, elaboración del perfil de la relación comercial, verificación de sanciones y monitoreo continuo.

En el momento de la incorporación del cliente, las instituciones confirman que la persona es quien dice ser, utilizando datos fiables. Los detalles específicos varían según el producto y la jurisdicción, pero el principio nunca cambia: vincular a la persona o empresa con evidencia del mundo real.

Verificaciones a realizar:

• Autenticación del documento: inspeccionar los elementos de seguridad bajo múltiples fuentes de luz; analizar el MRZ y los códigos de barras; comparar la coherencia de los datos entre las zonas visual y digital; verificar la ausencia de manipulaciones o uso indebido de plantillas. Cuando esté disponible, leer el chip RFID y comparar la foto del titular almacenada en el chip con la captura en vivo.

• Comprobación biométrica y prueba de vida: comparar una selfie con la foto del titular del documento mediante umbrales de similitud robustos y realizar una comprobación liveness para bloquear los ataques de presentación. Además, pueden verificarse los metadatos de captura del dispositivo para protegerse contra selfies reutilizadas e identidades sintéticas.

• Verificaciones cruzadas con fuentes autorizadas: comprobar la validez y el estado del documento en registros gubernamentales o de confianza; confirmar que la persona existe en la dirección indicada utilizando pruebas fiables, como una factura de servicios, un extracto bancario reciente o un contrato de arrendamiento.

Estos procedimientos suelen estar respaldados por soluciones robustas de verificación de identidad, como el SDK Regula Document Reader (para la verificación de documentos) y el SDK Regula Face (para biometría y prueba de vida).

Para las empresas y otras organizaciones, se recopila y verifica la información sobre la titularidad real para conocer quiénes son los verdaderos beneficiarios y quiénes toman las decisiones. Se identifican las personas que superan el umbral de participación y se analiza el control cuando las participaciones accionariales se encuentran por debajo de ese límite.

Se obtienen los estatutos sociales, los números de registro y los identificadores fiscales, y se verifica a cada persona identificada con el mismo estándar que se aplica a un cliente minorista. Cuando las estructuras son complejas o transfronterizas, se valida cada entidad intermediaria y se mantiene clara la cadena en el expediente. Realizar este proceso correctamente cierra las brechas que las redes de delitos financieros aprovechan y cumple con lo que los inspectores esperan en el marco de los requisitos de CDD para instituciones financieras.

Conocer al cliente implica comprender cómo planea utilizar la cuenta y establecer una línea de base para la actividad "normal". Se recopilan datos concretos en el momento de la incorporación: principales fuentes de fondos, corredores de pago esperados, contrapartes habituales, uso de efectivo y volúmenes previstos. Esto se utiliza para elaborar perfiles de riesgo del cliente que alimentan tanto la calificación de riesgo en la incorporación como el monitoreo futuro.

Mientras que la identidad y el propósito se centran en quién y por qué, la verificación de sanciones se enfoca en las actividades ilícitas vinculadas a quién se está incorporando o atendiendo. Es necesario realizar verificaciones de sanciones, condición de PEP y noticias negativas que señalen riesgo de delito financiero.

Se comprueban los nombres contra las listas de sanciones vigentes de la OFAC, la ONU y la UE; se evalúa la exposición como PEP; y se verifican los medios adversos de fuentes fiables. Se mantienen las listas actualizadas, se establecen reglas de coincidencia sólidas y se documentan las decisiones para poder explicar por qué una coincidencia aproximada fue descartada o escalada. Las coincidencias de mayor riesgo suelen activar requisitos adicionales de CDD, como la aprobación de un directivo, límites más estrictos o una actualización de la EDD. La verificación de sanciones se integra junto con el trabajo de verificación de identidad en todos los requisitos creíbles de CDD y es un elemento disuasorio fundamental de las actividades ilícitas en el marco de los programas antilavado de dinero.

La CDD no termina cuando se abre la cuenta. Es necesario llevar a cabo un monitoreo continuo para confirmar que las transacciones se ajustan al perfil establecido en el momento de la incorporación. El monitoreo incluye escenarios automatizados y revisiones manuales, actualización periódica de los datos KYC y revisiones guiadas por el riesgo tras eventos clave, como un aumento repentino del volumen, nuevos corredores de alto riesgo o un cambio en la titularidad.

Junto con el monitoreo, los marcos de CDD exigen mantener registros fiables de los datos de identificación, los materiales de verificación, los resultados de las verificaciones de sanciones, las alertas y las decisiones tomadas. Los períodos de conservación dependen de la legislación local (generalmente entre 5 y 10 años).

También deben considerarse ciertas obligaciones de reporte: en Estados Unidos, por ejemplo, las instituciones tienen obligaciones de reporte ante el Departamento del Tesoro, incluidas las presentaciones ante la FinCEN cuando la actividad sospechosa sugiere un delito financiero. Otros países establecen sus propios canales y plazos de presentación, pero la estructura es similar: documentar el razonamiento y reportar cuando las señales de alerta superan ciertos umbrales.

Una CDD efectiva significa que puede verificar de manera fiable con quién está tratando, comprender por qué existe la cuenta, identificar a los propietarios de la empresa y mantener la actividad coherente con ese perfil.

Construya en torno a cinco pilares prácticos: identificación y verificación, titularidad real, propósito y perfil de riesgo, verificación de sanciones y monitoreo continuo y conservación de registros. Los equipos que siguen estos requisitos de CDD detectan anomalías con mayor rapidez y gestionan las alertas con menos errores.