En breve: El KYC perpetuo sustituye las tareas rutinarias de actualización de expedientes por revisiones basadas en evidencias. Cada evento de riesgo debe permitir que el perfil del cliente quede más claro que antes: datos actualizados, un nivel de riesgo justificado y pruebas suficientes para que los equipos de cumplimiento normativo, control de calidad y auditoría puedan confiar en la decisión.
Los expedientes KYC tienden a quedar desactualizados: un documento puede vencer, un cliente puede comenzar a utilizar nuevos productos o una coincidencia de riesgo puede requerir un análisis más detallado. Si el proceso KYC solo reacciona cuando llega la siguiente revisión programada, los equipos de cumplimiento normativo pueden pasar meses trabajando con información del cliente que ya no respalda su clasificación de riesgo.
El KYC perpetuo, por su parte, busca subsanar esta deficiencia al conectar el monitoreo continuo con las actualizaciones y la nueva verificación de clientes basadas en el riesgo.
Esta guía explica qué es el KYC perpetuo, en qué se diferencia del proceso KYC tradicional, cómo el software de KYC perpetuo convierte los cambios relevantes en tareas de revisión y qué papel desempeñan las evidencias de identidad verificadas en el pKYC.
Suscríbase para recibir un resumen quincenal del blog de Regula
¿Qué es el KYC perpetuo?
El proceso perpetuo de conocimiento del cliente (pKYC), también conocido como KYC continuo, es un modelo KYC basado en el riesgo en el que una institución financiera actualiza los datos de los clientes y las evaluaciones de riesgo cuando existen evidencias fiables de un cambio significativo.
El registro inicial se crea durante la incorporación del cliente: verificación de identidad, comprobaciones de documentos, diligencia debida del cliente, comprobaciones de titularidad real, controles de listas, revisión del origen de los fondos y una evaluación inicial del riesgo. Después de la incorporación, el pKYC mantiene actualizado ese registro mediante el monitoreo perpetuo de KYC y actualiza la información del cliente cuando las políticas lo requieren.
Un programa de pKYC supervisa los cambios que pueden afectar al nivel de riesgo:
-
Una nueva coincidencia en listas de sanciones o de personas políticamente expuestas (PEP).
-
Un documento de identidad vencido o sustituido.
-
Un cambio de beneficiario final.
-
Exposición a países de alto riesgo.
-
Uso de nuevos productos.
-
Comportamientos que dejan de corresponderse con el propósito declarado de la relación comercial.
Según las políticas aplicables, el resultado puede ser no tomar ninguna medida, actualizar los datos, solicitar información al cliente, aplicar una diligencia debida reforzada, revisar actividades sospechosas, restringir el acceso o realizar nuevas comprobaciones de identidad.
KYC tradicional frente al KYC perpetuo
El KYC realizado durante la incorporación proporciona a la institución su primera visión verificada del cliente.
El KYC perpetuo se ocupa de lo que sucede después, cuando cambian los datos del cliente, su comportamiento, la titularidad o la información externa sobre riesgos.
|
|
KYC tradicional |
KYC perpetuo |
|---|---|---|
|
Frecuencia de revisión |
Revisiones periódicas de KYC con una frecuencia fija según el nivel de riesgo, las políticas o la legislación. |
Tareas de revisión basadas en eventos y riesgos, manteniendo las comprobaciones programadas cuando sean obligatorias. |
|
Desencadenante principal |
Fecha programada, contacto manual con el cliente o señal de alerta evidente. |
Cambios en la información del cliente, nivel de riesgo, titularidad, situación en listas de sanciones o PEP, noticias negativas, comportamiento, uso de productos, ubicación geográfica o vigencia de documentos. |
|
Contacto con el cliente |
Campañas generales de actualización que pueden solicitar paquetes completos de documentos. |
Solicitudes específicas relacionadas con información faltante o cambios de riesgo concretos. |
|
Valor para la auditoría |
Limitado, normalmente con un resultado de aprobación o rechazo. |
Mayor, con imágenes de documentos, datos personales, resultados de comparación y resultados de las pruebas de vida. |
|
Evaluaciones de riesgo |
Clasificaciones realizadas en un momento determinado que pueden quedar desactualizadas entre revisiones. |
Perfiles de riesgo del cliente actualizados cuando cambian evidencias significativas. |
|
Registro de auditoría |
Expedientes de revisión asociados a fechas de vencimiento. |
Historial de eventos con datos de origen, resultados del sistema, justificación del analista, marca de tiempo y código de cierre. |
¿Cómo funciona el pKYC?
Los programas sólidos de pKYC suelen seguir una regla sencilla: ninguna alerta debe llegar a un analista a menos que las políticas expliquen por qué podría modificar el perfil de riesgo del cliente o por qué se necesitan pruebas. Antes de conectar las fuentes de datos, el equipo debe definir el desencadenante, la fuente, el umbral, el responsable, el acuerdo de nivel de servicio (SLA), la acción requerida al cliente y el resultado de cierre permitido.
|
Desencadenante |
Acción habitual |
|---|---|
|
Vence un documento de identidad o se presenta uno nuevo |
Solicitar nuevas pruebas, verificar el documento, actualizar el expediente y restringir las acciones de alto riesgo si las políticas lo requieren |
|
Nueva coincidencia en listas de sanciones o en controles de PEP |
Elevar el nivel de riesgo, solicitar información adicional o remitir el caso a una revisión de nivel superior. |
|
Cambio de beneficiario final o de control |
Actualizar el registro de titularidad, repetir la evaluación de riesgo y aplicar diligencia debida reforzada (EDD) si aumenta el riesgo |
|
Actividad fuera de los patrones de uso esperados |
Solicitar explicaciones o pruebas, modificar la clasificación de riesgo y escalar el caso a una investigación de prevención del lavado de dinero (AML) cuando corresponda |
|
Anomalía relacionada con el dispositivo, la selfie o el acceso |
Aplicar verificación reforzada, bloqueo temporal, una nueva comprobación biométrica o una revisión de fraude |
Importante: Lo ideal es que el software de KYC perpetuo filtre el «ruido» antes de que los casos lleguen a los analistas. Los errores tipográficos, los duplicados y las coincidencias poco fiables pueden remitirse al control de calidad; los eventos creíbles que afectan al riesgo de lavado de dinero deben enviarse a revisión con las evidencias correspondientes.
¿Cuáles son los beneficios del pKYC?
La eficiencia del pKYC suele medirse mediante cambios cuantitativos y cualitativos en la carga de trabajo de los analistas, las tasas de contacto con los clientes, el volumen de diligencia debida reforzada y los hallazgos de auditoría. Siempre que el sistema funcione correctamente, los equipos KYC pueden esperar lo siguiente:
- Menos revisiones sin cambios. Las colas de actualización periódica suelen incluir clientes cuyos perfiles de riesgo no han cambiado sustancialmente; el software de KYC perpetuo puede omitir o cerrar automáticamente los casos de bajo riesgo según reglas aprobadas y conservar una muestra para el control de calidad.
- Corrección más rápida del riesgo. Cuando una coincidencia con una PEP, un cambio de beneficiario final (UBO), la exposición a un país de alto riesgo o un patrón de transacciones inusual modifica el nivel de riesgo, el expediente puede pasar a revisión antes de la siguiente fecha programada.
- Diligencia debida continua más precisa. El monitoreo continuo de KYC conecta las evidencias de identidad, los controles de listas, el comportamiento, la titularidad y el historial de casos, lo que ayuda a los equipos de cumplimiento normativo a detectar discrepancias entre la actividad esperada y la observada.
- Mejor experiencia del cliente. Las solicitudes específicas permiten pedir las pruebas o confirmaciones faltantes, en lugar de un paquete completo de documentos KYC cuando solo ha cambiado un dato.
- Evidencias más claras del cumplimiento normativo. Cada evento incluye datos de origen, una marca de tiempo, el resultado de la evaluación, la justificación del analista y un código de cierre, de modo que los equipos de auditoría pueden comprobar el proceso de decisión sin tener que reconstruirlo a partir de correos electrónicos.
- Mejor asignación del personal de gestión de riesgos. Los equipos de cumplimiento normativo pueden reservar las revisiones más exhaustivas para clientes de alto riesgo, personas jurídicas complejas, casos de diligencia debida reforzada y cuestiones de prevención del lavado de dinero sin resolver.
Dónde pueden fallar los programas de pKYC
Antes de ampliar un programa de pKYC, compruebe si existen estos puntos débiles:
-
Las listas de desencadenantes son demasiado amplias.
-
Las fuentes de datos no se evalúan según su fiabilidad y actualidad.
-
Las reglas de cierre automático carecen de aprobación conforme a las políticas.
-
Las solicitudes a los clientes no especifican exactamente qué pruebas faltan.
-
Los eventos de riesgo de identidad no cuentan con un procedimiento de nueva verificación.
-
Las muestras de control de calidad no comprueban los casos cerrados, las anulaciones de decisiones y las reclamaciones de los clientes.
Plan de implementación del pKYC para los equipos de cumplimiento normativo
Comience con un grupo de clientes y un conjunto de desencadenantes lo suficientemente reducido como para poder probarlo.
-
Seleccione un segmento, como la incorporación digital de clientes minoristas, cuentas fintech, empresas de servicios monetarios, banca privada o clientes corporativos transfronterizos.
-
Elija entre tres y cinco desencadenantes: vencimiento de documentos, coincidencias en listas de sanciones o PEP, noticias negativas, cambios de beneficiario final, cambios relacionados con jurisdicciones de alto riesgo o comportamientos fuera de la actividad esperada.
-
Elabore una ficha de reglas para cada desencadenante: fuente de datos, umbral, responsable, SLA, mensaje al cliente, códigos de cierre y procedimiento de escalamiento.
-
Incorpore una nueva verificación de identidad para los desencadenantes relacionados con la fiabilidad de los documentos, la comprobación de los rostros, el riesgo de apropiación de cuentas o el acceso a productos de alto riesgo.
-
Realice un seguimiento de los falsos positivos, los minutos de trabajo del analista por caso, la tasa de contacto con los clientes, los cambios en la clasificación de riesgo, los escalamientos y los casos cerrados sin contactar al cliente.
Esto facilita la evaluación de su sistema de monitoreo de KYC perpetuo: menos expedientes desactualizados, menos solicitudes innecesarias a los clientes, reevaluaciones de riesgo más rápidas y registros de auditoría más claros.
Reflexión final sobre el KYC perpetuo
La verdadera prueba del KYC perpetuo es si mejora la calidad de las decisiones, no si añade más monitoreo. Un sistema sólido impulsará al equipo de cumplimiento normativo a actuar solo cuando sea necesario: cuando hayan cambiado datos importantes, la clasificación de riesgo actual pueda haber dejado de ser válida, falten pruebas, entre otros motivos.
Por eso, el pKYC cambia la forma en que se priorizan las revisiones KYC. La antigüedad de un expediente sigue siendo importante, pero no debería ser el motivo principal para volver a revisarlo cuando existen señales de riesgo más claras: nuevos propietarios, cambios de comportamiento, una nueva coincidencia con una PEP, un documento vencido, un uso inusual de productos o datos de identidad que ya no coinciden con el registro original del cliente.
En este modelo, la plataforma de verificación de identidad de Regula ofrece a los especialistas en KYC una forma de gestionar la identidad más allá de la incorporación inicial, con funcionalidades especialmente relevantes para la gestión continua del ciclo de vida de la identidad:
-
Perfiles de clientes centralizados que mantienen los resultados de verificación, documentos, datos biométricos, historial de dispositivos y registros de auditoría vinculados al mismo registro del cliente.
-
Nueva verificación basada en eventos cuando vence un documento, cambian los datos del cliente o una actividad sospechosa requiere una verificación reforzada.
-
Comprobaciones periódicas de cumplimiento normativo que ayudan a revisar las evidencias de identidad en los intervalos requeridos.
-
Reautenticación biométrica y pruebas de vida para confirmar que regresa la misma persona.
-
Comprobaciones AML, PEP, de sanciones y de bases de datos dentro de flujos de trabajo configurables.
-
Datos históricos de identidad, geolocalización y dispositivos que pueden respaldar la evaluación de riesgos y la diligencia debida reforzada.
.webp)