CCPCR Idoneidad Profesional cheat sheet

España: la Ley 10/2010, de 28 de abril, es la norma matriz de prevención del blanqueo de capitales y de la financiación del terrorismo; su desarrollo reglamentario principal está en el Real Decreto 304/2014.

Delitos subyacentes: el Código Penal tipifica el blanqueo en sus artículos 301 a 304, con penas agravadas cuando los bienes proceden de determinados delitos o el sujeto actúa como autoridad o funcionario.

Sujetos obligados: entidades de crédito, aseguradoras de vida, gestores de fondos, notarios, registradores, abogados, asesores fiscales, contables, promotores inmobiliarios, comerciantes de bienes de alto valor, casinos y proveedores de servicios de cambio de moneda virtual.

Obligación de comunicación por indicio: el sujeto obligado debe comunicar al SEPBLAC, de forma voluntaria y sin demora, cualquier hecho u operación que pueda estar relacionado con el blanqueo o la financiación del terrorismo.

Prohibición de revelación: el sujeto obligado y sus empleados no pueden informar al cliente ni a terceros de que se ha realizado una comunicación al SEPBLAC (artículo 24 de la Ley 10/2010).

Régimen sancionador: infracciones muy graves, graves y leves; las muy graves pueden sancionarse con multa proporcional o de hasta el 10 % del volumen de negocio anual, además de amonestación pública, separación del cargo o revocación de la autorización.

Directiva (UE) 2015/849 (cuarta directiva) y Directiva (UE) 2018/843 (quinta directiva): marco armonizado europeo que exige registro de titulares reales, enfoque basado en riesgos y refuerzo de la debida diligencia.

Reglamento (UE) 2024/1624 y Directiva (UE) 2024/1640: nuevo paquete normativo europeo que refuerza la supervisión y crea la Autoridad de Lucha contra el Blanqueo (AMLA) con sede en Fráncfort.

GAFI: sus 40 recomendaciones son el estándar internacional de referencia; la Recomendación 1 consagra el enfoque basado en riesgos y la Recomendación 20 la obligación de reporte de operaciones sospechosas.

Identificación vs. verificación: la identificación es la obtención de los datos del cliente; la verificación es la comprobación documental o electrónica de que esos datos son ciertos.

Titular real: persona física que posee o controla, directa o indirectamente, más del 25 % del capital o de los derechos de voto de una entidad, o que ejerce el control por otros medios; si no existe, se identifica al administrador o directivo.

Medidas ordinarias: identificación del cliente y del titular real, verificación de la identidad, determinación del propósito e índole de la relación de negocio y seguimiento continuo de la operación.

Medidas simplificadas: solo aplicables cuando el riesgo es bajo, y nunca se prescinde de la identificación del cliente ni del titular real; no proceden con personas con responsabilidad pública ni con países de alto riesgo.

Medidas reforzadas: obligatorias con personas con responsabilidad pública, países de alto riesgo, corresponsalía bancaria transfronteriza, clientes no presenciales y estructuras societarias opacas.

Persona con responsabilidad pública (PEP): quien ejerce o ha ejercido funciones públicas relevantes, incluidos cargos de gobierno, altos cargos judiciales, militares, de empresas públicas y de partidos; el riesgo persiste al menos 18 meses tras el cese.

Momento de la debida diligencia: debe completarse antes del inicio de la relación de negocio; excepcionalmente puede diferirse la verificación si se limita la operativa y se controla el riesgo, pero nunca la identificación.

Prohibición de relación con anónimos: no se puede abrir cuenta ni mantener relación de negocio con titulares anónimos o con identidades no verificadas; las cuentas numeradas quedan prohibidas.

Conservación documental: los registros de identificación y de operaciones deben conservarse al menos 10 años desde el fin de la relación de negocio o desde la ejecución de la operación.

Los tres factores del riesgo: cliente (actividad, país, canal, volumen), producto o servicio (complejidad, anonimato, efectivo) y geografía (listas de países de alto riesgo del GAFI y jurisdicciones no cooperativas).

Ecuación operativa: riesgo inherente menos eficacia de los controles igual a riesgo residual; la clasificación del cliente se basa en el riesgo residual, no en el inherente.

Niveles de clasificación: bajo, medio y alto; cada nivel determina la intensidad de la debida diligencia, la frecuencia de revisión y el grado de seguimiento.

Revisión periódica: los clientes de riesgo bajo suelen revisarse cada 3-5 años, los de riesgo medio cada 1-2 años y los de alto riesgo al menos anualmente, con revisión de eventos.

Tolerancia al riesgo: el órgano de administración aprueba la declaración de apetito de riesgo; el responsable de cumplimiento la traduce en políticas, procedimientos y umbrales operativos.

Mitigación: cuando el riesgo no puede mitigarse con controles razonables, la decisión correcta es rechazar al cliente o terminar la relación, documentando el motivo.

Expediente de riesgo: debe ser trazable, con la metodología aplicada, los datos que la sustentan, la fecha de la evaluación y la firma del responsable de la clasificación.

Alertas y reglas: los umbrales de seguimiento (importes, frecuencia, países, canales) se calibran a partir de la evaluación de riesgos y se revisan cuando cambia el contexto.

Países de alto riesgo: la lista del GAFI y la lista europea de jurisdicciones de alto riesgo activan medidas reforzadas y, en su caso, restricciones específicas de la operativa.

Seguimiento continuo: vigilancia de la relación de negocio para asegurar que la operativa es coherente con el perfil de riesgo del cliente y con su actividad declarada.

Indicios de sospecha: operaciones fraccionadas para evitar umbrales, uso intensivo de efectivo, cuentas puente, movimientos sin justificación económica, cambios bruscos de volumen o de contrapartes.

Señales de alarma: clientes que evitan identificarse, que aportan documentación inconsistente, que actúan por cuenta de terceros no declarados o que muestran nerviosismo ante preguntas de origen de fondos.

Regla de decisión: la sospecha se comunica aunque no se conozca el delito subyacente y aunque la operación no llegue a ejecutarse; no se exige certeza, solo indicio razonable.

Prohibición de ejecutar: cuando exista sospecha, el sujeto obligado debe abstenerse de ejecutar la operación y comunicarla al SEPBLAC; si la abstención es imposible, se ejecuta y se comunica de inmediato.

Trazabilidad: toda alerta debe registrarse con fecha, descripción, análisis realizado y decisión adoptada (comunicar o archivar), con el motivo del archivo.

Falsos positivos: el archivo de una alerta debe motivarse y conservarse; la ausencia de motivación impide demostrar la eficacia del sistema ante el supervisor.

Origen de fondos y de bienes: el sujeto obligado debe recabar y verificar la procedencia de los fondos y, en su caso, de los bienes, especialmente en operaciones de alto valor.

Herramientas: los sistemas de monitorización parametrizan escenarios por importe, frecuencia, geografía y contraparte; su eficacia se prueba periódicamente con pruebas de calibración.

Destinatario: en España, el organismo supervisor y de inteligencia financiera es el SEPBLAC (Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias).

Forma y plazo: la comunicación se realiza por medios electrónicos habilitados por el SEPBLAC, sin demora, en cuanto se tenga conocimiento del hecho u operación sospechosa.

Contenido mínimo: identificación del comunicante, del cliente y del titular real, descripción de la operación, importes, fechas, indicios detectados y documentación de soporte.

Confidencialidad: la comunicación es secreta; no se informa al cliente ni a terceros, y la revelación indebida constituye infracción muy grave.

Protección del comunicante: quien comunica de buena fe no incurre en responsabilidad por el contenido de la comunicación ni por la paralización de la operación.

Abstención de ejecución: la comunicación no impide necesariamente la ejecución, pero el sujeto obligado debe valorar la abstención y documentar la decisión adoptada.

Comunicación sistemática: además de las sospechosas, existen comunicaciones sistemáticas (por ejemplo, operaciones en efectivo por encima de umbrales) y comunicaciones de operaciones con países de alto riesgo.

Órgano de supervisión: el SEPBLAC supervisa a los sujetos obligados y puede requerir información, practicar inspecciones y sancionar; los supervisores sectoriales (Banco de España, CNMV, DGSFP) colaboran en su ámbito.

Registro de comunicaciones: el sujeto obligado conserva copia de todas las comunicaciones y de su soporte documental durante el plazo legal de conservación.

Sanciones financieras dirigidas: medidas restrictivas adoptadas por la ONU, la UE o el Reino de España que implican el congelamiento de fondos y recursos económicos de personas o entidades designadas.

Listas de referencia: listas del Consejo de Seguridad de la ONU, lista consolidada de la UE, lista de la OFAC estadounidense y listas nacionales de personas y entidades vinculadas al terrorismo.

Congelamiento: prohibición de movilizar, transferir, alterar, utilizar o acceder a los fondos y recursos económicos, incluidos los de titularidad indirecta o control efectivo de la persona designada.

Obligación de comunicación: el sujeto obligado debe comunicar sin demora al SEPBLAC y al órgano competente la existencia de fondos o recursos de personas designadas.

Prohibición de disposición: no se pueden poner fondos ni recursos económicos, directa o indirectamente, a disposición de las personas designadas, salvo autorización expresa de la autoridad competente.

Detección: el cribado de listas debe realizarse en el alta del cliente y en cada actualización de las listas; también en contrapartes de operaciones y en beneficiarios de pagos.

Coincidencias: toda coincidencia (match) debe analizarse y documentarse; los falsos positivos se archivan con justificación y los verdaderos positivos se bloquean y comunican.

Exenciones: determinadas autoridades pueden autorizar el acceso a fondos congelados para necesidades básicas, gastos extraordinarios o fines humanitarios, previa solicitud y resolución.

Responsabilidad: el incumplimiento del congelamiento es infracción muy grave y puede generar responsabilidad penal autónoma por colaboración con organización terrorista.

Órgano de control interno: el consejo de administración aprueba la política de prevención y designa a un responsable de cumplimiento con autonomía, recursos y acceso directo al órgano de gobierno.

Manual de prevención: documento escrito que recoge la política, los procedimientos de identificación, el enfoque basado en riesgos, el seguimiento, el reporte y el régimen disciplinario interno.

Funciones separadas: la unidad de cumplimiento diseña y ejecuta los controles; la auditoría interna evalúa su eficacia con independencia jerárquica del área auditada.

Auditoría externa: la Ley 10/2010 exige un examen anual por experto externo para determinados sujetos obligados (entidades de crédito, aseguradoras, gestores de fondos, entre otros).

Formación: debe ser periódica, documentada y adaptada al puesto; se acredita con registros de asistencia, contenidos, fechas y evaluación del aprendizaje.

Control de empleados: la selección de personal incluye verificación de idoneidad y antecedentes; el régimen interno prevé sanciones por incumplimiento de las obligaciones de prevención.

Canal de denuncias: debe existir un canal interno confidencial para comunicar incumplimientos, con protección del informante y prohibición de represalias.

Indicadores: número de alertas, comunicaciones al SEPBLAC, falsos positivos, tiempo de resolución y cobertura de formación; se reportan periódicamente al órgano de gobierno.

Documentación: los controles, sus resultados y las decisiones deben quedar registrados y ser accesibles al supervisor y al auditor durante el plazo legal de conservación.

Secreto profesional: los datos obtenidos en la relación con el cliente son confidenciales; su cesión solo procede con base legal, consentimiento o requerimiento de autoridad competente.

Excepción legal: la comunicación al SEPBLAC no vulnera el secreto bancario ni el deber de confidencialidad; la ley ampara expresamente al comunicante de buena fe.

Prohibición de revelación: informar al cliente de que ha sido comunicado al SEPBLAC constituye infracción muy grave y puede ser constitutiva de delito de revelación de secretos.

Protección de datos: el tratamiento se rige por el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018; la base jurídica del tratamiento de prevención es el cumplimiento de una obligación legal.

Minimización: solo se recaban los datos necesarios para la finalidad de prevención; los datos excesivos deben eliminarse o justificarse.

Derechos del interesado: acceso, rectificación, supresión, limitación, portabilidad y oposición; el derecho de supresión cede ante la obligación legal de conservación durante 10 años.

Transferencias internacionales: solo se realizan con garantías adecuadas (decisión de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes).

Conflictos de interés: el profesional de cumplimiento debe abstenerse de intervenir en asuntos que le afecten personalmente o a personas vinculadas, y documentar la abstención.

Ética del reporte: la comunicación se basa en indicios objetivos y documentados; el reporte temerario o de mala fe puede generar responsabilidad disciplinaria y civil.