Cumplimiento de KYC

¿Qué es el cumplimiento de KYC en el sector cripto?

El cumplimiento de KYC es el conjunto de controles de verificación de identidad, diligencia debida del cliente, evaluación de riesgos, conservación de registros y supervisión que utilizan las plataformas cripto para conocer a sus clientes.

KYC significa Know Your Customer, es decir, «conoce a tu cliente».

En el sector cripto, el cumplimiento de KYC ayuda a una plataforma a verificar a los usuarios y las empresas antes de permitir determinadas actividades en la cuenta, como depósitos en moneda fiduciaria, retiradas de criptomonedas, límites más altos, compras con tarjeta, registro de empresas, acceso a activos tokenizados u otros servicios regulados.

El cumplimiento de KYC no es una criptomoneda, un token, una red blockchain, una cartera, un contrato inteligente, una clave privada, una frase de recuperación ni una estrategia de trading.

Es un marco de cumplimiento que vincula la identidad del mundo real con determinados servicios de activos digitales.

La guía del Grupo de Acción Financiera Internacional sobre activos virtuales explica que los proveedores de servicios de activos virtuales deben aplicar medidas de diligencia debida del cliente, conservar registros, comunicar transacciones sospechosas y gestionar de forma segura la información del ordenante y del beneficiario.

En términos sencillos, para los usuarios de criptomonedas el cumplimiento de KYC significa que una plataforma debe conocer suficientemente a sus clientes para verificar su identidad, gestionar los riesgos y decidir qué servicios puede utilizar cada cuenta.

Por qué es importante el cumplimiento de KYC

El cumplimiento de KYC es importante porque los criptoactivos pueden moverse rápidamente entre carteras, blockchains, países, plataformas y sistemas de pago.

Esta rapidez facilita el trading, los pagos, las remesas, la liquidación con stablecoins, los activos tokenizados y las aplicaciones on-chain.

También puede aprovecharse para cometer estafas, mover fondos robados, pagar rescates de ransomware, eludir sanciones, utilizar cuentas mula, robar identidades y blanquear capitales.

El cumplimiento de KYC ayuda a las plataformas cripto a reducir las cuentas falsas o duplicadas, el uso de documentos robados, el fraude de identidad sintética, el alquiler de cuentas y el acceso no autorizado a servicios regulados.

También ayuda a las plataformas a determinar si la actividad de un cliente se ajusta al perfil verificado de ese cliente.

El perfil de riesgo de un usuario particular que compra pequeñas cantidades de criptomonedas es distinto del de una empresa que mueve grandes transferencias de stablecoins a diario.

El cumplimiento de KYC permite aplicar controles basados en el riesgo; es decir, las plataformas pueden someter a un mayor escrutinio a los usuarios, productos, transacciones o regiones de mayor riesgo.

Para los usuarios, un cumplimiento de KYC sólido puede hacer que el proceso de registro sea más claro, que los límites de la cuenta sean más previsibles y que resulte más fácil entender las revisiones de las retiradas.

Sin embargo, el cumplimiento de KYC no elimina los riesgos de las criptomonedas.

No garantiza que un token sea seguro, que una plataforma carezca de riesgos financieros, que un contrato inteligente sea seguro ni que una transacción desde una cartera esté exenta de riesgos.

Cómo funciona el cumplimiento de KYC

El proceso de KYC suele comenzar cuando un usuario crea una cuenta o solicita acceso a una función que requiere verificación.

La plataforma puede recopilar información de identidad, como el nombre legal, la fecha de nacimiento, la nacionalidad, el país de residencia, la dirección, el número de teléfono y la dirección de correo electrónico.

El usuario puede subir un documento de identidad oficial, como un pasaporte, un documento nacional de identidad, un permiso de conducir o un permiso de residencia.

La plataforma puede solicitar un justificante de domicilio, como una factura de suministros, un extracto bancario, un documento fiscal, una carta de una administración pública o un certificado oficial de residencia.

Es posible que el usuario tenga que completar una verificación con selfie o una prueba de actividad para demostrar que la persona que presenta el documento está físicamente presente.

La plataforma puede contrastar los datos del usuario con listas de sanciones, registros de personas políticamente expuestas, fuentes de información adversa, indicadores de fraude y reglas internas de riesgo.

Si el usuario supera las comprobaciones exigidas, la cuenta puede obtener un estado de KYC aprobado para un nivel de verificación específico.

Si se necesita más información, la cuenta puede aparecer como pendiente, requiere una acción, en revisión, rechazada, caducada o restringida.

Principales componentes del cumplimiento de KYC

El primer componente del cumplimiento de KYC es la recopilación de datos de identidad.

Consiste en reunir información básica sobre el cliente o la empresa.

El segundo componente es la verificación de identidad.

Consiste en comprobar si la información presentada coincide con los documentos oficiales y las señales de verificación.

El tercer componente es la diligencia debida del cliente.

Consiste en comprender la relación con el cliente, la actividad prevista, la finalidad de la cuenta y el nivel de riesgo.

El cuarto componente es el cribado.

Puede incluir comprobaciones de sanciones y de personas políticamente expuestas, revisiones de información adversa y controles contra el fraude.

El quinto componente es la supervisión continua.

Consiste en revisar el comportamiento de la cuenta después del registro para detectar cambios en los riesgos.

El sexto componente es la conservación de registros.

Consiste en conservar pruebas de la verificación, las decisiones, los cambios de estado, las evaluaciones de riesgos y las medidas de cumplimiento.

El séptimo componente es la escalación.

Consiste en derivar los casos de mayor riesgo a una revisión manual, a una diligencia debida reforzada o a la restricción de la cuenta cuando sea necesario.

Cumplimiento de KYC y verificación de KYC

La verificación de KYC es el paso de comprobar si la información de identidad del cliente es válida.

El cumplimiento de KYC tiene un alcance más amplio, ya que incluye la verificación, la diligencia debida del cliente, el cribado, la supervisión, la conservación de registros y los controles de políticas.

Por ejemplo, comprobar un pasaporte y un selfie forma parte de la verificación de KYC.

Decidir los límites de la cuenta, evaluar el riesgo de sanciones, revisar el origen de los fondos, hacer un seguimiento del estado y conservar registros de auditoría son partes del cumplimiento de KYC.

Esta diferencia importa porque superar la verificación de identidad no siempre pone fin al proceso de cumplimiento.

Un usuario puede superar la verificación y, aun así, ser objeto de una revisión posterior si el comportamiento de la cuenta resulta inusual, caducan los documentos o cambia el riesgo de las transacciones.

El cumplimiento de KYC debe entenderse como un proceso que abarca todo el ciclo de vida del cliente, no solo como un paso puntual para subir documentos.

Cumplimiento de KYC y cumplimiento de AML

El cumplimiento de KYC se centra en conocer y verificar al cliente.

El cumplimiento de AML se centra en detectar, prevenir y comunicar actividades financieras sospechosas.

AML significa prevención del blanqueo de capitales.

KYC suele ser una parte de un programa de cumplimiento de AML más amplio.

La página de la norma de diligencia debida del cliente de FinCEN explica que las instituciones financieras sujetas a dicha norma deben identificar y verificar a los titulares reales de determinados clientes que sean personas jurídicas cuando esas empresas abren cuentas.

En el sector cripto, los controles de AML pueden incluir el cribado de sanciones, la supervisión de transacciones, la revisión de actividad sospechosa, el análisis de blockchain, la conservación de registros, la formación, las políticas internas y las pruebas independientes.

KYC responde a la pregunta de quién es el cliente.

AML analiza si la actividad del cliente parece sospechosa, inusual o incompatible con el perfil verificado.

Cumplimiento de KYC y cumplimiento de KYB

El cumplimiento de KYC suele aplicarse a clientes particulares.

El cumplimiento de KYB significa Know Your Business, es decir, «conoce a tu empresa», y se aplica a empresas y otras personas jurídicas.

Las plataformas cripto pueden utilizar KYB para cuentas corporativas, fondos, comerciantes, empresas de pagos, proyectos de tokens, usuarios de tesorería y clientes institucionales.

KYB puede requerir documentos de registro de la empresa, licencias comerciales, números de identificación fiscal, justificantes de domicilio social, organigramas de propiedad, datos de administradores, registros de firmantes autorizados y documentos de titulares reales.

Un titular real es una persona física que, en última instancia, posee o controla una empresa.

La verificación de una empresa puede tardar más que el KYC personal porque las estructuras societarias pueden ser complejas.

Una empresa puede tener varios administradores, accionistas, filiales, propietarios o jurisdicciones.

Antes de aprobar el acceso empresarial de mayor riesgo, una plataforma cripto debe conocer tanto a la empresa como a las personas que están detrás de ella.

Diligencia debida del cliente en el cumplimiento de KYC

La diligencia debida del cliente es el proceso de entender quién es el cliente y por qué utiliza el servicio.

En el sector cripto, puede incluir la finalidad de la cuenta, la actividad transaccional prevista, el método de pago, el origen de los fondos, el origen del patrimonio, la exposición de las carteras, el tipo de empresa y el riesgo jurisdiccional.

El perfil de un usuario particular que realiza compras ocasionales es distinto del de una empresa que procesa grandes transferencias de stablecoins.

Una plataforma debe utilizar la diligencia debida del cliente para decidir los límites de la cuenta, las reglas de supervisión, el nivel de revisión y los criterios de escalación.

Una diligencia debida adecuada también ayuda a detectar actividades posteriores que no se ajustan al perfil inicial del cliente.

Por ejemplo, una cuenta de bajo volumen que de repente recibe grandes depósitos de carteras de riesgo puede requerir una revisión.

La diligencia debida del cliente no es solo un paso del proceso de registro.

Continúa durante toda la relación con el cliente cuando cambian los riesgos.

Diligencia debida reforzada en el cumplimiento de KYC

La diligencia debida reforzada es una revisión más exhaustiva de clientes, empresas, transacciones o regiones de mayor riesgo.

Una plataforma puede aplicarla cuando un usuario solicita límites elevados, mueve grandes cantidades, tiene una estructura empresarial compleja, está vinculado a jurisdicciones de mayor riesgo o recibe fondos de carteras de riesgo.

La revisión reforzada puede requerir documentos sobre el origen de los fondos, registros sobre el origen del patrimonio, extractos bancarios, documentos fiscales, nóminas, facturas empresariales, contratos de compraventa, documentos de préstamos, registros de herencias o pruebas de transacciones en blockchain.

La diligencia debida reforzada no significa automáticamente que el usuario haya hecho algo indebido.

Por lo general, significa que la plataforma necesita más información antes de aprobar el acceso o la actividad de mayor riesgo.

Cuando se solicite una revisión reforzada, los usuarios deben presentar documentos claros, veraces y completos.

Las plataformas deben solicitar únicamente la información necesaria para un fin claro de cumplimiento, seguridad o gestión del riesgo.

Cribado de sanciones en el cumplimiento de KYC

El cribado de sanciones comprueba si un usuario, una empresa, un titular real, una cartera, un país o una contraparte podría estar relacionado con actividades restringidas.

El cumplimiento de KYC utiliza información de identidad, como nombres, fechas de nacimiento, direcciones, nacionalidades, nombres de empresas, registros de propiedad y datos de control, para facilitar este cribado.

Las plataformas cripto pueden comprobar a los clientes durante el registro y continuar haciéndolo después de su aprobación.

La supervisión continua es importante porque las listas de sanciones pueden cambiar después de que un usuario haya superado el KYC.

Pueden producirse falsos positivos cuando distintas personas tienen nombres similares.

Un programa de cumplimiento sólido debe revisar cuidadosamente las posibles coincidencias en lugar de tratar cada coincidencia de nombre como confirmada.

Cuando se admiten transferencias de criptomonedas, el cribado de sanciones también debe estar conectado con la revisión de riesgos de las carteras.

Los usuarios deben evitar las carteras sospechosas y los servicios desconocidos, ya que una exposición de riesgo puede afectar a futuras revisiones de la cuenta.

Cribado de personas políticamente expuestas

Una persona políticamente expuesta es alguien que ocupa o ha ocupado un cargo público destacado, o alguien estrechamente relacionado con esa persona.

El cumplimiento de KYC puede exigir a las plataformas que identifiquen a las personas políticamente expuestas entre los usuarios, administradores, titulares reales y firmantes autorizados.

Ser una persona políticamente expuesta no significa automáticamente que un usuario sea sospechoso o tenga prohibido utilizar el servicio.

Por lo general, significa que la plataforma puede aplicar una diligencia debida reforzada y una supervisión más estrecha.

La plataforma puede preguntar por el origen de los fondos, el origen del patrimonio, la finalidad de la cuenta y la actividad prevista.

Esta revisión ayuda a gestionar los riesgos de corrupción, soborno, influencia indebida y uso indebido de fondos públicos.

Un buen cumplimiento de KYC debe evitar decisiones injustas debidas a coincidencias de nombres poco fiables o datos incompletos.

La revisión humana es importante cuando una posible coincidencia puede afectar al acceso a la cuenta.

Cumplimiento de KYC y Travel Rule

La Travel Rule puede afectar a los depósitos y las retiradas de criptomonedas entre proveedores de servicios regulados.

Por lo general, esta regla exige que determinadas transferencias incluyan cierta información del ordenante y del beneficiario.

Las directrices de la Autoridad Bancaria Europea sobre la Travel Rule describen procedimientos para detectar información ausente o incompleta en transferencias de fondos y de determinados criptoactivos.

El cumplimiento de KYC ayuda a las plataformas a recopilar y verificar la información que puede ser necesaria para los procesos relacionados con la Travel Rule.

Para los usuarios, esto puede significar que una retirada requiera algo más que la dirección de la cartera de destino.

La plataforma puede preguntar si la cartera de destino pertenece al usuario o a otra persona.

También puede solicitar los datos del beneficiario o información sobre el proveedor de servicios.

Una transferencia puede retrasarse si la información requerida falta, es incoherente o presenta un riesgo elevado.

Cumplimiento de KYC e identidad digital

La identidad digital es importante en el sector cripto porque el registro suele realizarse por internet.

Es posible que una plataforma tenga que verificar a una persona sin reunirse con ella en persona.

Esto puede incluir documentos de identidad, comprobaciones con selfie, detección de actividad, señales del dispositivo, consultas en bases de datos, controles contra el fraude y revisiones manuales.

Las directrices de identidad digital del NIST describen la prueba de identidad, la autenticación, la federación, la resistencia al fraude, la privacidad y la facilidad de uso como componentes importantes de los sistemas de identidad digital.

El cumplimiento de KYC en el sector cripto debe equilibrar la seguridad y la experiencia del usuario.

Si la verificación es demasiado débil, los atacantes podrían superarla con documentos robados o identidades sintéticas.

Si resulta demasiado difícil, los usuarios legítimos podrían sufrir rechazos innecesarios o retrasos en la atención al cliente.

Un programa sólido debe utilizar controles por capas, instrucciones claras y procedimientos de revisión justos.

Cumplimiento de KYC y análisis de blockchain

El análisis de blockchain examina datos públicos de la blockchain para evaluar los riesgos de las carteras y las transacciones.

El cumplimiento de KYC identifica al usuario o a la empresa que está detrás de una cuenta de la plataforma.

El análisis de blockchain ayuda a la plataforma a entender de dónde proceden los fondos en criptomonedas y adónde podrían dirigirse.

Un usuario puede superar las comprobaciones de identidad y, aun así, ser objeto de una revisión si sus depósitos están vinculados a estafas, hackeos, ransomware, carteras sancionadas, mercados de la dark web, mezcladores de alto riesgo o fondos robados.

Esto no significa que siempre se conozca por su nombre a todos los titulares de carteras.

Significa que los datos públicos de la blockchain pueden revelar patrones de riesgo y exposición a categorías conocidas.

El cumplimiento de KYC y el análisis de blockchain se complementan porque los riesgos cripto incluyen tanto riesgos de identidad como riesgos transaccionales.

Los usuarios deben tener cuidado al recibir fondos de personas desconocidas, ya que el historial sospechoso de su origen puede afectar a revisiones posteriores.

Cumplimiento de KYC y supervisión de transacciones

La supervisión de transacciones revisa la actividad de la cuenta después del proceso de registro.

En el sector cripto, puede incluir depósitos en moneda fiduciaria, depósitos de criptomonedas, retiradas, transferencias de stablecoins, direcciones de carteras, transferencias internas, comportamiento de trading, cambios de dispositivo y patrones de inicio de sesión.

El sistema de supervisión puede comparar el comportamiento real con el perfil del cliente creado durante el proceso de KYC.

Una cuenta particular pequeña que de repente mueve cantidades inusualmente grandes puede requerir una revisión.

Que una cuenta empresarial mueva grandes cantidades puede ser normal si ese comportamiento se ajusta al perfil empresarial verificado.

Este contexto ayuda a reducir los falsos positivos y a mejorar la calidad del cumplimiento.

También ayuda a detectar la toma de control de cuentas, la actividad de cuentas mula, el fraude y los patrones de transacciones sospechosas.

El cumplimiento de KYC es más sólido cuando los registros del proceso de registro están conectados con la supervisión de transacciones.

Cumplimiento de KYC y acceso a moneda fiduciaria

Los servicios de acceso a moneda fiduciaria permiten comprar criptomonedas con dinero tradicional mediante transferencias bancarias, tarjetas de pago o métodos de pago locales.

El cumplimiento de KYC es habitual en estos servicios, ya que los sistemas de pago implican riesgos de identidad, fraude, retrocesos de cargos y sanciones, además de obligaciones de AML.

Es posible que una plataforma deba confirmar que el usuario verificado es el titular del método de pago.

También puede revisar la ubicación, las señales del dispositivo, el comportamiento de pago, el importe de la transacción y la actividad prevista.

Es posible que un usuario cuyo KYC esté incompleto no pueda hacer depósitos en moneda fiduciaria ni compras con tarjeta.

Los usuarios deben completar la verificación antes de enviar grandes transferencias en moneda fiduciaria.

Esto puede reducir los pagos fallidos, las restricciones de la cuenta y los retrasos en la atención al cliente.

Las plataformas deben indicar claramente qué nivel de verificación se requiere para cada método de pago en moneda fiduciaria.

Cumplimiento de KYC y retiradas de criptomonedas

El cumplimiento de KYC puede afectar a las retiradas de criptomonedas porque estas transfieren activos fuera del control directo de la plataforma.

Una plataforma puede exigir que el KYC esté aprobado antes de permitir retiradas a carteras de autocustodia o a otros servicios.

Puede requerir una revisión adicional para retiradas de gran valor, direcciones de cartera nuevas, destinos de riesgo o comportamientos sospechosos de la cuenta.

Algunas retiradas pueden requerir información de la Travel Rule antes de procesarse.

Una retirada puede retrasarse por el estado del KYC, una revisión de seguridad de la cuenta, la supervisión de AML, el cribado de riesgos de la cartera, la falta de datos del beneficiario o una revisión de riesgos de la transacción.

Los usuarios no deben dar por sentado que todos los retrasos en las retiradas se deben a la congestión de la blockchain.

Deben consultar los avisos oficiales de la cuenta y utilizar únicamente los canales oficiales de atención al cliente.

Ninguna revisión legítima de una retirada debe solicitar una frase semilla, una clave privada o una frase de recuperación de la cartera.

Cumplimiento de KYC y carteras de autocustodia

Por lo general, no se requiere cumplir con KYC para crear una dirección blockchain en una cartera de autocustodia.

Un usuario puede generar una cartera y controlar sus claves privadas sin presentar documentos de identidad a una plataforma centralizada.

Sin embargo, el cumplimiento de KYC puede ser relevante cuando esa cartera interactúa con servicios regulados.

Un servicio de acceso a moneda fiduciaria puede exigir KYC antes de enviar criptomonedas a la cartera.

Una plataforma de custodia puede exigir KYC antes de permitir retiradas a la cartera.

Una plataforma de activos tokenizados puede exigir una verificación de identidad antes de permitir que la cartera mantenga tokens restringidos.

Esto significa que la autocustodia y el cumplimiento de KYC pertenecen a capas distintas del sector cripto.

La autocustodia controla las claves privadas, mientras que el cumplimiento de KYC controla el acceso a servicios regulados y productos vinculados a la identidad.

Cumplimiento de KYC y DeFi

Las finanzas descentralizadas (DeFi) suelen permitir que los usuarios conecten carteras de autocustodia sin el proceso tradicional de registro de una cuenta.

Sin embargo, los productos relacionados con DeFi también pueden incluir requisitos de KYC.

Los pools de liquidez con acceso autorizado pueden estar limitados a usuarios verificados.

Los protocolos de activos del mundo real tokenizados pueden exigir direcciones de cartera aprobadas.

Los productos DeFi institucionales pueden utilizar comprobaciones de identidad antes de conceder acceso.

Una interfaz web puede exigir KYC aunque el contrato inteligente subyacente sea público.

Los usuarios deben comprobar si el KYC se aplica al protocolo, a la interfaz, a un pool concreto o a un token específico.

El acceso sin KYC no elimina los riesgos de los contratos inteligentes, el phishing, los oráculos, los bridges ni el mercado.

Cumplimiento de KYC y activos tokenizados

Los activos tokenizados son activos tradicionales o derechos financieros representados mediante tokens basados en blockchain.

Algunos ejemplos son los fondos tokenizados, la exposición tokenizada a bonos del Tesoro, el crédito tokenizado, las materias primas tokenizadas o los derechos tokenizados sobre bienes inmuebles.

Puede requerirse el cumplimiento de KYC porque los activos tokenizados pueden implicar requisitos de elegibilidad para los inversores, límites jurisdiccionales, cribado de sanciones, restricciones de transferencias y documentación legal.

Una plataforma puede utilizar los registros de KYC para decidir si un usuario puede comprar, mantener, transferir o canjear un activo tokenizado específico.

Algunos activos tokenizados utilizan listas de direcciones permitidas para que solo las direcciones de cartera aprobadas puedan interactuar con el activo.

La aprobación de KYC significa que un usuario puede cumplir los requisitos de acceso.

No significa que el activo tokenizado sea seguro, líquido, esté asegurado o sea adecuado para todos los usuarios.

Antes de comprar activos tokenizados, los usuarios deben revisar el riesgo del emisor, la estructura de custodia, los derechos de reembolso, las comisiones, la liquidez y las condiciones legales.

Documentos utilizados para el cumplimiento de KYC

El cumplimiento de KYC puede requerir documentos de identidad oficiales.

Entre los documentos de identidad habituales se encuentran los pasaportes, los documentos nacionales de identidad, los permisos de conducir y los permisos de residencia.

La plataforma también puede solicitar un justificante de domicilio, como una factura de suministros, un extracto bancario, un documento fiscal, una carta de una administración pública o un certificado de residencia.

Las revisiones avanzadas pueden requerir documentos sobre el origen de los fondos, registros sobre el origen del patrimonio, extractos bancarios, documentos fiscales, nóminas, contratos, facturas o pruebas de transacciones en blockchain.

Las cuentas empresariales pueden requerir documentos de registro de la empresa, licencias comerciales, números de identificación fiscal, registros de administradores, organigramas de propiedad, registros de firmantes autorizados y documentos de titulares reales.

Los documentos deben ser válidos, estar vigentes, ser legibles y estar completos, y coincidir con el perfil de la cuenta.

Un documento puede rechazarse si ha caducado, está borroso, recortado, editado, no se admite, es incoherente o está incompleto.

Los usuarios no deben presentar nunca documentos de otra persona, ya que esto puede dar lugar a fraude, restricciones de la cuenta y riesgos legales.

Cumplimiento de KYC basado en el riesgo

El cumplimiento de KYC basado en el riesgo consiste en aplicar distintos niveles de revisión en función del riesgo real del cliente.

Un usuario particular de bajo riesgo puede completar rápidamente las comprobaciones básicas.

Un cliente de mayor riesgo puede necesitar una diligencia debida reforzada, documentos sobre el origen de los fondos o una revisión manual.

Una cuenta empresarial puede necesitar KYB, comprobaciones de titulares reales y verificación de firmantes autorizados.

Entre los factores de riesgo pueden figurar la ubicación, el tipo de producto, el método de pago, el importe de la transacción, la exposición de las carteras, el riesgo de sanciones, la condición de persona políticamente expuesta, el tipo de empresa, las señales del dispositivo y la actividad prevista.

El cumplimiento basado en el riesgo ayuda a las plataformas a reducir las trabas innecesarias para los usuarios habituales y, al mismo tiempo, a centrar las revisiones más exhaustivas donde más se necesitan.

Este enfoque también ayuda a los equipos de cumplimiento a utilizar sus recursos de forma más eficaz.

Las decisiones de riesgo deben ser suficientemente explicables para facilitar las auditorías, las reclamaciones y las revisiones internas.

Conservación de registros en el cumplimiento de KYC

La conservación de registros es un componente fundamental del cumplimiento de KYC.

Una plataforma puede tener que conservar registros de la información de identidad, los documentos, los resultados de la verificación y el cribado, las calificaciones de riesgo, las notas de los revisores, los límites de la cuenta, los datos de las transferencias y los cambios de estado.

Estos registros pueden ayudar a responder a reguladores, auditores, solicitudes de las fuerzas del orden, disputas de usuarios, revisiones de actividades sospechosas e investigaciones internas.

Sin embargo, conservar registros también genera responsabilidades en materia de privacidad y ciberseguridad.

Los documentos de identidad, los selfies, las direcciones, los datos biométricos, los documentos fiscales y empresariales y los datos relacionados con las carteras son información sensible.

Una plataforma debe limitar el acceso, cifrar los datos, supervisar su uso y definir periodos de conservación.

No debe conservar más datos de los necesarios sin una razón legal, de cumplimiento o de gestión de riesgos clara.

Los usuarios deben tener en cuenta que cerrar una cuenta no implica necesariamente que todos los registros de KYC se eliminen de inmediato si se aplican normas de conservación.

Riesgos para la privacidad del cumplimiento de KYC

El cumplimiento de KYC requiere información personal y empresarial sensible.

Esta información puede incluir documentos de identidad, selfies, direcciones, comprobaciones biométricas, documentos fiscales, extractos bancarios, documentos empresariales, organigramas de propiedad y datos relacionados con carteras.

Si estos datos se filtran o se utilizan indebidamente, los usuarios pueden sufrir robo de identidad, phishing, fraude en sus cuentas, suplantación de identidad o estafas dirigidas.

La privacidad es especialmente importante en el sector cripto porque, al combinarse, los datos de identidad y la actividad en blockchain pueden revelar un perfil financiero detallado.

Una plataforma responsable debe explicar por qué recopila datos de KYC, cómo los almacena, quién puede acceder a ellos y durante cuánto tiempo los conserva.

Debe proteger los datos de KYC mediante cifrado, controles de acceso, canales seguros para subir archivos, supervisión de proveedores, monitorización, registros de auditoría y normas de conservación.

Los usuarios solo deben presentar documentos a través de sitios web o aplicaciones oficiales.

Deben evitar los enlaces de verificación recibidos por mensajes privados, correos sospechosos, respuestas en redes sociales o cuentas de asistencia falsas.

Riesgos de seguridad y estafas de falso cumplimiento de KYC

Las estafas relacionadas con falsos procesos de KYC son habituales porque los usuarios esperan que se les pidan datos de identidad durante la verificación.

Un estafador puede enviar un mensaje urgente afirmando que hay que actualizar el KYC o se bloquearán los fondos.

Un falso agente de asistencia puede enviar un enlace de phishing que imita el aspecto de una página de verificación real.

Una plataforma falsa puede recopilar documentos de identidad y después robar los depósitos.

Un delincuente puede ofrecerse a completar el KYC de un usuario, comprar cuentas verificadas o alquilar registros de identidad.

La alerta de Investor.gov sobre estafas cripto advierte de que los estafadores pueden exigir comisiones, impuestos o depósitos adicionales antes de permitir que las víctimas retiren sus fondos.

Los usuarios deben desconfiar de las solicitudes urgentes de KYC recibidas por mensajes privados.

El lugar más seguro para completar el KYC es el sitio web oficial o la aplicación móvil oficial de la plataforma.

Qué no debe pedir nunca el cumplimiento de KYC

El cumplimiento de KYC nunca debe exigir una frase semilla.

Nunca debe exigir una clave privada.

Nunca debe exigir las palabras de recuperación de la cartera.

Nunca debe exigir la contraseña de la cuenta mediante un formulario para subir documentos.

Nunca debe exigir un código de autenticación de dos factores fuera del proceso habitual de inicio de sesión o seguridad.

Nunca debe exigir un pago a un agente de asistencia privado para aprobar la verificación.

Nunca debe exigir acceso remoto al dispositivo del usuario.

En casos concretos, una plataforma legítima puede solicitar documentos de identidad, información pública sobre la titularidad de una cartera o pruebas de transacciones.

Nunca debe pedir secretos de la cartera que permitan a otra persona controlar los fondos.

Por qué pueden fallar las revisiones de cumplimiento de KYC

Una revisión de KYC puede fallar si el documento de identidad ha caducado.

Puede fallar si la imagen del documento está borrosa, recortada, oscura, editada o es ilegible.

Puede fallar si el nombre, la fecha de nacimiento, la nacionalidad o la dirección del usuario no coinciden con los documentos oficiales.

Puede fallar si el justificante de domicilio es demasiado antiguo o no incluye los datos necesarios.

Puede fallar si el selfie no coincide con la foto del documento.

Puede fallar si el usuario presenta el documento de otra persona.

Puede fallar si el usuario se encuentra en una jurisdicción restringida.

Puede fallar si la plataforma detecta cuentas duplicadas, patrones sospechosos de dispositivos, una posible manipulación de documentos o una exposición a carteras de alto riesgo.

La mayoría de los problemas que pueden subsanarse se resuelven siguiendo las instrucciones oficiales y presentando información clara, válida y completa.

Buenas prácticas para los usuarios de criptomonedas

Utiliza únicamente el sitio web oficial o la aplicación móvil oficial de la plataforma para completar el KYC.

Comprueba detenidamente el dominio antes de subir documentos.

Utiliza información personal precisa que coincida con los documentos de identidad oficiales.

Haz fotos nítidas de los documentos en las que se vean todas las esquinas.

Cuando se soliciten, utiliza justificantes de domicilio vigentes.

Completa las comprobaciones con selfie y de actividad en un lugar bien iluminado.

Activa la autenticación de dos factores antes de mover fondos a través de una cuenta verificada.

Mantén los documentos de identidad vigentes y actualiza los datos de la cuenta cuando cambie tu información personal.

No hagas clic en enlaces de KYC recibidos por mensajes privados, correos sospechosos, respuestas en redes sociales o cuentas de asistencia falsas.

No compartas nunca frases semilla, claves privadas, palabras de recuperación, contraseñas ni códigos de autenticación de dos factores durante el proceso de KYC.

Buenas prácticas para las plataformas cripto

Las plataformas deben explicar los requisitos de KYC antes de que los usuarios empiecen la verificación.

Deben recopilar únicamente la información necesaria para un fin legal, de cumplimiento, seguridad o prestación del servicio claramente definido.

Deben mostrar etiquetas de estado claras, como no iniciado, pendiente, aprobado, rechazado, caducado, restringido o requiere una acción.

Deben proporcionar indicaciones útiles cuando sea posible solucionar un problema con un documento.

Deben proteger los datos de KYC mediante cifrado, controles de acceso, conexiones seguras con proveedores, monitorización, registros de auditoría y normas de conservación.

Deben conectar el estado de KYC con los límites de la cuenta, el acceso a moneda fiduciaria, las retiradas, KYB, los procesos de la Travel Rule, el análisis de blockchain y la supervisión de transacciones.

Deben aplicar revisiones basadas en el riesgo en lugar de imponer trabas innecesarias a todos los usuarios.

Deben formar a los equipos de atención al cliente para que detecten mensajes falsos de KYC, intentos de tomar el control de cuentas e ingeniería social.

Deben probar periódicamente los sistemas de registro para detectar nuevos métodos de fraude, incluidas las identidades sintéticas y los intentos con deepfakes.

Malentendidos habituales sobre el cumplimiento de KYC

Un malentendido es pensar que el cumplimiento de KYC es lo mismo que una cartera.

Una cartera controla criptoactivos mediante claves, mientras que el cumplimiento de KYC verifica la identidad y gestiona los controles de riesgo de la cuenta.

Otro malentendido es pensar que la aprobación de KYC hace que todos los productos cripto sean seguros.

La aprobación de KYC reduce los riesgos de identidad y cumplimiento, pero no elimina los riesgos de mercado, custodia, contratos inteligentes ni estafas.

Un tercer malentendido es pensar que subir documentos significa que el KYC está aprobado.

El KYC solo se aprueba cuando la plataforma acepta la documentación y actualiza el estado de la cuenta.

Un cuarto malentendido es pensar que las carteras de autocustodia siempre requieren cumplimiento de KYC.

Por lo general, las carteras básicas de autocustodia no requieren KYC, pero los servicios regulados conectados a ellas pueden exigir una verificación de identidad.

Un quinto malentendido es pensar que el acceso sin KYC garantiza una privacidad total.

La actividad en una blockchain pública puede seguir siendo visible, rastreable y vinculable con otras fuentes de datos.

Preguntas frecuentes

¿Qué significa el cumplimiento de KYC?

El cumplimiento de KYC engloba los controles de verificación de identidad, diligencia debida del cliente, cribado, supervisión y conservación de registros que utilizan las plataformas cripto para conocer y gestionar los riesgos de sus clientes.

¿Por qué necesitan las plataformas cripto cumplir con KYC?

Las plataformas cripto necesitan cumplir con KYC para verificar a los usuarios, reducir el fraude, respaldar los controles de AML, evaluar los riesgos de sanciones, gestionar los límites de las cuentas y cumplir las expectativas regulatorias.

¿El cumplimiento de KYC es lo mismo que el cumplimiento de AML?

No. El cumplimiento de KYC se centra en conocer al cliente, mientras que el cumplimiento de AML abarca controles más amplios para detectar y gestionar actividades financieras sospechosas.

¿Qué documentos se utilizan para el cumplimiento de KYC?

Entre los documentos habituales se encuentran los pasaportes, los documentos nacionales de identidad, los permisos de conducir, los permisos de residencia, los justificantes de domicilio, los selfies, los registros sobre el origen de los fondos y, cuando sea necesario, los documentos empresariales.

¿Puede el cumplimiento de KYC afectar a las retiradas de criptomonedas?

Sí. Un estado de KYC incompleto, pendiente, caducado, restringido o rechazado puede retrasar o bloquear las retiradas, especialmente las transferencias de gran importe o las relacionadas con la Travel Rule.

¿Una cartera de autocustodia necesita cumplir con KYC?

Por lo general, una cartera básica de autocustodia no necesita KYC, pero los servicios regulados conectados a ella pueden exigir una verificación de identidad.

¿Qué es la diligencia debida reforzada en el cumplimiento de KYC?

La diligencia debida reforzada es una revisión más exhaustiva de usuarios, empresas o transacciones de mayor riesgo, que puede requerir más documentos, pruebas del origen de los fondos o una revisión manual.

¿Cómo contribuye el cumplimiento de KYC a la Travel Rule?

El cumplimiento de KYC ayuda a recopilar y verificar la información del ordenante, el beneficiario, la titularidad de la cartera y el proveedor de servicios que puede necesitarse para determinadas transferencias de criptomonedas.

¿La aprobación del cumplimiento de KYC significa que mis criptomonedas están seguras?

No. La aprobación de KYC solo confirma el acceso basado en la identidad a determinados servicios y no garantiza la seguridad de una inversión, la solvencia de la plataforma, la seguridad de la cartera ni la protección frente a estafas.

¿Pueden volver a exigirme el cumplimiento de KYC después de aprobarlo?

Sí. Una plataforma puede solicitar una actualización del KYC si caducan los documentos, cambian los datos del usuario, evolucionan las normas, cambia la actividad de la cuenta o se hace necesaria una diligencia debida reforzada.

¿Qué no deben compartir nunca los usuarios durante el proceso de KYC?

Durante cualquier proceso de KYC, los usuarios nunca deben compartir frases semilla, claves privadas, palabras de recuperación de la cartera, contraseñas ni códigos de autenticación de dos factores.

¿Qué es el cumplimiento de KYC para empresas?

El cumplimiento de KYC para empresas suele denominarse KYB y verifica las empresas, los administradores, los firmantes autorizados, los titulares reales, los documentos empresariales y la información sobre los riesgos de la empresa.

Conclusión

El cumplimiento de KYC es el marco de verificación de identidad y evaluación del riesgo del cliente que facilita el acceso regulado a servicios cripto.

Ayuda a las plataformas a verificar a los usuarios, revisar las empresas, gestionar los límites de las cuentas, ofrecer servicios en moneda fiduciaria, procesar retiradas, evaluar los riesgos de sanciones y conservar registros de cumplimiento.

También respalda controles más amplios, como la diligencia debida del cliente, KYB, la diligencia debida reforzada, los procesos de la Travel Rule, el análisis de blockchain, la supervisión de transacciones y las revisiones continuas.

Para los usuarios, un buen cumplimiento de KYC puede hacer más claro el acceso a las cuentas y reducir retrasos evitables.

Sin embargo, el cumplimiento de KYC no elimina todos los riesgos de las criptomonedas.

Los usuarios siguen teniendo que proteger sus carteras, evitar el phishing, comprender la volatilidad, investigar los activos y utilizar canales de verificación oficiales.

El cumplimiento de KYC también genera importantes responsabilidades en materia de privacidad porque implica información sensible de identidad, biométrica, financiera, empresarial y relacionada con las carteras.

Las plataformas deben recopilar únicamente los datos necesarios, protegerlos con cuidado y explicar cómo se utilizan.

Los usuarios solo deben presentar información de KYC a través de sitios web o aplicaciones oficiales y nunca deben proporcionar frases semilla, claves privadas, contraseñas ni códigos de autenticación de dos factores.

La mejor forma de entender el cumplimiento de KYC es verlo como la capa de identidad y control de riesgos que conecta a los clientes del mundo real con determinados servicios de activos digitales.

Cuando se gestiona adecuadamente, mejora el proceso de registro, la prevención del fraude, la preparación para el cumplimiento, la recuperación de cuentas y la integridad del mercado.

Cuando se gestiona mal, puede generar riesgos para la privacidad, dificultades para los usuarios, exposición al phishing, una falsa sensación de seguridad y una protección deficiente frente a los delitos financieros.