La normativa española en materia de prevención de blanqueo de capitales y de la financiación del terrorismo ha alcanzado un grado de exigencia que pocas empresas pueden ignorar. Los supervisores aplican sus facultades inspectoras con creciente rigor, y las consecuencias de un programa inadecuado van mucho más allá de una multa administrativa. Afectan a la reputación, a la continuidad operativa y, en los supuestos más graves, a la responsabilidad penal de los administradores.
La normativa española de prevención de blanqueo de capitales transpone las sucesivas Directivas europeas contra el blanqueo. El resultado es un cuerpo normativo denso que impone obligaciones diferenciadas según el tipo de sujeto obligado. No toda empresa queda sujeta a este régimen, pero quienes sí lo están deben actuar con rigor.
Los sujetos obligados incluyen, entre otros, entidades financieras, aseguradoras, auditores, notarios, asesores fiscales, abogados en determinadas operaciones, agentes inmobiliarios, operadores de juego y otros prestadores de servicios a empresas. La primera tarea del asesoramiento es determinar con precisión si su empresa queda dentro del ámbito subjetivo de la norma. En nuestra experiencia asesorando a empresas en España, este análisis previo evita inversiones innecesarias en estructuras de cumplimiento que no resultan obligatorias, o, lo que es más peligroso, subestimaciones del alcance real de la obligación.
Una vez confirmada la condición de sujeto obligado, las exigencias principales se articulan en torno a tres ejes. El primero es la diligencia debida (due diligence) con el cliente: identificar al titular real, verificar la información y calibrar el nivel de riesgo de cada relación de negocio. El segundo es el control interno: nombrar un representante ante el SEPBLAC, aprobar un manual de procedimientos, implantar un canal de denuncias y realizar formación periódica. El tercero es la obligación de comunicación: reportar sin demora las operaciones que susciten sospechas de blanqueo.
La normativa introduce además el concepto de evaluación de riesgo de negocio. La empresa debe documentar los riesgos inherentes a su actividad, su clientela y sus productos, y actualizar esa evaluación cuando cambian las circunstancias. No se trata de un trámite puntual. Es un proceso vivo que requiere revisión periódica.
La dirección de la empresa es la primera responsable. La normativa de prevención de blanqueo de capitales atribuye explícitamente la responsabilidad al órgano de administración. Delegar en un responsable de cumplimiento es necesario, pero no exime al consejo ni al administrador único de responder ante el supervisor.
Hay decisiones que no admiten demora. La designación del representante ante el SEPBLAC debe producirse desde el inicio de la actividad sujeta a la normativa. Lo mismo ocurre con la aprobación del manual interno de prevención. Posponer estas decisiones implica operar fuera de la legalidad desde el primer día, con la consiguiente exposición a inspecciones y sanciones.
La evaluación de riesgo de negocio debe documentarse antes de que el regulador la requiera. Hemos observado que muchas empresas cometen el error de preparar esta documentación solo cuando reciben una inspección. En ese momento, el margen de maniobra se reduce drásticamente. Una evaluación previa, correctamente elaborada, ofrece una posición negociadora muy distinta ante el supervisor.
El depósito y actualización del manual de prevención constituye otro hito de gestión interna. No es suficiente con aprobarlo una vez. Debe revisarse cuando cambia la normativa, cuando la empresa entra en nuevos mercados o incorpora nuevos productos de riesgo. La periodicidad recomendable de la revisión la determina el propio perfil de riesgo de la empresa.
Los plazos de comunicación al SEPBLAC son estrictos. La normativa exige comunicar las operaciones sospechosas sin demora injustificada. No existe un plazo fijo en días que sea uniforme para todos los supuestos, pero la práctica supervisora interpreta con severidad cualquier dilación que no esté documentada y justificada. El protocolo interno debe prever un circuito ágil de reporte.
Un programa de cumplimiento en materia de prevención de blanqueo de capitales no es una suma de documentos. Es un sistema operativo de la empresa. Tiene que funcionar en el día a día, no solo en el expediente que se presenta ante el supervisor.
Los elementos mínimos que hemos constatado que resultan imprescindibles son los siguientes. Primero, una política interna aprobada por el órgano de administración, con vocación de permanencia y capacidad de adaptación. Segundo, procedimientos de diligencia debida graduados por nivel de riesgo: la diligencia simplificada para clientes de bajo riesgo, la diligencia reforzada para aquellos con perfil elevado o que estén designados como personas con responsabilidad pública. Tercero, un sistema de seguimiento continuo de las relaciones de negocio. Cuarto, un canal de denuncias que permita comunicar internamente las sospechas sin represalias. Quinto, un programa de formación documentado y periódico para las personas de la organización que participan en la cadena de control.
La intersección con otras disciplinas de cumplimiento es inevitable. La normativa de prevención de blanqueo de capitales comparte espacio con el compliance penal corporativo, con la protección de datos en el tratamiento de información de clientes y con los controles de gobierno corporativo. En nuestra práctica, los programas más robustos son los que integran estas tres dimensiones en una sola arquitectura, evitando la fragmentación de controles y los solapamientos documentales.
El régimen sancionador de la normativa de prevención de blanqueo de capitales es uno de los más severos del ordenamiento administrativo español. Las infracciones se clasifican en muy graves, graves y leves. Las sanciones más elevadas pueden alcanzar importes que representan un porcentaje relevante del volumen de negocio anual o cuantías absolutas que pueden ser muy significativas para la empresa. No es posible anticipar cifras exactas sin conocer el supuesto concreto, pero el impacto económico potencial justifica por sí solo el coste de un programa preventivo bien diseñado.
Pero el riesgo no es solo económico. La publicación de resoluciones sancionadoras en el Boletín Oficial del Estado (BOE), la pérdida de habilitaciones profesionales o la inhabilitación de administradores son consecuencias que el mero cumplimiento formal difícilmente puede compensar una vez se han materializado.
Existe también una dimensión penal que la dirección no debe minimizar. La responsabilidad penal de las personas jurídicas, reconocida en el Código Penal, alcanza las conductas de blanqueo cometidas en beneficio de la empresa cuando esta no ha implantado un modelo de organización y gestión adecuado. El Tribunal Supremo ha consolidado el criterio de que la mera existencia del modelo no exime automáticamente, pero su ausencia agrava de forma determinante la posición procesal de la empresa y de sus administradores.
El AUDIENCE_MYTH más extendido que encontramos en empresas que se acercan a nosotros por primera vez es creer que la prevención de blanqueo de capitales se reduce a cumplimentar un formulario de identificación del cliente. El cumplimiento real exige un programa vivo, con responsables designados, con revisiones periódicas y con trazabilidad de cada decisión adoptada en la cadena de control.
El compliance penal y la prevención de blanqueo de capitales no son compartimentos estancos. Convergen en la obligación de la empresa de diseñar controles que prevengan, detecten y respondan a conductas delictivas cometidas en su seno o en su beneficio.
La arquitectura de un programa integrado de compliance penal y prevención de blanqueo comparte elementos fundamentales: el análisis de riesgo penal, la identificación de los delitos de riesgo relevantes para el sector y la actividad de la empresa, la asignación de responsabilidades al órgano de cumplimiento y la implantación de controles operativos verificables.
Las empresas que operan en sectores de riesgo elevado – servicios financieros, inmobiliario, operadores de activos digitales, actividades de asesoramiento profesional que quedan dentro del ámbito de la normativa – necesitan programas que respondan simultáneamente a la normativa de prevención de blanqueo y a la legislación penal. Diseñar estos programas de forma independiente y sin coordinación es un error frecuente que genera duplicidades costosas y lagunas de control.
En nuestra experiencia, los consejos de administración que comprenden la convergencia entre ambas disciplinas adoptan decisiones de gobierno corporativo más sólidas y reducen su exposición personal de forma significativa.
Un aspecto que genera tensión operativa en muchas organizaciones es la articulación entre las obligaciones de prevención de blanqueo y el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos (LOPDGDD). Ambos regímenes imponen obligaciones que pueden parecer contradictorias.
La normativa de prevención de blanqueo exige conservar la documentación de diligencia debida del cliente durante un período que la legislación determina. El RGPD, por su parte, impone el principio de limitación del plazo de conservación de los datos personales. La compatibilidad entre ambas exigencias requiere una base jurídica bien documentada y una política de retención ajustada a cada categoría de dato.
La Agencia Española de Protección de Datos (AEPD) ha publicado criterios orientadores sobre la articulación de ambas normativas, pero la aplicación concreta a cada empresa depende de su actividad, su base de clientes y los tratamientos que realiza. Asesoramos a empresas en la construcción de esta arquitectura de forma coordinada, evitando que las soluciones de cumplimiento antiblaqueo generen incumplimientos en materia de protección de datos y viceversa.
La notificación de una brecha de seguridad a la AEPD en el plazo de 72 horas es una obligación autónoma del RGPD que no puede quedar supeditada a los procesos de cumplimiento antiblaqueo. Integrar ambos protocolos evita que una incidencia de seguridad se convierta en un incumplimiento doble.
Nuestra intervención comienza siempre con un diagnóstico. Antes de proponer ninguna solución, analizamos la posición real de la empresa: si es sujeto obligado, qué obligaciones le son exigibles, cuál es el estado actual de su programa de cumplimiento y cuáles son las brechas más urgentes.
A partir de ese diagnóstico, diseñamos el programa de cumplimiento adaptado. No aplicamos plantillas genéricas. El sector, el tamaño, el perfil de clientela y la estructura societaria de cada empresa determinan la arquitectura del programa.
La implantación incluye la redacción del manual de prevención, los procedimientos de diligencia debida, el modelo de evaluación de riesgo de negocio, el protocolo de comunicación al SEPBLAC y el plan de formación. Acompañamos a la empresa en la designación del representante ante el supervisor y le prestamos soporte continuo en las revisiones periódicas y en la respuesta a requerimientos de información del regulador.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, lo que nos permite anticipar los puntos de tensión más frecuentes y ofrecer soluciones que funcionan en la operativa real de la empresa, no solo en el papel.
Cuando la situación lo requiere, coordinamos con abogados locales de confianza en la jurisdicción correspondiente para operaciones transfronterizas con exposición en otras plazas europeas o internacionales.
Si su empresa está sujeta a la normativa de prevención de blanqueo de capitales y necesita revisar o implantar su programa de cumplimiento, plantéenos su caso en info@velardevidal.com. Le ofrecemos un primer análisis de su posición regulatoria y le indicamos los pasos más urgentes.
En nuestra práctica hemos observado un conjunto de errores recurrentes que conviene conocer antes de iniciar la implantación de cualquier programa.
El primero es confundir la identificación formal del cliente con la diligencia debida real. Obtener una copia del documento de identidad es el punto de partida, no el punto de llegada. La diligencia debida exige verificar la información, identificar al titular real en las estructuras societarias complejas y valorar el perfil de riesgo de la relación.
El segundo error es no actualizar el programa cuando cambia la actividad de la empresa. Una empresa que incorpora nuevos servicios, entra en nuevos mercados o modifica su estructura de clientes tiene que revisar su evaluación de riesgo. La normativa lo exige expresamente.
El tercero es subestimar la importancia de la formación. El supervisor analiza no solo los documentos aprobados, sino la evidencia de que el personal que interviene en la cadena de control conoce y aplica los procedimientos. La formación debe ser documentada, periódica y adaptada al puesto.
El cuarto error, y quizá el más costoso, es actuar solo cuando se recibe un requerimiento del supervisor o cuando se conoce que se ha abierto una inspección. En ese momento, las opciones de mitigación se reducen. El asesoramiento temprano permite construir una posición mucho más sólida, tanto ante el regulador como ante cualquier procedimiento penal que pudiera derivarse.
Si su empresa está abordando por primera vez la implantación de un programa de prevención de blanqueo de capitales, o necesita revisar el que ya tiene, el siguiente esquema de verificación permite identificar las prioridades inmediatas.
La prevención de blanqueo de capitales se enmarca dentro de nuestra práctica de protección de datos y compliance, que cubre también la adaptación al Reglamento General de Protección de Datos, el diseño de canales de denuncia y los programas de compliance penal. Las empresas del sector financiero y tecnológico pueden encontrar referencias adicionales de nuestra experiencia en el caso de referencia sobre fintech y servicios financieros. Para aquellas organizaciones que gestionan datos de clientes en el contexto de sus obligaciones de diligencia debida, nuestra guía sobre gestión de datos en recursos ofrece un marco operativo complementario.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.