La normativa de prevención del blanqueo de capitales y de la financiación del terrorismo ha dejado de ser una preocupación exclusiva de bancos y entidades financieras. En el marco regulatorio vigente en España, un número creciente de empresas no financieras – promotoras inmobiliarias, despachos, asesores fiscales, joyerías, notarías, agentes de seguros, gestores de fondos y otros sectores designados – está sujeto a obligaciones sustanciales cuyo incumplimiento genera responsabilidad directa para los administradores. La pregunta que recibimos con más frecuencia no es si existe exposición: existe. La pregunta es cuánto cuesta gestionar el riesgo frente al coste de ignorarlo.
La legislación española en materia de prevención del blanqueo de capitales, articulada sobre la Ley de prevención del blanqueo de capitales y de la financiación del terrorismo, traspone directivas europeas que han ampliado sucesivamente el perímetro de los sujetos obligados. El legislador ha optado por una enumeración que supera con creces el sector financiero tradicional.
En nuestra experiencia asesorando a empresas en España, los sectores que con mayor frecuencia descubren su condición de sujeto obligado de forma tardía son los siguientes:
¿Ha verificado su empresa si encaja en alguna de estas categorías? En la práctica, la pregunta parece sencilla pero la respuesta requiere un análisis cuidadoso de la actividad real, no de la denominación social.
La extensión del perímetro responde a una lógica clara. Los flujos ilícitos buscan sectores con menor vigilancia. Cuando el sistema financiero refuerza sus controles, el dinero ilícito migra hacia la economía real: el mercado inmobiliario, el mercado del arte, las estructuras de tenencia societaria, la asesoría profesional. La regulación sigue ese mismo vector.
Ser sujeto obligado no es una declaración formal. Genera un conjunto de obligaciones operativas que la dirección debe implantar y mantener activas. La estructura básica del programa de cumplimiento en materia de prevención del blanqueo comprende los siguientes pilares:
La empresa debe conocer a sus clientes antes de establecer la relación de negocio. Esto implica, como mínimo, verificar la identidad del cliente y, cuando procede, del beneficiario final. La diligencia debida reforzada se aplica a clientes de alto riesgo, personas con responsabilidad pública (PRP) y operaciones complejas o inusualmente elevadas. La diligencia simplificada puede aplicarse en supuestos de bajo riesgo tasados por la normativa, pero no exime de la obligación de identificar.
En nuestra práctica hemos observado que uno de los errores más habituales es confundir la identificación documental con la verdadera diligencia debida. Recoger una fotocopia del DNI no equivale a identificar al beneficiario último de la operación.
La empresa debe elaborar y mantener actualizada una evaluación del riesgo de blanqueo inherente a su actividad, sus productos y sus clientes. Esta evaluación no es un documento estático: debe revisarse ante cambios significativos en el negocio o ante nuevas amenazas identificadas en los informes del sector.
La normativa vigente exige que la evaluación de riesgos sea proporcional a la naturaleza y el tamaño de la empresa, pero no permite prescindir de ella. Una empresa de servicios profesionales con diez clientes y una facturación modesta tiene obligaciones de evaluación de riesgos, aunque su programa sea más sencillo que el de un gran grupo.
El programa de prevención del blanqueo debe plasmarse en un manual escrito que recoja los procedimientos de identificación, las señales de alerta, los canales de comunicación interna y el tratamiento de las operaciones sospechosas. La existencia de este manual es uno de los primeros documentos que requieren los supervisores en una inspección.
Los sujetos obligados deben designar a un representante ante el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC). Este representante es el interlocutor oficial para la comunicación de operaciones sospechosas y para las relaciones con el supervisor. La designación debe ser real y operativa: no es una denominación honorífica.
La empresa tiene el deber de comunicar al SEPBLAC cualquier operación sobre la que existan indicios o certeza de que está relacionada con el blanqueo de capitales o la financiación del terrorismo. Esta obligación de comunicar coexiste con la prohibición de informar al cliente afectado de que ha sido objeto de una comunicación – lo que la normativa denomina prohibición de revelación.
El personal con funciones relevantes en la relación con clientes debe recibir formación específica y periódica en materia de prevención del blanqueo. La formación es, al mismo tiempo, un elemento de cumplimiento y un mecanismo de defensa: en los procedimientos sancionadores, la acreditación de formación regular mitiga la responsabilidad de la empresa.
Los documentos obtenidos en el proceso de diligencia debida y los registros de operaciones deben conservarse durante el plazo de diez años que establece la normativa vigente. Este es uno de los plazos más largos del compliance empresarial español y tiene implicaciones directas sobre la política de gestión documental y protección de datos de la empresa.
La obligación de recopilar y conservar datos personales de clientes y beneficiarios finales choca, en apariencia, con los principios de minimización y limitación del plazo de conservación que impone el Reglamento General de Protección de Datos (RGPD). La tensión es real, pero tiene solución técnica.
El RGPD establece, como base de legitimación, el cumplimiento de una obligación legal. Las empresas que actúan como sujetos obligados en materia de blanqueo pueden fundamentar el tratamiento de datos de diligencia debida en esa base. Sin embargo, esto no las exime de cumplir con el resto de las obligaciones del RGPD: información al interesado – con las restricciones que impone la normativa anti-blanqueo –, seguridad de los datos, gestión de brechas y respeto a los derechos de los interesados.
La Agencia Española de Protección de Datos (AEPD) ha abordado esta intersección en diversas resoluciones. En términos generales, la AEPD admite que las limitaciones al ejercicio de los derechos de los interesados son admisibles cuando vienen impuestas por la normativa de prevención del blanqueo, pero exige que la empresa aplique el principio de proporcionalidad y no vaya más allá de lo estrictamente necesario.
Un aspecto frecuentemente olvidado: la notificación de brecha de seguridad en un plazo de 72 horas a la AEPD, que exige el RGPD, puede complicarse considerablemente si los datos de diligencia debida anti-blanqueo están mezclados sin criterio con el resto de los datos del sistema. Una arquitectura de datos bien diseñada reduce esa complejidad y, con ella, el riesgo sancionador en dos frentes simultáneos.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la coordinación entre ambas normativas – anti-blanqueo y RGPD – ha resultado más sencilla cuando se aborda de forma integrada desde el inicio.
La dirección de una empresa que identifica, o debe identificar, su condición de sujeto obligado se enfrenta a decisiones que tienen plazos y consecuencias concretas. No son decisiones que puedan diferirse indefinidamente.
El primer paso es la verificación jurídica de si la empresa es sujeto obligado a la luz de su actividad real. Esta verificación debe documentarse. Si la conclusión es que la empresa sí está sujeta, la implantación del programa debe comenzar sin dilación: la normativa no contempla un período de gracia.
La designación formal del representante ante el SEPBLAC es uno de los primeros actos exigibles. En empresas de pequeño tamaño, esta función recae habitualmente en el administrador o en un directivo de primer nivel. En empresas medianas o grandes, puede justificarse la creación de una función específica o la atribución al responsable de compliance.
El manual de procedimientos no es un documento que pueda elaborarse en un par de horas. Requiere un análisis previo de la actividad de la empresa, de sus clientes habituales, de sus productos y de sus canales de distribución. Una vez redactado, debe ser aprobado formalmente por el órgano de administración.
¿Qué ocurre si un supervisor solicita el manual y este no existe? La ausencia del manual es, por sí sola, un incumplimiento autónomo que puede dar lugar a sanción, con independencia de que la empresa haya actuado de buena fe en sus relaciones con clientes concretos.
La normativa exige que los empleados puedan comunicar internamente sus sospechas sobre posibles operaciones vinculadas al blanqueo sin temor a represalias. Esta exigencia converge con la obligación de disponer de un canal de denuncias que impone la Ley reguladora de la protección de las personas que informen sobre infracciones normativas – la denominada Ley Whistleblower.
La empresa que implanta ambos canales de forma integrada reduce costes y evita duplicidades. La que los trata como compartimentos estancos asume más riesgo y más gasto.
Determinados sujetos obligados deben inscribirse en registros específicos habilitados por el SEPBLAC u otros organismos supervisores. La omisión de la inscripción puede constituir una infracción autónoma.
Antes de que el programa entre en vigor, el personal implicado en la relación con clientes debe recibir formación específica. Esta formación debe quedar documentada: fecha, contenidos, asistentes y soporte utilizado.
La normativa española en materia de prevención del blanqueo establece un régimen sancionador escalonado que distingue entre infracciones muy graves, graves y leves. Las infracciones muy graves pueden dar lugar a multas de importe muy elevado – con cuantías que la normativa calcula, en algunos casos, como porcentaje del volumen de negocio de la empresa – y, en casos extremos, a la prohibición de ejercer la actividad.
Las sanciones no recaen exclusivamente sobre la persona jurídica. La normativa prevé la responsabilidad personal de los administradores y directivos que no hayan adoptado las medidas necesarias para evitar el incumplimiento. En nuestra experiencia, este es el dato que más concentra la atención de los consejos de administración cuando se expone la cuestión.
La responsabilidad del administrador no se deriva únicamente de haber participado activamente en el incumplimiento. Puede derivarse de no haber implantado los controles necesarios para prevenirlo. Dicho de otra forma: la inacción es una forma de acción sancionable.
Existe un agravante adicional que la práctica de nuestra firma detecta con regularidad. La normativa establece que la existencia de un programa de prevención efectivo y su aplicación diligente constituyen circunstancias que atenúan la responsabilidad de la empresa y de sus directivos en caso de infracción. La empresa que tiene el programa implantado y funciona correctamente puede obtener una reducción significativa de la sanción si, a pesar de todo, se produce un incidente. La empresa que no tiene programa no puede alegar esta atenuante.
Este diferencial en el régimen de responsabilidad es, en sí mismo, un argumento económico suficiente para la implantación del programa.
La prevención del blanqueo de capitales y el compliance penal son disciplinas distintas pero profundamente relacionadas. El Código Penal español tipifica el blanqueo de capitales como delito y establece la responsabilidad penal de las personas jurídicas cuando este se comete en su nombre o en su beneficio por sus representantes, administradores o empleados.
Un modelo de compliance penal eficaz – que incluya un mapa de riesgos penales, protocolos de prevención, un órgano de supervisión con poderes autónomos y un canal de denuncias operativo – constituye, conforme a la doctrina del Tribunal Supremo, el elemento central de la exoneración o atenuación de la responsabilidad penal de la persona jurídica.
La convergencia entre ambas disciplinas es particularmente intensa cuando el delito en cuestión es precisamente el blanqueo. Una empresa que es sujeto obligado en materia de prevención del blanqueo y que, además, cuenta con un modelo de compliance penal robusto, reduce de forma sustancial su exposición en los dos planos – administrativo y penal – de forma simultánea.
En nuestra práctica hemos observado que las empresas que abordan ambos programas de forma coordinada obtienen sinergias relevantes: los procedimientos de diligencia debida anti-blanqueo nutren el mapa de riesgos penal, y los canales de denuncia del compliance penal sirven también para la comunicación interna anti-blanqueo.
Si su empresa opera en sectores de riesgo o ha experimentado un crecimiento acelerado, puede resultar de utilidad revisar nuestro análisis sobre el sector fintech y la gestión del riesgo regulatorio, donde desarrollamos cómo la intersección entre servicios financieros no regulados y cumplimiento normativo genera una exposición que muchas empresas emergentes no anticipan.
El mito más extendido en este ámbito es que un programa de prevención del blanqueo es algo que se implanta «cuando el negocio crezca un poco más». La realidad es la contraria.
El coste de implantar un programa desde cero es significativamente inferior al de gestionarlo retroactivamente cuando ya se ha producido un expediente sancionador o una inspección del SEPBLAC. Los costes de defensa, la dedicación directiva que exige el procedimiento y el daño reputacional asociado a una sanción publicada superan, en prácticamente todos los casos que hemos analizado, el coste de la implantación preventiva.
Existe, además, un efecto de acumulación que penaliza la tardanza. Un programa implantado con anticipación genera un historial documentado de diligencia debida, de formación y de revisiones periódicas. Este historial es la mejor defensa ante un supervisor. Un programa implantado de urgencia en vísperas de una inspección carece de ese historial y, con frecuencia, muestra inconsistencias que agravan la posición de la empresa.
El asesoramiento temprano permite, además, diseñar el programa de forma integrada con las demás obligaciones de cumplimiento de la empresa: protección de datos, compliance laboral, canal de denuncias y compliance penal. Esta integración reduce duplicidades, mejora la coherencia de los procedimientos y, en definitiva, baja el coste total del cumplimiento.
En los sectores más expuestos – inmobiliario, asesoría profesional, gestión de activos – el análisis sectorial específico aporta un valor diferencial. Nuestro análisis dedicado al sector agroalimentario y la prevención del blanqueo ilustra cómo la evaluación sectorial permite identificar riesgos que un análisis genérico no detecta.
La creencia de que una cláusula de privacidad en la web o un aviso de cookies equivale a cumplir el RGPD es uno de los errores más costosos que observamos en empresas de mediano tamaño. El RGPD exige, como mínimo, un registro de actividades de tratamiento actualizado, una evaluación de impacto cuando los tratamientos presentan alto riesgo, un protocolo documentado para la gestión de brechas de seguridad y procedimientos para atender los derechos de los interesados en plazo.
Cuando la empresa es además sujeto obligado en materia de blanqueo, estos requisitos se multiplican. Los datos de diligencia debida son, por su propia naturaleza, datos sensibles o de alto riesgo que exigen medidas de seguridad reforzadas. La intersección con la AEPD no es teórica: las sanciones de la AEPD por tratamiento inadecuado de datos personales en el contexto de servicios profesionales son una realidad documentada.
El registro de actividades de tratamiento, el protocolo de brechas de seguridad y el modelo de compliance integrado constituyen el núcleo de una gestión del riesgo eficaz. Estos tres instrumentos, bien diseñados y mantenidos, reducen simultáneamente la exposición frente al RGPD, frente a la normativa anti-blanqueo y frente al régimen de compliance penal.
Con independencia del tamaño o la antigüedad de la empresa, la dirección que quiere gestionar activamente este riesgo puede partir de la siguiente secuencia de actuaciones:
Este checklist no sustituye al análisis jurídico específico de cada empresa. Sirve como punto de partida para que la dirección tenga una visión clara de los frentes abiertos y pueda priorizar las actuaciones más urgentes.
Si su empresa opera en el sector de protección de datos o compliance, puede ampliar el análisis de estas obligaciones en nuestra área de práctica de protección de datos y compliance, donde desarrollamos el alcance completo de nuestra intervención en este ámbito.
La prevención del blanqueo para empresas no financieras se enmarca habitualmente en una estrategia más amplia de gestión del riesgo que incluye el compliance penal, la adaptación al RGPD y la implantación de sistemas de canal de denuncias. En Velarde & Vidal abordamos estas materias de forma integrada, lo que permite a la empresa obtener un programa coherente y sin solapamientos. Si su empresa afronta también cuestiones de estructura societaria vinculadas a los controles de blanqueo – especialmente en operaciones de inversión o de restructuración – nuestro equipo de Derecho societario y operaciones (M&A) trabaja de forma coordinada con el equipo de compliance.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.