La prevención del blanqueo de capitales ha dejado de ser una preocupación exclusiva del sector bancario. En la España actual, cualquier empresa que gestione operaciones con dinero en efectivo, asesore en inversiones, intermedie en compraventas inmobiliarias o preste determinados servicios profesionales puede quedar sujeta a obligaciones legales cuyo incumplimiento acarrea consecuencias graves. El TRIGGER es claro: no actuar a tiempo no es una opción neutral; es una exposición regulatoria que la dirección debe gestionar de forma activa.
Una creencia extendida en el mundo empresarial es que la normativa antiblaqueo solo afecta a bancos y entidades de crédito. En nuestra experiencia asesorando a empresas en España, este malentendido es uno de los más costosos. El legislador español amplió considerablemente el catálogo de sujetos obligados al transponer las sucesivas directivas europeas.
Están sujetos, entre otros: los asesores fiscales y contables, los auditores, los notarios y registradores, las inmobiliarias y agentes de la propiedad, los abogados y procuradores cuando intervienen en operaciones financieras o societarias específicas, los operadores de juego, los comerciantes de bienes de alto valor, las gestoras de activos virtuales y determinados prestadores de servicios a empresas.
¿Encaja su empresa en alguna de estas categorías? Si la respuesta no es inmediata, ya es un indicio de que conviene realizar un análisis de exposición antes de que lo haga la autoridad supervisora.
El régimen de sujetos obligados no depende únicamente del sector formal de actividad. Depende de la naturaleza de las operaciones que la empresa ejecuta habitualmente. Una empresa tecnológica que presta servicios de custodia de activos puede quedar obligada aunque no se defina como entidad financiera. Un grupo industrial con una filial de gestión patrimonial puede arrastrar obligaciones al conjunto de la estructura.
La normativa española de prevención del blanqueo de capitales y de la financiación del terrorismo está constituida por una ley específica y su reglamento de desarrollo, que han incorporado las sucesivas directivas de la Unión Europea. Este marco impone a los sujetos obligados un conjunto de medidas de diligencia debida (due diligence) escalonadas según el nivel de riesgo del cliente y de la operación.
Las obligaciones centrales pueden agruparse en cinco ejes:
Junto a estas obligaciones materiales, la norma exige designar a un representante ante el Sepblac – un directivo con responsabilidad ejecutiva – y constituir, cuando la dimensión de la empresa lo requiera, un órgano de control interno específico.
La implantación de un programa efectivo no es un proyecto de unas semanas. Requiere metodología, compromiso de la alta dirección y seguimiento continuo. A continuación exponemos las fases que seguimos en la práctica de nuestra firma.
El punto de partida es un análisis jurídico que determine si la empresa está formalmente sujeta a la normativa y en qué grado. Este análisis examina la actividad principal y las actividades accesorias, la estructura societaria y los canales de relación con clientes.
Este paso es frecuentemente omitido por empresas que asumen, erróneamente, que no están obligadas. El coste de este error puede ser significativo.
La normativa exige que cada sujeto obligado disponga de su propia evaluación de riesgo. No existe un modelo único. El documento debe reflejar los riesgos inherentes al modelo de negocio concreto: tipología de clientes, productos, canales (presenciales o digitales), geografías de operación y volumen de operaciones en efectivo.
Hemos observado que las empresas que externalizan esta evaluación sin adecuarla a su realidad operativa acaban con un documento que no supera una inspección del Sepblac. La evaluación de riesgo tiene que ser creíble y auditable.
Sobre la base de la evaluación de riesgo se diseñan los procedimientos operativos: el protocolo de identificación y verificación, los criterios de clasificación de clientes, el flujo de comunicación interna de sospechas, y la política de conservación de documentos.
Es también el momento de integrar el canal de denuncias específico para el régimen antiblaqueo, cuando proceda, con el canal general de denuncias que la empresa haya implantado en cumplimiento de la normativa de protección de informantes. La coordinación entre ambos sistemas evita duplicidades y refuerza la eficacia del conjunto del programa de compliance empresa.
La designación del representante ante el Sepblac no es un trámite formal. Implica conferir a un directivo responsabilidad real sobre el programa y asegurarse de que dispone de los medios y la autoridad necesarios para ejercerla. En empresas de tamaño medio, esta figura se combina con el responsable de compliance penal.
La normativa exige que los empleados que intervienen en las operaciones sujetas a control reciban formación específica y actualizada. La formación no es un evento anual; es un proceso continuo que debe adaptarse a los cambios normativos y a los nuevos tipologías de riesgo que el Sepblac publica periódicamente.
El programa de prevención del blanqueo no es estático. Debe revisarse cuando cambia el modelo de negocio, cuando se incorporan nuevos productos o cuando se abren relaciones con clientes en jurisdicciones que entran en las listas de países de alto riesgo actualizadas por la Comisión Europea.
La auditoría interna periódica – o externa, cuando la empresa no dispone de los medios internos adecuados – genera el rastro documental que puede resultar decisivo ante una inspección.
La alta dirección tiene tres responsabilidades que no pueden delegarse sin conservar la supervisión efectiva.
La primera es aprobar la política de prevención del blanqueo. Este documento de nivel estratégico refleja el compromiso de la organización y define los principios de actuación. Su aprobación formal por el órgano de administración es un requisito que las inspecciones comprueban de forma sistemática.
La segunda es garantizar los recursos para el programa. Un programa de prevención del blanqueo sin dotación presupuestaria adecuada – en formación, en tecnología de verificación de clientes, en asesoramiento especializado – es un programa en papel que no funciona en la práctica.
La tercera es la gestión de los plazos de respuesta ante el Sepblac. Cuando el supervisor requiere información, los plazos son breves y el incumplimiento agrava la posición de la empresa. Tener el programa documentado y actualizado es la única forma de responder con agilidad.
¿Está el consejo de administración de su empresa en condiciones de responder hoy a una inspección del Sepblac?
Uno de los errores más frecuentes que hemos observado es tratar el cumplimiento antiblaqueo como un silo separado del resto del programa de compliance. En la práctica, los sistemas de información del programa de prevención del blanqueo procesan datos personales en volumen y con una finalidad específica. Esto obliga a integrar el diseño del programa con la normativa de protección de datos.
La Agencia Española de Protección de Datos (AEPD), que supervisa la aplicación del Reglamento General de Protección de Datos (RGPD) y de la Ley Orgánica de Protección de Datos (LOPDGDD) en España, ha emitido criterios sobre cómo los sujetos obligados deben gestionar los datos personales recabados en el proceso de diligencia debida. El registro de actividades de tratamiento debe reflejar estos flujos. El plazo de conservación de la documentación de diligencia debida – fijado en diez años por la normativa antiblaqueo – debe coordinarse con los plazos de supresión del Reglamento General de Protección de Datos.
La notificación de una brecha de seguridad a la AEPD en el plazo de setenta y dos horas desde que la empresa tiene conocimiento de ella aplica también a los ficheros de diligencia debida. Una brecha en la base de datos de clientes del programa KYC es, simultáneamente, un incidente de seguridad bajo el RGPD y un evento con implicaciones para la integridad del programa antiblaqueo.
Por otro lado, la integración con el compliance penal es igualmente necesaria. El modelo de prevención de delitos corporativos que la legislación española reconoce como eximente o atenuante de la responsabilidad penal de la persona jurídica debe articularse de forma coherente con el programa antiblaqueo. Ambos sistemas comparten la lógica de identificar riesgos, establecer controles y documentar la supervisión. Una empresa que mantiene dos programas paralelos sin integración incurre en redundancias costosas y en incoherencias que un investigador puede explotar.
Puede ampliar información sobre cómo estructuramos la práctica de protección de datos y compliance en nuestra área correspondiente en la página de práctica de protección de datos y compliance de Velarde & Vidal.
La exposición es de tres tipos: regulatoria, penal y reputacional.
Riesgo regulatorio: el Sepblac tiene competencia sancionadora. Las infracciones se clasifican en muy graves, graves y leves. Las sanciones muy graves pueden suponer, entre otras consecuencias, importes de cuantía relevante, la suspensión o prohibición de actividad y la publicación del nombre de la empresa infractora. La publicación es, por sí sola, un daño reputacional de difícil reparación.
Riesgo penal: la persona jurídica puede incurrir en responsabilidad penal cuando el blanqueo se comete en su seno y la empresa no ha adoptado un programa eficaz de prevención. El administrador que omite implantar controles puede enfrentar responsabilidad personal. En nuestra práctica hemos acompañado a directivos que subestimaron esta dimensión; la experiencia de verse involucrados en un procedimiento penal es cualitativamente distinta a afrontar una sanción administrativa.
Riesgo reputacional: los clientes institucionales, los inversores y las entidades financiadoras realizan sus propias evaluaciones de riesgo de blanqueo sobre sus proveedores y contrapartes. Una empresa sin programa acreditable puede quedar excluida de relaciones comerciales o financieras que son vitales para su crecimiento.
La creencia de que con una política de privacidad en la web y alguna cláusula contractual la empresa ya está cubierta es, simplemente, un mito. El registro de tratamientos, el protocolo de brechas, la política antiblaqueo aprobada por el órgano de administración y el modelo de compliance penal son los instrumentos que efectivamente reducen la sanción y la responsabilidad cuando se produce un incidente.
En nuestra experiencia implantando programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, el enfoque integrado es más eficiente y más robusto que la implantación fragmentada.
Un modelo integrado aborda simultáneamente la adaptación RGPD – con el registro de tratamientos, las evaluaciones de impacto cuando proceden y la política de respuesta ante ejercicio de derechos –, el canal de denuncias que exige la normativa de protección de informantes, y el programa antiblaqueo con su estructura de diligencia debida y comunicación al Sepblac.
Los beneficios son claros. El personal recibe una formación única y coherente. Los procedimientos internos se articulan sin contradicciones. La documentación de cumplimiento se organiza en un sistema de gestión único que responde a cualquier requerimiento externo – de la AEPD, del Sepblac o de un auditor externo – desde un repositorio único y auditado.
La experiencia acumulada en el sector de salud y farmacéutico nos ha permitido, entre otros proyectos, diseñar protocolos de canal de denuncias que dan respuesta simultánea a los requerimientos del Sepblac y de la AEPD. Puede conocer más detalles sobre este tipo de implantaciones en nuestra página de preguntas frecuentes sobre canal de denuncias en el sector de salud y farmacéutico.
Existen señales claras de que la situación de cumplimiento requiere atención inmediata. La dirección debe elevar la prioridad de este asunto si se cumple alguna de estas circunstancias:
Cualquiera de estos indicadores justifica iniciar una revisión con asesoramiento especializado.
El coste de implantar un programa de prevención del blanqueo robusto es siempre inferior al coste de gestionar una sanción, un procedimiento penal o una crisis reputacional. Esta ecuación es, en nuestra experiencia, la que más convence a los directivos que inicialmente perciben el proyecto de cumplimiento como un gasto.
El asesoramiento temprano permite, en primer lugar, dimensionar el programa de forma adecuada a la empresa. No todas las empresas sujetas a la normativa necesitan el mismo nivel de sofisticación. Una empresa de asesoramiento fiscal con diez empleados no necesita los mismos controles que una plataforma de activos digitales con miles de usuarios. El asesoramiento especializado identifica el nivel adecuado y evita tanto el exceso como el defecto.
En segundo lugar, el asesoramiento temprano protege a los administradores a título personal. La documentación de que la dirección aprobó, dotó y supervisó el programa es un elemento de defensa fundamental en cualquier procedimiento sancionador o penal.
En el sector fintech, hemos acompañado a empresas en la implantación de programas que integraron KYC digital, análisis de riesgo por tipología de transacción y protocolo de comunicación al Sepblac. El resultado fue un sistema auditable que permitió a la empresa acceder a financiación bancaria que antes le era denegada precisamente por la ausencia de controles acreditables. Puede consultar un caso ilustrativo en nuestra sección de casos del sector fintech y servicios financieros.
A modo de referencia, recogemos a continuación los elementos que cualquier programa de prevención del blanqueo debe acreditar ante el supervisor:
La ausencia de cualquiera de estos elementos es una vulnerabilidad que un inspector del Sepblac identificará en los primeros minutos de una auditoría.
La prevención del blanqueo está estrechamente vinculada con la protección de datos y el compliance penal. Las empresas que nos consultan sobre programas antiblaqueo con frecuencia necesitan también una revisión de su adaptación RGPD – especialmente en lo relativo al registro de tratamientos, las evaluaciones de impacto y los contratos de encargo de tratamiento con proveedores –, así como una valoración de su modelo de compliance penal para coordinar ambos sistemas bajo una gobernanza única. Si su empresa opera en un entorno regulado o gestiona datos sensibles, la integración de estos tres marcos normativos en un programa único es la opción más eficiente y la que mejor protege a los administradores.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.