Cumplimiento KYC y AML para VASP en la Union Europea

Guia detallada sobre los requisitos de cumplimiento KYC y AML para proveedores de servicios de activos virtuales (VASP) en la Union Europea. Cubre las obligaciones de AMLD5 y AMLD6, registro de VASP, reglas de titularidad real, monitoreo de transacciones y estrategias practicas de implementacion.

Panorama Regulatorio para VASP en la Union Europea

Los proveedores de servicios de activos virtuales (VASP) operan en uno de los entornos regulatorios mas complejos y dinamicos del mundo. En la Union Europea, el marco de prevencion del blanqueo de capitales (AML) ha evolucionado significativamente en los ultimos anos, pasando de un enfoque fragmentado por pais a un sistema cada vez mas armonizado que busca cerrar las brechas regulatorias explotadas por los actores ilicitos.

La Quinta Directiva contra el Blanqueo de Capitales (AMLD5) fue la primera norma europea en reconocer explicitamente a los VASP como sujetos obligados en materia de prevencion del blanqueo. Posteriormente, la Sexta Directiva (AMLD6) reforzo las sanciones penales y amplio el catalogo de delitos subyacentes. Ahora, el nuevo Reglamento AML de la UE (AMLR) y la creacion de la Autoridad Europea contra el Blanqueo (AMLA) prometen transformar aun mas el panorama.

Definicion de VASP segun la normativa europea

Conforme a las definiciones europeas, alineadas con las recomendaciones del GAFI, un VASP es cualquier entidad que proporcione uno o mas de los siguientes servicios:

Intercambio entre activos virtuales y monedas fiduciarias.
Intercambio entre diferentes activos virtuales.
Transferencia de activos virtuales.
Custodia o administracion de activos virtuales o instrumentos que permitan el control sobre activos virtuales.
Participacion y prestacion de servicios financieros relacionados con la oferta o venta de activos virtuales.

Obligaciones KYC para VASP bajo el Marco AML Europeo

Identificacion y verificacion del cliente (CDD)

Todo VASP registrado en la UE debe aplicar medidas de debida diligencia del cliente que incluyen:

Identificacion del cliente:

Recopilacion de datos de identidad: nombre completo, fecha de nacimiento, lugar de nacimiento, nacionalidad, direccion de residencia y numero de documento oficial de identidad.
Para personas juridicas: denominacion social, forma juridica, domicilio social, numero de registro, estructura de gobierno e identificacion del representante legal.

Verificacion de la identidad:

Corroboracion de los datos de identidad mediante documentos, datos o informacion de fuentes fiables e independientes.
Uso de medios de verificacion electronica que cumplan con eIDAS o con estandares tecnicos equivalentes reconocidos por la NCA del Estado miembro.

Identificacion del titular real:

Determinacion de la persona fisica que en ultimo termino posea o controle al cliente, directa o indirectamente, con una participacion superior al 25%.
Verificacion de la identidad del titular real mediante fuentes independientes.
Consulta del registro de titulares reales del Estado miembro correspondiente.

Debida diligencia reforzada (EDD)

Los VASP deben aplicar EDD en las siguientes situaciones:

El cliente es una Persona Politicamente Expuesta (PEP) o un familiar o asociado cercano de un PEP.
El cliente reside o esta establecido en un tercer pais de alto riesgo identificado por la Comision Europea o el GAFI.
La transaccion es compleja, inusualmente elevada o carece de un proposito economico aparente.
Existen indicadores de posible blanqueo de capitales o financiacion del terrorismo.
La relacion comercial se establece a distancia sin presencia fisica del cliente.

Las medidas de EDD adicionales incluyen la obtencion de informacion sobre el origen de los fondos y el patrimonio del cliente, la aprobacion de la alta direccion para iniciar o continuar la relacion comercial, y un monitoreo mas intensivo de las transacciones.

Registro y Licencia de VASP en la UE

Requisitos de registro

Hasta la plena aplicacion de MiCA, cada Estado miembro mantenia su propio regimen de registro para VASP. La mayoria de los paises exigian:

Registro ante la autoridad supervisora nacional (banco central, regulador financiero o unidad de inteligencia financiera, segun el pais).
Evaluacion de idoneidad de los directivos y titulares significativos (fit and proper test).
Presentacion de politicas y procedimientos AML/KYC.
Designacion de un responsable de cumplimiento.

Transicion a la autorizacion CASP bajo MiCA

Con MiCA en plena aplicacion, los VASP que operan en la UE deben transicionar del registro nacional a la autorizacion CASP. Los VASP previamente registrados disponen de un periodo transitorio (que varia entre 12 y 18 meses segun el Estado miembro) para obtener la nueva autorizacion. Durante este periodo, pueden seguir operando bajo su registro existente, pero deben demostrar que estan en proceso de adaptacion.

Joinble apoya a los VASP en esta transicion proporcionando soluciones de verificacion de identidad que cumplen tanto con los requisitos de registro nacional como con los estandares de autorizacion CASP de MiCA. Mas detalles en nuestra seccion de recursos.

Monitoreo de Transacciones y Reportes

Sistemas de monitoreo

Los VASP deben implementar sistemas de monitoreo de transacciones que sean proporcionales al volumen y la naturaleza de sus operaciones. Los elementos clave de un sistema de monitoreo efectivo incluyen:

Reglas basadas en umbrales: deteccion automatica de transacciones que superen limites predefinidos de volumen o frecuencia.
Analisis de comportamiento: identificacion de patrones anomalos respecto al perfil transaccional habitual del cliente.
Analisis de redes: deteccion de conexiones entre cuentas o wallets que puedan indicar estructuras de blanqueo.
Screening de blockchain: analisis on-chain para identificar interacciones con direcciones asociadas a actividades ilicitas, servicios de mixing o mercados darknet.

Reporte de operaciones sospechosas (ROS)

Cuando un VASP identifique una operacion que presente indicios de blanqueo de capitales o financiacion del terrorismo, debe comunicarla a la FIU del Estado miembro correspondiente. Las obligaciones de reporte incluyen:

Comunicacion sin demora injustificada, tipicamente dentro de las 24-72 horas siguientes a la deteccion.
Abstencion de ejecutar la operacion sospechosa cuando sea posible, salvo que la abstencion pudiera frustrar la investigacion.
Confidencialidad absoluta: prohibicion de informar al cliente o a terceros sobre la existencia del reporte (tipping-off).
Conservacion de la documentacion relacionada durante un minimo de cinco anos.

Comunicaciones sistematicas

Ademas de los ROS, los VASP deben comunicar a las autoridades las transacciones que superen determinados umbrales (tipicamente 10.000 euros o su equivalente), asi como cualquier operacion fraccionada que aparente tener como finalidad eludir los limites de comunicacion.

Titularidad Real y Transparencia Corporativa

Registros de titulares reales

La normativa AML europea exige que los VASP accedan y verifiquen la informacion de los registros nacionales de titulares reales al establecer relaciones comerciales con personas juridicas. Tras la sentencia del TJUE de noviembre de 2022, que invalido el acceso publico generalizado a estos registros, el acceso se limita a las autoridades competentes, los sujetos obligados (incluidos los VASP) y las personas con interes legitimo.

Obligaciones de los VASP respecto a la titularidad real

Los VASP deben:

Identificar al titular real de todo cliente persona juridica con una participacion superior al 25%.
No confiar exclusivamente en la informacion del registro, sino realizar sus propias verificaciones.
Documentar y conservar las evidencias de la identificacion del titular real.
Comunicar al registro cualquier discrepancia detectada entre la informacion registrada y la obtenida en el proceso de debida diligencia.

El Impacto de AMLA en los VASP

La nueva Autoridad Europea contra el Blanqueo

La AMLA, operativa desde 2025 con sede en Frankfurt, introduce un nivel supranacional de supervision que afectara directamente a los VASP de mayor envergadura. Las funciones de la AMLA relevantes para los VASP incluyen:

Supervision directa de los VASP transfronterizos de mayor riesgo.
Coordinacion de las actuaciones supervisoras de las NCA en materia AML.
Emision de normas tecnicas de regulacion (RTS) que especifiquen los requisitos de debida diligencia para los VASP.
Gestion de la base de datos FIU.net para facilitar el intercambio de informacion entre unidades de inteligencia financiera.

Mejores Practicas de Cumplimiento para VASP

Marco de cumplimiento robusto

Un programa de cumplimiento efectivo para VASP debe incluir:

Evaluacion de riesgos institucional: analisis documentado de los riesgos de blanqueo y financiacion del terrorismo especificos del VASP.
Politicas y procedimientos: manuales detallados de KYC, debida diligencia, monitoreo y reporte.
Gobernanza de cumplimiento: nombramiento de un MLRO (Money Laundering Reporting Officer) con autonomia y recursos suficientes.
Tecnologia adecuada: sistemas de verificacion de identidad, monitoreo de transacciones y screening que sean proporcionales al volumen de operaciones.
Formacion del personal: programas regulares de capacitacion sobre riesgos AML y procedimientos de cumplimiento.
Auditoria independiente: revision periodica del programa de cumplimiento por parte de un tercero cualificado.

Joinble ofrece la capa tecnologica de verificacion de identidad que los VASP necesitan para cumplir con estos requisitos de forma eficiente. Desde la verificacion documental automatizada hasta el screening en tiempo real contra listas de sanciones, nuestra plataforma se integra con los flujos operativos existentes del VASP. Explora nuestros recursos de integracion para mas informacion.

Preguntas Frecuentes

Que es un VASP y por que esta sujeto a obligaciones KYC en la UE?

Un VASP (Virtual Asset Service Provider) es cualquier entidad que ofrezca servicios de intercambio, transferencia, custodia o administracion de activos virtuales. La UE los incluyo como sujetos obligados en materia AML a partir de AMLD5 (2020), reconociendo que los servicios de activos virtuales presentan riesgos significativos de blanqueo de capitales y financiacion del terrorismo que requieren controles de debida diligencia.

Como afecta el nuevo Reglamento AML (AMLR) a los VASP en la UE?

El AMLR sustituye a las directivas AML con un reglamento directamente aplicable, eliminando las diferencias de transposicion entre Estados miembros. Para los VASP, esto significa requisitos KYC uniformes en toda la UE, incluyendo umbrales armonizados de debida diligencia, reglas estandarizadas para la identificacion de titulares reales y un marco sancionador mas homogeneo.

Cual es la diferencia entre el registro VASP y la autorizacion CASP?

El registro VASP, introducido por AMLD5, era un tramite nacional con requisitos variables segun el Estado miembro. La autorizacion CASP bajo MiCA es un proceso mas exigente y armonizado que incluye requisitos de capital, evaluacion de idoneidad y un programa de cumplimiento detallado, pero otorga a cambio el pasaporte para operar en toda la UE.

Que obligaciones tienen los VASP respecto a las wallets no alojadas?

Los VASP deben evaluar el riesgo asociado a las transferencias hacia o desde wallets no custodiadas. Para transacciones superiores a 1.000 euros, deben recopilar y verificar informacion sobre el propietario de la wallet. En casos de alto riesgo, deben aplicar medidas de debida diligencia reforzada o, en su caso, rechazar la operacion.

Cuanto tiempo necesita un VASP existente para obtener la autorizacion CASP?

El periodo transitorio varia segun el Estado miembro, oscilando entre 12 y 18 meses desde la plena aplicacion de MiCA. Los VASP deben iniciar el proceso lo antes posible, ya que los plazos de tramitacion de las NCA pueden ser considerables. Joinble puede ayudar a preparar la infraestructura de verificacion de identidad necesaria para la solicitud. Consulta nuestros recursos para mas detalles.