El banco pide justificar una transferencia, auditoría solicita el expediente de un nuevo proveedor o compras detecta que nadie comprobó quién firma por una sociedad recién incorporada. Surge la duda: ¿hay que aplicar controles KYC AML a cada contraparte, incluso cuando la pyme no es una entidad financiera?
La verificación KYC y cumplimiento normativo: cómo validar clientes y proveedores permite saber con quién opera una empresa; el KYB extiende la comprobación a sociedades, proveedores y sus titulares reales. Un proceso útil combina identidad, documentación, riesgo, sanciones y seguimiento, no solo pedir un DNI. En España, los sujetos obligados deben conservar la documentación de diligencia debida durante 10 años.
KYC y KYB: qué validar y a quién obliga
KYC identifica a una persona física y KYB verifica a una empresa, su representación, su actividad y quién la controla realmente.
La decisión útil para una pyme es esta: aplica controles proporcionados al riesgo, aunque no seas sujeto obligado. Identifica a la contraparte, valida poderes y cuenta de pago, revisa titulares reales cuando corresponda y documenta la decisión. Si tu actividad está incluida en el artículo 2 de la Ley 10/2010, el estándar sube: debes aplicar diligencia debida, conservar evidencias durante 10 años y atender las obligaciones ante SEPBLAC.
KYC identifica a la persona física
KYC significa Know Your Customer, o conocimiento del cliente. Consiste en comprobar que la persona existe, que el documento está vigente y que sus datos encajan con la operación que quiere hacer.
Para un particular, la verificación suele partir de DNI, NIE o pasaporte. Si actúa en nombre de una empresa, ese documento solo acredita quién es él, no que pueda firmar contratos o modificar una cuenta bancaria de la sociedad.
KYB comprueba empresa, control y actividad
KYB significa Know Your Business, o conocimiento de la empresa. Revisa NIF, denominación social, inscripción, administradores, poderes, actividad económica, estructura de propiedad y titular real.
El titular real, también llamado beneficiario efectivo o UBO, es la persona física que posee o controla la entidad. Como regla habitual, debe identificarse a quien tenga más del 25 % del capital o de los derechos de voto, y también a quien controle la empresa por otros medios.
La automatización acelera la validación de clientes y proveedores cuando se usa para tareas repetitivas: lectura de documentos, contraste de NIF y datos registrales, detección de caducidades, consulta de listas y avisos de recertificación. Sin embargo, no sustituye la decisión humana en casos con una estructura societaria compleja, una coincidencia posible en sanciones, una PEP, medios adversos graves o un cambio de IBAN.
Un modelo práctico combina reglas automáticas para expedientes sin alertas con una cola de revisión manual para excepciones. Así se reduce el tiempo de onboarding sin convertir una coincidencia de nombre o un documento escaneado en una aprobación automática.
La ley 10/2010 no obliga a toda pyme al AML
La Ley 10/2010 obliga a aplicar medidas formales de prevención del blanqueo de capitales a los sujetos obligados, no a toda empresa que venda o compre bienes y servicios.
Entre los sujetos obligados están las entidades de crédito, aseguradoras en ciertos ramos, empresas de servicios de inversión, inmobiliarias, auditores, asesores fiscales en determinados trabajos, notarios, abogados en operaciones concretas y proveedores de servicios de cambio o custodia de criptoactivos. La lista completa exige revisar el artículo 2 de la norma y el Reglamento aprobado por Real Decreto 304/2014.
Cuándo existe obligación legal plena
Una empresa debe confirmar si es sujeto obligado antes de diseñar su proceso. El dato relevante no es el tamaño de la pyme, sino su actividad real y el servicio que presta.
Quien intermedia en compraventas inmobiliarias, gestiona fondos de terceros o presta servicios societarios necesita una revisión legal específica. También cambian las obligaciones si hay transferencias de criptoactivos sujetas al Reglamento (UE) 2023/1113.
Controles útiles sin ser sujeto obligado
Una pyme no obligada puede usar una política más ligera. Debe comprobar la identidad fiscal, la representación, la cuenta bancaria y las alertas que hagan extraño el alta o el pago.
Eso protege contra el fraude del CEO, donde alguien suplanta a un directivo para ordenar un pago urgente. También reduce el riesgo de contratar a un proveedor inexistente o de enviar fondos a un IBAN modificado por correo.
Documentos según cliente, autónomo o empresa
Un alta fiable exige pruebas distintas según se trate de un particular, autónomo o empresa.
| Contraparte | Prueba mínima | Validación adicional | Revisión orientativa |
|---|
| Cliente particular | DNI, NIE o pasaporte vigente | Coherencia de datos y pago | Por evento relevante |
| Autónomo | Documento, NIF y actividad | Cuenta bancaria y alta censal si procede | Cada 24 a 36 meses |
| Sociedad española | NIF y datos registrales | Poderes, UBO e IBAN | Cada 12 a 24 meses |
| Proveedor extranjero | Registro local y firmante | UBO, país, traducción o apostilla | Cada 12 meses |
El NIF no acredita representación
El NIF identifica a la entidad ante Hacienda, pero no prueba quién puede firmar en su nombre. Para eso hay que revisar administradores, apoderados y vigencia del poder mediante información registral o documentación societaria contrastable.
El titular real puede estar oculto
Una empresa puede pertenecer a otra empresa y esta a una tercera. La comprobación debe seguir la cadena hasta llegar a las personas físicas que controlan la estructura.
La matriz decide cuándo reforzar la revisión
La diligencia debida debe ser proporcional al riesgo, no idéntica para todos.
Flujo de aprobación según riesgo
0 a 2 puntos
Identidad y datos básicos
Aprueba el área solicitante
3 a 5 puntos
KYB, poderes, UBO e IBAN
Aprueban compras o administración
6 o más puntos
Pruebas ampliadas y screening
Escala a compliance o dirección
Un cambio de IBAN, una sanción potencial o un titular real opaco obliga a revisar la puntuación.
Señales que elevan el riesgo
Suman riesgo una propiedad difícil de entender, un intermediario sin función clara, un país con deficiencias AML/CFT señaladas por el GAFI o una petición de pago urgente a un tercero. También cuentan precios anormalmente bajos y una actividad que no encaja con el suministro.
Una PEP es una persona con responsabilidad pública relevante, como un alto cargo o, en ciertos supuestos, un familiar o allegado conocido. Ser PEP no prohíbe contratar, pero puede exigir controles reforzados si aplica la normativa o la política interna.
Cuándo pedir origen de fondos
El origen de fondos explica de dónde sale el dinero de una operación. El origen del patrimonio explica cómo se obtuvo la riqueza acumulada que permite disponer de esos fondos.
Estas pruebas se piden cuando el importe, el comportamiento o las alertas hacen que la operación no encaje con el perfil conocido. Para una pyme no obligada, puede bastar con pedir una explicación comercial y prueba de pago; para un sujeto obligado, el análisis puede ser más exigente.
Para que la matriz sea aplicable, cada factor debe tener una puntuación y una consecuencia definida. Por ejemplo, una sociedad española con actividad verificable, estructura simple y pago a una cuenta de su titularidad puede seguir diligencia simplificada o estándar según la política interna; un proveedor con varios niveles de propiedad, actividad difícil de acreditar, pagos a terceros o relación con jurisdicciones de mayor riesgo debe pasar a diligencia reforzada.
La ficha de riesgo puede valorar país, importe previsto, tipo de producto, antigüedad, complejidad de la propiedad, canal de contratación, PEP, sanciones y medios adversos. La diligencia reforzada debe incluir más pruebas, aprobación jerárquica y un plazo de revisión más corto.
Un proveedor exige validar más que su CIF
Validar proveedores exige comprobar identidad fiscal, representación, titular real, cuenta bancaria, actividad, sanciones, insolvencia y posibles conflictos de interés.
El flujo debe ser claro: solicitud de alta, documentos, comprobaciones, puntuación, decisión y archivo. Ventas puede pedir el alta, pero no debería aprobar por sí sola a quien cobrará pagos relevantes.
El IBAN requiere doble comprobación
Un cambio de cuenta bancaria debe confirmarse por un canal independiente. Sirven una llamada al número guardado previamente, una firma electrónica verificable o un certificado bancario reciente contrastado.
No basta una carta con membrete o un dominio parecido al corporativo. Los ataques suelen imitar una letra del dominio y aprovechar la urgencia de cierre de mes.
⭐
Selección para ti
Un escáner portátil ayuda a guardar certificados bancarios, poderes y documentos de alta con fecha y buena legibilidad. Resulta útil cuando compras trabaja con expedientes físicos o proveedores que envían documentación firmada.
- Digitaliza certificados de titularidad bancaria para asociarlos al expediente del proveedor
- Facilita conservar poderes, documentos de identidad y formularios firmados con una copia legible
- Reduce el tiempo de búsqueda durante una revisión interna o una auditoría documental
Ver en Amazon →
Actividad y suministro deben encajar
Una empresa que declara consultoría no queda descartada por vender un servicio técnico. Pero debe explicar de forma creíble cómo presta ese servicio, con qué medios y por qué factura un importe elevado.
Contrasta web corporativa, antigüedad, referencias, licencias, CNAE, dirección y capacidad logística. La revisión gana valor cuando se compara lo declarado con el pedido real, no cuando se acumulan PDFs sin leerlos.
El screening exige resolver homónimos
Una alerta en una lista de sanciones, PEP o medios adversos no obliga por sí sola a bloquear una relación comercial.
El screening es el cribado de nombres frente a listas de sanciones, listas de vigilancia, personas expuestas políticamente, prensa adversa y bases internas. Debe abarcar a la empresa, administradores, apoderados y titulares reales cuando el nivel de riesgo lo justifique.
Un nombre igual no confirma sanción
Dos personas pueden tener el mismo nombre. Rechazar automáticamente a una contraparte por una coincidencia parcial genera errores, discriminación y decisiones difíciles de defender.
La ficha de alerta debe indicar qué fuente se consultó, cuándo, qué datos coincidían y qué datos descartaron el resultado. Si persiste la duda, se pide información adicional o se eleva el caso a compliance o dirección.
Una PEP no es una prohibición
Una PEP requiere un análisis más cuidadoso, no un rechazo automático. El objetivo es valorar riesgo de corrupción, influencia indebida o procedencia opaca de fondos, no penalizar a un cargo público por el mero hecho de serlo.
Cuando haya PEP, sanciones potenciales o medios adversos graves, pide aprobación de un nivel superior. En un sujeto obligado, pueden existir medidas legales concretas de diligencia reforzada.
Las revisiones se activan por eventos
La diligencia debida no termina al aprobar el alta. Un expediente debe revisarse cada 12 meses en riesgo alto, cada 24 meses en riesgo medio y cada 36 meses en riesgo bajo, y también cuando cambien datos que alteren el riesgo.
Los eventos disparadores incluyen nuevo titular real, administrador o apoderado; cambio de domicilio, país, actividad o IBAN; pagos atípicos; insolvencia; prensa adversa y nuevas coincidencias en listas. KYT, conocimiento de la transacción, compara la operativa real con el perfil que se aprobó.
Cada área debe saber su límite
Compras solicita y contrasta la necesidad del proveedor. Administración verifica datos de facturación y cuenta; compliance o legal resuelve los casos de mayor riesgo; protección de datos revisa que el tratamiento respete RGPD y la Ley Orgánica 3/2018.
Ventas no debe prometer una aprobación antes de terminar la revisión. Dirección debe decidir los casos reforzados y dejar constancia del motivo si acepta un riesgo excepcional.
Conserva solo lo necesario y justificable
La AEPD exige tratar datos personales con una base jurídica y durante un plazo adecuado. Una pyme no debe guardar copias de documentos indefinidamente solo porque una vez los pidió.
Los sujetos obligados tienen el plazo de conservación de 10 años previsto en la Ley 10/2010. Quien no lo sea debe definir su propio plazo según contrato, defensa de reclamaciones, fiscalidad y minimización de datos.
No procede implantar un proceso AML completo solo por operar con terceros si la empresa no es sujeto obligado por la Ley 10/2010 y no existe una exigencia sectorial o contractual. Aun así, conviene mantener controles proporcionales contra fraude, proveedores ficticios y pagos indebidos, con especial atención a poderes, IBAN y titular real.
Lo que más preguntan
¿Cómo hago una verificación KYC?
Una verificación KYC identifica a la persona con DNI, NIE o pasaporte vigente y comprueba que sus datos encajan con la operación. Si hay sanciones, PEP, fraude o incoherencias, debe pedirse evidencia adicional antes de aprobar.
¿Qué es KYC para proveedores?
KYC para proveedores, también llamado KYS, valida identidad fiscal, poderes, titular real, cuenta bancaria y actividad del proveedor. Debe revisarse de nuevo si cambia el IBAN, el administrador, el titular real o el país de operación.
¿Qué documentos necesito para validar una empresa?
Una empresa española necesita como mínimo NIF, datos registrales, identificación del firmante y prueba de sus poderes. En riesgo normal o alto, añade titular real y certificado de titularidad bancaria reciente.
¿Tengo que rechazar una coincidencia en sanciones?
No, una coincidencia de nombre no exige rechazo automático si faltan identificadores que la confirmen. Compara al menos nombre completo, país, fecha de nacimiento, NIF o documento, cargo y entidades vinculadas.
¿Cada cuánto debo actualizar un KYB?
Un KYB puede actualizarse cada 12 meses en riesgo alto, 24 meses en riesgo medio y 36 meses en riesgo bajo. Debe adelantarse ante cambios societarios, alertas de prensa, sanciones o modificación de la cuenta bancaria.
Lo esencial:- Una pyme ordinaria no tiene por qué replicar el AML de un banco, pero sí debe controlar riesgos reales de fraude y contratación.
- KYC identifica personas; KYB añade empresa, poderes, actividad, estructura de propiedad y titular real.
- El cambio de IBAN requiere siempre una comprobación por un canal independiente.
- Las alertas de sanciones o PEP deben investigarse con identificadores antes de bloquear o rechazar.
- Un expediente útil se revisa por fecha y por eventos, y deja evidencia de quién decidió.
Para saber más
Si deseas profundizar, aquí tienes algunos recursos de interés:
