Diligencia debida del cliente vs diligencia reforzada

La diligencia debida del cliente (CDD, customer due diligence) es el conjunto estándar de controles que una empresa regulada aplica a cada cliente: verificar quién es, identificar quién lo posee o controla en última instancia, entender para qué es la relación y seguir supervisándola. La diligencia debida reforzada (EDD, enhanced due diligence) es la versión más exigente que se aplica cuando el riesgo es mayor, por ejemplo con personas del medio político, clientes vinculados a países de alto riesgo o transacciones inusualmente grandes. Añade comprobaciones del origen de los fondos y del origen del patrimonio, la aprobación de la alta dirección y un seguimiento más estrecho.

Entre ambas se sitúa la diligencia debida simplificada (SDD, simplified due diligence) para los casos de bajo riesgo. Esta guía explica los tres niveles, qué activa la EDD y cómo se aplican las normas a los exchanges de criptomonedas, tanto para equipos de cumplimiento como para usuarios que se preguntan por qué un exchange les pidió más documentos.

¿Qué es la diligencia debida del cliente?

La CDD es el núcleo jurídico del «conozca a su cliente» (know your customer). El Reglamento de la UE contra el blanqueo de capitales, el Reglamento (UE) 2024/1624 (el AMLR), aplicable desde el 10 de julio de 2027 (artículo 90), ofrece la lista moderna más clara. Según su artículo 20, apartado 1, la CDD consiste en:

• identificar al cliente y verificar su identidad;
• identificar a los titulares reales y adoptar medidas razonables para verificarlos, de modo que la empresa comprenda la estructura de propiedad y control;
• comprender el propósito y la naturaleza prevista de la relación;
• comprobar si el cliente o sus titulares reales están sujetos a sanciones financieras específicas;
• comprender la actividad empresarial o la profesión del cliente;
• realizar un seguimiento continuo, incluido el examen de las transacciones y, cuando sea necesario, del origen de los fondos;
• determinar si el cliente o el titular real es una persona del medio político (PEP), un familiar o un allegado;
• verificar a cualquier persona que actúe en nombre del cliente.

El artículo 19 establece cuándo se aplica la CDD: al iniciar una relación de negocios, en transacciones ocasionales de 10.000 EUR o más, siempre que haya sospecha de blanqueo de capitales o financiación del terrorismo, y cuando la empresa dude de los datos que ya tiene. Los proveedores de servicios de criptoactivos (CASP) tienen umbrales más estrictos, que se tratan más abajo.

Para las personas físicas, la identificación es el conocido proceso KYC. Para las empresas, el paso del titular real concentra la mayor parte del trabajo, y nuestra guía sobre el titular real (UBO) explica cómo funciona ese control.

SDD, CDD y EDD de un vistazo

Según el artículo 20, apartado 2, del AMLR, las empresas fijan el alcance de sus controles a partir de un análisis individual del riesgo: un riesgo mayor obliga a aplicar la EDD; un riesgo menor permite aplicar la SDD.

Diligencia debida simplificada: más ligera, nunca nula

La SDD no es una exención. Según el artículo 33 del AMLR, una empresa ante una relación de riesgo realmente bajo puede:

• verificar al cliente y al titular real después de establecida la relación, pero a más tardar a los 60 días;
• actualizar la información del cliente con menos frecuencia;
• recabar menos información sobre el propósito de la relación, o deducirlo;
• examinar las transacciones con menos frecuencia o menos profundidad.

La empresa debe seguir supervisando lo suficiente para detectar actividad sospechosa, y debe dejar de aplicar la SDD si duda de la información, si desaparecen los factores de bajo riesgo o si sospecha de blanqueo de capitales o elusión de sanciones.

Cuándo se activa la diligencia debida reforzada

El artículo 34, apartado 1, del AMLR exige la EDD en los casos concretos que menciona el reglamento y en cualquier otro caso de mayor riesgo que la propia empresa identifique. Los principales desencadenantes son:

Terceros países de alto riesgo

El Grupo de Acción Financiera Internacional (GAFI) publica dos listas tras cada una de sus reuniones plenarias de febrero, junio y octubre: «jurisdicciones de alto riesgo sujetas a un llamado a la acción», para las que el GAFI insta a aplicar diligencia debida reforzada y, en los casos más graves, contramedidas, y «jurisdicciones bajo mayor vigilancia». Las declaraciones más recientes en la página del GAFI sobre jurisdicciones de alto riesgo son del 19 de junio de 2026, y la actualización de junio añadió Bosnia y Herzegovina e Irak a la lista de mayor vigilancia. La UE mantiene su propia lista en el Reglamento Delegado (UE) 2016/1675, modificado por última vez en enero de 2026 según la Comisión Europea. Según el artículo 29, apartado 4, del AMLR, las relaciones de negocios o transacciones ocasionales con personas de un país incluido en la lista requieren EDD.

Personas del medio político

Las PEP desempeñan o han desempeñado funciones públicas destacadas, como jefes de Estado, ministros, parlamentarios, jueces de tribunales supremos, miembros de los órganos de dirección de bancos centrales y miembros de los consejos de administración de empresas controladas por el Estado (artículo 2, apartado 1, punto 34, del AMLR). El GAFI las trata en sus Recomendaciones 12 y 22. Según el artículo 42 del AMLR, una empresa que trate con una PEP debe obtener la aprobación de la alta dirección, adoptar medidas adecuadas para establecer el origen del patrimonio y el origen de los fondos, y aplicar un seguimiento continuo reforzado. Lo mismo se aplica a familiares y allegados conocidos (artículo 46). Ser PEP es una categoría de riesgo, no una acusación, y los controles adicionales continúan al menos 12 meses después de dejar el cargo (artículo 45). Nuestra guía sobre el cribado de listas de vigilancia y PEP explica cómo detectan las empresas a las PEP.

Transacciones inusuales

El artículo 34, apartado 2, obliga a las empresas a examinar el origen, el destino y el propósito de cualquier transacción compleja, inusualmente grande, que siga un patrón inusual o que carezca de un propósito económico o lícito aparente. Es el desencadenante que más encuentran los usuarios minoristas de criptomonedas: un depósito muy superior a cualquier movimiento anterior de la cuenta.

Otros casos de mayor riesgo

Las relaciones de corresponsalía transfronterizas tienen sus propias normas de EDD, también para los CASP que tratan con empresas cripto fuera de la UE (artículo 37). Y la lista no es cerrada: el anexo III del AMLR menciona otros factores de mayor riesgo, como estructuras de propiedad complejas, accionistas nominales, negocios con uso intensivo de efectivo y productos que favorecen el anonimato.

Qué recaba la diligencia debida reforzada

El artículo 34, apartado 4, enumera las medidas que una empresa puede aplicar, en proporción al riesgo, entre ellas:

1. Más información sobre el cliente y los titulares reales, y sobre la naturaleza prevista de la relación.
2. Origen de los fondos y origen del patrimonio del cliente y de los titulares reales. El origen de los fondos es de dónde procede el dinero de esta transacción. El origen del patrimonio es cómo ha construido la persona su patrimonio total. Nuestra guía origen de los fondos vs origen del patrimonio recoge las pruebas que suelen aceptarse.
3. Motivos de transacciones concretas y si encajan con la relación.
4. Aprobación de la alta dirección para iniciar o mantener la relación.
5. Seguimiento reforzado: controles más frecuentes y una revisión más detallada de los patrones de transacciones.

En la práctica, los expedientes de EDD también suelen incluir un cribado de noticias negativas (adverse media) y una justificación escrita de la decisión. Las empresas suelen recurrir a herramientas especializadas para las partes de cribado y seguimiento. El cribado AML de iDenfy, por ejemplo, contrasta a los clientes con datos de sanciones, PEP y listas de vigilancia y vuelve a cribarlos de forma continua.

Seguimiento continuo: la diligencia debida no termina en el alta

El artículo 26 del AMLR obliga a las empresas a supervisar las transacciones a la luz de lo que saben del cliente y a mantener actualizada su información, al menos cada año para los clientes sujetos a EDD y cada cinco años para el resto, y antes si cambian las circunstancias.

Por eso un exchange puede pedir documentos años después del registro: una nueva coincidencia PEP, un país recién incluido en una lista o un cambio en el uso de la cuenta pueden hacer pasar a un cliente de CDD a EDD. Nuestra guía sobre la supervisión de transacciones AML en cripto explica cómo funciona, y las señales de alerta AML en cripto recoge los patrones que suelen desencadenar revisiones.

Si una empresa no puede completar la diligencia debida, el artículo 21 establece que no debe ejecutar la transacción ni iniciar la relación, que debe poner fin a una existente y valorar la presentación de una comunicación de operación sospechosa. Por eso se restringen las cuentas cuando los documentos solicitados nunca llegan.

Cómo se aplican la CDD y la EDD a las empresas cripto

Los CASP son sujetos obligados conforme al AMLR, y varias normas están redactadas específicamente para ellos:

• Umbrales más bajos. Según el artículo 19, apartado 3, los CASP deben aplicar la CDD completa en transacciones ocasionales de 1.000 EUR o más y, por debajo de ese importe, deben al menos identificar y verificar al cliente. Otras empresas utilizan 10.000 EUR.
• Wallets autoalojadas. El artículo 40 obliga a los CASP a evaluar el riesgo de las transferencias hacia y desde direcciones autoalojadas y a aplicar medidas de mitigación. Estas pueden incluir identificar a la persona detrás de la transferencia, preguntar por el origen y el destino de los criptoactivos o un seguimiento reforzado.
• La Travel Rule. El Reglamento de transferencias de fondos de la UE se aplica desde el 30 de diciembre de 2024. Exige que la información del ordenante y del beneficiario acompañe a las transferencias de criptoactivos entre proveedores. Consulte la Travel Rule cripto explicada.
• Riesgo on-chain. Los exchanges analizan las wallets desde las que los clientes depositan y a las que retiran, y un depósito rastreado hasta un mixer o una dirección sancionada puede llevar a un cliente corriente a la EDD. Nuestra guía sobre el análisis de blockchain explica cómo funciona ese rastreo.

Sobre los plazos: el AMLR se aplica desde el 10 de julio de 2027. Hasta entonces, las empresas de la UE siguen las leyes nacionales que transponen las directivas AML vigentes, que utilizan la misma estructura de tres niveles. El AMLR también encomendó a la nueva Autoridad de Lucha contra el Blanqueo de Capitales de la UE (AMLA) redactar, antes del 10 de julio de 2026, normas técnicas sobre qué información recabar en cada nivel (artículo 28), para su adopción por la Comisión. Según su propio sitio web, la AMLA empezó a operar en Fráncfort en el verano de 2025 y prevé iniciar la supervisión directa de determinadas empresas en 2028. Para la parte de autorizaciones de las normas cripto de la UE, consulte qué es MiCA.

En Estados Unidos, los bancos, los broker-dealers, los fondos de inversión y las empresas de futuros siguen la norma de diligencia debida del cliente de FinCEN (31 CFR 1010.230), con la misma lógica basada en el riesgo.

Para usuarios: por qué el exchange pidió más

Si un exchange le pide nóminas, un contrato de compraventa o declaraciones de impuestos, normalmente uno de los desencadenantes anteriores le ha llevado a la EDD, casi siempre un depósito grande o inusual. Responder de forma completa y coherente es la vía más rápida. Nuestros consejos para la verificación de identidad repasan los errores habituales.

Las aplicaciones de JewelSwap son software DeFi no custodio y no realizan por sí mismas diligencia debida del cliente. Nuestro artículo sobre el KYC en DeFi explica por qué.

Preguntas frecuentes

¿Cuál es la diferencia entre CDD y EDD?

La CDD es el conjunto estándar de controles que se aplica a todo cliente: identidad, titulares reales, propósito de la relación, situación respecto a sanciones y PEP, y seguimiento continuo. La EDD añade medidas para los casos de mayor riesgo, como pruebas del origen de los fondos y del patrimonio, la aprobación de la alta dirección y un seguimiento más frecuente.

¿Qué activa la diligencia debida reforzada?

Los principales desencadenantes son una persona del medio político, un familiar o allegado suyo, un vínculo con un tercer país de alto riesgo, una transacción compleja o inusualmente grande sin un propósito claro, determinadas relaciones de corresponsalía y cualquier otro riesgo mayor que la empresa identifique en su propia evaluación.

¿Qué es la diligencia debida simplificada?

La SDD es una versión más ligera de la CDD para casos de bajo riesgo documentados. Según el AMLR de la UE, una empresa puede aplazar la verificación hasta 60 días, actualizar la información con menos frecuencia y supervisar con menos intensidad, pero nunca puede prescindir por completo de la diligencia debida.

¿Una PEP es automáticamente de alto riesgo?

Una PEP siempre activa medidas reforzadas según las normas de la UE: aprobación de la alta dirección, comprobación del origen del patrimonio y de los fondos, y seguimiento reforzado. Es una categoría de riesgo, no una acusación, y las medidas continúan al menos 12 meses después de que la persona deje el cargo.

¿Con qué frecuencia debe actualizarse la información del cliente?

Según el AMLR de la UE, aplicable desde el 10 de julio de 2027, las actualizaciones deben realizarse al menos una vez al año para los clientes sujetos a diligencia debida reforzada y al menos cada cinco años para el resto, y antes cuando cambien las circunstancias.

¿Cuándo deben aplicar la CDD los exchanges de criptomonedas?

Según el AMLR de la UE, los proveedores de servicios de criptoactivos aplican la CDD al iniciar una relación de negocios y en transacciones ocasionales de 1.000 EUR o más. Por debajo de 1.000 EUR, deben igualmente identificar y verificar al cliente.

Siga leyendo

• Titular real (UBO): definición y verificación
• Origen de los fondos vs origen del patrimonio
• Guía de cumplimiento AML cripto para exchanges y VASP
• Cribado de listas de vigilancia y PEP en cripto
• ¿Qué es el KYC en cripto?

Este artículo es educativo y no constituye asesoramiento jurídico ni financiero. Las referencias legales corresponden al Reglamento (UE) 2024/1624, al Reglamento (UE) 2023/1113 y al 31 CFR 1010.230 según su publicación, comprobados el 8 de octubre de 2026. Las fechas de las listas del GAFI proceden del sitio web del GAFI y los datos de la lista de la UE del sitio web de la Comisión Europea, ambos comprobados el 8 de octubre de 2026. Las normas y las listas cambian; compruebe las versiones vigentes antes de basarse en ellas.