Evaluación de riesgos AML para empresas cripto: guía

Una evaluación de riesgos AML (de blanqueo de capitales) es un análisis documentado de cómo podría utilizarse una empresa para el blanqueo de capitales, la financiación del terrorismo o la elusión de sanciones, de la probabilidad y gravedad de cada riesgo y de la eficacia con que sus controles lo reducen. Para un exchange cripto u otra empresa de activos virtuales, es la base de todo el programa de cumplimiento AML: decide dónde aplicar la diligencia debida reforzada, qué reglas de monitorización de transacciones ejecutar y dónde invertir el presupuesto de cumplimiento.

Esta guía trata la evaluación de riesgos a nivel de toda la empresa (o autoevaluación de riesgos) para empresas cripto: los factores de riesgo que debe cubrir, una matriz de puntuación de ejemplo, los «cinco pilares» estadounidenses de un programa BSA/AML y lo que exige el Reglamento contra el Blanqueo de Capitales de la UE. Termina con una breve nota para los usuarios sobre por qué las calificaciones de riesgo afectan a sus cuentas.

Dos niveles de evaluación de riesgos

Un enfoque basado en el riesgo funciona en dos niveles, y conviene mantenerlos separados:

• Evaluación de riesgos a nivel de empresa. Analiza la empresa en su conjunto: su base de clientes, productos, países y canales. Fija la política, por ejemplo qué clientes necesitan controles reforzados y qué productos requieren controles adicionales.
• Evaluación del riesgo del cliente. Califica a cada cliente individual con el marco creado por la evaluación a nivel de empresa. Decide cuánta diligencia debida recibe ese cliente. Nuestra guía sobre CDD frente a EDD trata este nivel.

Si la evaluación a nivel de empresa es débil, todos los controles posteriores quedan calibrados en el nivel equivocado, por eso los supervisores suelen pedirla en primer lugar.

Qué exige el AMLR de la UE

El Reglamento contra el Blanqueo de Capitales de la UE, el Reglamento (UE) 2024/1624 (AMLR), se aplica a partir del 10 de julio de 2027. Los proveedores de servicios de criptoactivos (CASP) están incluidos en su definición de entidades financieras y son, por tanto, sujetos obligados. El artículo 10 regula la evaluación de riesgos a nivel de empresa. Las empresas deben identificar y evaluar sus riesgos de blanqueo de capitales y financiación del terrorismo, así como el riesgo de no aplicación o elusión de sanciones financieras específicas, teniendo en cuenta como mínimo:

• las variables de riesgo del anexo I y los factores de riesgo menor y mayor de los anexos II y III;
• la evaluación de riesgos a nivel de la UE realizada por la Comisión Europea y las evaluaciones nacionales de riesgos de los Estados miembros;
• las publicaciones pertinentes de los organismos internacionales de normalización, de la Comisión o de la nueva Autoridad de Lucha contra el Blanqueo de Capitales (AMLA);
• la información sobre riesgos facilitada por las autoridades competentes; y
• la información sobre la propia base de clientes de la empresa.

El artículo 10 exige además una nueva evaluación antes de lanzar nuevos productos, servicios, canales de distribución o tecnologías, o de entrar en un nuevo segmento de clientes o país. La evaluación debe estar documentada, mantenerse actualizada y revisarse periódicamente, ser elaborada por el responsable de cumplimiento, aprobada por el órgano de dirección y puesta a disposición de los supervisores cuando lo soliciten. El artículo 10, apartado 4, obligaba a la AMLA a publicar a más tardar el 10 de julio de 2026 directrices sobre su contenido mínimo.

Para las empresas cripto, el considerando 30 añade que la evaluación debe tener en cuenta las operaciones con direcciones autoalojadas, y el artículo 79 prohíbe a los CASP mantener cuentas de criptoactivos anónimas o cuentas que permitan la anonimización o el aumento de la opacidad de las operaciones, incluso mediante monedas que refuerzan el anonimato. La autorización con arreglo a MiCA es un régimen aparte; consulte nuestra guía sobre la licencia CASP con arreglo a MiCA.

Qué exigen las normas de EE. UU.: los cinco pilares

En EE. UU., las empresas que intercambian o transmiten moneda virtual convertible son, por lo general, money services businesses (MSB), según estableció FinCEN en sus orientaciones FIN-2019-G001 de 2019. Nuestra guía sobre la licencia de money transmitter trata el registro. Los MSB deben aplicar un programa AML con arreglo al 31 CFR 1022.210, que debe constar por escrito y ser «proporcional a los riesgos» de la actividad, e incluir como mínimo:

1. Políticas, procedimientos y controles internos sobre identificación de clientes, comunicaciones, conservación de registros y solicitudes de las fuerzas del orden;
2. Un responsable de cumplimiento designado, encargado del cumplimiento diario;
3. Formación para el personal correspondiente, incluida la detección de operaciones sospechosas; y
4. Una revisión independiente, proporcional al riesgo, realizada por alguien distinto del responsable de cumplimiento.

Son los clásicos «cuatro pilares». Los bancos y otras entidades financieras sujetas tienen un quinto: la diligencia debida del cliente basada en el riesgo, que según el 31 CFR 1020.210 consiste en comprender la naturaleza y finalidad de las relaciones con los clientes para elaborar un perfil de riesgo del cliente, junto con un seguimiento continuo. Las empresas cripto con licencia bancaria o socios bancarios suelen estar sujetas a los cinco.

Las normas actuales no exigen expresamente una evaluación de riesgos por escrito. El manual de examen BSA/AML del FFIEC señala que, aunque «no es un requisito legal específico», una evaluación de riesgos bien elaborada ayuda a un banco a identificar sus riesgos y diseñar sus controles, y describe un método en dos pasos: identificar las categorías de riesgo (productos, servicios, clientes, geografía) y después analizar los datos de cada una. Esto podría cambiar. El 10 de abril de 2026, FinCEN propuso una norma para reformar los requisitos de los programas AML/CFT, según la cual las políticas, procedimientos y controles internos incluirían procesos de evaluación de riesgos. El plazo de comentarios se cerró el 9 de junio de 2026, y la norma seguía en fase de propuesta cuando consultamos el Federal Register el 9 de octubre de 2026.

Factores de riesgo que debe cubrir una empresa cripto

Ambos regímenes organizan el riesgo de la misma manera. El anexo I del AMLR agrupa las variables de riesgo en riesgo de cliente, de producto/servicio/operación y de canal de distribución, y el anexo III añade la geografía de alto riesgo. Para una empresa cripto, eso se traduce en:

• Clientes: minoristas frente a institucionales, clientes corporativos con estructuras de propiedad complejas, personas del medio político, usuarios de alto patrimonio, clientes con profesiones de alto riesgo y la proporción de clientes con alertas previas.
• Productos y servicios: trading al contado, mesa OTC, rampas de entrada y salida fiat, custodia, staking, tarjetas cripto, listados de tokens y cualquier producto que favorezca el anonimato.
• Operaciones: volúmenes, importes por operación, velocidad de entradas y salidas, transferencias hacia y desde wallets autoalojadas, exposición a mezcladores, bridges y servicios de alto riesgo detectados mediante análisis blockchain.
• Geografía: dónde viven los clientes, desde dónde se conectan y la exposición a países incluidos en las listas de seguimiento del GAFI o sujetos a sanciones. Consulte nuestra guía sobre la lista de sanciones de la OFAC.
• Canales de distribución: alta totalmente a distancia, intermediarios y afiliados, socios de API y de marca blanca, y otros exchanges con los que opera.

Una matriz de puntuación de riesgos de ejemplo

No existe un formato obligatorio. El manual del FFIEC indica que los examinadores «no esperan un método o formato concreto». Un enfoque habitual puntúa el riesgo inherente, evalúa la eficacia de los controles y deduce el riesgo residual. La tabla siguiente es un ejemplo ilustrativo, no una plantilla regulatoria; sus propias ponderaciones deben salir de sus datos.

El riesgo inherente suele puntuarse como probabilidad multiplicada por impacto, con indicadores medibles como volúmenes, número de clientes y tasas de alerta. La solidez de los controles debe respaldarse con pruebas, como resultados de ensayos y conclusiones de auditoría, y no con la mera existencia de una política. Cuando el riesgo residual supera el apetito de riesgo de la empresa, la evaluación debe terminar con un plan de acción fechado y con responsables.

Cómo realizar la evaluación paso a paso

1. Recopilar datos: datos de clientes y operaciones, informes de exposición on-chain, estadísticas de alertas y actividad sospechosa, conclusiones de auditoría y evaluaciones de riesgos nacionales y de la UE pertinentes.
2. Identificar los riesgos en cada una de las categorías anteriores, incluidos los nuevos productos en preparación.
3. Puntuar el riesgo inherente con un método escrito y reproducible.
4. Evaluar los controles: alta de clientes, cribado, monitorización de transacciones, Travel Rule y comunicaciones.
5. Deducir el riesgo residual y compararlo con el apetito de riesgo.
6. Actuar: ajustar las reglas de monitorización, cambiar los umbrales de alta, añadir desencadenantes de EDD y abandonar productos o mercados si es necesario.
7. Aprobar y revisar: aprobación de la dirección y revisión al menos anual y cada vez que haya un cambio importante, como un nuevo producto, un nuevo país o una tipología relevante.

Las herramientas de monitorización deben reflejar el resultado. Muchos proveedores permiten ajustar las reglas y las puntuaciones de riesgo a la propia evaluación. El software de monitorización de transacciones de iDenfy, por ejemplo, permite a los equipos de cumplimiento escribir reglas personalizadas que generan puntuaciones de riesgo configurables. Nuestra comparativa de software de monitorización de transacciones cripto recoge otras opciones, y la guía de cumplimiento AML cripto trata el programa en su conjunto.

Errores frecuentes

• Evaluaciones copiadas y pegadas que describen riesgos cripto genéricos en lugar de los datos propios de la empresa.
• Falta de vínculo con los controles: la evaluación califica un producto de alto riesgo, pero las reglas de monitorización nunca cambian.
• Políticas puntuadas como controles sin haberlas probado.
• Documentos desactualizados, anteriores a nuevos productos, blockchains o mercados.
• Ignorar la elusión de sanciones, que el AMLR menciona ahora expresamente junto al blanqueo de capitales y la financiación del terrorismo.

Para los usuarios: por qué las calificaciones de riesgo afectan a su cuenta

La evaluación de riesgos de su exchange decide qué clientes reciben controles adicionales. Si utiliza un producto de mayor riesgo, mueve fondos desde una wallet señalada o vive o se conecta desde un país de mayor riesgo, puede que le pidan más documentos aunque no haya hecho nada malo. Nuestra guía sobre señales de alerta AML en cripto enumera los patrones que suelen desencadenar revisiones. Las aplicaciones DeFi de JewelSwap no son custodiales y no realizan estos controles por sí mismas; consulte el KYC en DeFi explicado.

Preguntas frecuentes

¿Qué es una evaluación de riesgos AML?

Una evaluación de riesgos AML es un análisis documentado de cómo podría utilizarse una empresa para el blanqueo de capitales, la financiación del terrorismo o la elusión de sanciones, de la probabilidad y gravedad de cada riesgo y de la eficacia con que los controles existentes lo reducen. Orienta las decisiones sobre diligencia debida, monitorización y recursos.

¿Cuál es la diferencia entre una evaluación de riesgos a nivel de empresa y una evaluación del riesgo del cliente?

Una evaluación a nivel de empresa analiza la empresa en su conjunto: clientes, productos, operaciones, países y canales. Una evaluación del riesgo del cliente califica a cada cliente individual con ese marco y decide cuánta diligencia debida recibe.

¿Cuáles son los cinco pilares de un programa de cumplimiento AML?

En EE. UU., son las políticas, procedimientos y controles internos; un responsable de cumplimiento designado; la formación continua del personal; las pruebas independientes; y la diligencia debida del cliente basada en el riesgo. Los MSB, entre los que se encuentran la mayoría de los exchanges cripto de EE. UU., están obligados a contar con los cuatro primeros en virtud del 31 CFR 1022.210.

¿Es obligatoria una evaluación de riesgos AML por escrito?

En la UE, sí: el artículo 10 del AMLR, que se aplica a partir del 10 de julio de 2027, exige una evaluación de riesgos a nivel de empresa documentada y aprobada por el órgano de dirección. En EE. UU., las normas actuales no la exigen expresamente, pero los examinadores la esperan, y una propuesta de FinCEN de abril de 2026 haría que los procesos de evaluación de riesgos formaran parte de los requisitos del programa.

¿Con qué frecuencia debe actualizarse una evaluación de riesgos AML?

El AMLR de la UE exige que se mantenga actualizada y se revise periódicamente, y que se vuelva a evaluar antes de lanzar nuevos productos, canales, tecnologías o mercados. Muchas empresas la revisan al menos una vez al año y después de cualquier cambio importante.

¿Qué factores de riesgo son los más importantes para las empresas cripto?

El tipo de cliente, productos como la mesa OTC y las rampas fiat, las operaciones con wallets autoalojadas y la exposición a mezcladores u otros servicios de alto riesgo, la geografía, incluidos los países sancionados y de alto riesgo, y los canales de distribución a distancia o a través de socios.

Siga leyendo

• Guía de cumplimiento AML cripto para exchanges y VASP
• Diligencia debida del cliente frente a diligencia debida reforzada
• El cribado de noticias adversas explicado
• ¿Qué es un VASP?
• Soluciones de gestión de riesgos cripto en 2026

Este artículo tiene fines educativos y no constituye asesoramiento legal. Las referencias legales corresponden al Reglamento (UE) 2024/1624 (el AMLR, aplicable a partir del 10 de julio de 2027), los 31 CFR 1022.210 y 1020.210, las orientaciones FIN-2019-G001 de FinCEN, el manual de examen BSA/AML del FFIEC y la propuesta de norma de FinCEN publicada el 10 de abril de 2026, todos comprobados el 9 de octubre de 2026. La matriz de puntuación es un ejemplo ilustrativo, no una plantilla regulatoria. Las normas cambian; compruebe las versiones vigentes antes de basarse en ellas.