No hay un precio oficial por externalizar el KYC: ninguna norma fija tarifas. El coste depende del número de altas y revisiones, del riesgo de tus clientes, de si los identificas a distancia y del cribado de listas que exige tu actividad. Lo que sí fija la ley es qué puedes encargar, con qué contrato y qué responsabilidad conservas siempre.
Qué parte del KYC se puede externalizar
El KYC es el núcleo de la diligencia debida de la Ley 10/2010: identificar al cliente con documentos fehacientes (art. 3), identificar al titular real (art. 4), conocer el propósito e índole de la relación (art. 5) y hacer un seguimiento continuo que incluye el origen de los fondos (art. 6). Si no puedes aplicar estas medidas, no puedes establecer la relación ni ejecutar la operación (art. 7.3). Si necesitas el contexto, empieza por qué es el KYC.
El art. 8 de la ley distingue dos formas de apoyarte en otro:
- Recurso a terceros (art. 8.1 a 8.3). Te apoyas en la diligencia debida que aplica otro sujeto obligado. Sirve para todas las medidas salvo el seguimiento continuo, una limitación que no rige en los grupos. Exige un acuerdo escrito previo y el tercero debe ponerte de inmediato la información a tu disposición. El art. 13 del Real Decreto 304/2014 te obliga además a comprobar que el tercero está sometido a la normativa de prevención y es objeto de supervisión.
- Externalización o agencia (art. 8.4). El proveedor, en virtud de un contrato, debe considerarse parte del sujeto obligado. A esta relación no se le aplica el régimen del recurso a terceros: el proveedor trabaja con tus políticas, como si fuera tu equipo.
| Aspecto | Recurso a terceros | Externalización |
|---|---|---|
| Quién hace el trabajo | Otro sujeto obligado, con su propia diligencia debida | Un proveedor que actúa como parte de tu entidad |
| Base legal | Art. 8.1 a 8.3 Ley 10/2010 y art. 13 RD 304/2014 | Art. 8.4 Ley 10/2010 |
| Seguimiento continuo | Excluido, salvo en grupos | El proveedor actúa como parte de tu entidad |
| Formalización | Acuerdo escrito previo | Contrato de externalización o agencia |
| Responsabilidad | Plena, de tu entidad (art. 8.1) | Tuya: el proveedor se considera parte de tu entidad |
De qué depende el coste
Como no hay tarifa legal, el precio lo marca el trabajo que la norma te obliga a hacer con cada cliente. Estos son los factores que más lo mueven.
Volumen de altas y revisiones
No se paga solo el alta. El seguimiento continuo del art. 6 obliga a mantener actualizados los documentos, datos e información de cada cliente. Una cartera grande y antigua exige revisar expedientes, no solo abrir los nuevos.
Tipo de cliente y nivel de riesgo
Una persona física con un documento de identidad es un expediente corto. Una sociedad obliga a reconstruir la cadena de control hasta las personas físicas que poseen o controlan más del 25 % del capital o de los derechos de voto, o que la controlan por otros medios (art. 4.2.b); si no hay ninguna, se considera titular real al administrador. Los clientes de riesgo alto exigen medidas reforzadas (arts. 11 a 16), y las personas con responsabilidad pública tienen su propio régimen (art. 14).
Identificación no presencial
Si das de alta a distancia, el art. 12 de la ley y el art. 21 del RD 304/2014 solo lo permiten en ciertos supuestos: firma electrónica, copia del documento expedida por fedatario público, primer ingreso desde una cuenta a nombre del cliente en una entidad de España, de la Unión Europea o de un país tercero equivalente, u otros procedimientos seguros. Desde el 28 de octubre de 2026, esos otros procedimientos deben cumplir los requisitos mínimos de las autorizaciones generales que publica el SEPBLAC. Además, en el plazo de un mes debes obtener copia de los documentos necesarios, salvo con firma electrónica cualificada. Lo explicamos en identificación no presencial por vídeo.
Cribado de listas y conservación
Debes aplicar procedimientos para determinar si el cliente o su titular real es persona con responsabilidad pública (art. 14.5.a) y cumplir las sanciones financieras internacionales, que son de aplicación inmediata desde la designación (art. 42). Cada coincidencia en listas hay que analizarla. Y toda la documentación se conserva diez años (art. 25), algo que el contrato debe resolver.
| Elemento | Qué exige la norma | Por qué cambia el coste |
|---|---|---|
| Identificación | Documentos fehacientes antes de operar (art. 3 Ley 10/2010) | Tipo de cliente y documentación disponible |
| Titular real | Llegar a la persona física que posee o controla más del 25 % (art. 4) | Número de niveles societarios y sociedades extranjeras |
| Alta a distancia | Supuestos del art. 12 Ley y art. 21 RD 304/2014 | Método elegido y copia documental en un mes |
| PEP y sanciones | Medidas reforzadas (art. 14) y sanciones financieras (art. 42) | Coincidencias que hay que analizar una a una |
| Seguimiento continuo | Información actualizada y origen de los fondos (art. 6) | Tamaño de la cartera y frecuencia de revisión |
| Conservación | Diez años (art. 25) | Quién custodia el expediente y cómo se entrega |
El contrato y la responsabilidad que no se delega
Externalizar no traslada la responsabilidad. En el recurso a terceros, la ley dice expresamente que mantienes la plena responsabilidad aunque el incumplimiento sea imputable al tercero (art. 8.1). En la externalización del art. 8.4, el proveedor se considera parte de tu entidad, así que lo que haga mal lo has hecho tú.
El Reglamento (UE) 2024/1624 (AMLR), aplicable con carácter general desde el 10 de julio de 2027 (art. 90), regula la externalización en su art. 18:
- Debes notificarla al supervisor antes de que el proveedor empiece (art. 18.1).
- Sigues siendo plenamente responsable de toda acción u omisión del proveedor y debes poder demostrar que entiendes la lógica de lo que hace y que mitiga tus riesgos (art. 18.2).
- No se externalizan nunca seis tareas (art. 18.3): la evaluación de riesgos de toda la actividad, la aprobación de políticas y controles internos, la decisión sobre el perfil de riesgo del cliente, la decisión de aceptarlo, la notificación a la UIF (salvo a otra entidad obligada del mismo grupo y Estado miembro) y la aprobación de los criterios de detección.
- Antes de externalizar debes asegurarte de que el proveedor está suficientemente cualificado, fijar las condiciones en un acuerdo por escrito y hacer controles periódicos cuya frecuencia depende de lo esencial que sea la tarea (art. 18.4).
Ojo con lo que no es externalización. El considerando 47 del AMLR aclara que usar o comprar programas informáticos de terceros, o acceder a bases de datos o servicios de cribado, no lo es cuando el requisito lo cumples tú. Si dudas entre contratar una herramienta o un servicio, lo comparamos en qué hace un software de prevención del blanqueo. Y si el proveedor trata datos de tus clientes por tu cuenta, el art. 28 del RGPD exige un contrato de encargo del tratamiento.
¿Tu contrato de KYC aguanta una inspección?
Revisamos qué hace realmente tu proveedor, qué decide tu entidad y qué le falta al contrato para la Ley 10/2010 y para el art. 18 del AMLR. Lo detallamos en contrato de externalización del KYC.
Cuánto puede costar hacerlo mal
El coste de no cumplir sí lo fija la ley. Son infracciones graves, entre otras, incumplir la identificación formal, la identificación del titular real, la obtención del propósito de la relación, el seguimiento continuo o las medidas reforzadas (art. 52.1, letras a a f). Para las graves, el art. 57.1 prevé una multa mínima de 60.000 euros, que puede llegar a la mayor de estas cifras: el 10 % del volumen de negocios anual, el contenido económico de la operación más un 50 %, el triple de los beneficios obtenidos o 5.000.000 de euros. Se impone siempre junto con una amonestación pública o privada o, en las entidades autorizadas, la suspensión temporal de la autorización.
Cómo te ayudamos y cómo se calcula tu presupuesto
En nuestra externalización del KYC nuestro equipo se encarga de cada expediente con las políticas de tu entidad:
- Identificación y verificación del cliente y, si es una sociedad, de su documentación.
- Titular real, también en estructuras con varias sociedades encadenadas.
- Comprobación de personas con responsabilidad pública y de sanciones financieras, con análisis de cada coincidencia.
- Propósito de la relación y origen de los fondos cuando el riesgo lo exige, y diligencia reforzada en los clientes de riesgo alto.
- Revisión periódica de los expedientes.
Te entregamos el expediente documentado con nuestra propuesta; el perfil de riesgo y la aceptación del cliente los decide tu entidad. Si ya trabajas con un proveedor, redactamos o revisamos el contrato y preparamos la notificación previa y los controles periódicos que exigirá el AMLR.
Para el presupuesto necesitamos saber qué tipo de entidad eres, cuántas altas tienes al mes, qué clientes son y si los identificas a distancia. Con eso hacemos un diagnóstico y te damos un presupuesto cerrado. La primera consulta es sin coste. Si buscas un servicio integral de PBC, consulta nuestras tarifas publicadas.
Preguntas frecuentes
¿Hay un precio oficial por externalizar el KYC?
No. Ni la Ley 10/2010 ni su reglamento fijan tarifas para la diligencia debida externalizada. Lo que la norma fija es el contenido mínimo de cada expediente, y de ahí sale el esfuerzo: tipo de cliente, riesgo, método de identificación y cartera que hay que revisar. Por eso hacemos un diagnóstico y damos presupuesto cerrado antes de empezar.
¿Contratar un software de verificación de identidad es externalizar?
No necesariamente. El considerando 47 del Reglamento (UE) 2024/1624 aclara que no es externalización usar programas informáticos de terceros ni acceder a bases de datos o servicios de cribado cuando quien cumple el requisito es la propia entidad. Sí lo es cuando el proveedor ejecuta por ti la tarea de diligencia debida. Distinguirlo cambia el contrato y los controles.
¿Puedo encargar a un tercero el seguimiento continuo de mis clientes?
Con el recurso a terceros del art. 8.1 de la Ley 10/2010, no: el seguimiento continuo queda excluido, salvo en los grupos. En una externalización del art. 8.4, el proveedor actúa como parte de tu entidad y puede ejecutar esa tarea con tus políticas. En ambos casos la responsabilidad sigue siendo tuya.
¿Tengo que avisar al SEPBLAC antes de externalizar el KYC?
El aviso previo al supervisor lo exige el art. 18.1 del AMLR, aplicable desde el 10 de julio de 2027; el art. 8 de la Ley 10/2010 no lo recoge. Conviene preparar ya el contrato y la documentación del proveedor para no tener que renegociarlo deprisa cuando llegue esa fecha.
¿Quién guarda los expedientes y durante cuánto tiempo?
La obligación de conservar la documentación durante diez años es de tu entidad (art. 25 de la Ley 10/2010), aunque el expediente lo prepare el proveedor. El contrato debe fijar quién lo custodia, cómo accedes a él y cómo se entrega al terminar. Si el proveedor trata datos por tu cuenta, el art. 28 del RGPD exige un contrato de encargo.
Ley 10/2010, de prevención del blanqueo de capitales (BOE) (arts. 3 a 8, 12, 14, 25, 42, 52 y 57); Real Decreto 304/2014, Reglamento de la Ley 10/2010 (BOE) (arts. 13 y 21); Real Decreto 813/2026, que modifica el RD 304/2014 (BOE) (nuevo art. 21); Reglamento (UE) 2024/1624, AMLR (EUR-Lex) (considerando 47 y arts. 18 y 90); Reglamento (UE) 2016/679, RGPD (EUR-Lex) (art. 28).
Este artículo describe la situación a 4 de noviembre de 2026 y no sustituye al análisis de cada caso.