Software de prevención del blanqueo: qué debe hacer y qué no puede sustituir

Un software de prevención del blanqueo automatiza la parte repetitiva del cumplimiento: identificar y verificar clientes, cruzarlos con listas de personas con responsabilidad pública y de sanciones, vigilar operaciones y generar alertas. La ley cuenta con él: el art. 17 de la Ley 10/2010 exige «aplicaciones informáticas apropiadas» y, si superas 10.000 operaciones al año, las alertas automatizadas son obligatorias. Pero no sustituye el análisis de riesgo, el manual, el examen especial ni la responsabilidad del sujeto obligado.

¿Es obligatorio tener un software de PBC?

La norma no impone una marca ni un producto concreto. Lo que exige es que el sistema funcione. El art. 17 de la Ley 10/2010 obliga a concretar cómo se cumple el examen especial, con una relación de operaciones de riesgo, su revisión periódica y la utilización de aplicaciones informáticas apropiadas. Esas aplicaciones se eligen según el tipo de operaciones, el sector, el ámbito geográfico y el volumen de información.

El Reglamento concreta más. El art. 23 del RD 304/2014 pide alertas adecuadas al riesgo por tipología, intervinientes y cuantía de las operaciones. Y fija una cifra: si tu entidad supera las 10.000 operaciones anuales, es preceptivo implantar modelos automatizados de generación y priorización de alertas. Las alertas, además, deben revisarse periódicamente.

Por debajo de esa cifra puedes trabajar con herramientas más sencillas, siempre que cubran tu riesgo. En todo caso, el manual tiene que describir las herramientas o aplicaciones informáticas implantadas y las alertas establecidas (art. 33.1.f del RD 304/2014). Si no sabes explicar cómo detectas, no podrás demostrarlo.

Qué debe hacer un software de prevención del blanqueo

Un buen software cubre las obligaciones que se repiten con cada cliente y cada operación. Esta tabla recoge las funciones básicas y la norma de la que salen:

A partir de ahí, fíjate en tres cosas. La primera, la trazabilidad: quién revisó cada alerta, cuándo y con qué conclusión. Una alerta cerrada sin motivo es una alerta que el supervisor dará por no analizada. La segunda, la parametrización: las reglas deben salir de tu análisis de riesgo, no de la configuración por defecto del proveedor. La tercera, la extracción de datos: si estás obligado a la comunicación sistemática, la herramienta tiene que permitirte sacar y cuadrar las operaciones que se reportan cada mes.

Una regla que todo software debería traer es la de agregar operaciones del mismo cliente o hacia el mismo beneficiario. El fraccionamiento para esquivar umbrales es uno de los patrones que el propio Reglamento incluye en la relación de operaciones de riesgo (art. 24.2). Lo explicamos en fraccionamiento de operaciones.

Qué no sustituye un software de PBC

El software ejecuta reglas. Las reglas, el criterio y la decisión son del sujeto obligado. Estas piezas no se pueden delegar en una herramienta:

• El análisis de riesgo. Los procedimientos de control interno se fundamentan en un análisis de riesgo previo (art. 32 del RD 304/2014). Sin él, las alertas no tienen base: no sabes qué vigilar ni con qué intensidad.
• Las políticas y el manual. Las políticas se aprueban por escrito y las aprueba el órgano de administración (arts. 31.1 y 31.2 del RD 304/2014) y se documentan en un manual de prevención con el contenido mínimo del art. 33. El manual describe la herramienta; la herramienta no es el manual.
• El examen especial. Debe ser estructurado e integral: toda la operativa relacionada, todos los intervinientes y toda la información relevante (art. 25.1 del RD 304/2014). Una alerta solo es el punto de partida.
• La decisión de comunicar. Concluido el análisis, el representante ante el SEPBLAC decide de forma motivada y sin demora si comunica la operación (art. 25.2 del RD 304/2014), y la comunicación se hace sin dilación (art. 18 de la Ley 10/2010).
• El representante y el órgano de control interno. El representante debe ser una persona residente en España con cargo de administración o dirección, o el titular si eres empresario o profesional individual (art. 26 ter.1 de la Ley 10/2010). Un proveedor de software no puede ocupar ese puesto. Lo explicamos en representante ante el SEPBLAC.
• La formación. Los empleados tienen que conocer sus obligaciones (art. 29 de la Ley 10/2010). Muchas operaciones sospechosas las detecta una persona, no una regla.
• La responsabilidad. Aunque recurras a terceros para la diligencia debida, mantienes la plena responsabilidad respecto de la relación de negocios u operación (art. 8.1 de la Ley 10/2010).

El reglamento europeo apunta en la misma dirección. Desde el 10 de julio de 2027 se aplica, con carácter general, el Reglamento (UE) 2024/1624 (AMLR). Su art. 18.3 prohíbe externalizar, entre otras tareas, la aprobación de la evaluación de riesgos y de las políticas, la decisión sobre el perfil de riesgo del cliente, la decisión de establecer la relación de negocios y la notificación de actividades sospechosas a la UIF.

Cómo elegir y documentar la herramienta

Antes de firmar con un proveedor, comprueba estos puntos:

1. Parte de tu riesgo. Haz o actualiza primero el análisis de riesgo. Después busca la herramienta que cubre esos riesgos, no al revés.
2. Alertas configurables. Que puedas definir reglas por tipología, intervinientes y cuantía, como pide el art. 23 del RD 304/2014, y ajustarlas cuando cambie tu operativa.
3. Identificación a distancia. Si das de alta clientes en remoto, el procedimiento tiene que encajar en el art. 21 del RD 304/2014. Para los «otros procedimientos seguros», el art. 21.1.d exige cumplir los requisitos mínimos de las autorizaciones generales publicadas por el SEPBLAC.
4. Listas al día. Que vuelva a cruzar la cartera cuando cambian las listas de sanciones, no solo en el alta. Tu manual debe incluir un procedimiento estructurado de aplicación de sanciones y contramedidas financieras internacionales (art. 33.1.o, añadido por el Real Decreto 813/2026). Más detalle en sanciones financieras internacionales.
5. Trazabilidad completa. Registro de quién hace qué, con fecha, y exportación de expedientes para el experto externo y para el SEPBLAC.
6. Revisión periódica. Calendario para revisar las reglas y los resultados. El examen externo anual del art. 28 de la Ley 10/2010 también valora la eficacia de tus controles, incluidas las herramientas.

Por último, describe la herramienta en el manual: qué hace, qué alertas tiene, quién las revisa y cómo se escalan. Esa descripción es la que pedirá el supervisor cuando quiera comprobar que tu sistema existe de verdad.

Preguntas frecuentes

¿Basta con una herramienta de verificación de identidad para cumplir el KYC?

No. Verificar el documento es solo una parte. También tienes que identificar al titular real (art. 4 de la Ley 10/2010), conocer el propósito e índole de la relación (art. 5) y hacer un seguimiento continuo (art. 6). Si identificas a distancia con otros procedimientos seguros, deben cumplir las autorizaciones generales del SEPBLAC y, en el plazo de un mes desde el alta, tienes que obtener copia de los documentos necesarios (art. 21.1.d del RD 304/2014).

¿Puede el proveedor del software ser nuestro representante ante el SEPBLAC?

No. El art. 26 ter.1 de la Ley 10/2010 exige que el representante sea una persona residente en España que ejerza cargo de administración o dirección de la sociedad; en empresarios o profesionales individuales, el titular de la actividad. El proveedor puede darte soporte técnico, pero no asumir ese cargo ni sus decisiones.

¿Quién responde si el software no saca una alerta que debía?

El sujeto obligado. La ley no traslada la obligación al proveedor: el incumplimiento del examen especial es una infracción grave (art. 52.1.g de la Ley 10/2010), que se sanciona con multa de al menos 60.000 euros (art. 57). Por eso las alertas deben revisarse periódicamente para que sigan siendo adecuadas a tu operativa (art. 23 del RD 304/2014).

¿Cada cuánto hay que revisar las reglas de alerta?

La norma no fija una frecuencia. El art. 23 del RD 304/2014 exige una revisión periódica para garantizar que las alertas se adecuan a las características y al nivel de riesgo de tu operativa. En la práctica, conviene revisarlas cuando actualizas el análisis de riesgo, cuando lanzas productos o canales nuevos y tras el informe anual del experto externo.

¿Un sujeto obligado pequeño necesita software de PBC?

Las alertas automatizadas solo son obligatorias a partir de 10.000 operaciones anuales (art. 23 del RD 304/2014). Además, los pequeños del art. 31.1 del Reglamento están exceptuados de los arts. 31, 32, 33, 38 y 39. Aun así, tienen que identificar a sus clientes, examinar las operaciones de riesgo y comunicar las sospechosas. Una herramienta sencilla de screening suele ayudar.