Si un proveedor de KYC identifica a tus clientes o verifica sus documentos, la responsabilidad sigue siendo tuya. Desde el 10 de julio de 2027, el art. 18 del Reglamento (UE) 2024/1624 (AMLR) exige contrato escrito, controles periódicos y aviso previo al supervisor. Redactamos o revisamos ese contrato.
¿Tu contrato de KYC aguanta el AMLR? Revisión gratuita
Cuéntanos qué hace tu proveedor de KYC y te decimos qué le falta al contrato.
Externalizar el KYC es legal, pero el AMLR fija qué puedes delegar, qué no y qué tiene que decir el contrato. Lo dejamos atado antes de que el SEPBLAC o tu supervisor lo revisen.
Separamos lo que es externalización (el proveedor ejecuta por ti tareas de diligencia debida) de lo que no lo es (usar su software, sus bases de datos o sus servicios de cribado), porque las reglas cambian.
Comprobamos que el proveedor no decide por ti el perfil de riesgo del cliente, la aceptación de la relación de negocios ni la comunicación de operaciones sospechosas.
Redactamos o revisamos el acuerdo escrito: tareas, aplicación de tus políticas, subexternalización, acceso a la información, auditoría, conservación de datos y terminación.
Documentamos que el proveedor está suficientemente cualificado, dónde está establecido y cómo protege los datos, antes de que empiece a trabajar.
Preparamos la notificación previa al supervisor y el plan de controles periódicos, con una frecuencia acorde a lo esencial que sea la tarea.
Adaptamos tus contratos actuales, firmados con la Ley 10/2010 y el RD 304/2014, para que lleguen al 10 de julio de 2027 sin tener que renegociarlos deprisa.
El contrato con el proveedor es lo primero que pide el supervisor cuando el alta de clientes no la hace tu equipo.
Vídeo-identificación, lectura de documentos o biometría a cargo de un tercero: si ejecuta la tarea por ti, actúa como parte de tu entidad y respondes tú.
El art. 18 del AMLR será directamente aplicable: contrato escrito, controles periódicos y aviso previo al supervisor antes de externalizar.
Si está establecido en un tercer país identificado conforme al AMLR (de alto riesgo, con deficiencias de cumplimiento o que supone una amenaza específica y grave), solo podrás externalizar dentro de tu grupo y con controles de grupo.
Debes poder demostrar que entiendes la lógica de lo que hace el proveedor y que mitiga tus riesgos concretos.
Datos del Reglamento (UE) 2024/1624 (AMLR), de la Ley 10/2010 y del Real Decreto 304/2014.
Fecha de aplicación general del Reglamento (UE) 2024/1624.
No se externalizan nunca: evaluación de riesgos, políticas, perfil de riesgo, aceptación del cliente, comunicación a la UIF y criterios de detección.
La entidad notifica al supervisor la externalización antes de que el proveedor empiece a hacer las tareas.
Plazo máximo para que la entidad obligada a la que recurres te entregue la información de diligencia debida.
Hoy, el recurso a terceros exige un acuerdo escrito previo y excluye el seguimiento continuo de la relación.
La Autoridad de Lucha contra el Blanqueo de Capitales (AMLA) debe publicar directrices sobre externalización a más tardar el 10-07-2027.
Revisamos el contrato y el proceso real, y te decimos qué cambiar antes de que llegue el AMLR o una inspección.
Sí. El art. 18 del AMLR permite externalizar en proveedores de servicios tareas derivadas del Reglamento, y hoy la Ley 10/2010 admite el recurso a terceros y las relaciones de externalización o agencia. En todos los casos la entidad obligada sigue siendo plenamente responsable de lo que haga o deje de hacer el proveedor.
Según el art. 18.3 del AMLR: la propuesta y aprobación de la evaluación de riesgos de toda la entidad; la aprobación de las políticas, procedimientos y controles internos; la decisión sobre el perfil de riesgo del cliente; la decisión de establecer la relación de negocios o hacer la operación ocasional; la comunicación a la UIF de operaciones sospechosas o de las declaraciones basadas en umbrales (salvo a otra entidad obligada del mismo grupo y Estado miembro); y la aprobación de los criterios para detectar operaciones sospechosas.
No necesariamente. El considerando 47 del AMLR aclara que no se considera externalización el uso o la compra de programas informáticos de terceros ni el acceso a bases de datos o servicios de cribado, cuando quien cumple el requisito sigue siendo la entidad. Sí lo es cuando el proveedor ejecuta por ti la tarea de diligencia debida.
Como mínimo, lo que exige el art. 18.4 del AMLR: un acuerdo escrito con las condiciones de las tareas, la obligación del proveedor y de cualquier subcontratista de aplicar tus políticas y procedimientos y tus controles periódicos; y, por el art. 18.5, nada que impida la supervisión. Si eres entidad de crédito, de pago o de dinero electrónico, conviene alinearlo también con las directrices de la ABE sobre externalización.
Con el AMLR, sí: la entidad notifica la externalización al supervisor antes de que el proveedor empiece (art. 18.1). La notificación no significa que el supervisor acepte el acuerdo, pero puede usarla para evaluar tus controles o preparar inspecciones.
En la externalización el proveedor actúa como parte de tu entidad y aplica tus políticas. En el recurso a terceros (arts. 48 a 50 del AMLR) te apoyas en la diligencia debida que ya hizo otra entidad obligada supervisada, que debe entregarte la información en un máximo de cinco días hábiles. En los dos casos la responsabilidad última sigue siendo tuya.
Sí, salvo que esté establecido en un tercer país identificado conforme a la sección 2 del capítulo III del AMLR: de alto riesgo, con deficiencias de cumplimiento o que supone una amenaza específica y grave. En ese caso solo puedes externalizar en un proveedor de tu propio grupo, que aplique políticas de grupo conformes al Reglamento y esté supervisado a nivel de grupo (art. 18.6).
La Ley 10/2010 y el Real Decreto 304/2014. El art. 8 de la ley permite recurrir a terceros sometidos a la normativa de blanqueo con un acuerdo escrito previo, salvo para el seguimiento continuo, y no se aplica a las relaciones de externalización o agencia en las que el proveedor se considera parte del sujeto obligado. Además, desde el 28 de octubre de 2026 el art. 21 del RD 304/2014 exige que los «otros procedimientos seguros» de identificación no presencial cumplan los requisitos mínimos de las autorizaciones generales publicadas por el SEPBLAC.
El supervisor no te preguntará si el proveedor es bueno, sino si tú entiendes y controlas lo que hace.
Software y bases de datos no son externalización; ejecutar por ti la diligencia debida, sí.
El perfil de riesgo, la aceptación del cliente y la comunicación a la UIF no salen nunca de la entidad.
Contrato, evaluación previa, controles periódicos y aviso al supervisor demuestran que el modelo funciona.
Fuente: Reglamento (UE) 2024/1624 (arts. 18, 48 a 50 y 90; considerandos 47 a 50), Ley 10/2010 (art. 8) y Real Decreto 304/2014 (arts. 13 y 21).
Estos términos aparecen en el Reglamento (UE) 2024/1624, en la Ley 10/2010 y en cualquier revisión de tu proceso de alta de clientes.
Identificar y verificar al cliente y al titular real, conocer el propósito de la relación y hacer su seguimiento.
Encargo a un proveedor de servicios de tareas derivadas del Reglamento; el proveedor se considera parte de la entidad.
Apoyarse en la diligencia debida que ya practicó otra entidad obligada supervisada.
Empresa que ejecuta tareas de cumplimiento por cuenta de la entidad obligada, aunque no sea sujeto obligado.
Encargo de tareas por el proveedor a otro proveedor, que también debe aplicar las políticas de la entidad.
Tarea cuya importancia determina la frecuencia de los controles que debe hacer la entidad.
Autoridad europea que debe dictar directrices sobre externalización y recurso a terceros.
País de alto riesgo, con deficiencias de cumplimiento o que supone una amenaza grave, identificado conforme al AMLR: no se externaliza allí salvo dentro del grupo.
Con la Ley 10/2010 no puede encargarse a terceros en el recurso a terceros, salvo en grupos.
Externalización: un proveedor que actúa como parte de tu entidad.
Recurso a otra entidad obligada: otra entidad obligada que ya hizo su propia diligencia debida.
Externalización: las tuyas, también en la subexternalización.
Recurso a otra entidad obligada: las de la otra entidad, que debe cumplir el AMLR o normas equivalentes.
Externalización: acuerdo escrito y aviso previo al supervisor.
Recurso a otra entidad obligada: acuerdo escrito sobre la transmisión de la información.
Externalización: acceso según el contrato y controles periódicos.
Recurso a otra entidad obligada: entrega sin demora y en un máximo de cinco días hábiles.
Externalización: plena, de la entidad obligada.
Recurso a otra entidad obligada: última, de la entidad que recurre.
Son los puntos que más fallan cuando se revisa un alta de clientes externalizada.
Cuéntanos qué proveedor de KYC usas, qué tareas le encargas y qué contrato tienes firmado, y te decimos qué cambiar.
Actualizado el 15 de octubre de 2026
El Reglamento (UE) 2024/1624 (AMLR), aplicable desde el 10 de julio de 2027, regula en una norma europea directamente aplicable la externalización de las tareas de prevención del blanqueo. Su art. 18 permite encargar tareas a proveedores de servicios, pero fija límites, exige un acuerdo escrito y mantiene toda la responsabilidad en la entidad obligada.
Las entidades obligadas pueden externalizar en proveedores de servicios tareas derivadas del Reglamento, y deben notificarlo al supervisor antes de que el proveedor empiece. El proveedor se considera parte de la entidad, que sigue siendo plenamente responsable de cualquier acción u omisión y debe poder explicar al supervisor la lógica de lo que hace el proveedor y cómo mitiga sus riesgos.
El art. 18.3 excluye la evaluación de riesgos de toda la entidad, la aprobación de políticas y controles, la decisión sobre el perfil de riesgo del cliente, la decisión de establecer la relación de negocios, la comunicación a la UIF de operaciones sospechosas o de declaraciones basadas en umbrales (salvo dentro del grupo y del mismo Estado miembro) y la aprobación de los criterios de detección. Hay una excepción limitada para organismos de inversión colectiva sin personalidad jurídica, con aprobación del supervisor.
Antes de externalizar, la entidad debe asegurarse de que el proveedor está suficientemente cualificado. Las condiciones se fijan en un acuerdo escrito, el proveedor y sus subcontratistas aplican las políticas de la entidad y esta hace controles periódicos cuya frecuencia depende de lo esencial que sea la tarea. Para entidades de crédito, de pago y de dinero electrónico, las directrices de la ABE sobre externalización (EBA/GL/2019/02) añaden un contenido mínimo para los contratos de funciones esenciales; la ABE publicó en septiembre de 2026 unas directrices sobre gestión del riesgo de terceros que las sustituirán.
Mientras tanto rige el art. 8 de la Ley 10/2010: se puede recurrir a terceros sometidos a la normativa de blanqueo para aplicar la diligencia debida, salvo el seguimiento continuo, con un acuerdo escrito previo y manteniendo la plena responsabilidad. Ese artículo no se aplica a las relaciones de externalización o agencia en las que el proveedor se considera parte del sujeto obligado. El RD 304/2014 concreta el acuerdo (art. 13) y, desde el 28 de octubre de 2026, remite los «otros procedimientos seguros» de identificación no presencial a las autorizaciones generales del SEPBLAC (art. 21).
Si necesitas el contexto básico, empieza por qué es el KYC. El contrato con el proveedor forma parte de tu manual de prevención y de tus controles internos. Si lo que quieres es delegar en un despacho la gestión de tu cumplimiento, consulta la externalización de PBC/FT; para el nuevo marco europeo en conjunto, nuestra página sobre el AMLR.