Diseñamos y sostenemos el sistema de prevención de blanqueo de entidades de pago, EDE, remesadoras y fintech con licencia: onboarding digital trazable, monitorización con reglas calibradas, alertas con expediente y una red de agentes que no sea tu punto ciego.
¿Tu sistema de PBC aguantaría una revisión?
Cuéntanos qué licencia tienes o solicitas, qué volumen mueves y por qué canales. Te decimos dónde está el hueco antes de que lo encuentre el supervisor.
En una fintech el problema no es tener manual: es que el manual, el motor de reglas y lo que realmente pasa en producción digan lo mismo. Estas son las piezas que revisamos.
Manual construido sobre tu modelo real —producto, canal, país y perfil de cliente—, con niveles de diligencia, criterios de escalado, política de umbrales y el procedimiento de examen especial y comunicación. Versionado y aprobado, no heredado de una plantilla bancaria.
Alta de clientes sin fricción y con rastro: identificación no presencial conforme a la Orden ETD/465/2021, KYB para clientes empresa, titularidad real, screening en el alta y niveles de diligencia coherentes con el riesgo asignado.
Autoevaluación por producto, canal, geografía y cliente. Es el documento del que deben salir tus reglas, no al revés.
Due diligence, contrato, formación y supervisión de quien capta y opera en tu nombre. El punto débil clásico del sector.
Screening en el alta y de forma continua, gestión de coincidencias y trazabilidad de cada descarte.
Si tu flujo toca criptoactivos, el análisis de direcciones y contrapartes se suma al screening tradicional.
Cuatro conversaciones que se repiten: la que llega antes de la licencia, la del corredor de alto riesgo, la del programa de tarjetas y la del compliance officer que hereda un motor sin calibrar.
"Estamos preparando la solicitud ante el Banco de España y nos piden describir el sistema de prevención. No quiero un manual bonito: quiero uno que podamos ejecutar el día que tengamos diez mil clientes."
"Operamos remesas hacia países que todo el mundo clasifica como alto riesgo. Necesito reglas que detecten el pitufeo real y no que me bloqueen a la mitad de mis clientes habituales cada viernes."
"Emitimos monederos y tarjetas con onboarding íntegramente digital. Mi duda no es si identificamos bien, es si podría demostrarlo con evidencias si el SEPBLAC me pide veinte expedientes concretos."
"He entrado como responsable de cumplimiento y me he encontrado miles de alertas abiertas y unas reglas que nadie sabe quién configuró ni por qué. Necesito ordenarlo antes de la próxima revisión."
No suelen ser fallos de intención ni de presupuesto: son fallos de trazabilidad. El sistema hace cosas razonables que nadie puede demostrar después.
El motor con la configuración de fábrica: reglas y umbrales que vinieron por defecto en el proveedor, sin documento que explique por qué esos valores y no otros, ni una sola prueba de calibración contra datos propios. Funciona hasta que alguien pregunta por qué.
El backlog de alertas: una cola que crece cada mes y se cierra en bloque cuando aprieta el trabajo, con motivos genéricos del tipo "operativa habitual". Una alerta cerrada sin razonamiento documentado es peor que una alerta no generada.
La red de agentes sin expediente: distribuidores que captan clientes en tu nombre sin due diligence previa, sin formación acreditada y sin visitas. Tú respondes de su operativa aunque el cliente nunca haya sabido que existías.
| Frente del modelo | Qué espera el supervisor | Evidencia que lo acredita |
|---|---|---|
| Onboarding íntegramente digital | Identificación no presencial mediante un procedimiento aprobado, aplicado siempre igual y reconstruible caso a caso | Procedimiento conforme a la Orden ETD/465/2021, evidencias conservadas y registro de altas rechazadas con motivo. |
| Red de agentes y distribuidores | Que la entidad controle y responda de quien capta y opera en su nombre, con el mismo estándar que aplica en casa | Due diligence del agente, contrato con obligaciones de PBC, formación acreditada y revisiones periódicas documentadas. |
| Alto volumen transaccional | Reglas y umbrales justificados, calibrados con datos propios y alertas cerradas con decisión motivada | Catálogo de reglas versionado, informe de calibración y expediente por alerta con analista, fecha y conclusión. |
Revisamos el conjunto: mapa de riesgos, manual, onboarding, reglas y umbrales, cola de alertas, screening de sanciones y control de agentes. Te decimos qué falta, qué sobra y en qué orden arreglarlo para que el expediente resista un requerimiento del SEPBLAC.
Desde que operas. Las entidades de pago, las entidades de dinero electrónico y las remesadoras están en el artículo 2 de la Ley 10/2010 por su condición de entidades financieras, y las obligaciones nacen con la actividad, no con el primer requerimiento.
En la práctica el sistema hay que tenerlo antes: el expediente de autorización ante el Banco de España exige describir cómo vas a prevenir el blanqueo, con qué medios y quién responde. Un proyecto que llega a esa fase con un manual genérico suele salir con requerimientos. Lo abordamos junto a la licencia de entidad de pago.
Ambos, en planos distintos. El Banco de España autoriza y registra tu licencia bajo el marco de servicios de pago —Directiva (UE) 2015/2366 (PSD2) y, en España, el RD-ley 19/2018— y supervisa la entidad en su conjunto. El SEPBLAC es la unidad de inteligencia financiera y el supervisor específico en materia de prevención del blanqueo: recibe tus comunicaciones y revisa tu sistema.
Consecuencia práctica: dos interlocutores, dos expedientes y ninguna excusa cruzada. Lo que se presentó en la solicitud de licencia debe coincidir con lo que se ejecuta cuando el SEPBLAC lo comprueba.
Sí, con un procedimiento en condiciones. La Orden ETD/465/2021 regula los métodos de identificación remota por vídeo —vídeo diferido y vídeo en directo—, exige que el procedimiento esté documentado y aprobado antes de usarse y que las evidencias se conserven.
Lo que no vale es lo que más se ve: una foto del documento subida desde el móvil sin verificación ni rastro. Tampoco basta con contratar un proveedor y confiar: la responsabilidad sigue siendo de la entidad, y el procedimiento del proveedor tiene que ser el tuyo, revisado y aprobado por ti. Más detalle en AML y KYC.
Las que se deriven de tu mapa de riesgos, no las que traiga el proveedor por defecto. La secuencia correcta es: autoevaluación del riesgo por producto, canal, geografía y tipo de cliente; de ahí salen los escenarios que debes vigilar; y de cada escenario, una regla con su umbral.
Fragmentación de importes, velocidad inusual de operaciones, entradas y salidas inmediatas, corredores de alto riesgo, incoherencia con el perfil declarado o relación entre cuentas aparentemente independientes son escenarios típicos. Lo determinante no es la lista: es que exista un documento que explique por qué cada umbral tiene ese valor.
No hay una cifra oficial, y desconfía de quien te la dé. Lo que se valora es si el ratio está medido, explicado y bajo gestión. Un motor que genera un volumen de alertas que tu equipo no puede analizar produce un resultado peor que uno más estrecho pero atendido: alertas cerradas en masa sin criterio.
La respuesta razonable es un ciclo de calibración documentado: se mide el ratio, se identifican las reglas ruidosas, se ajustan umbrales con datos propios, se prueba el efecto antes de llevarlo a producción y se deja constancia del antes y el después. Ese informe es la mejor defensa cuando pregunten por qué una operación no saltó.
Todo lo necesario para que un tercero reconstruya la decisión sin llamarte. Como mínimo: qué regla saltó y con qué parámetros, los datos de la operación y del cliente en ese momento, el análisis realizado, la información adicional solicitada y recibida, la decisión motivada, quién la tomó y cuándo.
Si la conclusión fue comunicar por indicio, se archiva también el justificante de la comunicación al SEPBLAC; si fue abstenerse de ejecutar, la constancia de la abstención. Y si fue descartar, el motivo concreto: "operativa habitual" no es un motivo, es una etiqueta.
Sí. La red externa opera en tu nombre y frente al supervisor la entidad responde de su operativa. Es el punto ciego más frecuente en remesas y en distribución de producto: agentes que dan de alta clientes con un estándar distinto al de la casa, sin formación acreditada y sin nadie que revise una muestra de sus expedientes.
El control se acredita con documentos: due diligence previa del agente, contrato con obligaciones expresas de PBC, formación con registro de asistentes, revisión periódica de expedientes captados y actas de las visitas. Lo desarrollamos en agentes de entidades de pago.
No por definición, pero sí por características que hay que reconocer en la autoevaluación. En remesas pesan los corredores de destino, la operativa en efectivo, los importes pequeños y repetidos y el uso de intermediarios. En marketplaces y modelos de pagos agregados, la dificultad está en conocer a las dos puntas de la operación y en detectar comercios que canalizan fondos ajenos.
Fingir que ese riesgo no existe es el error caro. Reconocerlo, graduar la diligencia y documentar los controles adicionales es lo que convierte un modelo incómodo en un modelo defendible. Puedes ver el encaje en envío de dinero y remesadoras.
Puedes apoyarte en proveedores, pero la responsabilidad no se externaliza. La entidad debe conocer y aprobar los procedimientos que aplica el proveedor, poder auditarlos, conservar las evidencias y mantener el control de las decisiones que importan: aceptar un cliente, cerrar una alerta o comunicar un indicio.
Añade la capa tecnológica: la contratación de proveedores TIC críticos entra además en el ámbito del Reglamento (UE) 2022/2554 (DORA), con registro de información de proveedores y cláusulas contractuales obligatorias. Si quieres delegar la función interna, mira la externalización de PBC.
Un sistema de PBC en pagos se juzga por su trazabilidad de punta a punta: por qué esa regla, por qué ese umbral, quién analizó y qué decidió. Esta es la ruta que implantamos.
Autoevaluación por producto, canal, geografía y cliente. De ahí salen los escenarios a vigilar, los niveles de diligencia y la política de umbrales. Es la fase que casi todo el mundo se salta y la que después obliga a rehacerlo todo.
Manual y políticas, onboarding con identificación no presencial trazable, screening de sanciones, motor de reglas configurado con criterio propio y flujo de alertas con expediente y niveles de escalado.
Calibración periódica con datos reales, control de la cola de alertas, revisión de la red de agentes, formación del equipo y examen de experto externo. La parte que convierte un sistema montado en un sistema vivo.
Si aún estás en fase de licencia, empieza por la licencia de entidad de pago o la licencia de EDE. Si ya operas y lo que necesitas es ordenar el sistema, mira los servicios de PBC y el representante externo ante el SEPBLAC.
Los 10 elementos que componen un sistema de prevención defendible ante el SEPBLAC, con la evidencia documental que hay que poder enseñar de cada uno. Sirve como autodiagnóstico antes de que llegue la inspección.
Sin spam. Tu email solo se usa para enviarte este checklist y, ocasionalmente, novedades regulatorias relevantes.
El checklist se está descargando ahora mismo. Si no se inicia automáticamente, haz clic aquí.
¿Después de leerlo necesitas ayuda implantando alguno de los pasos? Escríbenos directamente:
Estos términos aparecen en los requerimientos y en los informes de experto externo. Usarlos con precisión ahorra media reunión de aclaraciones.
Entidad autorizada y registrada por el Banco de España bajo el marco PSD2 y el RD-ley 19/2018, incluida en el artículo 2 de la Ley 10/2010 como entidad financiera.
Conjunto de comprobaciones de identidad, actividad y propósito que se realizan antes de aceptar al cliente y se actualizan durante la relación.
Método de identificación a distancia regulado por la Orden ETD/465/2021: vídeo diferido o en directo, con procedimiento aprobado y evidencias conservadas.
Análisis automatizado de las operaciones frente a escenarios de riesgo definidos, para detectar comportamientos incoherentes con el perfil del cliente.
Parámetro que determina cuándo una operación genera alerta. Su elección debe estar justificada por datos propios y revisarse periódicamente.
Alerta generada por una operación legítima. Su ratio mide la calidad de la calibración y condiciona la capacidad real del equipo de análisis.
Registro completo de una alerta: regla activada, datos, análisis, información solicitada, decisión motivada, autor y fecha.
Remisión al SEPBLAC de operaciones con indicios de blanqueo y de las comunicaciones sistemáticas previstas en la normativa, con carácter confidencial.
Contraste del cliente y sus contrapartes con listas de sanciones financieras y con la condición de persona con responsabilidad pública.
Autoevaluación que reconozca los riesgos reales del negocio —corredores, efectivo, agentes, marketplace— y no una matriz genérica de manual.
Documento de autoevaluación aprobado y fechado, matriz por producto, canal, geografía y cliente, y acta de aprobación.
Alta de clientes con niveles de diligencia coherentes con el riesgo asignado y con identificación no presencial trazable y reproducible.
Procedimiento conforme a la Orden ETD/465/2021, evidencias conservadas, expedientes de KYB y registro de altas rechazadas.
Reglas derivadas del mapa de riesgos, umbrales justificados y una cola de alertas gestionada dentro de plazos internos.
Catálogo de reglas versionado, informes de calibración, métricas de la cola y expediente completo por alerta.
Cribado en el alta y de forma continua, con criterio escrito para gestionar coincidencias y repetición tras actualizar listas.
Configuración del motor, registro de coincidencias con motivo de descarte y evidencia del rescreening periódico.
Control efectivo sobre quien capta u opera en nombre de la entidad y sobre los proveedores en los que se apoya el sistema.
Due diligence del agente, contratos con obligaciones de PBC, formación acreditada y actas de revisión o visita.
Son las que aparecen antes en una revisión externa y las que más caro salen de corregir con el requerimiento ya encima.
No es lo mismo mover remesas hacia corredores complejos que emitir dinero electrónico o combinar la actividad de pago con un negocio comercial. La licencia y el modelo determinan qué escenarios hay que vigilar y qué controles adicionales exige el supervisor. Estas páginas cubren cada encaje.
Autorización ante el Banco de España bajo PSD2 y RD-ley 19/2018, con el sistema de prevención integrado en el expediente.
Emisión de dinero electrónico, wallets y programas de tarjeta: onboarding masivo y control de carga y descarga de fondos.
Cuando la actividad de pago convive con otro negocio: separación de fondos, conflictos y riesgos cruzados.
Corredores complejos, efectivo y red de agentes: el modelo que más controles adicionales exige acreditar.
Para el marco general de prevención, entra en prevención de blanqueo de capitales. Si emites dinero electrónico con proyección europea, revisa la licencia EMI. Y si tu flujo toca criptoactivos, empieza por el screening de sanciones en cripto.
Última actualización: 4 de agosto de 2026
Una entidad de pago o una entidad de dinero electrónico es sujeto obligado financiero desde que opera: está incluida en el artículo 2 de la Ley 10/2010 y su sistema de prevención se revisa con el mismo listón que el de un banco, pero con dos diferencias que lo complican. La primera es el volumen: miles de operaciones diarias que ningún equipo puede mirar una a una, lo que obliga a automatizar y a justificar la automatización. La segunda es el canal: clientes que nunca pisan una oficina y que se identifican a distancia. Esta página trata el sistema desde esas dos realidades.
El marco de la actividad lo fijan la Directiva (UE) 2015/2366 (PSD2) y, en España, el RD-ley 19/2018: el Banco de España autoriza y registra a entidades de pago y de dinero electrónico y supervisa su funcionamiento. El marco de la prevención lo fija la Ley 10/2010, y ahí el supervisor específico es el SEPBLAC, que además es la unidad de inteligencia financiera que recibe las comunicaciones. Son dos expedientes distintos que se miran mutuamente: lo que se describió en la solicitud de licencia —medios, organización, controles— es exactamente lo que el SEPBLAC comprobará que se ejecuta. De ahí el error más caro en fase de autorización: presentar un manual de prevención comprado o heredado que describe una entidad que no eres, con oficinas que no tienes y controles que nadie va a ejecutar. Cuando llega la revisión, la distancia entre el papel y la producción es el hallazgo. Si estás en esa fase, revisa la licencia de entidad de pago y el manual de PBC a medida.
El alta no presencial es el punto donde más fintechs fallan la prueba documental. La Orden ETD/465/2021 regula los métodos de identificación remota por vídeo —diferido y en directo— y exige que el procedimiento esté documentado y aprobado antes de emplearse y que sus evidencias se conserven. Dos matices que se pasan por alto con frecuencia. El primero: apoyarse en un proveedor no traslada la responsabilidad; el procedimiento del proveedor tiene que ser revisado, aprobado y auditable por la entidad, que debe poder recuperar la evidencia de cualquier alta concreta. El segundo: la identificación es solo la primera capa. Falta asignar un nivel de diligencia coherente con el riesgo, aplicar KYC y KYB cuando el cliente es una empresa, reconstruir la titularidad real hasta persona física y ejecutar el screening de sanciones antes de abrir. Un alta rápida y un alta trazable no son incompatibles, pero solo si el diseño lo previó desde el principio.
La monitorización transaccional se juzga por su trazabilidad hacia atrás. La cadena correcta empieza en el mapa de riesgos: de la autoevaluación por producto, canal, geografía y cliente salen los escenarios que deben vigilarse, y de cada escenario, una regla con un umbral justificado. Fragmentación de importes, velocidad inusual, entrada y salida inmediata de fondos, corredores de riesgo elevado o incoherencia con el perfil declarado son escenarios habituales, pero lo que se revisa no es la lista: es el documento que explica por qué el umbral vale lo que vale y cuándo se revisó por última vez. Después viene la parte incómoda: la calibración. Un motor que genera más alertas de las que el equipo puede analizar produce cierres en bloque, que es el peor resultado posible. Medir el ratio de falsos positivos, ajustar con datos propios, probar antes de producción y conservar el informe del antes y el después es lo que convierte una queja operativa en una defensa. Y cada alerta necesita su expediente: regla activada, datos, análisis, información solicitada, decisión motivada, autor y fecha.
El punto débil estructural del sector es la red externa: agentes y distribuidores que captan clientes y ejecutan operaciones en nombre de la entidad, con frecuencia con un estándar distinto al de la casa. Frente al supervisor responde la entidad, y el control se acredita con due diligence previa, contrato con obligaciones expresas de prevención, formación registrada y revisión periódica de una muestra de expedientes captados; el detalle está en agentes de entidades de pago. A ello se suma el modelo de negocio como factor de riesgo: las remesas hacia determinados corredores, los marketplaces con pagos agregados o los programas de tarjeta prepago tienen perfiles que hay que reconocer en la autoevaluación y compensar con controles adicionales. En el horizonte, dos marcos que ya condicionan decisiones: el paquete AML europeo —Reglamento (UE) 2024/1624, Directiva (UE) 2024/1640 y Reglamento (UE) 2024/1620, que crea la autoridad AMLA—, con aplicación escalonada y en fase de implantación, y el Reglamento (UE) 2022/2554 (DORA), que somete a los proveedores TIC críticos del sistema a registro de información y cláusulas contractuales obligatorias.
Este contenido tiene carácter divulgativo y no constituye asesoramiento jurídico. La normativa citada puede haber sido modificada con posterioridad a la fecha de actualización indicada: verifica siempre la versión vigente o consúltanos para analizar tu caso concreto.