KYC, KYT y CDD: los tres pilares del compliance en términos sencillos

Cuando un recién llegado entra en el mundo del AML, se ahoga en siglas de tres letras: KYC, KYT, CDD, EDD, AML/CFT. Detrás de ellas no hay rituales burocráticos, sino tres preguntas distintas que un servicio se hace sobre un cliente y su dinero. En esta lección expondremos cada término con orden, mostraremos en qué se diferencian, dónde se aplican y cómo se conectan, para que dejes de confundirlos de una vez.

Tres preguntas, no tres palabras

La forma más fácil de recordar estas siglas es asociar cada una a la pregunta sencilla que se hace un responsable de compliance:

KYC (Know Your Customer) — ¿QUIÉN es esta persona? Verificar la identidad antes de que empiece la relación.
CDD (Customer Due Diligence) — ¿QUÉ nivel de riesgo tiene y qué debemos esperar? Evaluar el perfil de riesgo y la observación continua.
KYT (Know Your Transaction) — ¿DE DÓNDE viene su dinero y adónde va? Analizar las operaciones en sí y el origen de los fondos on-chain.

El KYC se ocupa de la identidad, el CDD del perfil de riesgo y el comportamiento, el KYT del dinero. Los dos primeros tratan tradicionalmente de "la persona y sus documentos"; el tercero es exclusivo de la cripto, porque la blockchain, por primera vez en la historia de las finanzas, hizo que las propias transacciones fueran verificables públicamente.

KYC: conoce a tu cliente

El KYC es la puerta de entrada. Antes de que un exchange, una casa de cambio o una cartera custodial te deje ingresar y retirar fondos, debe asegurarse de que eres una persona real: no una identidad sintética, no un testaferro y no alguien en una lista de sanciones. El conjunto clásico de KYC incluye tres capas de comprobación.

Identificación. Recopilar datos: nombre, fecha de nacimiento, nacionalidad, domicilio, número de contribuyente. El cliente declara quién es.
Verificación. Confirmar esos datos con documentos: un pasaporte o DNI, una factura de suministros para el domicilio, más un selfie de "prueba de vida" (liveness) para que la foto del documento coincida con un rostro en vivo. El servicio comprueba que lo declarado es cierto.
Cribado (screening). Contrastar la identidad con listas de sanciones (OFAC, UE, ONU), con bases de datos de PEP (personas expuestas políticamente) y con noticias adversas (adverse media). Comprobar si se puede prestar servicio a este cliente en absoluto.

Es importante entenderlo: el KYC es un evento único (o renovado periódicamente) en la entrada. No dice nada sobre lo que el cliente hace después de registrarse. Ejemplo: una persona pasa el KYC de un exchange sin fallos: pasaporte real, rostro limpio, sin sanciones. Pero un mes después empieza a recibir fondos desde la dirección de un mercado conocido de la darknet. El KYC no lo detectará, porque el KYC mira a la persona, no a su dinero. Aquí es donde entran en juego los otros dos pilares.

CDD: diligencia debida y perfil de riesgo

El CDD es lo que convierte una comprobación puntual en una relación continua y monitorizada. Si el KYC responde "quién", el CDD responde "qué esperar y qué nivel de riesgo tiene". En el registro, el servicio asigna al cliente un nivel de riesgo basado en muchos factores: país de residencia, tipo de actividad, volúmenes previstos, origen del patrimonio y si el cliente es un PEP.

De qué se compone el CDD

Perfilado de riesgo. Un estudiante de la UE que planea ingresar 200 € al mes es de riesgo bajo. El propietario de una sociedad offshore de una jurisdicción con alto blanqueo que promete una facturación de millones es de riesgo alto.
Comprensión de la naturaleza de la relación. El servicio registra el patrón "normal": qué importes, con qué frecuencia, con quién. Esta es la referencia (baseline) para futuras comparaciones.
Monitorización continua. La palabra clave es "continua". El CDD no termina en la entrada; el servicio vigila si el comportamiento se desvía del perfil esperado.
Actualización de los datos. Revisión periódica: ¿el cliente ha cambiado de país, se ha convertido en PEP, ha cambiado la naturaleza de sus operaciones?

Un ejemplo del CDD en acción: un cliente declaró una facturación prevista de 500 € al mes y un perfil de "particular". Seis meses después, por su cuenta pasan 80.000 € a la semana en transferencias a decenas de contrapartes distintas. Eso es una divergencia brusca respecto al perfil: un disparador de investigación, aunque cada operación individual parezca legítima. Es precisamente el CDD, como proceso continuo, el que detecta esas anomalías.

EDD: diligencia debida reforzada para clientes de alto riesgo

Cuando el CDD revela un riesgo elevado, entra en acción la EDD (Enhanced Due Diligence, diligencia debida reforzada): no es un pilar aparte, sino un modo más profundo de ese mismo CDD. La EDD se aplica a los PEP, a los clientes de jurisdicciones de alto riesgo y a operaciones inusualmente grandes o complejas sin un sentido económico evidente.

Qué añade la EDD: confirmar el origen de los fondos y el origen del patrimonio con documentos —no "de dónde salió el dinero de la cuenta", sino "de dónde procedió tu capital en primer lugar"—; la aprobación de la relación a nivel de la alta dirección; una monitorización más frecuente y estrecha; y un análisis más profundo de la estructura de propiedad si el cliente es una empresa.

La diferencia con un ejemplo: un cliente corriente ingresa 1.000 €: basta con un KYC estándar. Un PEP de un país con alta corrupción quiere ingresar 1.000.000 €: aquí la EDD exigirá una prueba documental de que el dinero se ganó legalmente (la venta de un negocio, una herencia, ingresos declarados), y la decisión de prestarle servicio la tomará la alta dirección, no un operador de base.

KYT: conoce tu transacción

El KYT es lo que hace que el compliance cripto sea fundamentalmente nuevo. En un banco tradicional, las transacciones quedan ocultas dentro de sistemas privados: no puedes comprobar de dónde vino el pago de otra persona. En la blockchain, cada operación es pública y queda registrada para siempre. El KYT lo aprovecha: analiza no a la persona, sino el dinero y su recorrido.

Comprobar el origen. Ante un depósito entrante, el sistema KYT rastrea la cadena de transacciones hacia atrás: ¿estas monedas vinieron de un mezclador, de una dirección sancionada, de un exchange hackeado, de un mercado de la darknet? Un historial "sucio" de una moneda es una bandera roja, aunque el propio cliente esté limpio.
Puntuar la dirección y el importe. A cada cartera y operación se le asigna una puntuación de riesgo basada en sus vínculos con categorías conocidas. Esta es la mismísima "puntuación" que devuelve una comprobación AML.
Monitorización en tiempo real. El KYT se ejecuta en cada transacción, no solo en la entrada: capta el momento en que un cliente limpio recibe de repente fondos de una fuente peligrosa. Control a nivel de transacción, no puntual.

Precisamente por esto, una comprobación AML de una cartera es, en esencia, una herramienta KYT. Introduces una dirección y el servicio responde a la pregunta "de dónde vino este dinero y adónde fue, y qué nivel de riesgo tiene", con independencia de quién sea el titular.

Cómo trabajan juntos los tres pilares

Imagina el registro y la vida de un cliente en un exchange como una única cadena de montaje:

KYC en la entrada → se comprobó el pasaporte y el rostro, se pasó el cribado de sanciones → el CDD asignó un perfil de riesgo → vigilamos el comportamiento → KYT en cada transacción → comprobamos el origen de las monedas → anomalía → investigación EDD y, posiblemente, un informe al regulador.

Ningún pilar sustituye a otro. KYC sin KYT: conoces a la persona, pero no que está moviendo dinero sucio por la cuenta. KYT sin KYC: ves monedas sospechosas, pero no sabes a quién responsabilizar. El CDD lo ata todo en un proceso continuo de evaluación del riesgo.

Dónde se aplica cada uno

Exchanges y casas de cambio centralizados. El conjunto completo: KYC + CDD/EDD + KYT. Los VASP regulados están obligados a ello por la FATF.
Servicios no custodiales y verificadores AML. Principalmente KYT: analizan transacciones y direcciones sin verificar la identidad, porque no guardan los fondos de los usuarios.
Bancos que trabajan con empresas cripto. KYC/CDD/EDD clásicos más la exigencia de que la contraparte cripto tenga KYT implantado.
Protocolos DeFi. Formalmente, el KYC suele estar ausente, pero las herramientas de cribado a nivel de interfaz y de cartera (KYT) se adoptan cada vez más bajo la presión del compliance de sanciones.

Un error típico de principiante: suponer que pasar el KYC hace a un cliente "limpio" para siempre. La verificación de la identidad y la limpieza del flujo de dinero son dos dimensiones distintas. Una persona honrada puede recibir sin saberlo monedas sucias a través de P2P; un defraudador con un pasaporte auténtico puede mover fondos de la darknet. Precisamente por eso un compliance maduro mantiene los tres pilares en marcha a la vez.

Resumen de la lección. KYC: "quién eres" (identidad en la entrada). CDD: "qué nivel de riesgo tienes y cómo te comportas" (perfil de riesgo + monitorización continua), y la EDD es su modo reforzado para clientes de alto riesgo. KYT: "de dónde viene tu dinero" (análisis de las propias transacciones on-chain). En cripto, fue el KYT lo que se convirtió en la principal innovación: por primera vez el dinero puede comprobarse directamente, sin preguntar al titular. La comprobación AML de carteras que realiza AMLConsensus es la materialización práctica del KYT.

← Programa Programa →

Este material tiene fines educativos.