Travel Rule, KYC/CDD y KYT en la práctica

Detrás de los acrónimos del mundo AML hay una lógica clara. El regulador quiere que un negocio sepa quién es su cliente (KYC/CDD), que acompañe las transferencias con datos sobre el emisor y el destinatario (la Travel Rule) y que vigile continuamente la naturaleza de las operaciones (KYT). En esta lección exponemos estos conceptos con claridad, sin jerga burocrática, mostramos los umbrales y la diferencia entre los niveles de diligencia debida, y explicamos cómo se ve todo ello en la práctica para una casa de cambio y un operador P2P.

Travel Rule: «los datos viajan con el dinero»

La Travel Rule es una recomendación del GAFI (Recomendación 16) trasladada al mundo cripto. La esencia: cuando una organización regulada (un VASP —Virtual Asset Service Provider, es decir, un exchange, una casa de cambio, un custodio) envía fondos a otra, está obligada a transmitir junto con la transferencia datos sobre el emisor y el destinatario. Un nombre, un identificador de cuenta/cartera, a veces una dirección y un documento.

La idea es simple: en las transferencias bancarias tradicionales, los datos del ordenante y del beneficiario acompañan siempre al pago. La Travel Rule extiende el mismo principio a las transferencias cripto entre servicios, de modo que una transacción no sea un anónimo «de la nada a la nada».

UmbralEl GAFI recomienda aplicar la regla a las transferencias a partir del equivalente de 1000 USD/EUR. Cada jurisdicción fija sus propios umbrales, pero 1000 es el punto de referencia de base. Por debajo del umbral los requisitos son más ligeros; por encima, se aplica el conjunto completo de datos.
Quién está obligadoLos VASP regulados: exchanges, casas de cambio con licencia, custodios. La transmisión de datos se produce entre servicios, no entre carteras privadas.
Qué se transmiteDatos identificativos del emisor y del destinatario: nombre, número de cuenta/dirección y, para el emisor, a menudo también un domicilio o un documento de identidad.
El problema del «self-hosted»Una transferencia a una cartera privada (no VASP) es un caso difícil: el destinatario no está conectado al sistema de intercambio de datos. Aquí el VASP recopila los datos del titular de la cartera de su propio cliente.

KYC vs CDD vs EDD: tres niveles de «conoce a tu cliente»

Estos tres acrónimos se confunden a menudo. En realidad son niveles sucesivos de profundidad en la diligencia debida sobre el cliente: desde la identificación básica hasta la investigación reforzada.

KYC (Know Your Customer) — identificación. El nivel básico: establecer y confirmar la identidad del cliente. Un pasaporte/DNI, un selfie, a veces un justificante de domicilio. Responde a la pregunta «¿quién eres?».Es el punto de entrada al sistema. Sin el KYC completado, un cliente no debería obtener acceso pleno a las operaciones.
CDD (Customer Due Diligence) — diligencia debida. Más amplia que el KYC: no solo «quién eres», sino «a qué te dedicas, cuál es la naturaleza esperada de las operaciones, cuál es el origen de los fondos». Se forma un perfil de riesgo del cliente.El CDD incluye el KYC como una parte y añade la comprensión del sentido económico de la relación con el cliente.
EDD (Enhanced Due Diligence) — diligencia debida reforzada. Se aplica a los clientes de alto riesgo: PEP (personas expuestas políticamente), jurisdicciones de alto riesgo, volúmenes inusuales elevados. Requiere más documentos, la aprobación de la dirección y una comprobación en profundidad del origen de los fondos.El EDD es la «alfombra roja al revés»: cuanto mayor es el riesgo, más preguntas y documentos, hasta llegar a la denegación del servicio.

Por qué esto importa. Los niveles de diligencia debida deben basarse en el riesgo. No puedes aplicar la misma plantilla a todos: para un cliente con 100 $ de movimiento basta el KYC básico, mientras que para un cliente con 500 000 $ de movimiento y marcadores PEP el EDD es obligatorio. El regulador espera exactamente esta gradación: debes poder explicar por qué se aplicó a un cliente determinado un nivel dado de diligencia debida.

KYC
quién eres

→

CDD
perfil de riesgo

→

EDD
alto riesgo

KYT: monitorización de transacciones

Si el KYC/CDD responden a la pregunta «quién es el cliente», entonces KYT (Know Your Transaction) responde «qué hace su dinero». Es el análisis continuo de las transacciones en busca de patrones sospechosos y del origen de los fondos. El KYT es precisamente el sistema que dispara una congelación en un exchange (Lección 8.1).

Análisis del origenCada transferencia entrante se rastrea: si los fondos proceden de un mezclador, de una dirección sancionada, de la darknet, de un exchange hackeado. Se asigna una puntuación de riesgo.
Análisis de patronesDetección de estructuras de blanqueo: tránsito rápido, fraccionamiento (smurfing), peel chains, esquemas circulares.
Umbrales y alertasLas operaciones por encima de ciertos importes o con una puntuación elevada generan una alerta para el oficial de cumplimiento.
ContinuidadEl KYT funciona constantemente, no una sola vez en el registro. Un cliente puede pasar el KYC limpiamente y luego empezar a aceptar fondos sucios; el KYT lo detecta.

Técnicamente, el KYT se implementa mediante motores de analítica de blockchain (Chainalysis, Elliptic, TRM Labs) o soluciones propias construidas sobre datos de direcciones etiquetadas. Para un pequeño negocio puede ser una API de filtrado AML integrada en el proceso de recepción de fondos.

Cómo se ve en una casa de cambio

Juntémoslo todo con el ejemplo de una casa de cambio cripto que acepta USDT y paga en rublos.

El recorrido del cliente por el cumplimiento de la casa de cambio

Registro → KYC. El cliente pasa la identificación: un documento, un selfie. Se crea un perfil.Para importes pequeños algunas casas operan sin KYC, pero eso eleva su propio riesgo y a menudo es ilegal.
Aceptación de fondos → KYT + filtrado de sanciones. La dirección emisora de USDT se pasa por una comprobación AML: contaminación (taint), sanciones, fuentes de riesgo.Exposición a sanciones o una puntuación elevada → rechazo antes de acreditar.
Evaluación de la operación → CDD/EDD. Un importe grande o un perfil inusual → diligencia debida reforzada, solicitud del origen de los fondos.El umbral a partir del cual se activa el EDD lo fija la casa en su política.
Pago en rublos → registro. La decisión y los resultados del filtrado se anotan en el registro con una fecha.Ante la inspección de un banco o un regulador, esta es la prueba de la buena fe de la casa.

Cómo se ve para un operador P2P

Un trader P2P no tiene infraestructura corporativa, pero la lógica es la misma en miniatura. El análogo del KYC es identificar a la contraparte en la plataforma (una cuenta verificada, una reputación). El análogo del KYT es el filtrado AML de la dirección desde la que llega la cripto. El análogo del CDD es el juicio sensato: por qué la contraparte ofrece un precio fuera de mercado, si tiene prisa por deshacerse de monedas problemáticas. El diario es el mismo registro de operaciones de la Lección 8.3.

Atención. En el P2P, la tentación de «trabajar sin comprobaciones por rapidez» acaba en un bloqueo bajo la 115-FZ y en la recepción de bienes robados. Un KYT mínimo (comprobar la dirección del emisor) y la disciplina de registro no son burocracia, sino protección directa de tu dinero y de tu libertad.

Hemos desglosado en qué consiste el marco AML corporativo. En la lección final de la sección lo reunimos en un documento concreto: una política AML mínima para un criptonegocio —reglas para aceptar fondos, filtrado de entrada, un registro de decisiones, una persona responsable y la escalada, con una plantilla lista para usar.

← Programa Programa →

Este material es educativo y no constituye asesoramiento jurídico.