Control de sanciones en EAU: guía práctica para empresas reguladas

El control de sanciones en EAU comienza por determinar la vía regulatoria, no por contratar un paquete genérico de listas. Una empresa regulada en EAU debe identificar el marco aplicable a su entidad jurídica y actividad y, después, conectar las fuentes de sanciones pertinentes con los clientes, propietarios, contrapartes, operaciones, la gestión de coincidencias, las comunicaciones y la documentación conservada.

Esta guía se dirige a MLRO, equipos de cumplimiento, responsables de operaciones y responsables técnicos de instituciones financieras, entidades de pago, casas de cambio, fintechs y determinadas actividades y profesiones no financieras (DNFBP) de EAU. Ofrece una capa operativa centrada en sanciones, no un manual completo de PBC de EAU ni asesoramiento jurídico.

Para conocer el método independiente de la jurisdicción, consulte la guía práctica de control de sanciones. Aquí la pregunta es específicamente:

¿Qué vía de EAU resulta aplicable, qué exige y puede el control de sanciones aplicarla y dejar constancia de ello?

Determine primero su vía regulatoria en EAU

El marco federal de PBC cambió en 2025. Los materiales oficiales vigentes reconocen el Decreto-Ley Federal n.º 10 de 2025 y la Resolución del Consejo de Ministros n.º 134 de 2025, mientras que las normas actuales sobre sanciones de la DFSA y la FSRA continúan remitiéndose a las obligaciones de TFS asociadas a la Resolución del Consejo de Ministros n.º 74 de 2020.²³⁴

Esto no significa que todas las empresas de EAU estén sujetas a normas de control idénticas. Empiece por la entidad y el supervisor:

El ámbito territorial del reglamento de VARA excluye DIFC.⁵ Las Relevant Persons de DIFC están supervisadas conforme al marco de la DFSA, mientras que las Relevant Persons de ADGM utilizan el reglamento de la FSRA. Por tanto, un grupo con varias entidades en EAU puede necesitar una arquitectura de control común con fuentes, procesos y vías de comunicación aprobados diferentes.

Antes de la implantación, documente:

• la entidad jurídica y la actividad autorizada;
• el supervisor y el marco federal o de zona franca financiera aplicable;
• los productos, clientes, tipos de operaciones y exposición geográfica;
• el responsable de la interpretación jurídica y las comunicaciones; y
• la fuente y fecha de cada norma o guía utilizada.

Las páginas oficiales pueden conservar referencias legales antiguas incluso después de cambios del marco. Compruebe la legislación y el reglamento del supervisor vigentes inmediatamente antes de basarse en una afirmación jurídica.

Determine qué listas de sanciones se aplican

Para aplicar las TFS en EAU, la guía del EOCN identifica dos fuentes principales: la UAE Local Terrorist List y la UN Security Council Consolidated List.¹⁶ Las entidades declarantes deben utilizar fuentes oficiales vigentes y registrarse para recibir las notificaciones pertinentes del EOCN, en lugar de depender de una copia estática incluida en una política o presentación de un proveedor.

La guía de la DFSA ilustra este enfoque. Para una Relevant Person de DIFC, las listas de sanciones pertinentes pueden incluir las de EAU, la UE, el Reino Unido, Estados Unidos u otras que realmente se apliquen a esa empresa.³ Estos ejemplos no significan que todas las empresas de DIFC o EAU deban comprobar todos los regímenes extranjeros.

Una matriz de fuentes defendible debe identificar:

Así se evita que la «cobertura mundial» sustituya el análisis jurídico y operativo de la empresa.

Defina las poblaciones y los eventos necesarios

Los materiales regulatorios de EAU pueden exigir algo más que comprobar el nombre del cliente. Los materiales vigentes de la DFSA para Relevant Persons abordan el control de bases de datos y operaciones. La guía de la FSRA para Relevant Persons de ADGM aborda la comprobación continua de las bases de datos de clientes y las sanciones, así como la monitorización de operaciones.³⁴

La población y el momento exactos siguen dependiendo del marco aplicable y del modelo de negocio. Cuando corresponda, incluya:

• clientes particulares y personas jurídicas;
• titulares reales y personas que ejercen el control ya identificados;
• contrapartes, beneficiarios, destinatarios y otras partes de una operación;
• personas que actúen en nombre o bajo la dirección de una parte designada; y
• registros existentes afectados por una designación nueva o modificada.

No interprete estos ejemplos como una norma que obligue a todas las organizaciones a comprobar a todas las partes en cada evento. Una entidad de pago supervisada por el CBUAE, un gestor patrimonial de DIFC y una DNFBP supervisada por un ministerio pueden necesitar diseños de control distintos.

Comprobar a un propietario conocido tampoco equivale a descubrir o verificar la estructura de propiedad. La guía sobre verificación de empresas frente a controles de PBC explica esta diferencia.

Establezca los supuestos de comprobación y nueva comprobación

Los materiales vigentes de la DFSA y la FSRA respaldan controles de sanciones continuos o periódicos y respuestas ante los eventos pertinentes de las fuentes y las operaciones.³⁴ No establecen una instrucción técnica universal para que todas las empresas reguladas en EAU comprueben continuamente a todos sus clientes en tiempo real.

La empresa debe traducir la norma que le resulte aplicable y su modelo operativo en supuestos definidos, que pueden incluir:

• el alta o la aprobación de una nueva relación;
• la incorporación de un propietario, persona que ejerce el control, contraparte, beneficiario o destinatario;
• un cambio sustancial del cliente o de la propiedad;
• un pago o evento de una operación pertinente;
• la incorporación, modificación o retirada en una fuente oficial aplicable; y
• una revisión periódica aprobada cuando lo exijan el marco y la política.

Para cada supuesto, defina los datos de entrada, el punto de decisión, el estado operativo permitido, el analista, la vía de escalada y la documentación. Si un proveedor afirma ofrecer cumplimiento «en tiempo real» o «continuo», pídale que demuestre el evento exacto, el proceso de actualización de la fuente y el compromiso de servicio, en lugar de tratar esa expresión como una conclusión jurídica.

La guía práctica de control de sanciones contiene el modelo general de supuestos. El control de EAU debe añadir los requisitos específicos del supervisor y la actividad, no duplicar esa guía.

Aborde por separado la propiedad y el control

Un resultado limpio para el nombre de una empresa no resuelve la exposición a TFS en EAU. La guía del EOCN amplía el análisis pertinente más allá de las partes directamente designadas para incluir a las entidades que estas posean o controlen directa o indirectamente y a las personas que actúen en su nombre o bajo su dirección.¹

Mantenga separadas estas tres tareas:

1. Descubrimiento o verificación de la propiedad: determine la estructura de propiedad y control mediante información fiable.
2. Control de las personas y entidades identificadas: contraste esas partes con los datos de sanciones aplicables.
3. Análisis de propiedad y control en materia de sanciones: determine si las restricciones alcanzan a una entidad no incluida en una lista conforme al marco y los hechos aplicables en EAU.

No sustituya el análisis de EAU por un umbral genérico de titularidad real en PBC ni por una prueba de sanciones extranjera. Conserve la cadena de propiedad, la fuente, la fecha de efecto y la justificación empleada, y remita los casos inciertos a un responsable autorizado de cumplimiento o asesoría jurídica.

Para conocer la distinción general, consulte propiedad y control en materia de sanciones y control de UBO y partes relacionadas.

Gestione una posible coincidencia por la vía correcta

El proceso útil no es «coincidencia equivale a bloqueo». Separe la generación del candidato, la resolución de identidad, la clasificación de la coincidencia, la actuación jurídica y las comunicaciones:

Candidato generado → identidad revisada → resultado falso, parcial o confirmado → análisis de la congelación o prohibición aplicable → comunicación correcta → documentación conservada

La guía del EOCN establece procesos diferenciados para las coincidencias de nombre confirmadas y parciales y aborda las correspondientes medidas de congelación, suspensión, rechazo y comunicación.¹ La actuación concreta depende del procedimiento oficial vigente, de los hechos y del marco aplicable. Una puntuación del software no toma esa decisión.

Para cada candidato:

1. Conserve los datos exactos consultados, el resultado de la fuente y la marca temporal.
2. Compare los identificadores, alias e información contextual disponibles.
3. Documente los hechos coincidentes, contradictorios y ausentes.
4. Clasifique el resultado con la terminología vigente aprobada por la empresa.
5. Eleve una coincidencia parcial, potencial o confirmada mediante el procedimiento TFS aplicable.
6. Documente la decisión jurídica y operativa por separado del resultado del control.

El registro detallado de la investigación debe conservarse según la guía para documentar la investigación de alertas de sanciones. La calibración del cotejo se trata en la guía para reducir falsos positivos.

Mantenga separadas las comunicaciones sobre coincidencias TFS y sobre sospechas

Los materiales del EOCN distinguen la gestión de coincidencias confirmadas o potenciales con personas designadas de las comunicaciones de actividades sospechosas cuando la preocupación es la elusión de sanciones u otro patrón sospechoso sin que exista tal coincidencia con una lista.⁷ La FIU de EAU utiliza goAML para la presentación de STR y SAR por las entidades declarantes incluidas en su ámbito.⁸

No trate una comunicación por coincidencia TFS, una STR o SAR y una notificación al supervisor como si fueran intercambiables. El procedimiento de cumplimiento debe identificar qué vía se aplica, quién decide, qué formulario vigente debe utilizarse y qué plazo corresponde. Los formularios, nombres de las comunicaciones y plazos deben volver a comprobarse con las instrucciones oficiales vigentes al publicar y antes de presentar una comunicación real.

Mantenga el control de PEP conectado, pero jurídicamente diferenciado

El control de PEP puede utilizar los mismos datos del cliente y el mismo equipo de análisis, pero responde a una pregunta distinta. Un candidato de sanciones requiere revisar la identidad y la aplicación de medidas restrictivas. El control de PEP pregunta si un cliente o titular real desempeña una función pública o mantiene una relación que cumpla los criterios y qué medidas basadas en el riesgo deben aplicarse.

Para las Relevant Persons de DIFC, las normas vigentes de la DFSA abordan las medidas razonables para determinar si un cliente o titular real es PEP y, cuando corresponda, la aprobación de la alta dirección, el análisis del origen del patrimonio y de los fondos y una monitorización reforzada.⁹ Los materiales de la FSRA abordan de forma similar la exposición a PEP mediante controles sensibles al riesgo para las Relevant Persons de ADGM.⁴

El GAFI describe las medidas relativas a PEP como preventivas: la condición de PEP no debe interpretarse como prueba de actividad delictiva.¹⁰ Tampoco crea la condición de persona sancionada ni implica el rechazo automático del cliente.

Mantenga clara la secuencia:

Consulte la guía de control de PEP para conocer el proceso completo y control de PEP de Checklynx para acceder al producto. Los medios adversos pueden aportar contexto adicional sobre el riesgo, pero no establecen la condición de PEP ni la inclusión en sanciones.

Compruebe si el software puede respaldar el control de EAU

Mantenga la prueba de aceptación adaptada a EAU. La metodología completa de contratación y prueba de concepto se encuentra en cómo elegir software de control de sanciones.

Pida a cada posible proveedor que demuestre:

• la procedencia de los datos exigidos de fuentes de EAU y la ONU;
• cómo se detectan y documentan las incorporaciones, modificaciones, retiradas y actualizaciones fallidas de las fuentes;
• la nueva comprobación o gestión de eventos conforme a los plazos aprobados por la empresa;
• resultados de personas y entidades con suficientes datos de identidad para resolver los candidatos;
• casos pertinentes con escritura árabe, transliteraciones, alias, nombres comunes e identificadores escasos procedentes de la población del comprador;
• el control de propietarios y personas que ejercen el control ya identificados, conservando el contexto de propiedad facilitado;
• los procesos de clientes, bases de datos y partes de operaciones que exijan el marco regulatorio y el modelo de negocio del comprador;
• resultados diferenciados y explicables para candidatos, falsos positivos, coincidencias parciales o sin resolver y coincidencias confirmadas;
• la conservación de la fuente, los datos de entrada, la configuración, el analista, la justificación, la actuación y las marcas temporales; y
• una transferencia controlada a los procedimientos vigentes de TFS, FIU y del supervisor de la empresa, sin presentar el software como responsable de la decisión jurídica.

La guía de la FSRA explicita un principio importante para los compradores que sean Relevant Persons de ADGM: utilizar una base de datos de terceros no transfiere al proveedor la responsabilidad de contar con sistemas y controles eficaces.⁴ Aplique la misma cautela práctica siempre que el propio marco de la empresa la haga responsable del control.

El programa de revisiones temáticas de 2026 del CBUAE incluye el control de sanciones frente a la UAE Local List y la UNSC Sanctions List en el sector bancario.¹¹ Esto demuestra que la eficacia y las pruebas del control son cuestiones de supervisión activas para esa población, pero no justifica inventar un umbral de prueba universal.

Adapte el control al contexto regulado

Estos ejemplos son patrones operativos ilustrativos, no instrucciones jurídicas universales.

Entidad de pago o casa de cambio supervisada por el CBUAE

La entidad conecta los registros de clientes, los propietarios pertinentes y las partes de los pagos con el control TFS aplicable. Un nuevo beneficiario genera un candidato durante una transferencia transfronteriza. Operaciones sigue el procedimiento aprobado de contención y escalada mientras un analista resuelve la identidad y el responsable autorizado determina el resultado en materia de TFS y comunicaciones. El ejemplo no significa que todos los productos de pago requieran una arquitectura técnica idéntica.

Gestor patrimonial o fintech de DIFC

Un cliente persona jurídica tiene un titular real identificado que puede ser PEP, mientras que una nueva contraparte de pago genera un candidato de sanciones. La cuestión de PEP sigue la vía de la DFSA basada en el riesgo; el candidato de sanciones sigue la vía aplicable de listas, coincidencias y TFS. El uso de datos comunes del cliente no hace que los resultados sean intercambiables.

Empresa de servicios financieros de ADGM

La empresa utiliza una base de datos externa de control, pero conserva la responsabilidad sobre el ámbito de las fuentes, la eficacia de los controles continuos, la revisión de candidatos, la monitorización de operaciones y la escalada. Comprueba si los analistas pueden reconstruir un resultado después de un cambio de fuente, en lugar de aceptar la mera existencia de la base de datos como prueba de cumplimiento.

DNFBP supervisada por un ministerio

Una empresa inmobiliaria u otra DNFBP define sus propios clientes, propietarios pertinentes, contrapartes y eventos sujetos a comunicación, en lugar de copiar el proceso de pagos de un banco. El control sigue los requisitos federales y los del EOCN, el ministerio y la FIU que se aplican a esa empresa.

VASP autorizado por VARA en Dubái

El VASP aplica las normas pertinentes de VARA junto con el marco federal de TFS y remite las cuestiones específicas de criptoactivos a su diseño de control especializado. DIFC queda fuera del ámbito territorial de VARA, por lo que una empresa de DIFC no debe seguir esta vía por el mero hecho de estar ubicada en Dubái.⁵ Consulte control de PBC para criptoactivos y VASP para conocer los límites específicos del sector.

Lista de comprobación del control de sanciones en EAU

Una vez definidos estos requisitos, el control de sanciones de Checklynx puede respaldar las comprobaciones mediante portal, CSV y API, la monitorización configurada, los casos de revisión y la documentación de las decisiones. El cliente determina las fuentes, partes y política aplicables, así como el resultado jurídico definitivo.

Preguntas frecuentes

¿Qué listas de sanciones debe comprobar una empresa regulada en EAU?

La guía del EOCN identifica la UAE Local Terrorist List y la UNSC Consolidated List para aplicar las TFS en EAU.¹ Otros regímenes, como las sanciones de la UE, el Reino Unido o Estados Unidos, deben incorporarse al control cuando se apliquen a la entidad, actividad, operación, grupo u otra relación pertinente, no de forma automática.

¿Necesitan todas las empresas de EAU un control de sanciones continuo en tiempo real?

No lo aplique como una norma universal. Los materiales vigentes de los supervisores establecen requisitos como controles continuos o periódicos y abordan controles de bases de datos, cambios en las listas y operaciones para poblaciones reguladas definidas. La empresa debe identificar la norma aplicable y traducirla en supuestos y requisitos de servicio documentados.

¿Son idénticos los requisitos de sanciones de DIFC, ADGM y el territorio continental de EAU?

No. Las obligaciones federales TFS aplicables interactúan con marcos de supervisión distintos. Las Relevant Persons de DIFC utilizan el módulo AML de la DFSA, las de ADGM utilizan el reglamento AML de la FSRA y las instituciones o DNFBP del territorio continental siguen la vía federal y de supervisión que les corresponda.

¿Un candidato de sanciones exige la congelación o el rechazo automáticos?

No. Un candidato es un dato de entrada para la revisión. La identidad, la clasificación de la coincidencia, la restricción aplicable, los hechos relativos a la propiedad y el control y el procedimiento oficial vigente determinan la respuesta jurídica y operativa necesaria. Las coincidencias parciales y confirmadas deben seguir el proceso aprobado de escalada TFS de la empresa en EAU.

¿Puede una empresa no incluida en una lista generar exposición a sanciones en EAU?

Sí. La guía del EOCN aborda las entidades que las partes designadas posean o controlen directa o indirectamente y las personas que actúen en su nombre o bajo su dirección.¹ El análisis depende de los hechos y no debe sustituirse por una fórmula de sanciones extranjera.

¿Una comunicación por coincidencia TFS equivale a una STR o SAR?

No. Los materiales del EOCN distinguen la gestión de coincidencias con personas designadas de las comunicaciones de actividades sospechosas, mientras que goAML proporciona la vía de la FIU de EAU para que las entidades declarantes incluidas en su ámbito presenten STR/SAR.⁷⁸ Compruebe los formularios y plazos oficiales vigentes para el caso real.

¿Una PEP está automáticamente sancionada en EAU?

No. La condición de PEP es una clasificación pertinente para el riesgo, no una condición de sanciones ni una prueba de criminalidad. Los controles de PEP aplicables pueden incluir aprobación, análisis del origen del patrimonio o de los fondos y monitorización reforzada; no generan una prohibición automática en materia de sanciones.

¿Qué debe probar un comprador de EAU en un software de control de sanciones?

Pruebe la procedencia de las fuentes aplicables de EAU y la ONU, la gestión de actualizaciones, las identidades en árabe y transliteradas, los procesos de clientes y partes de operaciones, el contexto de propiedad, los distintos resultados de coincidencias, la transferencia para comunicaciones y la documentación que permita reconstruir el caso. Consulte la guía para compradores de software de sanciones para conocer el método completo de contratación.