Verificación de empresas y controles PBC: qué función cumple cada uno en KYB

Antes de elegir un proceso KYB, los equipos de cumplimiento deben responder a una pregunta más útil: ¿qué información hay que verificar, contrastar y evaluar, qué decisiones hay que tomar y qué documentación se debe conservar?

La verificación de empresas y los controles de prevención del blanqueo de capitales (PBC) son controles distintos. Pueden formar parte del mismo proceso de diligencia debida de una empresa, pero responden a preguntas diferentes. Tratarlos como una única «comprobación KYB» sin definir puede dejar vacíos entre los datos de la empresa, la estructura de titularidad, los resultados de las consultas y la decisión final sobre el alta.

Este artículo explica qué función cumple cada control. Ofrece información general, no asesoramiento jurídico. Las medidas concretas aplicables dependen de la organización, la relación, la jurisdicción y el marco normativo.

La verificación de empresas y los controles PBC responden a preguntas diferentes

Los proveedores utilizan etiquetas distintas, pero las preguntas operativas son más claras que las categorías comerciales.

Este es un modelo operativo práctico, no una secuencia legal universal. Los estándares del GAFI exigen que los países implanten controles de PBC/FT mediante sus propios marcos jurídicos, administrativos y operativos. Un producto denominado «software KYB» puede cubrir una o varias capas.

Para consultar el marco general de estos conceptos, consulte la guía sobre KYC, KYB y diligencia debida del cliente.

Qué acredita realmente la verificación de una empresa

La verificación de una empresa se centra, por lo general, en la propia persona jurídica: su denominación, forma jurídica, existencia, datos registrales, domicilio, administradores o facultades de representación y otros hechos que la organización necesite acreditar.

La Recomendación 10 del GAFI describe la diligencia debida para personas jurídicas como la identificación y verificación del cliente mediante documentos, datos o información fiables e independientes. Su nota interpretativa menciona, entre otros ejemplos, la prueba de existencia, las facultades que permiten obligar a la entidad, los responsables pertinentes y el domicilio social.

Esto no significa que todas las relaciones empresariales del mundo exijan las mismas consultas registrales. El marco actual de la UE, la normativa británica sobre blanqueo de capitales y la norma estadounidense de FinCEN sobre diligencia debida se aplican a entidades y circunstancias concretas. La fuente, las pruebas y el grado de contraste deben ajustarse a las obligaciones aplicables y a la política basada en el riesgo de cada organización.

Un registro mercantil puede ser una fuente importante. Por sí solo, no equivale a superar los controles PBC. Una empresa puede tener sus datos registrales contrastados y seguir necesitando diligencia debida sobre la titularidad, comprobaciones de riesgo, una evaluación y una decisión documentada.

También conviene separar las pruebas sobre la entidad de la valoración comercial más amplia de la relación. Un asiento registral, una escritura de constitución o un atributo empresarial verificado pueden respaldar la conclusión de que la entidad declarada existe. Por sí solos, no indican si la relación encaja en el apetito de riesgo de la organización, si se ha evaluado a las personas vinculadas pertinentes o si existe información suficiente para continuar.

Por eso, un proceso bien diseñado deja constancia de qué se contrastó, qué fuente se utilizó, qué información queda por resolver y qué persona o equipo es responsable del paso siguiente. Los datos concretos variarán según el producto, el territorio y el ámbito regulado de la organización. Lo importante es no tratar una consulta sobre la empresa como el final de la diligencia debida.

Dónde encajan la titularidad real y el control

La titularidad y el control conectan a la persona jurídica con quienes están detrás de ella. El GAFI define como titulares reales de una persona jurídica a las personas físicas que en último término poseen o controlan al cliente, también mediante el control efectivo final.

En la práctica importan dos distinciones:

• Identificar la titularidad no es lo mismo que comprobarla frente a fuentes de riesgo. Una vez identificado un titular real, el registro indica a quién debe tener en cuenta el equipo. Después se comprueba si esa persona conocida coincide con información de riesgo pertinente.
• Mostrar datos sobre una relación no es lo mismo que acreditarla. La organización necesita conocer la procedencia de los datos y aplicar el método de verificación adecuado a su programa.

En una arquitectura real, la información sobre la empresa y su titularidad puede proceder del cliente, de sistemas internos, de una fuente registral o de un proveedor anterior del proceso. Cuando las personas y relaciones relevantes están disponibles, pueden incorporarse a las comprobaciones y a la evaluación del riesgo de la organización.

La titularidad no siempre se resume en un único porcentaje. Algunas estructuras incluyen participaciones directas e indirectas, control mediante derechos de voto u otros mecanismos, administradores y firmantes, o relaciones en las que el equipo debe comprender quién actúa en nombre de la empresa. La prueba legal aplicable y la documentación exigida dependen de la jurisdicción y del programa. Desde el punto de vista operativo, la tarea es constante: mostrar la relación con suficiente claridad para que el analista comprenda qué riesgos personales deben valorarse junto con los de la entidad.

Checklynx ayuda a mantener a titulares reales, personas con control, administradores, firmantes y otras partes relacionadas dentro del contexto que necesitan los analistas. Consulte titulares reales y partes relacionadas para conocer el proceso específico de titularidad.

Qué aportan los controles PBC

Estos controles responden a otra pregunta: ¿coincide un identificador facilitado con información de riesgo configurada que deba evaluarse?

En materia de sanciones, las comprobaciones pueden abarcar clientes, contrapartes, intermediarios, transacciones y otras partes relevantes. Un resultado candidato no constituye la decisión jurídica o empresarial definitiva. La guía introductoria de OFAC describe el control frente a sanciones como un medio para detectar una posible exposición, tras lo cual deben evaluarse los hechos y las normas sobre sanciones aplicables.

No deben confundirse los resultados relativos a PEP con los de sanciones. La condición de PEP puede exigir medidas basadas en el riesgo conforme al marco aplicable, mientras que las medidas restrictivas pueden requerir una respuesta jurídica concreta. La información negativa en medios es otra categoría distinta: su pertinencia y tratamiento dependen del programa de la entidad y de los requisitos aplicables.

Una revisión útil suele comenzar por resolver la identidad antes de interpretar el resultado. Los analistas pueden comparar nombres, alias, fechas, países, identificadores de la entidad, relaciones de titularidad y la función que desempeña la persona o empresa en la relación. Un nombre parecido no basta para confirmar una coincidencia. Del mismo modo, un resultado aparentemente limpio no debe prevalecer sobre información de identidad contradictoria u otras señales de riesgo.

Por eso, las comprobaciones deben estar conectadas con el expediente del cliente o de la empresa, en lugar de tratarse como una consulta aislada. El contexto permite saber si el resultado afecta al cliente, a un titular real, a un administrador, a una contraparte o a alguien sin relación relevante con la operación.

La secuencia útil es:

Entidad o persona conocida → resultado de la comprobación → revisión de identidad y contexto → evaluación del riesgo → decisión controlada.

Esta secuencia evita dos errores frecuentes: tratar una coincidencia potencial como un resultado confirmado o considerar que la ausencia de coincidencias demuestra la autenticidad de la información de la empresa.

Para profundizar en estos controles, consulte las guías de control frente a sanciones y control de PEP.

Por qué la evaluación del riesgo viene después de las comprobaciones

La verificación establece si la información está respaldada. Las consultas pueden revelar una señal. La evaluación del riesgo conecta esos hechos con el conjunto de la relación.

Según el marco de la organización, los factores relevantes pueden incluir el tipo de actividad, la ubicación geográfica, los productos, la actividad prevista, la titularidad y el control, la exposición política, los resultados de las comprobaciones y la fiabilidad de la información disponible. Ningún dato aislado debe presentarse como una decisión automática y universal.

La evaluación del riesgo del cliente debe aplicar la política, la metodología, las aprobaciones y las excepciones de la organización. No es una puntuación genérica proporcionada por una fuente de datos. Obtenga más información sobre la evaluación del riesgo del cliente.

De una coincidencia potencial a una decisión documentada

El objetivo de un proceso PBC no es acumular alertas. Consiste en convertir las alertas pertinentes, la información que falta y las relaciones de mayor riesgo en tareas con un responsable claro.

Un proceso de revisión eficaz facilita al analista la información necesaria para resolver la identidad, entender el vínculo de la parte con la empresa, valorar los factores de riesgo aplicables y registrar el resultado. También permite ver cuándo se requiere un escalado para obtener diligencia debida adicional, aprobación de un superior u otra medida prevista en la política interna.

El circuito de revisión debe distinguir una coincidencia potencial de un resultado confirmado y, a su vez, separar el resultado confirmado de la medida final. La primera plantea una cuestión que debe investigarse. El segundo puede modificar la evaluación o activar un procedimiento definido. La tercera depende de la política de la organización y, cuando corresponda, de asesoramiento especializado o jurídico. Mantener separadas estas fases evita tanto rechazos innecesarios como excepciones sin documentar.

El registro documental debe permitir reconstruir:

• la información sobre la empresa, la persona y la relación utilizada en ese momento;
• el contexto de las fuentes, los resultados y los identificadores pertinentes;
• los pasos de revisión, notas, archivos adjuntos y aprobaciones;
• el resultado final y su justificación; y
• los cambios o evaluaciones posteriores que afectaron a la relación.

Aquí es donde resulta útil un proceso definido de gestión de casos y documentación. Checklynx conecta los resultados y el contexto de las partes relacionadas con una revisión controlada, la documentación de la decisión y el historial del caso dentro de un proceso de alta KYC/KYB.

El circuito de controles KYB de un vistazo

El circuito de controles puede ser modular. Un sistema puede aportar datos de la empresa, otro encargarse de una fase de verificación y una solución PBC puede conectar las comprobaciones, la evaluación del riesgo, la revisión y la documentación con el contexto resultante del cliente.

Para los equipos de implantación, la cuestión práctica no es si todas las fases proceden de un único proveedor. Lo importante es que los traspasos estén controlados: ¿puede el analista posterior consultar el contexto de la fuente?, ¿se puede asignar una excepción?, ¿puede el resultado volver al proceso de alta? y ¿puede la organización reconstruir la decisión más adelante? Estas preguntas siguen siendo importantes tanto en una arquitectura integrada como en una modular.

Qué debe detectar el seguimiento continuo de KYB

KYB no termina cuando se abre una cuenta. La Recomendación 10 del GAFI y el marco actual de la UE incluyen conceptos de diligencia debida continua y sensible al riesgo. El marco de FinCEN sobre diligencia debida incluye un seguimiento continuo basado en el riesgo para determinadas instituciones financieras sujetas a sus normas.

Esto no crea una obligación universal de revisión anual. La frecuencia y los supuestos adecuados dependen de los requisitos aplicables y de los procedimientos basados en el riesgo. Entre los supuestos operativos útiles pueden figurar un cambio sustancial en la titularidad o el control, nueva información procedente de las comprobaciones, un cambio de ubicación geográfica o actividad, datos que cuestionen la información anterior o una modificación de la evaluación del riesgo de la relación.

La revisión periódica y la revisión motivada por cambios resuelven problemas distintos. Una revisión programada ofrece una oportunidad regular para volver a examinar las relaciones conforme a la política interna. Una revisión motivada por cambios responde cuando ocurre algo sustancial antes de la siguiente revisión prevista. Un proceso KYB maduro puede admitir ambas sin presentar ninguna como un calendario legal universal.

La pregunta operativa es sencilla: ¿puede la organización detectar el cambio, asignar la revisión, conservar la documentación y demostrar qué ocurrió después? Descubra cómo Checklynx facilita el seguimiento continuo.

Cómo ayuda esta distinción al evaluar proveedores

Una vez definidos los controles necesarios, la evaluación de proveedores pasa a ser un ejercicio de contratación independiente. Utilice la lista de comprobación para elegir software KYB para comparar fuentes de datos, controles, riesgo, revisión, documentación, seguimiento, integración y condiciones comerciales.

Preguntas frecuentes

¿Es lo mismo verificar una empresa que aplicar controles PBC?

No. La verificación de una empresa consiste en contrastar su información. Los controles PBC determinan si una entidad o persona facilitada coincide con información de riesgo pertinente. Ambos pueden ser necesarios en un proceso KYB, pero responden a preguntas diferentes.

¿Encontrar una empresa en un registro oficial completa el proceso KYB?

No como regla universal. Un resultado registral puede ser una prueba útil sobre la entidad, pero las organizaciones sujetas a obligaciones de diligencia debida también pueden necesitar información sobre la titularidad, evaluación del riesgo, otras comprobaciones y revisión continua. Los requisitos concretos dependen del marco aplicable.

¿Es lo mismo identificar titulares reales que comprobarlos frente a fuentes de riesgo?

No. La identificación determina quién posee o controla la empresa. Después se comprueba a una persona conocida o facilitada frente a la información de riesgo pertinente. Una actividad no proporciona automáticamente la otra.

¿Una alerta de sanciones o PEP obliga a rechazar a la empresa?

No de forma automática. Una posible coincidencia requiere revisar la identidad y el contexto. La medida aplicable ante una cuestión de sanciones depende de las normas correspondientes. El tratamiento de una PEP es distinto y no debe considerarse una prohibición derivada de sanciones.

¿Deben las empresas repetir KYB todos los años?

No existe una regla universal de actualización anual. La revisión continua debe ajustarse a las obligaciones aplicables, la política de la organización y los cambios sustanciales en la información o el riesgo del cliente.

Vea en la práctica el proceso de revisión KYC/KYB

Después de organizar las capas de fuentes y verificación, muchos equipos comprueban que su principal carencia se encuentra más adelante: los resultados, el riesgo del cliente, el contexto de titularidad, la revisión y la documentación están repartidos entre distintas herramientas.

Checklynx reúne los controles, el riesgo del cliente, el contexto de titularidad, una revisión controlada y la documentación de las decisiones en un único proceso KYC/KYB. Utilice la prueba gratuita de 30 días para conocer directamente el producto, consultar precios transparentes y empezar sin una larga llamada comercial.