Un cliente supera la verificación KYC durante el onboarding. Su identidad se confirma, no aparece en ninguna lista de sanciones, el expediente no presenta problemas y abres la cuenta. En ese momento, todo es correcto.
Dieciocho meses después, ese mismo cliente se incorpora a una lista de sanciones. O se convierte en una persona políticamente expuesta. O aparece mencionado en una investigación por fraude que ocupa los titulares de la prensa local. Y todavía falta un año para su próxima revisión KYC programada. Durante todo ese periodo, atiendes a un cliente que hoy rechazarías, sin que tu proceso tenga ningún mecanismo para avisarte.
No es un caso excepcional. Así está diseñado el KYC periódico. Imagina a un cliente que empieza a mover dinero con patrones sospechosos en el tercer mes de un ciclo de revisión de doce meses. En un modelo basado en el calendario, nadie supervisa activamente lo que ocurre entre revisiones, de modo que la conducta no genera una alerta hasta el mes doce, y el reporte de actividad sospechosa que finalmente presentas se basa en información desactualizada desde hace nueve meses. Para cuando actúas, la oportunidad de evitar el daño ya pasó y solo puedes documentarlo.
El problema no es que alguien haya realizado mal el KYC, sino que hacerlo una sola vez responde a la pregunta equivocada. Cuando verificas a un cliente durante el onboarding, averiguas quién es el primer día. Lo que en realidad necesitas saber, cada día posterior, es si sigue siendo alguien con quien puedes operar de forma segura. Esto supone pasar de la verificación, que ocurre en un momento concreto, a la certeza, que debe mantenerse de forma continua. Esa es precisamente la diferencia entre cumplir un trámite y gestionar el riesgo de verdad. Y, como veremos cada vez con más claridad, también marca la diferencia entre cumplir tus obligaciones regulatorias y solo aparentar que las cumples.
El KYC verifica un momento; el riesgo sigue cambiando.
El proceso KYC durante el onboarding es, en esencia, una fotografía: registra quién es el cliente, de dónde viene y si representa un riesgo conocido el día de la verificación. Esa fotografía es necesaria y, en la mayoría de los casos, obligatoria por ley. Sin embargo, que algo sea obligatorio no significa que sea suficiente. Eso es exactamente lo que ocurre con el KYC: desde el día posterior al onboarding, cumplir el requisito y contar con una evaluación realmente adecuada empiezan a ser cosas distintas. El problema es que la fotografía comienza a perder vigencia en cuanto se toma, porque el cliente no permanece tal como era cuando lo verificaste.
En Más allá del onboarding también desarrollamos un argumento similar para las empresas receptoras de inversión y las empresas de portafolio. Aquí nos centramos en tus clientes, pero la lógica es idéntica: la debida diligencia realizada una sola vez solo cubre el pasado, mientras que el riesgo existe en el presente. El objetivo no es obtener una mejor fotografía, sino una que se actualice en tiempo real. La pregunta que responde el onboarding —quién es esta persona— no es la misma que te permite operar con seguridad a lo largo del tiempo: si sigue siendo quien creías y si todavía puedes atenderla de forma segura.
Qué cambia realmente después del onboarding
Conviene precisar qué queda fuera del alcance de una verificación puntual, porque es fácil aceptar que “el riesgo cambia” y también subestimar lo que eso significa.
Un cliente puede convertirse en una persona políticamente expuesta por un nuevo nombramiento. Puede incorporarse a una lista de sanciones de forma directa o a través de alguna de las entidades que controla. También pueden aparecer noticias negativas, una investigación, una acusación formal o señalamientos de fraude que no existían durante su onboarding. Los beneficiarios controladores de un cliente empresarial pueden cambiar, de modo que las personas verificadas anteriormente ya no sean quienes ejercen el control. Su empresa podría incursionar en actividades o jurisdicciones de mayor riesgo. Además, sus operaciones pueden empezar a contar una historia distinta de la declarada en su perfil de onboarding. Ninguna de estas situaciones es visible para una verificación que realizaste una vez y después archivaste, y cualquiera de ellas podría convertir a un cliente cuya aceptación estaba justificada en uno que ahora rechazarías. Un ejemplo común y problemático es el de un cliente que ingresó como un particular sin exposición política y después recibe un nombramiento en un cargo público, por lo que se convierte de inmediato en una persona políticamente expuesta, aunque tu expediente siga mostrando la cuenta de bajo riesgo que abriste dos años antes.
Un punto ciego, en cámara lenta
Resulta útil observar paso a paso cómo esta brecha causa daño, porque la falla no suele parecer grave en el momento en que ocurre. Por ejemplo, una empresa de pagos incorpora a un cliente empresarial; verifica a sus consejeros y no encuentra problemas, sus beneficiarios controladores no presentan incidencias, no hay coincidencias en listas de sanciones y la cuenta se clasifica como de riesgo medio, con un periodo de revisión de dos años. Todos los pasos necesarios se han realizado correctamente.
Al cuarto mes, uno de los beneficiarios controladores se incorpora sin mayor difusión a una lista de sanciones, después de que su país de origen queda sujeto a un nuevo régimen de sanciones. Ningún elemento del proceso de la empresa vigila este tipo de cambio, así que la cuenta sigue operando con normalidad. Los pagos continúan y, como se descubre después, algunos están vinculados con la parte sancionada. La empresa no está ignorando una advertencia. Simplemente nunca recibió una, porque no supervisaba lo que ocurría entre revisiones.
Dieciocho meses después se realiza la revisión programada y finalmente se aplican las sanciones. Para entonces, la empresa ya ha procesado dieciséis meses de operaciones que no tenía derecho a gestionar, enfrenta un programa de remediación, debe presentar un reporte de actividad sospechosa con efectos retroactivos y tiene que explicar al regulador por qué tardó casi dos años en detectar algo que se conocía desde los primeros días. Cada acción individual podía justificarse. El resultado fue una falla grave, cuya única deficiencia fue la ausencia de supervisión entre revisiones. Esa supervisión continua era el único aspecto que la empresa no había previsto, porque el calendario de revisiones le había hecho creer que ya estaba cubierta.
La revisión periódica siempre fue una solución de compromiso
Si está claro que una verificación KYC puntual no basta, el respaldo habitual es la revisión periódica: volver a verificar a cada cliente cada uno a cinco años, con mayor frecuencia para los de mayor riesgo. Es mejor que nada y durante mucho tiempo fue la única opción práctica, porque cada verificación era manual y resultaba imposible realizarlas todas, todo el tiempo.
Pero el punto ciego forma parte del diseño del modelo periódico. Entre revisiones, por definición, nadie está observando, de modo que un cambio ocurrido el mes posterior a una revisión pasa inadvertido hasta la siguiente, que podría llegar años después. Las propias revisiones están entre las tareas de cumplimiento que más trabajo manual y costos exigen, y suelen llegar como una oleada de solicitudes generales para volver a presentar documentación que irritan precisamente a los clientes antiguos y de bajo riesgo a quienes menos quieres incomodar. Nadie diseñaría hoy desde cero un proceso lento, costoso y lleno de fricciones que, aun así, deja largos periodos sin visibilidad. Además, coloca a los equipos de cumplimiento en la incómoda posición de avalar, en cada revisión, a un cliente que no han examinado desde la anterior.
Los reguladores ya esperan más que cumplir un trámite
Esta es la parte que resuelve la cuestión. El monitoreo continuo no es una mejora opcional que las empresas más previsivas adoptan antes que las demás. Ya es lo que se espera. La recomendación 10 de FATF exige debida diligencia continua y mantener actualizada la información de debida diligencia del cliente, en lugar de limitarse a una verificación durante el onboarding. En el Reino Unido, la disposición 28(11) de las Money Laundering Regulations 2017 exige monitorear de forma continua la relación comercial y mantener actualizados los registros de debida diligencia del cliente (CDD), y la FCA considera el monitoreo continuo una obligación sustantiva y distinta del onboarding. Los reguladores estadounidenses siguen la misma línea: las reglas de debida diligencia del cliente de FinCEN incluyen un componente de monitoreo continuo. Y la próxima entrada en vigor de la Anti-Money Laundering Regulation de la EU va aún más lejos, con un marco armonizado que, a partir de 2027, se apoya en gran medida en perfiles de riesgo del cliente actualizados continuamente, en lugar de registros estáticos.
Aquí es importante aclarar un punto, porque mucho de lo que se escribe sobre este tema carece de precisión. El término “KYC perpetuo”, que el sector utiliza para describir la verificación continua activada por eventos, no aparece como requisito en ninguna regulación. Lo que sí establecen las regulaciones es la obligación de mantener actualizada la debida diligencia del cliente. El KYC continuo o perpetuo es simplemente la forma en que las empresas cumplen esa obligación en la práctica. Por lo tanto, la verdadera cuestión nunca ha sido si se debe monitorear continuamente a los clientes, sino qué método utilizar. Planteado así, el KYC continuo deja de parecer una mejora para quienes adoptan nuevas prácticas antes que los demás y pasa a ser una interpretación directa de las reglas que ya están vigentes.
De la verificación a la certeza: cómo funciona el KYC continuo
El KYC continuo sustituye el calendario por los eventos: en lugar de revisar periódicamente si hubo cambios en todas las personas, monitoreas únicamente los cambios relevantes y vuelves a evaluar cuando alguno ocurre.
En la práctica, esto implica varias medidas que funcionan de manera coordinada. Significa verificar continuamente a tus clientes y a las personas relacionadas con ellos en listas de sanciones, listas de PEP, medios adversos y listas de vigilancia, de modo que las nuevas coincidencias se detecten en cuanto aparezcan. Implica vigilar los cambios en los beneficiarios controladores para saber si cambian las personas que ejercen el control. Significa aplicar un nivel de revisión basado en el riesgo, de forma que los clientes de bajo riesgo se verifiquen regularmente en segundo plano, mientras que cualquier cambio significativo en un cliente de alto riesgo se escale de inmediato. Además, cada decisión de aprobar a un cliente, actualizar información o escalar un caso debe basarse en evidencia vinculada a su fuente, auditable y lista para que la examine un supervisor. Como resultado, las calificaciones de riesgo de los clientes dejan de ser simples estimaciones de un momento concreto y se convierten en un registro dinámico.
Conviene aclarar qué no implica “perpetuo”, porque el término puede dar una idea equivocada. No supone realizar todas las verificaciones de todos los clientes cada día ni inundar a tu equipo con alertas constantes. Significa que el sistema se activa por eventos reales, no por el calendario. Cuando se implementa correctamente, reduce el trabajo, porque dejas de dedicar tiempo a revisar casos en los que nada ha cambiado. El calendario debe servir entonces como respaldo para los pocos clientes que no presentan novedades, en lugar de ser el método principal para todos.
Qué eventos deben activar una revisión
El éxito o fracaso del KYC continuo depende por completo de sus eventos activadores: los hechos que llevan al sistema a determinar que un cliente necesita una revisión adicional. Si se configuran bien, todo el sistema funciona con fluidez en segundo plano; si se configuran mal, no detectarás nada o terminarás saturado. Algunas categorías son especialmente importantes.
Los eventos relacionados con la verificación son los más evidentes: una nueva coincidencia en listas de sanciones o de PEP, o noticias negativas recientes que mencionan al cliente o a alguien detrás de él. Los eventos relacionados con la propiedad se activan cuando cambian los beneficiarios controladores o quienes ejercen el control de un cliente empresarial, porque las personas que aprobaste quizá ya no sean quienes están al mando. Los eventos de comportamiento surgen de la propia actividad del cliente: operaciones que no corresponden con su perfil de onboarding, un cambio repentino en el volumen o contrapartes que aparecen en lugares inesperados. Los eventos geográficos y de situación detectan cuando un cliente o su empresa pasa a una jurisdicción o un sector de mayor riesgo. Y los eventos relacionados con la relación comercial responden a cambios estructurales: un cambio de consejeros, una fusión o un nuevo firmante autorizado.
Lo que importa es la acción que desencadena cada evento. No es necesario que todos provoquen una revisión completa. Un sistema eficaz procesa los cambios menores mediante una actualización discreta en segundo plano, dirige los cambios sustanciales a una verificación específica y envía los casos graves —como una coincidencia vigente en una lista de sanciones— directamente a un revisor humano, con la evidencia relevante ya adjunta. La respuesta debe corresponder al nivel de gravedad, porque solo así el KYC continuo puede evitar convertirse en un flujo constante de ruido. La gravedad del caso, y no solo el hecho de que haya ocurrido algo, debe determinar la respuesta.
No solo cambia el titular de la cuenta
Un aspecto que tanto las revisiones periódicas como las verificaciones puntuales suelen cubrir de manera insuficiente es el conjunto de personas relacionadas con el cliente. Una cuenta empresarial no se limita a la persona moral. También incluye a sus beneficiarios controladores, consejeros, firmantes autorizados y, en ocasiones, una red de empresas vinculadas. Cualquiera de ellos puede convertirse en un riesgo después del onboarding y, cuando eso ocurre, el riesgo se transmite a la cuenta, aunque la entidad en sí no haya hecho nada.
Cuando un beneficiario controlador se convierte en una persona políticamente expuesta, cambia el riesgo de cada empresa que controla. Si un consejero aparece mencionado en un caso de fraude, la exposición al riesgo llega al consejo de administración. Un firmante incorporado sin mayor aviso durante el onboarding podría haber quedado fuera de la verificación inicial. La certeza continua debe abarcar a estas personas, no limitarse al nombre que figura en la cuenta, porque es precisamente en ellas donde suelen producirse los cambios, y esos son los cambios que una revisión anual de la entidad tiene menos probabilidades de detectar.
Los beneficios van más allá del cumplimiento
Sería fácil presentar todo esto como un trámite que debes realizar con mayor frecuencia. En realidad, pasar del KYC periódico al continuo suele ser uno de esos pocos cambios que mejoran varias cosas a la vez.
Identificas el riesgo en tiempo real: si un cliente comienza a estructurar sus operaciones en el tercer mes, genera una alerta ese mismo mes, en lugar de esperar a la siguiente revisión, y los reportes de actividad sospechosa (SAR) que presentas se basan en información actualizada, no en registros obsoletos del expediente. Dejas de someter a los clientes satisfechos a un proceso general de nueva presentación de documentos, lo que produce una mejora real y perceptible en su experiencia y en la retención de clientes. También cuesta menos. Las empresas que pasan a un enfoque de KYC continuo activado por eventos suelen descubrir que pueden reducir la mayor parte de la carga de trabajo que antes dedicaban a las revisiones periódicas, porque el trabajo manual deja de concentrarse en periodos programados en los que los equipos deben volver a examinar a miles de clientes que no han cambiado y pasa a centrarse en las excepciones que sí requieren atención. Que un enfoque sea más seguro, más barato y genere menos fricciones al mismo tiempo es algo que nadie había ofrecido antes en el ámbito del cumplimiento. Conviene entender por qué, ya que contradice la intuición habitual: el ahorro proviene de dejar de utilizar tu recurso más costoso, los analistas especializados, para verificar que nada ha cambiado en la gran cantidad de clientes en los que, efectivamente, nada ha cambiado. La mayoría de los responsables de cumplimiento han pasado toda su carrera escuchando que una mayor seguridad siempre implica costos más altos. Este es uno de los pocos casos en los que eso no es cierto.
¿No generará una cantidad abrumadora de alertas?
Esa es la primera objeción que suele plantearse, y es razonable. Los equipos de cumplimiento ya están sobrecargados, y “monitoreo continuo” suena a una promesa de ruido constante. La objeción sería válida si el KYC continuo significara repetir constantemente cada verificación para todos los clientes y enviar todos los resultados a una persona.
Un KYC continuo bien implementado funciona de otra manera, y ahí está la clave. Como se activa por eventos, la mayoría de los clientes no generan novedades la mayoría de los días, porque no presentan cambios. Gracias a su enfoque basado en el riesgo, las actualizaciones rutinarias de clientes de bajo riesgo se procesan discretamente en segundo plano y solo se destacan los cambios significativos. Y, como identifica correctamente a cada persona o entidad, no genera una alerta por cada cliente que comparte nombre con alguien incluido en una lista. Como resultado, el KYC continuo suele producir menos casos que requieren revisión humana que un modelo periódico con sus revisiones extensas, y los casos que detecta son reales.
El verdadero problema no es el volumen de alertas, sino contar con un sistema mal construido que termina generando muchos falsos positivos. Eso sí representa una falla real y debe evitarse mediante la resolución de entidades, la clasificación por niveles de riesgo y las decisiones de descarte respaldadas por fuentes; es un asunto que merece abordarse con rigor. Sin embargo, es un argumento a favor de construir un sistema de KYC continuo, no una razón para mantener un modelo periódico que te impide ver lo que ocurre entre revisiones. En términos sencillos, la preocupación por la cantidad de alertas es, en realidad, una cuestión de calidad del sistema expresada con otras palabras.
Cómo dar el paso
Pasar de un modelo periódico a uno continuo depende, sobre todo, de unas cuantas decisiones deliberadas.
- Define los eventos activadores: los cambios que deben motivar una nueva evaluación, como una coincidencia en listas de sanciones o de PEP, noticias negativas, un cambio de propietarios o un cambio en el comportamiento transaccional.
- Realiza verificaciones continuas en las fuentes adecuadas, en lugar de limitarte al onboarding y a un calendario.
- Clasifica por nivel de riesgo para que la intensidad del monitoreo corresponda al riesgo de cada cliente, en lugar de tratar a toda la cartera de la misma forma.
- Aprueba automáticamente los casos de bajo riesgo sin cambios y envía a revisión humana solo aquellos que presenten cambios reales, para que tu equipo dedique su tiempo a los asuntos importantes.
- Asegúrate de conservar los registros de cada nueva evaluación junto con la información de las fuentes relevantes, para que el programa sea auditable y todas las decisiones puedan explicarse.
- Asegúrate de que tus procedimientos escritos reflejen la práctica real. Si tu política todavía describe un calendario de revisiones periódicas, pero realizas monitoreo continuo, estás documentando un proceso distinto del que aplicas.
No necesitas reformar tu proceso de onboarding. La verificación inicial sigue cumpliendo su función. El procedimiento de KYC continuo es el que garantiza que esa verificación mantenga su validez durante toda la relación con el cliente. El equipo de onboarding estableció quién ingresó; el KYC continuo confirma que hoy todavía lo aprobarías.
Cómo saber si funciona
Si haces el cambio, mídelo, porque la mejora debe reflejarse en los números, no solo en la teoría. Hay algunos indicadores que conviene seguir.
El tiempo de detección de un cambio es el más importante: cuánto transcurre, en promedio, entre un cambio en la situación de un cliente y el momento en que tu empresa se entera. En un modelo periódico, ese intervalo se mide en meses. El objetivo del KYC continuo es reducirlo a días. También está el rezago de revisiones, que debería disminuir a medida que las revisiones masivas programadas se sustituyen por verificaciones activadas por eventos. Otro indicador es la proporción de revisiones periódicas que no encontraron cambios: si es alta, demuestra directamente cuánto esfuerzo has desperdiciado. Por último, está la actualidad de la información en tus reportes de actividad sospechosa, que debería mejorar al detectar las conductas cuando ocurren, en lugar de esperar a la siguiente revisión. En conjunto, estas cuatro cifras muestran si realmente pasaste de un calendario a un sistema.
Si las cifras no cambian, el cambio no se ha producido en realidad, sin importar lo que indique el panel del proveedor.
Preguntas frecuentes
Mantén vigente la verificación
Una verificación KYC sin incidencias durante el onboarding significa que era seguro atender al cliente el primer día; no dice nada sobre el día quinientos. Por lo general, las empresas que terminan en dificultades no tuvieron problemas graves durante el onboarding: simplemente dejaron de monitorear y el cliente cambió durante ese periodo. El propósito de la certeza continua es cerrar esa brecha, y detectar un cambio en la primera semana cuesta menos que enfrentarlo en el segundo año.
Beady está diseñada para ofrecer esa capa de protección. Monitorea continuamente a tus clientes y a las personas relacionadas con ellos mediante listas de sanciones, designaciones de PEP, medios adversos e información legal y regulatoria, para que conozcas cualquier cambio en el riesgo de tus clientes en cuanto ocurra, en lugar de esperar a la siguiente revisión programada. Cada hallazgo puede rastrearse hasta su fuente original para que puedas verificarlo y mostrarle a un supervisor exactamente qué sabías y cuándo. El proceso de onboarding te dice quién es un cliente; Beady sigue informándote en quién se ha convertido.
Si quieres ver cómo se aplicaría la certeza continua a tu base actual de clientes, agenda una demo y haremos el ejercicio contigo.
