Dejan Jasnic · Cofundador y director de cumplimiento, Trusty · Más de 20 años en antifraude y cumplimiento · Miembro de la junta directiva de ACFE Swiss Chapter
Para una empresa de criptoactivos que entra en el mercado de la UE, obtener una licencia MiCA es solo una parte del panorama de cumplimiento.
MiCA responde a preguntas como:
¿Puede prestar legalmente servicios de criptoactivos en la UE y cómo debe gestionar el negocio?
La legislación de la UE contra el blanqueo de capitales pregunta algo diferente:
¿Cómo debe identificar a los clientes, evaluar el riesgo de blanqueo de capitales, supervisar las transacciones y responder a actividades sospechosas?
Para muchos proveedores de servicios de criptoactivos, la respuesta no es, por lo tanto, MiCA o AMLD.
Es MiCA y el cumplimiento AML.
desde el primer día
¿Está preparando su solicitud de MiCA? El Trusty MiCA Booster Pack le ofrece políticas listas para implementar, formaciones para el personal y un canal de denuncias, todo ello ya alineado con MiCA y DORA.
MiCA vs AMLD de un vistazo
MiCA | Marco AML de la UE | |
|---|---|---|
Propósito principal | Regular los mercados de criptoactivos de la UE y los proveedores de servicios de criptoactivos | Prevenir el blanqueo de capitales y la financiación del terrorismo |
Principales empresas afectadas | Proveedores de servicios de criptoactivos, emisores y otros participantes del mercado de criptoactivos | Los CASP y otras entidades obligadas, financieras y no financieras |
Autorización CASP | Sí | El registro AML existía históricamente bajo regímenes nacionales, pero no sustituye la autorización MiCA |
Identificación del cliente | Los controles AML forman parte del entorno de cumplimiento del CASP | Sí |
Comprobaciones de beneficiarios reales | Relevante a través del cumplimiento AML | Sí |
Cribado de PEP | No es la función principal de MiCA | Sí |
Controles de sanciones | Relevante para el cumplimiento general | Sí |
Seguimiento de transacciones | Se requieren sistemas AML | Sí |
Notificación de transacciones sospechosas | Regulado por las normas AML | Sí |
Abuso de mercado | Sí, MiCA contiene normas de integridad del mercado de criptoactivos | No es el enfoque principal |
Protección del cliente | Sí | No es el enfoque principal |
Requisitos prudenciales | Sí, para los CASP | No es el enfoque principal |
¿Qué exige MiCA a las empresas de criptoactivos?
El Reglamento relativo a los mercados de criptoactivos, o MiCA, establece un marco regulatorio armonizado para los criptoactivos y los servicios de criptoactivos en la UE.
Entre otras cosas, MiCA regula:
- la autorización de los proveedores de servicios de criptoactivos;
- la gobernanza;
- las salvaguardias prudenciales;
- la protección del cliente;
- la custodia de los activos del cliente;
- los conflictos de intereses;
- el mantenimiento de registros;
- los requisitos operativos;
- el abuso de mercado;
- los requisitos de divulgación.
Por lo general, una empresa no puede prestar servicios de criptoactivos en la UE a menos que esté debidamente autorizada conforme a MiCA o tenga la consideración de otra entidad financiera regulada con permiso para prestar esos servicios en virtud del Reglamento.
Las disposiciones transitorias de MiCA para los proveedores nacionales preexistentes no podían extenderse más allá del 1 de julio de 2026. Por lo tanto, en septiembre de 2026 ya habrá pasado el plazo máximo de régimen transitorio a nivel de la UE.
¿Incluye MiCA requisitos AML?
MiCA interactúa directamente con el cumplimiento AML, pero no reemplaza el marco AML de la UE.
Por ejemplo, MiCA exige a los proveedores de servicios de criptoactivos mantener sistemas y procedimientos adecuados para la evaluación de riesgos y el cumplimiento de la normativa AML/CFT aplicable.
Un incumplimiento grave en el mantenimiento de controles eficaces contra el blanqueo de capitales y la financiación del terrorismo también puede tener consecuencias para la autorización de un CASP.
Por tanto, el cumplimiento AML no es un complemento opcional de la licencia MiCA.
Forma parte del mantenimiento de un negocio de criptoactivos conforme a la normativa.
¿Qué exige AMLD a las empresas de criptoactivos?
La UE ha ido incorporando progresivamente a las empresas de criptoactivos en su marco AML/CFT.
En el marco actual, los proveedores de servicios de criptoactivos incluidos se consideran entidades obligadas.
Esto introduce controles familiares de delitos financieros en las operaciones de criptoactivos, incluyendo:
- identificación y verificación del cliente;
- identificación del beneficiario real;
- evaluación de riesgos;
- diligencia debida reforzada para relaciones de mayor riesgo;
- controles PEP;
- comprobaciones relacionadas con sanciones;
- seguimiento continuo;
- notificación de transacciones sospechosas;
- mantenimiento de registros;
- políticas y controles AML internos.
Los procedimientos exactos deben reflejar la naturaleza y el riesgo de los servicios de criptoactivos que se prestan.
¿Sigue siendo AMLD el término correcto en 2026?
En el uso cotidiano, sí, pero legalmente el marco de la UE está cambiando.
Muchas empresas siguen hablando de «requisitos AMLD para criptoactivos», «MiCA vs AMLD» o «5AMLD cripto», por lo que el término sigue siendo habitual.
Sin embargo, la UE adoptó un nuevo paquete legislativo AML en 2024.
Una parte central de ese paquete es el Reglamento (UE) 2024/1624, conocido habitualmente como el Reglamento AML o AMLR.
La mayor parte del AMLR se aplica a partir del 10 de julio de 2027.
Esto significa que las empresas de criptoactivos que preparen sus sistemas en 2026 deben mirar más allá del marco histórico de AMLD y garantizar que su arquitectura de cumplimiento pueda adaptarse a los próximos requisitos del AMLR.
¿Qué controles AML necesita una empresa de criptoactivos?
Para un CASP, el cumplimiento AML generalmente comienza antes de que un cliente realice su primera transacción significativa.
1. Identificación del cliente
La empresa necesita identificar a los clientes y verificar sus identidades utilizando información fiable.
Para las entidades jurídicas, esto también significa comprender quién posee o controla en última instancia al cliente.
2. Comprobaciones de beneficiarios reales
Una cuenta de empresa no debe detenerse en el nombre de la empresa.
El CASP necesita identificar a los beneficiarios reales relevantes y comprender la estructura de propiedad y control.
3. Cribado PEP
Los clientes y beneficiarios reales deben evaluarse para determinar su condición de persona políticamente expuesta cuando corresponda.
Una relación con una PEP no está automáticamente prohibida.
Normalmente activa medidas adicionales de gestión del riesgo, incluyendo un escrutinio reforzado.
4. Cribado de sanciones
Las sanciones financieras están relacionadas con el cumplimiento AML, pero son jurídicamente distintas.
Los CASP necesitan controles capaces de identificar a clientes, beneficiarios reales y contrapartes relevantes sujetos a las restricciones de sanciones aplicables.
5. Evaluación del riesgo del cliente
No todos los clientes de criptoactivos presentan el mismo riesgo de blanqueo de capitales.
Los factores relevantes pueden incluir:
- geografía;
- tipo de cliente;
- estructura de propiedad;
- producto o servicio utilizado;
- comportamiento transaccional;
- origen de los fondos;
- canal de entrega;
- exposición a jurisdicciones de alto riesgo.
El resultado debe determinar el nivel de diligencia debida y seguimiento adecuado para la relación.
6. Seguimiento de transacciones
La incorporación de clientes es solo el comienzo.
Las empresas de criptoactivos necesitan supervisar la actividad en busca de patrones inusuales, inconsistentes con el perfil de cliente conocido o indicativos de blanqueo de capitales o financiación del terrorismo.
Esto puede incluir la consideración de:
- frecuencia de las transacciones;
- tamaño de las transacciones;
- contrapartes;
- exposición de la cartera;
- riesgo geográfico;
- movimiento inusual entre fiat y cripto;
- interacciones con servicios de mayor riesgo.
7. Notificación de transacciones sospechosas
Cuando se alcance el umbral legal aplicable de sospecha, las entidades obligadas deben informar a la Unidad de Inteligencia Financiera correspondiente conforme al marco nacional aplicable.
¿Qué ocurre con las carteras autocustodiadas?
Las direcciones autoalojadas son un problema particularmente importante y específico de los criptoactivos.
El marco de la UE exige a los CASP que identifiquen y evalúen los riesgos de blanqueo de capitales y financiación del terrorismo asociados con las transferencias hacia o desde direcciones autoalojadas.
La mitigación de riesgos puede incluir:
- la obtención de información adicional;
- la identificación o verificación del ordenante o del beneficiario;
- un seguimiento reforzado;
- la determinación del origen y destino de los criptoactivos;
- la aplicación de controles adicionales cuando el riesgo es elevado.
Con el próximo AMLR, estos requisitos se hacen aún más explícitos.
¿Existe un umbral de 1.000 € para el KYC en criptoactivos?
Esto requiere una interpretación cuidadosa.
Conforme a las normas del AMLR que se aplicarán a partir de 2027, los proveedores de servicios de criptoactivos deben aplicar diligencia debida del cliente a las transacciones ocasionales de criptoactivos de 1.000 € o más.
Para transacciones ocasionales inferiores a 1.000 €, los CASP deben aplicar, como mínimo, determinadas medidas de identificación del cliente.
Y los umbrales nunca significan que las transacciones sospechosas puedan simplemente ignorarse.
La diligencia debida del cliente también se exige en circunstancias como:
- el establecimiento de una relación de negocio;
- la sospecha de blanqueo de capitales o financiación del terrorismo;
- dudas sobre la información de identificación obtenida previamente.
Así que decir que «el KYC de criptoactivos empieza en 1.000 €» es demasiado simplista.
¿Qué es la regla de viaje de la UE para criptoactivos?
Las empresas de criptoactivos también deben tener en cuenta el Reglamento de Transferencias de Fondos, Reglamento (UE) 2023/1113.
Extiende los requisitos de trazabilidad a las transferencias de criptoactivos.
En términos prácticos, los CASP pueden necesitar obtener y transmitir información sobre el ordenante y el beneficiario al procesar transferencias de criptoactivos.
Esto hace que el cumplimiento de criptoactivos en la UE sea un panorama de tres partes:
MiCA → autorización y regulación del mercado de criptoactivos
Marco AML → riesgo de cliente y delitos financieros
Reglamento de Transferencias de Fondos → trazabilidad de transacciones
Interactúan, pero no son intercambiables.
Ejemplo: un exchange de criptoactivos que entra en la UE
Imaginemos que un exchange de criptoactivos quiere prestar servicios a clientes en toda la UE.
Obtener la autorización MiCA resuelve si la empresa puede prestar servicios regulados de criptoactivos.
Pero el exchange sigue necesitando un programa AML operativo.
Esto podría incluir:
Cliente → identidad → beneficiario real → sanciones → PEP → puntuación de riesgo → seguimiento de transacciones → alertas → investigación → notificación
La autorización MiCA no hace que esos pasos desaparezcan.
De hecho, unos controles AML débiles pueden poner en riesgo la capacidad de la empresa para seguir cumpliendo como CASP regulado.
Autorización MiCA vs. cumplimiento AML
Una forma útil de recordar la diferencia es:
MiCA pregunta: ¿Está autorizado y opera correctamente como proveedor de servicios de criptoactivos?
Las normas AML preguntan: ¿Sabe quiénes son sus clientes y controlas adecuadamente el riesgo de delitos financieros?
Una empresa de criptoactivos normalmente necesita responder que sí a ambas preguntas.
¿Necesitan los CASP cribado de sanciones y PEP?
Para un cumplimiento AML práctico, el cribado debe formar parte de un marco más amplio de riesgo del cliente.
Un flujo de trabajo básico podría incluir:
Incorporación de clientes
↓
Verificación de identidad y beneficiario real
↓
Cribado de sanciones y PEP
↓
Evaluación del riesgo del cliente
↓
Diligencia debida reforzada cuando sea necesario
↓
Seguimiento continuo y nuevo cribado
↓
Seguimiento de transacciones
↓
Investigación e informes
El cribado solo en la incorporación puede pasar por alto cambios posteriores, como que un cliente sea sancionado o adquiera el estatus de PEP.
integrado
¿Necesita cribado de sanciones y PEP para su CASP? Trusty ejecuta el cribado AML junto con sus políticas, formaciones para el personal y canal de denuncias, todo en una sola plataforma. O reserva una demo.
MiCA no crea un atajo de cumplimiento
Este es un punto importante para las empresas que tratan la autorización MiCA como la línea de meta.
Estar autorizado conforme a MiCA no significa:
- que todos los clientes hayan pasado automáticamente las comprobaciones AML;
- que el cribado de sanciones sea innecesario;
- que el cribado PEP sea innecesario;
- que el seguimiento de transacciones sea innecesario;
- que la actividad sospechosa ya no necesite investigación;
- que el riesgo de las carteras autoalojadas pueda ignorarse.
La concesión de licencias y el cumplimiento en materia de delitos financieros son responsabilidades separadas, pero conectadas entre sí.
Preguntas frecuentes
No. MiCA regula los mercados de criptoactivos y los proveedores de servicios de criptoactivos, mientras que la legislación AML de la UE regula los controles de blanqueo de capitales y financiación del terrorismo. Los CASP pueden estar sujetos a ambas normativas.
Sí. La legislación de la UE incorpora a los proveedores de servicios de criptoactivos definidos por MiCA dentro del marco AML/CFT.
MiCA exige a los CASP mantener sistemas y procedimientos que respalden el cumplimiento de la normativa AML/CFT aplicable. Las obligaciones detalladas de diligencia debida del cliente proceden principalmente del marco AML, y no de MiCA como un libro de reglas KYC independiente.
Los CASP necesitan controles capaces de identificar a las personas políticamente expuestas relevantes y aplicar medidas reforzadas cuando lo exija la legislación AML.
Sí, deben respetarse las sanciones financieras aplicables. Un cribado eficaz de clientes, beneficiarios reales y contrapartes relevantes es un componente importante de ese proceso.
La UE adoptó un nuevo paquete AML en 2024, que incluye el Reglamento AML, de aplicación directa. La mayoría de las disposiciones del AMLR se aplican a partir del 10 de julio de 2027, por lo que las empresas deben revisar tanto los requisitos actuales como el próximo marco normativo.
No. La autorización MiCA cubre solo una parte del marco regulatorio. Según sus actividades, una empresa de criptoactivos también puede necesitar cumplir con las normas AML/CFT, la regla de viaje para criptoactivos, DORA y otros requisitos aplicables de la UE y nacionales.
La conclusión
MiCA regula el negocio de criptoactivos. Las normas AML regulan el riesgo de delitos financieros dentro de ese negocio.
Un CASP conforme, por lo tanto, necesita más que una licencia.
Necesita un sistema continuo para comprender a los clientes, identificar a los beneficiarios reales, detectar la exposición a sanciones y PEP, evaluar el riesgo y supervisar los cambios a lo largo del tiempo.
Para las empresas de criptoactivos que gestionan grandes volúmenes de clientes o contrapartes, aquí es donde el cribado automatizado resulta especialmente valioso: las comprobaciones de sanciones, PEP y noticias negativas pueden integrarse en un flujo de trabajo repetible de riesgo de clientes y terceros, en lugar de ser un ejercicio puntual durante la incorporación del cliente.
Fuentes:
Comisión Europea, Criptoactivos y MiCA
EUR-Lex, Reglamento (UE) 2024/1624 (AMLR)
Lecturas relacionadas: qué implica el fin del período transitorio de MiCA para los CASP, cómo funciona el cribado de PEP y el MiCA Booster Pack con las políticas y la formación que necesita un CASP.
LISTO PARA LA AUTORIZACIÓN
MiCA Booster Pack: 17 políticas listas para implementar, 11 formaciones para el personal, un canal de denuncias y cribado AML integrado, todo ya alineado con MiCA, DORA y la regla de viaje.