Cómo funcionan los sistemas KYC y AML en línea

En línea, KYC (Know Your Customer) y AML (Anti-Money Laundering) no son una «formalidad», sino un sistema de control obligatorio: identificación, evaluación del riesgo del cliente, vigilancia continua de las transacciones e informes oportunos al regulador. El objetivo es evitar el blanqueo, la financiación del terrorismo, el fraude y el juego de menores, al tiempo que se mantiene el alto UX y la privacidad de los datos.

1) Qué es KYC y AML - corto

KYC: identificación y dirección del cliente, verificación de edad/capacidad legal, recolección de un conjunto mínimo de PII, evaluación de riesgo en la entrada y revisión periódica (KYC refresh).

AML/CFT: cribado de sanciones y PEP, detección de patrones de pago sospechosos, límites, investigaciones manuales y presentación de RAT/RAE (informes de actividad sospechosa).

2) Onboarding: flujo KYC estándar (5 pasos)

1. Recopilación de datos: nombre, fecha de nacimiento, nacionalidad, dirección, contactos; consentimiento y motivos de tramitación.

2. Documentos: ID de foto/escaneo (pasaporte/tarjeta de identificación/VOD. identidad) + a veces confirmación de dirección (utility bill/extracto bancario).

3. Liveness y biometría: vídeo/foto selfie, comprobación de «vivacidad», comparación con el documento.

4. Validaciones: MRZ, fecha de caducidad, control de falsificaciones, geo-inconsistencias, barrera de edad.

5. Sanciones/PEP/Adverse Media: verificación del cliente y beneficiario en listas actualizadas y noticias negativas → puntuación de riesgo.

Resultado: approve/reject/manual review. Cuando se comprueba manualmente, el caso entra en una cola especializada con un cheque y un SLA.

3) Puntuación de riesgo del cliente (Calificación de riesgo del cliente)

Se forma a partir de:

Factores de identificación: documentos y su validez, discrepancias de datos.
Georiscos: país de residencia/fuente de fondos, jurisdicciones sancionadoras.
Señales de comportamiento: dispositivo, proxy/VPN, coincidencias con redes de frod conocidas.
Perfil financiero: fuente de fondos declarada, límites de volumen de negocios, transacciones tempranas.
La puntuación se divide en niveles Bajo/Medio/Alto y establece la profundidad KYC (EDD - Advanced Check) y la frecuencia KYC refresh.

4) Ongoing Due Diligence: monitoreo después del onboarding

Revisiones periódicas (12-36 meses o en eventos de riesgo).

Examen permanente de las sanciones/RR cuando se actualizan las listas.

Desencadenantes conductuales: ráfagas de depósitos/retiros, rutas de pago atípicas, tarjetas múltiples, «mulas», transferencias transfronterizas, picos nocturnos, comunicación con otras cuentas (señales gráficas).

Gestión de casos: las alertas se convierten en casos de prioridad, cheques, notas, archivos adjuntos y resultados (cleared/AMB).

5) Monitoreo de transacciones (reglas y modelos AML)

Reglas de umbral: N depósito/retiro para el período, grandes cantidades, cancelaciones frecuentes, trituración (structuring).

Patrones de ruta: entrada/salida rápida, raro/no estándar PSP, alta tasa de chargeback.

ML conductual: clústeres de anomalías, gráficos de multiaccounting/colusiones.

Ajuste fino (tuning): balance TP/FP (true/false positives), retroalimentación periódica en datos históricos.

6) NAT/SAR y la interacción con el regulador

Cuando el caso sigue siendo sospechoso:

El Oficial de Cumplimiento es el que forma el NAT/SAR (hechos, suma, patrón, participantes, línea de tiempo).
Los plazos y el formato del informe dependen de la jurisdicción; almacenamiento de materiales - en un archivo inmutable, acceso sólo por funciones.
No se notifica al cliente de la presentación del informe (tipping-off está prohibido).

7) Integraciones y arquitectura (API/Webhooks/bus)

APROX/gRPC para consultas sincrónicas (crear un caso KYC, solicitar un resultado, obtener un score de riesgo).

Webhooks de proveedores KYC/sanciones/AML: firmados por HMAC, con anti-replay (timestamp, nonce), retrés con deduplicación.

Bus de eventos (Kafka/PubSub): transacciones, cambios de estado, alertas → SIEM/repositorio de casos.

Idempotencia del dinero: 'Idempotency-Key', 'txn _ id' único, sagas/compensaciones - para que la repetición de webhooks no cree tomas.

8) UX y la lucha contra el frodo - cómo combinar

Multietapa: comprobación básica en la entrada, extendida - sólo para la actualización de riesgo/límite.

KYC móvil: cámara, OCR, autocompletar, barra de progreso, requisitos de formato y plazos claros.

Fricción por señal: apriete sólo con proxy/VPN, dispositivos inusuales, coincidencias por gráfico.

Transparencia: el estado del caso y ETA en la interfaz para reducir los tickets en soporte.

9) Privacidad y seguridad de los datos (GDPR/seguridad)

Minimización: recoger sólo lo necesario; diferentes bases para PII, medios KYC, transacciones.

Cifrado: TLS 1. 2+/1. 3; en almacenamiento de AES-256-GCM; claves individuales y KMS/HSM; TTL limitado para fotos/videos KYC.

Acceso: RBAC/ABAC, MFA, revistas; Just-in-Time tiene razón para investigar.

Bases jurídicas: contrato/interés legítimo/obligación legal; procesos DSR (acceso/corrección/eliminación) y política de retoque.

Archivos WORM para registros y materiales de investigación.

10) Proveedores y calidad (gestión de ventas)

Precisión (tasa match) y retraso: tiempo de respuesta CUS/sanciones ≤ X segundos, precisión liveness → métricas SLO.

Cobertura de países/documentos: validadores de ID por región, bases de direcciones locales.

Fiabilidad: aptime, planes de DR, transparencia en la actualización de las listas de sanciones.

Auditoría y cumplimiento: ISO 27001, informes pen-test, DPIA, contratos de tratamiento de datos.

Costo: modelo «por verificación» vs «por validación exitosa», descuentos por volumen.

11) Métricas de eficacia KYC/AML

KYC pass-rate y tiempo promedio del caso (minutos/horas).

Tasa Positiva Falsa en sanciones/RER y alertas transaccionales.

Alert-to-Case Ratio y la proporción de escaladas dentro de NAT/SAR.

Chargeback Rate/Fraud Rate después de onboarding.

Costo por Verificación y proporción de rugidos manuales.

SLA regulatorios: cumplimiento de los plazos de respuesta y almacenamiento.

12) Errores típicos

«Lo recogeremos todo y luego lo resolveremos». Los datos superfluos aumentan el riesgo y el costo.

Límites únicos para todos los mercados. Ignorar las reglas locales resulta en bloqueos/multas.

No hay resquebrajamiento. Las listas de sanciones cambian diariamente.

Falta de idempotencia del dinero. Repeticiones de webhooks → una toma de transacciones.

WAF/bot check: rompe la descarga KYC y reduce la tasa de paso.

Investigaciones manuales sin cheques: los diferentes oficiales son un resultado diferente, no hay repetibilidad.

13) Chequeo de implementación (guardar)

Flujos KYC básicos y avanzados, comprensibles para SLA y UX
Sanciones/PEP/Medios avanzados: actualizaciones diarias, reseñas
Riesgo-puntuación y reglas de escalamiento (EDD, límites, refresh)
Monitoreo transaccional: umbrales, escenarios, señales ML, backtesting
API/Webhooks con HMAC, anti-replay, retray + idempotencia del dinero
KMS/HSM, cifrado de medios PII/KYC, almacenamiento separado
Archivo WORM para casos/registros, SIEM y dashboards
Políticas de retención/DSR, DPIA y contratos con proveedores
Informe de los incidentes de NAT/SAR y runbook
Métricas de calidad: pass-rate, FP-rate, TTV KYC, fracción de rugido manual

14) Mini preguntas frecuentes

KYC = ¿comprobación desechable? No, los clientes de alto riesgo tienen una refresh periódica y una detección constante.

¿Siempre se necesita liveness? Para mercados con altos niveles de frod - sí; para un riesgo bajo, se puede ejecutar a través de una señal.

¿El ML reemplazará las reglas? Mejor híbrido: reglas para la explicabilidad y el regulador, ML para reducir la FP e identificar patrones no triviales.

KYC está interfiriendo con la conversión? El paso flexible, el UX móvil y los requisitos claros mantienen la tasa de paso alta.

¿Puedo guardar los documentos «por si acaso»? No. Retén por el propósito y los plazos de la ley, luego borrado o cripto-borrado.

Un KYC/AML eficiente en línea es el trabajo coherente de la tecnología, los procesos y las personas: un onboarding claro con liveness y un documento de cheque, controles de sanciones constantes, monitoreo inteligente de las transacciones, protección de datos confiable e informes transparentes al regulador. Con este enfoque, la plataforma bloquea los riesgos financieros y legales, acelera los clientes «limpios» y mantiene la confianza de los usuarios y socios.