Cómo funciona AML y KYC en los casinos con licencia

En los casinos con licencia, la lucha contra el lavado de dinero (AML) y el conocimiento del cliente (KYC) no son «marcadores de reporte», sino procesos obligatorios de los que depende la licencia en sí, el acceso a los bancos y la reputación de la marca. A continuación - como está dispuesto en la práctica: desde el momento en que el jugador se registra hasta el seguimiento de los pagos y los incidentes-reportes.

Conceptos básicos (breves)

KYC (Know Your Customer): identificación, verificación de edad y dirección; el objetivo es asegurarse de que un adulto real juega.

CDD (Customer Due Diligence): validación básica integral del cliente (KYC + puntuación de riesgo primaria).

EDD (Enhanced Due Diligence): verificación en profundidad para un mayor riesgo (grandes sumas, rutas complejas, PEP, etc.).

SoF/SoW: Source of Funds (fuente de fondos de una transacción específica) y Source of Wealth (origen del estado/capital del cliente).

PEP/Sanctions/Adverse Media: personas con influencia política, listas de sanciones y publicaciones negativas en los medios de comunicación - los tres bloques afectan el perfil de riesgo.

Ciclo de vida del cumplimiento del jugador

1) Onboarding (hasta la admisión de depósitos)

1. Identificación: documento (pasaporte/ID/aguas. identidad) + selfie/liveness, comprobación automática de la edad.

2. Confirmación de dirección (PoA): factura de servicio/extracto bancario/registro (en algunas jurisdicciones - opcional al inicio, pero necesario antes de la retirada).

3. Examen de las sanciones/RR: conciliación de las listas mundiales y locales; guardar las coincidencias de «snapshot».

4. Puntuación de riesgo primaria: país, método de pago, canal de atracción, señales de comportamiento → selección del modo CDD/EDD.

5. Aprobación de cuenta: reglas de juego responsable (RG), límites, consentimiento para el procesamiento de datos.

2) Depósitos y juego (on-going due diligence)

Monitoreo transaccional: umbrales, frecuencia, ciclos de «depósito-retiro», relojes/geo atípicos.

Comprobaciones SoF: cuando se activan los disparadores - solicitud de declaración, declaración de ingresos, contratos, holding de tarjetas/billeteras.

Monitoreo conductual: depósitos repetidos rápidos, aumento agresivo de las tasas, ignorando las notificaciones RG.

Recuperación de listas: actualización periódica de sanciones/RR y medios de comunicación avanzados.

3) Retiros (cash-out)

«Devolución a la fuente» (donde sea posible): siempre que sea posible, el pago por el mismo método/a la misma cuenta.

Re-screening: sanciones/RER/geo + chain-screening para cripta.

EDD si es necesario: si la suma/patrón está por encima del umbral - SoF/SoW y la validación manual por el oficial AML.

Registros y artefactos: registros de decisión, razones de retraso/rechazo, SLA por respuesta al jugador.

Modelo de riesgo: cómo el casino define el «mayor riesgo»

Jurisdicción y residencia: países de alto riesgo, no coincidencia de IP y dirección declarada.

Método de pago: tarjetas de prepago, herramientas anónimas, nuevos PSP sin la práctica adecuada.

Volumen y frecuencia: saltos bruscos de depósitos/retiros, ciclos cortos «fuera de juego».

Perfil social: PEP, cercanía a personas públicas, material negativo en medios de comunicación.

Señales de canal cruzado: múltiples cuentas, una impresión de dispositivo/navegador común, patrones similares en un grupo de jugadores.

💡 El resultado de la puntuación es la selección del script: CDD (validación normal) o EDD (en profundidad, con SoF/SoW, documentos adicionales y límites).

Lo que se solicita en SoF/SoW (ejemplos)

SoF (sobre dinero específico): extracto bancario, certificado de nómina, confirmación de venta de activos, monedero/bolsa con historial de entrada.

SoW (sobre el estado en general): declaraciones de la renta, contratos, documentos corporativos, detalles de la propiedad/dividendos.

Examen de sanciones y PEP

Partido primario: búsqueda automática en listas (OFAC/UE/natz.) + Bases PEP.

Evaluación de coincidencias: nombre/fecha de nacimiento/nacionalidad; coincidencias probabilísticas - revisión manual.

Política de tolerancia: qué hacer en las coincidencias «falsas positivas» y «verdaderas»; el registro de decisiones es obligatorio.

Medios avanzados: el contexto negativo (corrupción/fraude) refuerza la EDD y reduce los límites.

Monitoreo de transacciones (núcleo AML)

Reglas y escenarios: umbrales de sumas, velocidad de rotación, depósitos múltiples antes de la retirada, «mulas» (muchas tarjetas/carteras), geo-hop atípicos.

Detección de anomalías: modelos/heurísticos - buscando desviaciones de la propia conducta «normal» del cliente.

SAR/AMB: preparación y presentación de informes sobre transacciones sospechosas en la inspección financiera; Almacenamiento de copias y respuestas.

Caso especial: criptomonedas

Chain-screening direcciones: sanciones, mezcladores, hackeos, marcas darknet; Verificación de la fuente de fondos en cadena.

Regla de viaje (donde funciona): intercambio de un paquete mínimo de datos KYC entre VASP cuando las transferencias están por encima del umbral.

Políticas de custodia: hot/warm/cold, multi-letras, límites de salida y conciliaciones diarias.

Pagos: preferiblemente a través de comprobados on/off-ramp; re-cribado antes del cachout.

Juego responsable (RG) y AML/KYC: cómo se relacionan

Las mismas señales (actividad nocturna, rápido crecimiento de depósitos) son importantes tanto para AML como para RG.

Intervenciones: en riesgo - «reality check», pausa, límites; con desencadenadores AML: consulta de documentos, bloqueo temporal de salida.

Registros y transparencia: el jugador debe entender por qué solicitó los documentos/limitó las funciones.

Protección de datos y privacidad

Minimización de datos: recopila exactamente lo que necesitas para los fines de KYC/AML/RG.

Derechos del sujeto: acceso, rectificación, eliminación (donde es legal) + períodos de retención.

Control de acceso: el rol base, el principio de «mínimo necesario».

Ciberseguridad: cifrado «en reposo» y «en vuelo», registros inmutables, e-firmas.

Trabajar con proveedores (KYC/sanciones/análisis de cadena)

Vendor deudilidgens: certificaciones, aptime, geografía de centros de datos, política de incidentes.

Router de proveedores: fallback en caso de downtime; diferentes proveedores para diferentes países/documentos.

Control de calidad: casos periódicos de rugido selectivo y partidos de «prueba» en las listas.

Métricas de madurez AML/KYC

KYC TAT: tiempo medio de verificación (el objetivo es minutos, no horas).

Archivo en tiempo real: porcentaje de informes presentados antes de la fecha límite (≥99%).

Tasa Positiva de False sobre Sanciones/RER (balance de precisión y sensibilidad).

Rate de éxito de SAR/NAT: proporción de informes aceptados sin devolución.

Cash-out SLA: mediana de tiempo de retirada sin comprometer los riesgos.

Complaint SLA: tiempo medio de respuesta para reclamaciones CUS/pagos.

Errores frecuentes (y cómo cerrarlos)

1. «KYC sólo cuando se extrae». Tarde: los riesgos se acumulan, los bancos/pagos se bloquean. Solución: KYC paso a paso todavía en el onboarding.

2. Un proveedor para todo. Downtime = stop onboarding. Solución: multi-proveedor y routing.

3. No hay procedimientos SoF/SoW. «Pida lo que cayó» → conflicto con el cliente. Solución: listas de cheques, plantillas de correo electrónico y umbrales.

4. Informes manuales. Excel se rompe, las líneas se queman. Solución: escaparates de datos, firma electrónica y recibos de recepción.

5. Comunicación opaca. «¿Por qué me revisan?» - Aumento de las quejas. Solución: explicar con antelación los desencadenantes y los plazos, mantener el SLA.

Hoja de ruta para la aplicación (T-12 → T-0)

T-12...T-9: mapa de riesgos por jurisdicciones, política KYC/AML, selección de proveedores, diseño de escaparates de datos y registros.

T-9...T-6: integración (KYC/sanciones/PSP/chain analytics), lanzamiento de monitoreo básico de transacciones, plantillas SoF/SoW y SAR/AMB.

T-6...T-3: entrenamiento de sapport y oficiales AML, prueba de incidentes, configuración de señales RG y alertas conjuntas.

T-3...T-1: circuito paralelo (manual + auto), ajuste de umbrales, DPIA final/seguridad.

T-0: switch completo, casos mensuales retro-rugido y riesgo de deriva.

Lista de comprobación del operador (corta)

Verificación de la personalidad/edad + PoA antes de la conclusión.
Sanciones/PEP/medios avanzados - cribado primario y periódico.
Umbral SoF/SoW con requisitos de documentos claros.
Monitoreo transaccional (reglas + anomalías), registros de decisiones.
RG-desencadenantes: límites, pausas, reality check.
Política de privacidad, períodos de retención, accesos por funciones.
Multi-proveedor KYC/sanciones/análisis de cadena.
Procedimientos SAR/NAT y e-fyling de informes.
SLA sobre comunicación con el jugador (plazos y razones de las solicitudes).

Preguntas frecuentes (breves)

¿Por qué me piden SoF si ya pasé por KYC?

KYC confirma la identidad y SoF la legalidad del dinero específico. Estos son los diferentes objetivos de la ley.

¿Es posible jugar sin PoA?

A veces, hasta la primera salida. Pero antes del cachout, el PoA es casi siempre obligatorio.

¿Cuánto tiempo se comprueba la salida?

Depende del riesgo y la cantidad. En el escenario base, rápido; con EDD y SoF/SoW - más tiempo, pero con estados y explicaciones.

¿La cripta es más rápida?

No siempre. Las direcciones son chain-screening y grandes cantidades son SoF/SoW. Sin eso, los pagos se detendrán.

AML y KYC eficientes son una disciplina de ingeniería: reglas claras, automatización, comunicaciones transparentes y respeto a la privacidad. Protegen a los jugadores y al mercado, reducen el riesgo de multas y bloqueos de pagos y permiten que la marca crezca previsiblemente. Diseñe el proceso para que sea comprensible para el jugador y convincente para el regulador - y el cumplimiento se convertirá en una ventaja competitiva en lugar de un freno para el negocio.