Cómo funcionan los sistemas AML y KYC

1) Por qué se necesitan AML y KYC

KYC (Know Your Customer) confirma que el cliente es una persona real con una identidad y una dirección válidas.

AML (Anti-Money Laundering) previene el lavado de dinero, la financiación del terrorismo y elude las sanciones.

En iGaming, es una condición para las licencias, el banco socio y los proveedores de pago; incumplimiento = multas, revocación de licencia y bloqueo de pagos.

2) Proceso KYC: desde el onboarding hasta la admisión a la caja registradora

Pasos KYC

1. Recopilación de datos: FIO, fecha de nacimiento, nacionalidad, dirección, documento (pasaporte/ID), selfie/video-liveness.

2. Verificación del documento: MRZ/chip, anti-tampón, fecha de caducidad, coincidencia con selfies.

3. Confirmación de dirección (PoA): factura de servicio/extracto bancario ≤ 3-6 meses.

4. Sanciones y PEP: cribado contra listas sancionadoras, personas políticamente significativas y medios avanzados.

5. Solución: pass/fail/solicitud de datos adicionales; escribir la causa y las versiones de las directivas.

Mini ejemplo de solicitud de verificación

json
POST /compliance/kyc/verify
{
"customerId": "c_1029",  "doc": {"type":"passport","country":"DE","number":"X1234567","expiry":"2030-04-01"},  "identity": {"firstName":"Alex","lastName":"K. ","dob":"1993-02-11"},  "address": {"line1":"Musterstr. 5","city":"Berlin","zip":"10115","country":"DE"},  "liveness": {"provider":"onfido","sessionId":"sess_9a7f"},  "consent": true
}

3) Sanciones, PEP y medios avanzados

Sanciones: coincidencia directa, coincidencias en alias, coincidencias secundarias (beneficiarios).

PEP: puestos actuales y antiguos + familiares/allegados.

Adverse media: referencias negativas al fraude, la corrupción, la violencia.

Solución: revisión true/false/needs con prioridad según el tipo de coincidencia y la frescura de la fuente.

4) KYT para criptomonedas (Saber su traducción)

Cribado de direcciones/transacciones: mezcladores, grupos darknet, monederos de sanciones/bolsa.

Seguimiento de la fuente de fondos: ruta de las monedas a on-ramp/intercambio con KYC.

Reglas: bloque de clústeres de alto riesgo; requerir una dirección limpia; consulta SoF/SoW sobre la cripta.

Ejemplo de resultado KYT

json
{
"address": "0x9a7f...2b1c",  "riskScore": 83,  "flags": ["mixer_proximity","sanctions_cluster_2hops"],  "recommendation": "deny_and_request_clean_address"
}

5) Puntuación y niveles de verificación (risk-based approach)

Inicial Risk Score (IRS) en onboarding: país, método de pago, edad, RR/sanciones, dispositivo.

Ongoing Risk Score (ORS) en dinámica: volúmenes de depósitos/retiros, frecuencia, patrones anormales.

Niveles:

Bajo - KYC básico, límites estándar.
Medium - SoF/PoA opcional, límites estrechos.
High/EDD: paquete de documentos avanzado, revisión manual, límites reducidos/pausa.

6) SoF/SoW y affordability (como parte de AML)

SoF (fuente de fondos): salarios, negocios, ahorros, venta de activos, regalo/herencia, cripta (con vía neta).

SoW (fuente de riqueza): un contexto de ingresos más general.

Affordability: alinear la intensidad del juego con los ingresos; en caso de inconsistencia - límites/pausa.

7) Monitoreo de transacciones (TM) y reglas de comportamiento

Scripts de tipo que atrapa el motor TM:

Depósitos frecuentes y retiros instantáneos (pass-through).
Trituración de sumas alrededor de los umbrales (estructuración).
El fuerte crecimiento de la teca media; sesiones nocturnas con grandes revoluciones.
No hay coincidencia entre el titular de la cuenta de pago y la cuenta.
Cripta de los racimos «sucios»; muchas direcciones nuevas sin historia.

Evento para TM

json
{
"event":"payment. deposit",  "ts":"2025-10-17T12:10:20Z",  "customerId":"c_1029",  "amount":"1000. 00",  "currency":"EUR",  "method":"card",  "country":"DE",  "device":"ios_app",  "traceId":"tr_55f",  "kvc":{"name_on_card_match":true}
}

8) Gestión e investigación de casos

Alert → Case → Decision: alert se combina en un caso; se añaden extractos/dock-pruff; se registran las acciones y versiones de las directivas ('policyVer').

Soluciones: approve/limit/request info/suspend/offboard.

Escalamiento: por oficial de cumplimiento/abogado; Registro de actividades sin cambios (WORM).

SAR/AMB: informe sospechoso al regulador según la ley local.

9) Almacenamiento de datos, privacidad, seguridad

Aislamiento PII: almacenamiento individual y claves de acceso, minimización de campos.

Retención: almacenamiento N años (por jurisdicción), después - eliminación segura.

Acceso: RBAC/ABAC, registro de acceso, cifrado (KMS/HSM).

Derechos del interesado: acceso/rectificación/limitación del tratamiento, excepto la retención obligatoria de AML.

10) Métricas y SLO AML/KYC

KYC pass-rate / time-to-verify (p50/p95).

Alert precision/recall (calidad de las reglas de TM).

Tiempo de cierre del caso (MTTC), proporción de casos con EDD.

Rate SAR/NAT y porcentaje de incidentes confirmados.

KYT coverage (qué% de criptodepositivos ha sido examinado).

Intervenciones de affordability (cuántos límites/pausa).

11) Patrones de cumplimiento arquitectónico

La capa de cumplimiento es un módulo independiente con su propia API y almacenamiento de información.

Eventos: 'kyc. started/passed/failed`, `aml. alert/opened/closed`, `payment. deposit/withdrawal`, `kyd. address_screened`.

Idempotencia: todos los webhooks y soluciones son con 'decisionId', la repetición del procesamiento no cambia el total.

Versionar políticas: cada cálculo almacena 'policyVer', 'dataVer', 'modelVer' (si hay ML).

12) Ejemplos de decisiones (políticas → acciones)

json
{
"decisionId":"dec_7f3",  "customerId":"c_1029",  "policy":"aml_v3. 6",  "riskScore":72,  "action":"limit_and_request_sof",  "limits":{"deposit_daily":"200. 00","withdrawal_daily":"0. 00"},  "explanation":["rapid_deposits","new_wallet","country_risk_medium"],  "ttl_days":30
}

13) Función del ML/AI y limitaciones

Usos-casos: priorización de alertas, anomalía de patrones de comportamiento, clasificación de casos.

Guardrails: explicabilidad, no discriminación, hombre-en-circuito; las normas tienen prioridad sobre los modelos de sanciones/PEP/EDD.

14) Anti-patrones (que rompe el cumplimiento)

El mismo conjunto de comprobaciones para todos los países/métodos (sin el enfoque risk-based).

Mezcla de dinero OLTP y registros de cumplimiento en un solo DB.

La falta de idempotencia en los webhooks de taquilla son soluciones dobles.

La «caja negra» del ML sin explicación ni auditoría.

No hay registros de versiones de políticas y bases de decisiones.

No hay ningún archivo WORM y control de acceso a documentos.

Ignora KYT para la cripta y la inconsistencia del nombre del pagador.

15) Lista de comprobación de inicio/auditoría AML&KYC

Procesos

Se describen las políticas KYC/AML/EDD/Affordability con 'policyVer' y EOL.
Reglamentos SAR/AMB, escalamiento e interacción con el regulador/banco.

Tecnología

Módulo de cumplimiento separado: API, escaparates, archivo WORM.
Eventos y webhooks idempotentes; 'traceId' de extremo a extremo.

KYC/KYT

Los proveedores KYC (liveness, doc-scan) están integrados; El flujo PoA es comprensible.
KYT está conectado para todas las operaciones de cifrado; listas de espera y «direcciones limpias».

Monitoreo

Reglas TM y señales ML; dashboards SLO/alertas de calidad.
Casos de QA: reevaluación selectiva, entrenamiento del equipo.

Privacidad

Aislamiento PII, encriptación, acceso por roles, retención, normas GDPR/locales.

16) Nota al jugador (cómo pasar KYC/AML más rápido)

Prepara fotos claras de los documentos y Prueba de Dirección fresca.

Utilice sus propias tarjetas/billeteras; el nombre debe coincidir.

Con grandes cantidades - mantenga los estados de cuenta y SoF por adelantado.

Para la cripta - traduzca desde una dirección limpia, guarde Tx-hash y el informe de la rampa/intercambio.

Los sistemas AML/KYC no son una formalidad, sino un circuito de trabajo para la protección del operador y los jugadores. Se basa en la verificación de identidad y dirección, las pruebas de sanciones/RR, el monitoreo de transacciones basadas en risk, KYT para criptas, la gestión de casos y los informes documentados. Técnicamente, es un módulo independiente con eventos, soluciones idempotentes, archivo WORM y privacidad estricta. Este enfoque reduce los riesgos regulatorios y de pago, acelera los pagos legales y mantiene un juego responsable.