Criptoactivos y blanqueo de capitales

Casi desde el nacimiento de Bitcoin, se ha asociado la naturaleza de los criptoactivos a herramientas nacidas por y para blanquear fondos o bienes de origen ilícito. No obstante, la realidad ha demostrado que su uso va mucho más allá, ejemplos de ello son la consolidación de Bitcoin como reserva de valor, la aparición de los smarts contracts o el potencial asociado a DeFi (Finanzas descentralizadas).

La implicación de que los criptoactivos puedan ser usados para blanquear el dinero obtenido vía tráfico de drogas o ciberataques, supone que tanto los reguladores como las empresas “cripto”, deban trabajar en desarrollar un entorno que dificulte o impida lograr su objetivo a los delincuentes. Llevar a cabo correctamente esta tarea implica disminuir o eliminar los incentivos para realizar este tipo de actos.

Ahora bien, no caigamos en el error, cumplir con la regulación no tiene porqué ser sinónimo de burocracia interminable, clientes molestos o duplicidad de procesos. Se puede al mismo tiempo, cumplir con la regulación y mitigar los riesgos, sin ser invasivos con nuestros clientes.

La regulación de los criptoactivos

El pasado 15 de junio de 2020, se publicó el Anteproyecto de Ley que transpone la Directiva comunitaria UE 2018/843 de prevención del blanqueo de capitales y financiación del terrorismo (PBC/FT) -V Directiva- y modifica la Ley 10/2010. Esta Directiva Europea incorpora nuevas medidas dirigidas a reforzar los sistemas preventivos de los países miembros.

En este sentido, el Anteproyecto de Ley avanza en el refuerzo del sistema de control del blanqueo de capitales y de la financiación del terrorismo, incorporando las nuevas disposiciones comunitarias e incluyendo mejoras adicionales en la norma actual para incrementar la efectividad de los mecanismos de prevención.

En líneas generales, destaca el esfuerzo del Regulador por:

• Considerar sujetos obligados a los negocios asociados con las monedas virtuales
• Considerar el uso de las nuevas tecnologías para mejorar el sistema de control de blanqueo de capitales y de la financiación del terrorismo.

En este sentido, y tal y como ya se anticipaba en el texto de la V Directiva y las precedentes publicaciones del GAFI (Grupo de Acción Financiera Internacional), los proveedores de servicios de compraventa (fiat a cripto), intercambio (entre criptos) y custodia pasan a ser Sujetos Obligados.

A este respecto, en el texto se define moneda virtual como “…aquella representación digital de valor no emitida o garantizada por un banco central o autoridad pública, no necesariamente asociada a una moneda legalmente establecida y que no posee estatuto jurídico de moneda o dinero, pero que es aceptada como medio de cambio y puede ser transferida, almacenada o negociada electrónicamente”.

Asimismo, se recoge que los proveedores de servicios cripto deberán estar inscritos en el registro constituido al efecto por el Banco de España. Para ello, deberán cumplir con los requisitos de honorabilidad comercial y profesional que se determinen reglamentariamente. La prestación de servicios sin haberse efectuado el registro podrá tener la consideración de infracción grave o muy grave.

Esto implica, al igual que realizan el resto de los sujetos obligados, establecer un modelo de Governance (políticas y procedimientos, órganos de control, formación, etc.), aplicar medidas de diligencia debida a clientes (identificación formal, identificación del titular real, propósito e índole de la relación de negocios y seguimiento continuo) diseñar y establecer controles y procedimientos para la detección, análisis y comunicación de operativa sospechosa, entre otras.

No obstante, al incluir la variable de “criptos”, la naturaleza específica del propio activo hace que la forma en la que se ejecutan dichas obligaciones cambien en mayor o menor medida. A continuación analizamos algunos de los retos e incertidumbres que deben tener en cuenta estos nuevos sujetos obligados.

¿Criptoactivos con riesgo superior al promedio?

Existen ciertas actividades que representan un riesgo superior al promedio en materia de BC/FT, como por ejemplo los servicios de Banca Privada u operaciones de envío de dinero y cambio de moneda que superen ciertos umbrales.

Si bien el Anteproyecto de ley no expresa de forma explícita que esta actividad deba ser considerada de riesgo alto, el GAFI, en su publicación de junio de 2019 “Guidance for a Risk-Based Approach to Virtual Assets and Virtual Asset Service Providers”, si recoge la necesidad de que tanto los propios proveedores de servicios cripto, como aquellos que interactúen con ellos, construyan medidas robustas y reforzadas para mitigar el riesgo superior al promedio en materia BC/FT que esta actividad presenta.

¿De dónde provienen los fondos?

Todo sujeto obligado tiene la obligación de identificar y conocer a sus clientes. Previamente al conocimiento del origen de sus bitcoins o ethers, es importante saber quién es el cliente, comprobar que es quién dice ser y saber a qué se dedica. Asimismo, debemos conocer si el cliente tiene la condición de persona expuesta políticamente (PEP) o está incluido en alguna lista de sancionados. Para ello contrastaremos los datos de nuestros clientes, al inicio y periódicamente durante la relación de negocios, contra los listados publicados por las autoridades competentes.

En base a toda esta información, estableceremos el riesgo de BC/FT de nuestro cliente. En caso de que este riesgo sea superior a lo aceptable, no iniciaremos la relación de negocios con el mismo.

Una vez el cliente sea aceptado, entonces deberemos aplicar las medidas necesarias para conocer el origen de los fondos. Imaginemos que somos una entidad que ofrece servicios de custodia de criptoactivos y nuestro cliente realiza una transferencia de dos bitcoins al wallet habilitado en nuestra plataforma, ¿cómo podríamos cumplir con la obligación de conocer el origen de estos fondos?

El regulador exigirá que cumplamos con esta obligación, si bien actualmente no existe una guía clara ni mejores prácticas establecidas al respecto, lo que dificulta enormemente esta tarea. Desde KPMG entendemos que para cumplir debidamente con lo exigido y, sobre todo, para proteger a la propia entidad de los riesgos asociados al BC/FT, se deben establecer las siguientes prioridades:

1. Correcta aplicación de las medidas de diligencia debida a los clientes.
2. Due diligence sobre el riesgo asociado al wallet de origen y sus relacionados, con el objetivo de poder asociar un riesgo a los wallets de donde provienen los fondos.

¿Cómo detectar operaciones sospechosas realizadas por mis clientes?

Como parte de la aplicación de medidas de diligencia debida se debe realizar un seguimiento continuo de la relación de negocios, realizando revisiones periódicas de la operativa realizada por el cliente, junto con la información/documentación actualizada de conocimiento del mismo.

La normativa exige que los sujetos obligados dispongan de procedimientos y controles para la detección de operativa sospechosa. A este respecto, se deberán definir alertas adecuadas por tipología de clientes, intervinientes y cuantía de las operaciones realizadas. Con el objetivo de asegurar su adecuada parametrización y correcto funcionamiento, estos controles deberán ser revisados periódicamente.

Al contrario que en otros sectores de actividad (entidades de crédito, de pago, aseguradoras, etc.), la actividad relacionada con las monedas virtuales, no dispone de un catálogo que defina qué es sospechoso cuando se opera con criptoactivos. En este sentido, si bien la oferta de soluciones para la detección de operaciones sospechosas sobre operativa cripto no es tan amplia como la existente para operativa tradicional, existen el mercado alternativas a tener en cuenta.

Entre ellas nos gustaría destacar KPMG Chain Fusion, un conjunto de capacidades analíticas avanzadas, construidas sobre los principales productos de datos e infraestructura de criptoactivos, para racionalizar la capacidad de las empresas de servicios financieros, FinTechs y organizaciones de otros sectores para ofrecer capacidades y servicios de cripto-activos de calidad institucional.

Esta solución, ofrece entre otras, funcionalidades en el área de detección de operativa sospechosa, permitiendo a las organizaciones (negocios puramente cripto o instituciones que ofrecen servicios cripto y fiat) una monitorización de transacciones del tipo fiat, criptoactivos e incluso ambos.

Por ello es necesario que el Regulador, junto con las compañías cripto y los expertos en la materia colaboren conjuntamente en la definición de qué debe ser considerado como sospechoso y en qué grado y en diseñar soluciones que permitan detectar y determinar cuando los clientes tienen comportamientos operativos anómalos.

¿Cuál es la consecuencia de no cumplir adecuadamente con las obligaciones establecidas?

Las Entidades que no cumplan de forma adecuada con sus obligaciones en materia de PBC/FT podrán ser sancionadas. A este respecto, fuera de nuestras fronteras se han alcanzado cifras que superan los 2.000 millones de dólares. En España, si bien las sanciones económicas son considerablemente menores, pueden alcanzar cifras de varios millones de euros, poniendo en riesgo la viabilidad del negocio y dañando considerablemente la imagen de la compañía.

Sin embargo, no debemos dar cumplimiento a las obligaciones regulatorias en materia de PBC/FT por el temor a una posible sanción. Llevar a cabo correctamente estas obligaciones y dificultar o impedir el objetivo de blanquear fondos, implica reducir el incentivo de la comisión de gran parte de delitos como el tráfico de drogas, armas o de seres humanos.

El objetivo es ser precisos y eficientes, seamos “cripto” o seamos fiat.