¿Qué es la verificación KYC? Proceso y requisitos
¿Qué es la verificación KYC? Cómo funciona el proceso, de la revisión de identidad al monitoreo continuo, y qué exigen el GAFI y el Sudeste Asiático.
La verificación Know Your Customer (KYC) es el conjunto de revisiones que realiza una empresa regulada para confirmar que un cliente es quien dice ser y para entender el riesgo que representa. Consiste en recabar datos de identidad, verificarlos contra fuentes confiables e independientes y mantenerlos actualizados. Las normas del Grupo de Acción Financiera Internacional (GAFI) fijan la base, y cada país establece sus propias reglas detalladas.
Este artículo describe la obligación de la institución, no cómo un cliente completa el KYC en una aplicación concreta. Los ejemplos se centran en Filipinas, Malasia y Singapur; Indonesia, Vietnam y Tailandia aparecen en las tablas. Las reglas son nacionales, y el enfoque de ningún país debe leerse como la norma regional.
¿Qué significa KYC?
KYC son las siglas de Know Your Customer, “conozca a su cliente”. Es la obligación de identificar a los clientes y entender el riesgo que representan, y forma parte de un marco de prevención del lavado de dinero (AML). El término del GAFI para estas medidas es debida diligencia del cliente (CDD). “Verificación KYC” suele usarse para la parte de identificación y verificación y, en el uso común, para la revisión completa; este artículo la usa para la revisión completa.
Las normas del GAFI exigen identificar y verificar a los clientes con documentos, datos o información de fuentes confiables e independientes, y los países las convierten en reglas nacionales de prevención del lavado de dinero y del financiamiento al terrorismo (AML/CFT). Son esas reglas nacionales, y no la norma del GAFI en sí, las que obligan a una institución.
Los cuatro elementos centrales del KYC (Recomendación 10 del GAFI)
La Recomendación 10 del GAFI establece cuatro medidas de CDD:
- Identificar al cliente y verificar su identidad con documentos, datos o información de fuentes confiables e independientes.
- Identificar al propietario real, la persona física que en última instancia posee o controla al cliente, y tomar medidas razonables para verificar su identidad.
- Entender, y cuando corresponda obtener información sobre, el propósito y la naturaleza prevista de la relación comercial.
- Realizar un monitoreo continuo y el escrutinio de las transacciones a lo largo de la relación, incluido el origen de los recursos cuando sea necesario.
Las normas del GAFI exigen estas medidas al establecer una relación comercial, en ciertas transacciones ocasionales, cuando se sospecha de lavado de dinero o financiamiento al terrorismo y cuando hay dudas sobre los datos de identificación obtenidos antes. Algunas guías describen el KYC como tres componentes; la norma del GAFI establece cuatro medidas.
Cómo funciona el proceso de verificación KYC
Los pasos siguientes siguen las cuatro medidas del GAFI y añaden el filtrado, la evaluación de riesgos y la decisión. El orden y el detalle varían según la institución y el país.
- Recabar los datos de identidad. La institución recaba los datos de identidad del cliente. Los elementos que nombran las reglas difieren de un país a otro, como muestra la tabla de datos más abajo.
- Verificar la identidad. Los datos se contrastan con documentos, datos o información confiables e independientes, de forma presencial o a distancia. En Singapur, por ejemplo, la Monetary Authority of Singapore (MAS) considera Myinfo una fuente confiable e independiente, y en Filipinas el Bangko Sentral ng Pilipinas (BSP) trata igual al Philippine Identification System (PhilSys). Las normas del GAFI exigen la verificación antes o durante el establecimiento de la relación; los países pueden permitir que se complete tan pronto como sea razonablemente posible después, cuando los riesgos se controlan de manera efectiva y es esencial no interrumpir la actividad normal.
- Identificar al propietario real. Cuando corresponde, la institución identifica a la persona física detrás del cliente y toma medidas razonables para verificar su identidad. Las normas del GAFI también cubren a los propietarios reales de las personas morales (Recomendación 24).
- Entender el propósito. La institución determina por qué el cliente quiere la relación y qué se pretende que sea. Las reglas de Malasia e Indonesia nombran el propósito entre la información que debe obtenerse.
- Filtrar. El filtrado de listas de sanciones y el de personas políticamente expuestas (PEP) suelen formar parte de la CDD en las reglas nacionales; las normas del GAFI tratan a las PEP en la Recomendación 12.
- Evaluar el riesgo. La evaluación define qué tan profundas son las revisiones: debida diligencia simplificada, estándar o reforzada, que se trata en la siguiente sección.
- Decidir. La institución da de alta al cliente, escala el caso o lo rechaza. Si la CDD no puede completarse, las normas del GAFI señalan que la institución no debe abrir la cuenta ni iniciar la relación, o debe terminar una existente, y debe considerar presentar un reporte de operación sospechosa (STR).
- Monitorear y actualizar. El monitoreo continuo incluye el escrutinio de las transacciones y mantener los datos actualizados mediante revisiones, sobre todo en clientes de mayor riesgo. Las normas del GAFI también exigen aplicar la CDD a los clientes existentes según su materialidad y su riesgo.
KYC basado en riesgos: debida diligencia simplificada, estándar y reforzada
Las normas del GAFI exigen que el alcance de la CDD siga un enfoque basado en riesgos, de modo que la profundidad de las revisiones varía con el riesgo del cliente. Los ejemplos de la nota interpretativa del GAFI son orientación, no elementos obligatorios.
| Nivel | Cuándo aplica | Medidas típicas (ejemplos del GAFI) | Ejemplos nacionales |
|---|---|---|---|
| Simplificada | El riesgo es menor y se ha analizado de manera adecuada; no aplica cuando hay sospecha o un escenario específico de mayor riesgo | Entre los ejemplos: verificar la identidad después de iniciada la relación, actualizar los datos con menor frecuencia y reducir el monitoreo | El documento de política de Bank Negara Malaysia (BNM) permite la CDD simplificada cuando los riesgos se evalúan como bajos, salvo cuando hay riesgos mayores o sospecha; la Regulation No. 8 of 2023 de la Otoritas Jasa Keuangan (OJK) de Indonesia la permite tras un análisis de riesgo adecuado |
| Estándar | Ni los factores de menor riesgo ni los de mayor riesgo apuntan a una profundidad distinta | Las cuatro medidas de CDD descritas arriba | El documento de política de BNM nombra los datos que deben obtenerse para la CDD estándar de personas físicas (ver la tabla de datos) |
| Reforzada | El riesgo es mayor | Entre los ejemplos: más información sobre el cliente y la relación, información sobre el origen de los recursos o del patrimonio y sobre los motivos de las transacciones, aprobación de la alta dirección, monitoreo reforzado y actualizaciones de datos más frecuentes | La OJK define la debida diligencia reforzada (EDD) como una CDD más profunda para clientes de alto riesgo, incluidas las PEP |
Las relaciones no presenciales aparecen en los ejemplos del GAFI como un factor de riesgo potencialmente mayor solo cuando no se han implementado medidas adecuadas de mitigación del riesgo. Por lo tanto, el KYC a distancia no es automáticamente de alto riesgo.
¿Qué documentos y datos se necesitan para el KYC?
Los elementos concretos provienen de las reglas nacionales y de la evaluación de riesgos de la institución. La tabla muestra los datos que se nombran para clientes personas físicas; las reglas agrupan la información de manera distinta, así que las listas no son comparables una a una. Por ejemplo, la MAS Notice 626 fija el propósito de la relación en un párrafo aparte, mientras que las listas de Malasia e Indonesia lo incluyen, de modo que el número de elementos no indica cuánto pide cada país. El contenido de la regla de Tailandia no se describe aquí.
| País (regla) | Información que la regla enumera para identificar a clientes personas físicas |
|---|---|
| Singapur (MAS Notice 626, para bancos) | Nombre completo, incluidos alias; número único de identificación; domicilio; fecha de nacimiento; nacionalidad |
| Malasia (documento de política de BNM) | Nombre completo; número de la National Registration Identity Card (NRIC), del pasaporte o de otro documento oficial; domicilio y dirección postal; fecha de nacimiento; nacionalidad; tipo de ocupación; empleador o giro del negocio; número de contacto; propósito de la transacción |
| Indonesia (OJK Regulation No. 8 of 2023) | Nombre completo, incluido el alias; número del documento de identidad; domicilio; lugar y fecha de nacimiento; nacionalidad; ocupación; dirección y teléfono del lugar de trabajo; sexo; estado civil; apellido de soltera de la madre; además del propietario real, el origen de los recursos, los ingresos o el patrimonio neto y el propósito de la relación |
| Vietnam (ley AML) | Nombre completo; fecha de nacimiento; nacionalidad; ocupación o cargo; número de teléfono; número de identificación, de identificación ciudadana, de identificación personal o de pasaporte (para residentes extranjeros, con la fecha y el lugar de expedición); residencia |
| Filipinas (reglas del BSP) | El nombre o el número PhilSys, o ambos, entre la información mínima; aquí no se da una lista completa |
En el caso de las empresas, el proceso cubre además a los propietarios reales; la verificación de empresas es el tema de Know Your Business (KYB).
Requisitos de KYC en el Sudeste Asiático: panorama por país
La tabla nombra el instrumento principal de cada país. Describe qué reglas existen, no qué exige cada una.
| País | Regulador / unidad de inteligencia financiera (cuando se nombra aquí) | Regla principal (versión vigente) | Alcance y límites |
|---|---|---|---|
| Filipinas | Bangko Sentral ng Pilipinas (BSP); Anti-Money Laundering Council (AMLC), la unidad de inteligencia financiera | la Anti-Money Laundering Act of 2001 (Republic Act No. 9160), con sus reformas, la más reciente la Republic Act No. 11521 (2021); las reglas de debida diligencia del cliente del BSP, reformadas por la Circular No. 1170 (2023) | Las reglas del BSP aplican a las instituciones supervisadas por el BSP; aquí no se da una lista completa de datos |
| Malasia | Bank Negara Malaysia (BNM) | el documento de política de BNM sobre prevención del lavado de dinero, combate al financiamiento del terrorismo y de la proliferación, y sanciones financieras dirigidas para instituciones financieras (BNM/RH/PD 030-14), en vigor desde el 6 de febrero de 2024 y que sustituye la versión que entró en vigor el 1 de enero de 2020 | Aplica a las instituciones financieras dentro de su alcance; los elementos de datos son para clientes personas físicas bajo CDD estándar |
| Singapur | MAS; Suspicious Transaction Reporting Office (STRO), la unidad de inteligencia financiera | MAS Notice 626 para bancos (última revisión el 30 de junio de 2025), con avisos paralelos para otras instituciones financieras | La Notice 626 aplica a los bancos; aquí no se describen los números de otros avisos |
| Indonesia | Otoritas Jasa Keuangan (OJK); PPATK (Pusat Pelaporan dan Analisis Transaksi Keuangan), la unidad de inteligencia financiera | OJK Regulation No. 8 of 2023, sobre prevención del lavado de dinero y combate al financiamiento del terrorismo y de la proliferación en el sector de servicios financieros | Traducción no oficial del título al inglés |
| Vietnam | State Bank of Vietnam (SBV) | Law on Anti-Money Laundering No. 14/2022/QH15, reformada con efecto a partir del 1 de diciembre de 2026 | Título en inglés no oficial; el contenido de la reforma no se ha revisado |
| Tailandia | Anti-Money Laundering Office (AMLO) | Anti-Money Laundering Act B.E. 2542 (1999), con sus reformas; Ministerial Regulation on Customer Due Diligence B.E. 2563 (2020) | Solo nombres de los instrumentos; aquí no se describen su contenido ni sus fechas de entrada en vigor |
Verificado el 30 de octubre de 2026. Las reglas cambian, así que confirme la versión vigente con cada regulador. Las normas del GAFI se citan con las reformas de junio de 2026; los resultados del pleno del GAFI del 26 al 30 de octubre de 2026 no se habían publicado cuando se verificó esta página. La ley vietnamita se describe a partir de una traducción al inglés contenida en una base de datos jurídica. Los títulos de Indonesia, Vietnam y Tailandia son versiones no oficiales en inglés.
Filipinas. El PhilSys se establece en la Philippine Identification System Act (Republic Act No. 11055). Las reglas del BSP, reformadas por la Circular No. 1170 (2023), aceptan los registros PhilSys de una persona como prueba oficial y suficiente de identidad.
Malasia. El documento de política de BNM exige que las instituciones verifiquen la identidad antes o durante la relación.
Singapur. La MAS Notice 626 exige que los bancos verifiquen la identidad con datos, documentos o información de fuentes confiables e independientes.
Este artículo tiene fines únicamente informativos y no constituye asesoría legal ni regulatoria.
KYC presencial y eKYC
El KYC electrónico (eKYC) realiza las mismas revisiones por canales en línea o móviles, y el estándar de CDD no cambia con el canal. En Singapur, la MAS Notice 626 exige que la CDD no presencial de los bancos sea al menos tan sólida como la presencial. Las revisiones a distancia suelen usar verificación de documentos, comparación biométrica y detección de vivacidad, que el documento de política de e-KYC de Malasia enumera entre las medidas que las instituciones pueden usar. La Guidance on Digital ID del GAFI, de 2020, ayuda a las entidades reguladas a decidir si una identidad digital es apropiada para la CDD.
Errores y riesgos frecuentes en el KYC
- Tratar el KYC como algo de una sola vez. Las normas del GAFI exigen mantener actualizados los datos de la CDD mediante revisiones, sobre todo en clientes de mayor riesgo.
- Aplicar las mismas revisiones a todos los clientes. El enfoque basado en riesgos exige medidas simplificadas cuando el riesgo es menor y medidas reforzadas cuando es mayor.
- Pasar por alto a los propietarios reales. Identificar al propietario real es una de las cuatro medidas del GAFI, no un extra opcional.
- Tratar por defecto como de alto riesgo a los clientes a distancia, o cortar grupos enteros. El GAFI ha señalado que sus normas no contemplan el de-risking, es decir, cortar clases enteras de clientes, sino que exigen un enfoque basado en riesgos.
- Tratar una identidad verificada como prueba de un uso legítimo. En un caso que Singapur reportó al GAFI, 147 personas entregaron su identidad digital nacional a sindicatos criminales, que la usaron para abrir 276 cuentas en ocho bancos a distancia.
- Pasar por alto los ataques a las revisiones a distancia. En 2022, la European Union Agency for Cybersecurity (ENISA) identificó los ataques con fotografía, reproducción de video, máscara 3D y deepfake como los principales ataques de presentación facial contra la acreditación de identidad a distancia, y señaló que la inyección de video, que elude la cámara, no es un ataque de presentación. La guía de la MAS señala que las solicitudes por internet pueden implicar mayores riesgos, incluida la facilidad para presentar múltiples solicitudes ficticias.
La verificación KYC no es una sola revisión al momento del registro. Es debida diligencia del cliente basada en riesgos: las cuatro medidas del GAFI aplicadas en proporción al riesgo del cliente, mantenidas al día durante toda la relación y moldeadas por las reglas de cada país.
Los datos que se recaban y los instrumentos difieren de un país a otro, así que lo que aplica en un mercado no puede darse por hecho en otro. Los equipos que analizan cómo encaja el software en estos pasos pueden leer más sobre el software de verificación KYC.
Varias de las reglas descritas aquí son recientes o fueron reformadas con efecto a partir de una fecha posterior, así que conviene confirmar las versiones vigentes con cada regulador antes de basarse en ellas.
Preguntas frecuentes
