Respuesta rápida
Las normas de prevención del blanqueo de capitales obligan a toda empresa que le presta servicios, desde el proveedor de servicios societarios y el notario hasta el banco, a crear y conservar su propio expediente sobre usted. La ley les permite apoyarse en el trabajo de los demás, pero también deja la responsabilidad en quien se apoya en él, por lo que en la práctica cada uno empieza desde cero y un cliente termina con tres o cuatro expedientes separados. Cada expediente cuesta personal y software, y el cliente los paga todos. Una pequeña parte de ese papeleo reduce el riesgo. La mayor parte existe para que la organización que lo conserva pueda demostrar a un inspector que preguntó.
Me dedico profesionalmente al cumplimiento normativo. Eesti Firma es un proveedor autorizado de servicios fiduciarios y societarios, lo que nos convierte en una entidad obligada: una de las empresas a las que la legislación de prevención del blanqueo de capitales (AML), aplicada de forma muy similar en toda la UE, exige verificar a sus clientes y comunicar lo que parezca sospechoso. Identificamos y examinamos a cada cliente que constituye una sociedad con nosotros y le preguntamos de dónde procede el dinero, y creo que debe hacerse correctamente. Identificar a un fundador sencillo y examinarlo frente a listas de sanciones y personas expuestas políticamente lleva a una persona formada unos 15 a 20 minutos. El resto de la incorporación es papeleo construido alrededor de ese cuarto de hora, y todas las demás entidades obligadas con las que se relaciona el cliente vuelven a crear el mismo papeleo desde el principio.
Esto no es un argumento contra los controles de conozca a su cliente (KYC). Es un argumento sobre en qué se han convertido. Todos en la cadena hacen el trabajo cuidadosamente, porque todos temen las consecuencias de no hacerlo, y en algún momento ese temor se convirtió en el objetivo. He llegado a pensar que el expediente existe menos para detener el blanqueo de capitales que para demostrar, cuando llega el inspector, que la organización que lo conserva formuló las preguntas adecuadas.
Un cliente, tres o cuatro rondas de controles
Así son los primeros meses para un cliente típico nuestro: un fundador de Alemania, España o Turquía que desea una sociedad estonia de responsabilidad limitada (OÜ) y una cuenta operativa. La secuencia sería muy similar en Dublín o Lisboa, porque las normas proceden de las mismas directivas de la UE; Estonia añade un paso propio para los e-residents.
- El Estado, para los e-residents. Un fundador que quiere la identificación digital de Estonia solicita e-Residency, y la Junta de Policía y Guardia de Fronteras realiza una comprobación de antecedentes antes de expedir la tarjeta. No es un control AML en sentido jurídico, sino una evaluación conforme a otra ley, pero solicita el mismo pasaporte y la misma explicación del propósito, y el solicitante paga una tasa estatal por ello.
- El proveedor de servicios. Verificamos la identidad del fundador, establecemos el titular real, lo examinamos frente a listas de sanciones y PEP (un PEP es una persona expuesta políticamente, alguien cuyo cargo público hace que el soborno sea un riesgo), preguntamos qué hará la empresa y de dónde procede el capital inicial, y asignamos un nivel de riesgo. Es un cuestionario, un conjunto de documentos y normalmente una videollamada.
- El notario. Un fundador sin identificación digital estonia constituye la sociedad a través de un notario, y el notario es una entidad obligada independiente con las mismas obligaciones. Nuestro expediente no tiene valor en su despacho; identifican al cliente y verifican al titular por sí mismos.
- El banco o la entidad de pago. Quien abra la cuenta, un banco o una fintech, realiza su propio formulario, su propia lista documental y su propia entrevista: el plan de negocio, los volúmenes previstos, las principales contrapartes y el origen de los fondos, otra vez. Una segunda cuenta, que muchos de nuestros clientes necesitan, implica repetir la misma ronda.
Según la vía elegida, un fundador pasa por tres o cuatro de estos procesos, y la comprobación no termina ahí. Cuando el cliente paga nuestra factura, nuestro propio banco puede preguntarnos quién es el pagador y para qué es el dinero. Un contable que posteriormente asuma la sociedad también es una entidad obligada. Y cada una de estas organizaciones debe conservar su expediente durante al menos cinco años después de terminar la relación, mantenerlo actualizado, protegerlo como dato personal y supervisar frente a él, porque cada una responde separadamente de lo que conserva.
Cada ronda se paga por separado. Un proveedor como nosotros emplea a personas para leer cuestionarios, perseguir documentos, examinar nombres, redactar una evaluación de riesgos y después mantener el expediente durante años, y ese trabajo queda cubierto por la tarifa. El notario factura tiempo. Los bancos son, con diferencia, quienes más gastan; una encuesta sectorial cifró el coste del cumplimiento contra la delincuencia financiera en el sector financiero mundial en más de 270.000 millones de € en 2022. Nadie suma estas cifras, porque cada una está en un presupuesto distinto, pero el cliente las paga todas, mediante tarifas y tasas estatales, y el personal de cumplimiento de cada etapa nunca ve lo que encontró la etapa anterior. Y, como el resto del marco normativo de la UE, es un coste fijo: un banco lo absorbe, un proveedor con una docena de empleados lo soporta íntegramente.
Cómo un formulario se convirtió en un expediente
Hace diez años los controles existían, pero eran un formulario, no un expediente. Abrir una cuenta suponía un pasaporte, una firma y unas pocas preguntas, y un proveedor como nosotros conservaba un expediente reducido. Luego llegaron los escándalos. La UE reformó su directiva de prevención del blanqueo de capitales en 2015 y de nuevo en 2018, añadiendo cada vez entidades obligadas y obligaciones. Estonia aprobó una nueva ley nacional en 2017 y, en 2018, el informe sobre Danske Bank situó en torno a 200.000 millones de € el dinero de no residentes que había pasado por una sucursal de Tallin, gran parte considerado posteriormente sospechoso. Un país pequeño se convirtió en sinónimo de blanqueo.
Danske no fue una falta de formularios. El banco tenía expedientes de sus clientes no residentes e ignoró lo que mostraba su propia supervisión, y los supervisores no examinaron suficientemente una institución. La respuesta fue, aun así, más formularios para todos. Cada banco y cada supervisor hizo lo que hace cualquier organización tras una humillación pública: pidió más, conservó más y no confió en nadie. En mi experiencia, el ciclo solo funciona en una dirección. Se culpa a un supervisor por el escándalo que no evitó, no por el cuestionario que hizo rellenar a diez mil clientes honestos. Se multa a una entidad obligada por el campo que dejó vacío, no por el campo que añadió. Existen programas de simplificación, en Bruselas y en Tallin, pero ninguna inspección depende de ellos, de modo que las preguntas se acumulan más rápido de lo que se eliminan.
La ley permite compartir. En la práctica nadie comparte
La identidad, siendo justos, ya se comparte. Cuando un e-resident o un residente estonio inicia sesión con una identificación digital, todos los bancos y proveedores se basan en una identidad verificada por el Estado. Lo que no se comparte es todo lo demás del expediente: quién es el propietario, a qué se dedica la empresa, de dónde procede el dinero. La ley también lo permite. Tanto la actual directiva de la UE como el nuevo Reglamento de la UE sobre prevención del blanqueo de capitales, aplicable desde julio de 2027, permiten que una entidad obligada se base en las comprobaciones de clientes ya efectuadas por otra entidad obligada, y la nueva autoridad de la UE AMLA debe emitir directrices sobre cómo hacerlo. Entonces, ¿por qué el banco pide a nuestro cliente que empiece desde cero?
Porque la responsabilidad permanece en quien se apoya. Si nuestro expediente resulta erróneo, la multa recae en el banco, y el supervisor del banco preguntará al banco, no a nosotros, por qué confió en una empresa que no controla. Evaluar los procedimientos de otra empresa cuesta más que enviar al cliente un formulario nuevo, por lo que cada institución toma la misma decisión racional. La ley permite apoyarse en el papel y lo castiga en la práctica, y la suma de todas esas decisiones individuales razonables es el teatro del título. El expediente ha dejado de ser una herramienta y se ha convertido en un producto: su función es existir, estar completo y poder presentarse a demanda, para que quien lo conserva quede cubierto.
La constitución de una sociedad es mi ejemplo porque es mi trabajo, pero el patrón atraviesa la economía. Un piso vendido en cualquier ciudad de la UE genera un expediente en la agencia inmobiliaria, otro en el notario, un tercero en el banco prestamista y a veces un cuarto en el banco que transfiere los ahorros del comprador: cuatro expedientes sobre las mismas dos personas para una transacción, sin que ninguno recurra al anterior. Cambie más de 1.000 € en efectivo en una casa de cambio estonia y será identificado y registrado, y la casa de cambio conservará ese registro durante años junto a miles similares. Contables, auditores, abogados y comerciantes de objetos de valor conservan expedientes de la misma clase.
Qué reduce el riesgo dentro del expediente
El expediente estándar que los bancos y proveedores de todo el mercado recopilan de una empresa nueva se divide, según mi interpretación, en tres grupos: la parte que dificulta el uso indebido de una empresa, la parte que existe principalmente para que quien la conserva pueda satisfacer a un inspector y la parte que es puro ritual. La tabla es mi propia clasificación, no una clasificación jurídica, y la prueba en cada fila es sencilla: ¿alguien actúa alguna vez basándose en esta información?
| Elemento del expediente estándar | Qué hace |
|---|---|
| Identidad verificada frente a un documento, con comprobación presencial o por vídeo | Reduce el riesgo. Una persona real queda vinculada a la sociedad. |
| Titular real establecido y cotejado con el registro | Reduce el riesgo. La titularidad oculta es lo que más necesita un blanqueador. |
| Documentos de origen de fondos: contratos, extractos, escrituras de compraventa | Reduce el riesgo, si alguien los lee. Una declaración firmada de que los fondos son legales no añade nada a los documentos. |
| Una descripción clara de la empresa: quién paga a quién y por qué | Reduce el riesgo cuando quien la conserva supervisa las transacciones frente a ella. Un banco lo hace. Un notario o un agente de constitución nunca ve una transacción, pero recopila la misma descripción. |
| Examen de sanciones y PEP | Reduce el riesgo y es económico, porque lo realiza el software. |
| Facturación anual prevista, redondeada al millar más próximo, para una sociedad que aún no existe | Útil para un banco como referencia de supervisión. Para cualquier otro poseedor del expediente es una cifra que nadie volverá a mirar. |
| Autodeclaración de que el cliente no es PEP y actúa en nombre propio | Principalmente para el inspector. Traslada la culpa al cliente si mintió; no detecta nada. |
| El mismo conjunto recopilado de nuevo por cada institución | Para el inspector, como se explicó arriba. Cada copia protege a quien la conserva; la segunda no protege al sistema. |
| KYC periódico renovado, la revisión completa cada uno o dos años, cuando nada ha cambiado | Para el inspector. Demuestra que se siguió un calendario. |
De la tabla se desprenden dos cosas. Primero, el expediente solo justifica su coste cuando alguien supervisa después frente a él, lo que en la cadena anterior significa el banco, y solo el banco. Segundo, la extensión procede del grupo intermedio. Un inspector no puede ver si comprendimos al cliente, pero puede ver si se rellenó el campo 14, por lo que se añaden campos y rara vez se eliminan.
Lo que dicen las cifras
Uso las cifras estonias porque son las que mejor conozco y porque la Financial Intelligence Unit publica un anuario. En 2024, la unidad recibió 14.185 informes de entidades obligadas. Realizó 133 comunicaciones analizadas a investigadores y unas 1.700 transferencias adicionales de información, y los investigadores incautaron 5,7 millones de € en activos que la unidad había congelado. Según la evaluación nacional de riesgos, las comunicaciones analizadas de la unidad dieron lugar a diez nuevos procedimientos penales en 2024 y, durante los cinco años hasta 2024, los tribunales estonios dictaron 32 sentencias en casos de blanqueo de capitales.
Ahora, el otro lado. Cada año se registran en Estonia más de 25.000 nuevas sociedades estonias de responsabilidad limitada, el registro contiene alrededor de 370.000 entidades jurídicas de toda clase y el programa e-Residency cuenta con más de 134.000 e-residents. Cada nueva sociedad, cada cuenta y cada identificación digital implica al menos un expediente KYC completo, normalmente varios. Mi estimación aproximada, y recalco que es mía, es que las entidades obligadas de Estonia producen bastante más de cien mil expedientes KYC al año y que todo el sistema los convierte en diez procedimientos penales y unos pocos millones de euros incautados. Supongamos que uno de cada diez mil clientes tiene intención delictiva. Los otros 9.999 pasan por tres o cuatro rondas de controles para que él pueda ser encontrado, y las cifras anteriores dicen que normalmente no lo es.
Hay dos objeciones razonables y quiero exponerlas. Una es la disuasión: los delincuentes que nunca solicitan nada porque saben que se les preguntará no aparecen en ninguna estadística. Es cierto, y también por eso nadie ha tenido que demostrarlo jamás. La otra es la escala: un esquema de blanqueo puede mover más dinero del que ganan mil empresas honestas y, si los expedientes hubieran detenido a Danske, se habrían amortizado muchas veces. Pero los expedientes no detuvieron a Danske, y las condenas que la FIU describe en su anuario comenzaron con informes de transacciones sospechosas, no con cuestionarios. El expediente de incorporación es donde se gasta el dinero; la supervisión es de donde proceden los resultados. La evidencia internacional apunta en la misma dirección. Europol estimó en 2016 que solo alrededor del 1 % de los ingresos delictivos en la UE se confiscan alguna vez, y el investigador Ronald Pol, que intentó comparar costes y recuperaciones, concluyó que los costes de cumplimiento superan los fondos recuperados en más de cien veces. Ningún supervisor en Estonia ha publicado una comparación de ese tipo para el sistema que gestiona.
No espero que el equilibrio mejore. El nuevo marco normativo de la UE añade un supervisor europeo, un límite máximo de 10.000 € para pagos en efectivo en toda la UE y varias categorías nuevas de entidades obligadas, desde plataformas de financiación colectiva hasta clubes de fútbol. Cada nueva categoría implica otro cajón. Cada escándalo futuro añadirá campos, porque añadir campos es cómo una institución demuestra que ha aprendido. Y un marco normativo europeo único dificulta cualquier reversión, pues una pregunta incorporada a un reglamento no puede eliminarla un parlamento nacional que advierta que es inútil.
Por qué nadie lo dice en voz alta
No está de moda sopesar esto. En público, la única posición segura sobre el blanqueo de capitales es más: más controles, más comunicaciones, más celo. Cualquiera que pregunte si la última ronda de normas logró algo corre el riesgo de ser escuchado como alguien que quiere menos normas para los delincuentes, por lo que los responsables de cumplimiento y abogados que, según mi experiencia, comparten muchas de estas dudas en privado las mantienen allí. La lucha contra el blanqueo de capitales se ha convertido más en una causa que en una política, y rara vez se piden a las causas sus cifras de coste-beneficio.
Vale la pena decirlo claramente, por el rumbo al que conduce si nadie lo sopesa. Una Europa que ha redactado la ley de privacidad más estricta del mundo ha obligado, con la otra mano, a millones de empresas privadas a conservar expedientes sobre sus clientes durante años, a comunicarlos al Estado por sospecha y a responder por ello si el expediente es insuficiente. Cada uno de esos expedientes se abrió de buena fe para detener un delito. En conjunto constituyen un registro permanente de quién posee qué y quién pagó a quién, guardado en cajones que responden primero ante un inspector. No creo que nadie diseñara eso. Tampoco creo que deba seguir creciendo sin que alguien pregunte para qué sirve.
Qué cambiaría
La mayor parte de esto no requiere una nueva ley, sino decisiones distintas sobre cómo se aplica la existente. El primer punto sí la requiere.
- Un expediente verificado, llevado por el cliente. Alguien verifica a la persona una vez y asume la responsabilidad de esa verificación, respaldada por una licencia, seguro y auditoría, para que la institución que se apoya en ella no sea la sancionada si resulta errónea. Ese verificador podría ser un banco, un notario, un proveedor autorizado o un servicio estatal basado en la identificación digital; lo importante es dónde recae la responsabilidad. Las normas actuales, nacionales y de la UE por igual, la imponen a quien se apoya, y por eso nadie se apoya. Cambiarlo requiere legisladores, y las próximas directrices de AMLA sobre la confianza son el lugar natural para iniciar el debate.
- Supervisar resultados, no formularios. Una inspección debería preguntar qué produjo la supervisión de una empresa y adónde fueron sus comunicaciones, no si se rellenó cada campo de cada formulario.
- Formularios acordes con la empresa. Una empresa nueva con un fundador y sin facturación necesita dos páginas, no veinte. Las preguntas reforzadas, las comprobaciones más profundas que la ley reserva para clientes de mayor riesgo, corresponden al momento en que empieza la actividad y hay algo que examinar.
- Renovar KYC ante cambios, no según el calendario. Un nuevo titular, un nuevo país o una nueva línea de negocio son motivos para volver a examinar. Que hayan pasado dos años no lo es.
- Utilizar los datos que el Estado ya tiene. Para una empresa existente, el Registro Mercantil estonio (Äriregister) contiene los titulares, el órgano de administración y las cuentas anuales. Una entidad obligada debería obtenerlos del registro en vez de pedir al cliente que los vuelva a escribir. El Tribunal Supremo de Estonia aplicó la misma lógica al propio supervisor en enero de 2026, cuando declaró ilegal un formulario de 44 preguntas que la Unidad de Inteligencia Financiera había enviado a todos los proveedores de servicios autorizados, en parte porque el Estado debería utilizar primero los datos que ya posee.
Superar los controles sin el teatro
En Eesti Firma pedimos lo que exigen la ley y nuestra propia evaluación de riesgos, y explicamos por qué importa cada documento. También ayudamos a los clientes a preparar al inicio un conjunto de documentos y respuestas que puedan entregar al banco y a la entidad de pago sin reescribirlos, porque, según mi experiencia, lo que mantiene breve una incorporación no es un cuestionario más corto sino una empresa descrita de la misma forma a todos quienes preguntan. Para las empresas que se convierten ellas mismas en entidades obligadas, redactamos las políticas y procedimientos exigidos por la ley, lo que, lo admito, forma parte del mismo teatro; la diferencia que podemos aportar es redactarlos para que sean utilizables y no meramente completos. Si está constituyendo una sociedad y quiere que la parte de cumplimiento la gestionen personas que leen lo que envía, podemos ayudarle con la constitución de una sociedad y con todo lo que le sigue.
