¿Qué es la debida diligencia del cliente (CDD)? KYC explicado

La debida diligencia del cliente, o CDD (Customer Due Diligence), es el proceso de identificar y verificar la identidad del cliente, entender la naturaleza de su negocio y determinar la información sobre sus beneficiarios finales. La CDD es un requisito fundamental para todas las instituciones financieras, incluidas las plataformas de stablecoins y las empresas de pagos que operan como Money Service Businesses (MSB).

La CDD Rule

La Financial Crimes Enforcement Network (FinCEN) publicó la CDD Rule formal en 2016. Entró en vigor el 11 de mayo de 2018, bajo el 31 CFR 1010.230. La regla exige que las instituciones financieras desarrollen e implementen políticas y procedimientos de CDD.

El mandato tiene un alcance amplio. Cualquier entidad que intervenga en transacciones financieras y esté regulada como MSB debe cumplirlo. Esto incluye plataformas de criptomonedas, operadores de stablecoins, procesadores de pagos y transmisores de dinero.

Los cuatro componentes de la CDD

Una CDD eficaz tiene cuatro partes bien definidas:

1. Identificación del cliente

Debes obtener información de identificación de cada cliente. Como mínimo, esto implica recopilar nombre, fecha de nacimiento, domicilio y número de identificación oficial. Para personas estadounidenses, normalmente es un Social Security Number o un ITIN. Para personas no estadounidenses, puede ser un número de pasaporte o de identificación nacional.

El proceso de identificación debe realizarse antes de que la cuenta se abra o se active. No puedes esperar a recopilar esta información más adelante. Si un cliente se niega a proporcionarla, no puedes darle servicio.

2. Verificación del cliente

La identificación por sí sola no basta. Debes verificar que la información sea correcta. Esto implica contrastar la identificación con fuentes autorizadas. Puede incluir:

• Cruzar datos con bases de datos nacionales de identificación
• Realizar verificaciones de documentos con proveedores externos
• Usar verificación multifactor para clientes de mayor riesgo

La verificación debe completarse dentro de un plazo razonable después de abrir la cuenta. Por lo general, se interpreta como razonable un plazo de 30 días.

3. Identificación de beneficiarios finales

Para los clientes que no son personas físicas (corporaciones, sociedades, fideicomisos, etc.), debes identificar a los beneficiarios finales. Un beneficiario final es cualquier persona que posea, directa o indirectamente, el 25 por ciento o más del capital de la entidad cliente, o cualquier persona que ejerza un control significativo sobre la administración o las operaciones del cliente, sin importar su porcentaje de participación.

El umbral del 25 por ciento es un límite claro. Si alguien posee el 25 por ciento o más, debe ser identificado. Si alguien tiene el control ejecutivo exclusivo (CEO, único dueño de una LLC unipersonal), debe ser identificado aunque su participación sea menor.

4. Monitoreo continuo

La CDD no termina con la apertura de la cuenta. Debes monitorear las cuentas y la actividad de los clientes de forma continua. Esto implica:

• Vigilar patrones de actividad sospechosa
• Comparar la actividad con los perfiles conocidos del cliente
• Volver a verificar la información periódicamente si cambian las circunstancias
• Actualizar los registros de beneficiarios finales cuando cambie la estructura corporativa

El monitoreo continuo es permanente. No es una tarea anual que se hace una sola vez. Si algo no cuadra, investigas.

CDD vs. EDD vs. SDD

La CDD es la base. Dos conceptos relacionados la ajustan según el riesgo:

La debida diligencia reforzada (EDD, Enhanced Due Diligence) aplica a clientes de mayor riesgo. Pueden ser personas de jurisdicciones con controles AML débiles, clientes de industrias de alto riesgo o entidades con estructuras de propiedad complejas. La EDD exige pasos de verificación adicionales y una investigación más profunda que la CDD básica.

La debida diligencia simplificada (SDD, Simplified Due Diligence) aplica a clientes de menor riesgo, como instituciones financieras consolidadas o entidades gubernamentales. La SDD agiliza el proceso y reduce la carga tanto para la empresa como para el cliente, sin dejar de lado la verificación básica de identidad.

La relación con la Corporate Transparency Act

En 2023, la Corporate Transparency Act (CTA) creó un nuevo requisito. Todos los beneficiarios finales de las entidades empresariales deben reportarse a FinCEN en el registro de Beneficial Ownership Information (BOI). Esto entró en vigor el 1 de enero de 2024.

La CTA es independiente de la CDD Rule, pero ambas se superponen en la operación. Cuando realizas la CDD e identificas a los beneficiarios finales para fines de compliance, también estás reuniendo los datos necesarios para el reporte BOI si tu cliente es una entidad empresarial.

Cómo aplica la CDD a las empresas de stablecoins

Las plataformas de stablecoins clasificadas como MSB deben implementar la CDD completa. Así se ve en la práctica:

Cuando alguien crea una cuenta para comprar o mantener stablecoins, recopilas su nombre, domicilio, fecha de nacimiento e identificación. Verificas la información contra bases de datos. Si el titular de la cuenta es una empresa, identificas a los beneficiarios finales.

Monitoreas su cuenta. Si un cliente pasa de repente de un volumen mensual de US$1,000 a US$10 millones en transferencias, revisas la actividad. Si parece sospechosa, presentas un Suspicious Activity Report (SAR) ante FinCEN.

Conservas los registros durante al menos cinco años. Si los reguladores o las autoridades solicitan información de un cliente, la entregas.

Desafíos de implementación

La CDD suena sencilla, pero su ejecución es compleja. La verificación requiere integrarse con proveedores de datos externos. Estos servicios tienen márgenes de error. Podrías rechazar a un cliente legítimo porque su identificación no se verificó, o aceptar a un cliente fraudulento porque falló la verificación de un proveedor.

La identificación de beneficiarios finales es aún más complicada con estructuras complejas como fideicomisos, sociedades holding o entidades en jurisdicciones con leyes de privacidad. Algunas estructuras son opacas a propósito, lo que dificulta identificar a los verdaderos beneficiarios finales.

Para una plataforma de stablecoins, una buena CDD requiere invertir en tecnología, relaciones con proveedores y personal de compliance. Es un centro de costos, pero también un escudo frente a responsabilidades. Si se hace mal, expone a la empresa a acciones regulatorias y sanciones económicas.

La realidad del compliance

La CDD es obligatoria. Los reguladores la inspeccionan con regularidad. Revisan si las empresas realmente tienen políticas establecidas, si esas políticas se cumplen y si los registros son precisos y accesibles.

Para las empresas de stablecoins y de pagos, un programa de CDD maduro significa menos fricción regulatoria. También significa conocer a tus clientes, lo que ayuda a detectar fraudes y actividades ilícitas antes de que se conviertan en un problema.

Hacer bien la CDD desde el principio es mucho más barato que corregir brechas de compliance después. Es un trabajo de base, pero es un trabajo que protege tanto a tus clientes como a tu empresa.