AMLR entra en vigor en 2027 y establece una normativa única de prevención del blanqueo de capitales para las entidades
A partir del 10 de julio de 2027, el Reglamento UE de prevención del blanqueo de capitales será de aplicación directa y sustituirá a las normativas nacionales. Las entidades deberán adaptar sus procesos de KYC a una actualización continua.
Qué cambia
A partir del 10 de julio de 2027, el Reglamento UE de prevención del blanqueo de capitales (AMLR) será de aplicación directa y sustituirá amplios fragmentos de la normativa nacional de prevención del blanqueo de capitales. De esta manera se crea un marco normativo único para todos los sujetos obligados en la UE, que elimina el anterior mosaico de 27 transposiciones nacionales. El Reglamento establece ciclos fijos de actualización de los datos de los clientes: en principio cada cinco años, anualmente en caso de riesgo elevado y además de forma occasionada. Así, el concepto de KYC continuo pasa a ocupar el centro de atención, ya que implica mantener actualizados los datos de los clientes de forma continua, en lugar de solo al alta o en revisiones periódicas. Además, las normas técnicas exigen un screening de sanciones uniforme y regulan por primera vez de forma vinculante la externalización de los procesos de KYC.
La nueva autoridad de la UE, AMLA, ha iniciado su trabajo operativo desde el 1 de julio de 2025 y, a partir del 1 de enero de 2028, ejercerá la supervisión directa sobre un máximo de 40 entidades seleccionadas que operen de forma transfronteriza. La selección se llevará a cabo ya en 2027. Para las entidades esto implica que deberán vigilar no solo a las autoridades nacionales de supervisión, sino también a un órgano central de la UE. La fase de preparación ya está en marcha desde 2026, momento en el que las entidades deberán evaluar el estado de sus sistemas mediante los cuestionarios de AMLA y el piloto de datos. El objetivo es lograr una alineación temprana con los estándares técnicos, de modo que la fecha límite de 2027 no se convierta en una carrera contrarreloj.
Cuánto cuesta
La fuente no publica cifras concretas sobre los costes esperados de la adaptación al AMLR. No obstante, se puede deducir el mecanismo de costes: las entidades deben adaptar sus sistemas informáticos para permitir actualizaciones continuas de los datos, screenings de sanciones automatizados y la posibilidad de demostrar los acuerdos de externalización. Esto incluye los gastos de licencia de las herramientas de monitorización, posibles ampliaciones de las bases de datos y posibles adquisiciones de soluciones de identificación para los procesos de incorporación digital.
Además, se generan gastos por consultoría externa en el análisis de brechas, por la calibración de los sistemas existentes según los estándares técnicos y por la formación del personal. Asimismo, el funcionamiento continuo resulta más costoso, pues es necesario mantener actualizadas las bases de datos de forma permanente e instaurar procesos de aseguramiento de la calidad. Estos gastos recurrentes se reflejan en un aumento de los costes de personal para cumplimiento y TI, así como en un incremento del gasto en gestión de la calidad de los datos.
Qué se rompe
La transición de las verificaciones puntuales de KYC a un modelo perpetuo obliga a migrar las bases de datos existentes de los clientes a sistemas capaces de soportar actualizaciones en tiempo real o casi en tiempo real. En este proceso pueden ajustarse o sustituirse las interfaces con los sistemas legacy de core bancario o con plataformas de terceros, lo que puede provocar interrupciones temporales o una reducción del rendimiento. En particular, las entidades que dependen en gran medida de los procesos por lotes deberán replantear sus flujos de trabajo.
Durante la transición, pueden interrumpirse las conexiones existentes con los proveedores de screening, con los prestadores de servicios de identificación o con los socios de externalización, hasta que las nuevas conexiones estén estabilizadas. Esto exige pruebas meticulosas y, si es necesario, un funcionamiento en paralelo, para no poner en riesgo la actividad empresarial. Asimismo, el personal debe recibir formación para seguir las nuevas instrucciones de trabajo respecto al mantenimiento continuo de los datos y la gestión de los eventos desencadenantes, lo que puede provocar una pérdida temporal de productividad.
Qué exige un cambio
Un cambio exitoso requiere, en primer lugar, un análisis exhaustivo de brechas: la configuración existente de KYC y monitoring se confronta con los requisitos del AMLR y los estándares técnicos de la AMLA. Sobre la base de dicho análisis se elabora un plan de acciones que prioriza los ajustes necesarios en los sistemas, las iniciativas de calidad de datos y la revisión de los contratos. La planificación debería iniciarse ya en 2026 para evitar la presión en 2027.
La implementación suele llevar varios meses, e incluso más de un año, dependiendo de la complejidad del entorno tecnológico y del alcance de las modificaciones necesarias. En este proceso están implicados diversas áreas internas: el Chief Data Officer o el responsable de datos dirige la iniciativa de calidad de datos; el Chief Risk Officer o el responsable de cumplimiento supervisa la aplicación regulatoria; el departamento de TI ejecuta los cambios técnicos; y el consejo de administración o la dirección autoriza los presupuestos y recursos necesarios. Una decisión temprana sobre la selección de herramientas y las posibles externalizaciones es fundamental para cumplir con el calendario.