El KYC (Know Your Customer, o “Conozca a su cliente”) es el proceso por el cual una empresa verifica la identidad de sus clientes antes de establecer una relación comercial. Es una práctica esencial en la banca, fintech, seguros, cripto y cualquier sector regulado que deba prevenir el lavado de dinero, el financiamiento del terrorismo y el fraude.
¿Qué es KYC?
KYC es el conjunto de procedimientos y controles que permiten a una empresa saber con quién está haciendo negocios. Implica recopilar información de la persona —nombre, documento de identidad, fecha de nacimiento, dirección— y verificar que esa información sea auténtica y corresponda a quien dice ser.
En términos regulatorios, el KYC es la primera línea de defensa dentro de un programa de Prevención de Lavado de Dinero y Financiamiento del Terrorismo (PLD/FT). Sin un KYC sólido, no es posible aplicar screening de sanciones, monitoreo de transacciones ni gestión de riesgo de manera eficaz.
Por qué importa
Riesgo regulatorio y de reputación
Los reguladores de todo el mundo —FATF, FinCEN en EE.UU., CNBV en México, SFC en Colombia, UIF en Argentina— exigen procedimientos KYC documentados. Las multas por incumplimiento pueden superar los millones de dólares. Más allá del dinero, una falla de KYC puede involucrar a una empresa con redes de crimen organizado, con consecuencias reputacionales difíciles de revertir.
Confianza y calidad de la cartera
Un buen KYC no solo protege de riesgos. También mejora la calidad de la base de clientes, reduce el fraude en la apertura de cuentas y permite segmentar a los clientes por nivel de riesgo para ofrecer productos adecuados.
Habilitador de acceso a mercados
Para operar en ciertos mercados —institucional, banca corresponsal, pagos internacionales— demostrar un programa KYC robusto es un requisito previo. Es la credencial que abre puertas.
Las etapas del KYC moderno
1. Verificación de identidad
El proceso comienza con la recolección y validación de documentos: pasaporte, cédula o licencia de conducir. Las herramientas modernas realizan OCR sobre el documento, verifican autenticidad (MRZ, chips NFC, hologramas) y comparan la foto del documento con una selfie mediante biometría facial.
2. Screening AML y de sanciones
Una vez verificada la identidad, se contrasta al individuo contra listas de sanciones internacionales (OFAC, ONU, UE), listas de Personas Políticamente Expuestas (PEP) y fuentes de medios adversos. Este paso determina el perfil de riesgo inicial.
3. Monitoreo continuo
El KYC no termina al momento de la incorporación (onboarding). Los clientes cambian: aparecen en nuevas listas de sanciones, sufren cambios de control societario, o sus patrones de transacción se desvían. El monitoreo continuo permite detectar estos cambios y actualizar el perfil de riesgo.
Buenas prácticas
- Risk-based approach: no todos los clientes representan el mismo riesgo. Los procedimientos deben ser proporcionales al perfil de riesgo.
- Actualización periódica: los datos KYC deben revisarse con frecuencia —al menos anual para clientes de alto riesgo.
- Consentimiento y privacidad: la recolección de datos debe cumplir con la normativa de protección de datos local (LGPD en Brasil, LFPDPPP en México, etc.).
- Trazabilidad y auditoría: cada decisión y cada dato recopilado deben quedar registrados para responder ante un auditor o regulador.
- Evitar duplicar verificaciones: si el cliente ya fue verificado por otra entidad del mismo grupo, reutilizar esa información (con el consentimiento correcto) reduce la fricción sin sacrificar el control.
Preguntas frecuentes
¿El KYC es lo mismo que AML?
No exactamente. El AML (Anti-Money Laundering) es el marco regulatorio más amplio para prevenir el lavado de dinero. El KYC es uno de sus componentes clave: el proceso de identificar y verificar a los clientes. Sin KYC no hay AML efectivo, pero el AML también incluye monitoreo de transacciones, reporte de operaciones sospechosas (SAR/ROS) y gobernanza del programa de cumplimiento.
¿Cada cuánto debe renovarse el KYC?
Depende del perfil de riesgo del cliente. Un cliente de bajo riesgo puede renovarse cada tres a cinco años. Un cliente de alto riesgo o una PEP debe revisarse anualmente o ante cualquier cambio relevante. Los reguladores esperan que las empresas documenten y justifiquen sus frecuencias de revisión.
¿Es posible hacer KYC sin pedir documentos al cliente?
En casos de riesgo muy bajo y con umbrales regulatorios específicos, algunas jurisdicciones permiten procedimientos simplificados que no requieren documentos completos. Sin embargo, la tendencia regulatoria va hacia mayor, no menor, rigor. Lo ideal es automatizar el proceso para que sea fluido para el cliente aunque sea completo en datos.