Qué exige el AML en Argentina
AML es la sigla de anti money laundering, y en Argentina se traduce en el régimen de prevención del lavado de activos y de la financiación del terrorismo. Lo establece la Ley 25.246 y su autoridad de aplicación es la UIF, que dicta las obligaciones de cada tipo de sujeto obligado, las fiscaliza y recibe los reportes.
El régimen no se agota en el alta. Se organiza como un ciclo que arranca antes de vincular al cliente y sigue mientras dure la relación.
- Autoevaluación y política interna — el sujeto obligado analiza el riesgo de sus clientes, sus productos y sus canales, y designa un responsable de cumplimiento sobre ese análisis.
- Identificación y conocimiento del cliente — el KYC, que es la puerta de entrada del ciclo y la que produce la evidencia sobre la que se apoya todo lo demás.
- Beneficiario final — cuando el cliente es una persona jurídica, hay que llegar a las personas humanas que en última instancia la controlan o se benefician de ella. Una estructura societaria no puede ser el final del análisis.
- Monitoreo, listas y reporte — seguimiento continuo de las operaciones contra el perfil declarado, contraste contra listas restrictivas y reporte a la UIF de lo que el monitoreo detecta, con el legajo conservado para el supervisor.
Todo eso corre sobre un enfoque basado en riesgo: la intensidad de cada medida se gradúa según el riesgo de cada cliente, y el sujeto obligado tiene que poder explicar la graduación que aplicó. Los clientes que califican como persona expuesta políticamente reciben diligencia reforzada.
El marco argentino no se escribió en el vacío: sigue el estándar internacional que fija el GAFI para la prevención de lavado, que es el mismo del que derivan los regímenes del resto de la región. Por eso un equipo que ya opera bajo el régimen colombiano o el mexicano reconoce la estructura, aunque los organismos, los plazos y los formularios sean distintos.
Qué automatiza VU en el AML
Conviene empezar por el límite, porque en este tema es más grande que el aporte.
Lo que VU no hace:
- No hace monitoreo transaccional. Seguir las operaciones de un cliente contra su perfil y detectar desvíos es un control sobre datos de negocio que vive en los sistemas del sujeto obligado.
- No genera ni presenta el reporte de operaciones sospechosas. El ROS es una decisión humana con consecuencia regulatoria, y la firma alguien con nombre y responsabilidad.
- No determina el beneficiario final. Desarmar una estructura societaria hasta las personas humanas que la controlan es análisis documental y societario, no verificación de identidad.
- No clasifica el riesgo del cliente ni reemplaza al responsable de cumplimiento.
Lo que sí resuelve es el eslabón de identificación del que dependen todos los demás: si el alta no estableció con certeza quién es esa persona, el monitoreo posterior está siguiendo a un nombre y no a alguien.
- Verificación de la identidad en el alta — lectura del documento argentino, comparación biométrica y prueba de vida. VU puede aportar evidencia técnica del proceso de identidad según la configuración implementada.
- Evidencia del proceso — el registro de cómo se identificó a esa persona, disponible después sin reconstruirlo desde tres sistemas distintos.
- Identificación de las personas humanas detrás de una empresa — cuando el proceso de KYB ya definió a quién hay que identificar, la verificación de cada una de esas personas es el mismo flujo.
Casos de uso en Argentina
Dónde aparece este problema en la operación real del mercado argentino.
Proveedores de servicios de activos virtuales. La categoría más nueva de sujeto obligado, con la mayor exposición reputacional y sin proceso heredado del que copiar.
Entidades financieras con doble supervisión. Responden ante la UIF y ante el BCRA al mismo tiempo, y las dos miran evidencia distinta del mismo proceso.
Empresas que descubren su condición de sujeto obligado tarde. Tienen que montar autoevaluación, manual, responsable y monitoreo sobre una cartera que ya está viva.
Carteras vinculadas con estándares de evidencia antiguos. El deber de mantener actualizada la información obliga a volver sobre clientes cuyo legajo no resiste una revisión actual.
Estructuras societarias con varias capas. Llegar al beneficiario final cuando hay sociedades controlando sociedades es donde el proceso se vuelve manual y lento, y donde se concentra el riesgo.
Preguntas frecuentes
AML es la prevención del lavado de activos, y en Argentina se materializa en el régimen de prevención del lavado de activos y de la financiación del terrorismo, cuya autoridad de aplicación es la UIF. Exige a cada sujeto obligado analizar el riesgo al que lo exponen sus clientes y productos, tener una política interna con un responsable de cumplimiento, identificar y conocer a cada cliente antes de que opere, llegar al beneficiario final cuando el cliente es una persona jurídica, monitorear las operaciones contra el perfil declarado, contrastar contra las listas restrictivas aplicables y reportar las operaciones sospechosas. Todo eso se gradúa según el riesgo y se prueba con evidencia conservada.
El KYC es una pieza del AML, no un sinónimo. El AML es el régimen completo de prevención: análisis de riesgo, políticas, monitoreo, listas, beneficiario final y reporte. El KYC es específicamente el deber de conocer al cliente, que ocurre en la vinculación y se mantiene durante la relación. La relación entre los dos es de dependencia: el monitoreo, el reporte y el análisis de riesgo se apoyan sobre la identificación inicial, así que un KYC débil degrada todo el régimen que viene después, por bien construido que esté.
Es la persona humana que en última instancia controla a una persona jurídica o se beneficia de sus operaciones, más allá de quién figure como representante o titular formal. La UIF lo exige porque una estructura societaria puede usarse precisamente para poner distancia entre una operación y quien la ordena, y un régimen que se conforma con identificar a la sociedad deja de conocer a su cliente real. En la práctica es la parte más costosa del proceso cuando hay varias capas de sociedades, y es donde más análisis manual sobrevive.
Se reporta a la UIF dentro del plazo que fija la norma, y el reporte es una decisión con responsabilidad asignada dentro del sujeto obligado. Dos precisiones que suelen confundirse: reportar no implica acusar a nadie ni suspender la relación por sí solo, y la sospecha se evalúa contra el perfil conocido de ese cliente, que es exactamente el que se construyó durante la vinculación. Un perfil mal construido en el alta produce después alertas que nadie puede interpretar.
