No cabe hoy duda de la transformación que está experimentando el sector financiero en estos años en el contexto que vivimos de continuos conflictos geopolíticos, nuevas tecnologías revolucionarias, el avance de la digitalización y reformas legislativas que pretenden bien intencionadamente acoplarse a los nuevos tiempos. Ello, como no podía ser de otra forma, favorece el progreso pero también es origen de nuevas vulnerabilidades y riesgos.
La Autoridad Bancaria Europea (EBA) ha publicado el pasado 28 de julio su 5ª Opinión sobre los riesgos de blanqueo de capitales y financiación del terrorismo (BCyFT o AML/CTF por su acrónimo en inglés) que afectan al sector financiero de la UE, en cumplimiento del mandato de la Directiva (EU) 2015/849 de pronunciarse al respecto cada dos años. Se renueva así la visión de la Autoridad europea sobre el sector financiero abordando los nuevos riesgos que aquellos factores han intensificado o favorecido respecto del 2023, fecha en la que emitió su última Opinión.
La EBA identifica cinco áreas de vulnerabilidad impulsadas por la rápida innovación tecnológica y nuevos productos financieros como los criptoactivos y los cambios en los comportamientos delictivos, siendo FinTech, RegTech y la IA fundamentales para estos desarrollos:
1.- FinTech: ponen de manifiesto un riesgo de priorización de la innovación frente al cumplimiento. Las autoridades europeas han expresado en su mayoría la preocupación de que su rápido crecimiento no va acompañado de controles sólidos en materia de AML/CFT, y que algunos proveedores FinTech estén priorizando la captación de clientes frente al cumplimiento normativo. Las principales vulnerabilidades incluyen la exposición al ciberdelito, la externalización sin una supervisión adecuada y controles insuficientes de debida diligencia del cliente.
Estas organizaciones pueden carecer de la experiencia y de las estructuras de gobernanza necesarias para identificar y abordar eficazmente los riesgos de BC/FT, falta de recursos suficientes para gestionar las alertas o incluso falta de conocimientos para el análisis, lo cual ha de ser tenido en cuenta por instituciones tradicionales que adquieran estas empresas para evitar un riesgo de contagio a este sector.
2.- RegTech. Cuando se recurre al uso de tecnologías avanzadas -digitales en general- para mejorar y automatizar procesos con origen en el cumplimiento regulatorio, se materializan riesgos por implementación deficiente, excesiva recurrencia a la externalización con la dependencia generada de proveedores externos y falta de pruebas y transparencia; más de la mitad de los fallos de cumplimiento reportados tienen origen en un mal uso de las RegTechs.
El despliegue de las soluciones RegTech tropieza en ocasiones con la falta de conocimientos y experiencia en el staff interno, una gobernanza deficiente y supervisión insuficiente.
La EBA subraya las oportunidades que ofrece el uso creciente de la tecnología para fines de cumplimiento AML/CFT. Para garantizar su uso seguro y prudente, las autoridades deben seguir identificando y promoviendo buenas prácticas en el uso de RegTech—como la automatización de flujos de trabajo, la creación de perfiles de riesgo dinámicos y la gestión eficiente de grandes volúmenes de datos—y, al mismo tiempo, asegurarse de que estas herramientas se utilicen de forma responsable.
3.- Criptoactivos / CASPs. El uso indebido de los servicios relacionados con criptoactivos para fines delictivos sigue siendo un motivo de gran preocupación.
La situación se agrava por el aumento del volumen de transacciones e incremento de 2,5 veces en el número de proveedores de servicios de criptoactivos (CASPs) autorizados en la UE entre 2022 y 2024. No obstante, las autoridades responsables de la concesión de licencias y del registro han detectado que algunas entidades han intentado eludir estos procesos, evitando así la supervisión AML/CFT. Además, se ha constatado que los CASPs suelen carecer de sistemas y controles AML/CFT eficaces. En varios casos también se plantearon dudas sobre la integridad del equipo directivo (su “fit&proper”) y sobre la transparencia y adecuación de los marcos de gobernanza. Los actores de este sector han reportado también el incremento en el riesgo de fraude a inversores en criptoactivos como los fraude tipo “rug pull” en el que se recaudan fondos de inversores para un proyecto y se retira repentinamente todo el capital, abandonando el proyecto y dejando a los inversores sin nada.
La EBA destaca que la ausencia de controles robustos en el sector de los criptoactivos refleja una brecha entre las expectativas normativas, las obligaciones legales y las prácticas reales. Una mayor coordinación supervisora, una aplicación efectiva y coherente del nuevo marco normativo de la UE sobre criptoactivos son esenciales para hacer frente a este desafío.
4.- Fraude y cibercrimen. La expansión del ciberdelito y el fraude, aupados por la sofisticación tecnológica que soluciones de IA pueden favorecer y deepfakes, siguen todavía superando las capacidades defensivas del sector. El fraude es la primera de las preocupaciones para el consumidor europeo¹ en cualquier de sus modalidades (esquema Ponzi, esquemas piramidales o boiler-rooms), siendo de nuevo los criptoactivos un método de pago o vehículo para inversiones fraudulentas.
Los delincuentes están utilizando la inteligencia artificial para automatizar esquemas de blanqueo, ocultar el origen de los fondos y dificultar la detección de transacciones de alto riesgo. También se utiliza IA para generar documentos falsos, simular operaciones legítimas y aplicar tecnologías como deepfakes para eludir medidas de verificación de identidad. Los ataques aumentan en complejidad, volumen y rapidez.
Hacer frente a estas amenazas requerirá tecnologías avanzadas y conocimientos especializados. La EBA destaca la necesidad de un uso responsable de la IA, respaldado por una gobernanza sólida, formación del personal y capacidades de supervisión en tiempo real. Las instituciones deben mantenerse vigilantes y adaptarse a este panorama de amenazas en evolución.
5.- Medidas restrictivas (sanciones). El número y la complejidad de los paquetes de sanciones de la UE siguen suponiendo un reto importante para las instituciones financieras, ya que a menudo no pueden aplicarse mediante herramientas estándar de filtrado de sanciones. Basta revisar las medidas contra Rusia de estos últimos años para hacerse una idea de la complejidad y relevancia de la materia.
Las autoridades competentes han intensificado sus acciones de supervisión, centrándose especialmente en la calidad de los sistemas de filtrado y en la eficacia de las medidas para aplicar las sanciones. Muchas instituciones siguen careciendo de políticas y procedimientos adecuados.
También surgen dificultades en el análisis de transferencias instantáneas de crédito vía SEPA, lo que puede exponer a los proveedores de servicios de pago a un mayor riesgo de infringir medidas restrictivas que no son sanciones financieras específicas, como las sanciones sectoriales. Asimismo, la fragmentación en el acceso a la información dentro de las infraestructuras de pago con tarjeta puede dar lugar a incumplimientos involuntarios de medidas restrictivas.
De cara al futuro, la EBA prevé que la aplicación inconsistente de medidas restrictivas disminuirá. Las dos nuevas series de directrices de la EBA, que establecerán los primeros estándares comunes de la UE para que las instituciones financieras cumplan con las medidas restrictivas de la Unión y nacionales, serán aplicables a partir de finales de 2025. En el marco del nuevo sistema AML/CFT, la AMLA – la nueva autoridad europea- y los supervisores nacionales evaluarán si las entidades obligadas cuentan con políticas y procedimientos adecuados para aplicar sanciones financieras específicas.
El informe de desarrollo de la Opinión de la EBA comentado trae a colación otras áreas de vulnerabilidad que preocupan a las autoridades competentes locales como otros riesgos emergentes. Entre estas se hallan los desafíos que presentan el recurrir al ofrecimiento de productos y servicios de un proveedor autorizado bajo una marca propia (white labelling), los riesgos asociados al uso de los IBANes virtuales (ante la falta de visibilidad de los usuarios finales o entorpecer la trazabilidad de las transacciones), la permanencia del riesgo de financiación del terrorismo ligada al uso de criptoactivos, la falta de escenarios de monitorización eficaces o las deficiencias en el filtrado de sanciones para la detección de entidades designadas por esta causa. Además, la exposición al colectivo de PEPs se sigue visualizando como un riesgo del sector siendo la corrupción y el soborno la principal preocupación. Los crímenes medioambientales son riesgos poco identificados, pero algunos países ya reportan vulnerabilidades vinculadas al tráfico de residuos y recursos naturales.
El Dictamen también pone de relieve tendencias positivas. Según las autoridades competentes, los riesgos asociados a los delitos fiscales y el fenómeno de derisking parecen haberse reducido en general. Al mismo tiempo, los niveles de riesgo residual han ido mejorando gracias a una mejor supervisión y a unos sistemas y controles de PBC/FT más eficaces en el sector bancario, los fondos de inversión y seguros. El nivel de riesgo inherente y residual se incrementa en las entidades de pago, e-money y en el sector de los criptoactivos. No obstante, el conocimiento del cliente y aplicación de las medidas de diligencia debida (customer due diligence) sigue siendo el factor más crítico cuando se tratan las deficiencias del sector.
Las conclusiones de la EBA destacan la necesidad de claridad normativa y de una aplicación más coherente de los enfoques basados en el riesgo en todo el sector financiero de la UE, lo que resultará especialmente importante a medida que entren en vigor los cambios derivados del nuevo paquete de medidas de la UE en materia de PBC/FT.
Como cierre y aprendizaje para las entidades financieras, conviene enriquecer el risk assessment anual tomando en consideración estas apreciaciones de la EBA que, sin duda, marcarán la hoja de ruta de los ejercicios supervisores y serán el foco de atención de sus actuaciones inspectoras, de modo que se prioricen en los programas preventivos AML los extremos tratados:
- los controles AML al integrar soluciones finTech,
- las soluciones RegTech de automatización y analítica avanzada, acompañadas de pruebas robustas, transparencia y control interno. Además, debe diseñarse una gobernanza clara y capacitar al personal para interpretar correctamente los resultados (‘outputs’) de estas herramientas,
- la idoneidad de contrapartes (CASPs) y la solidez de sus marcos AML y la monitorización de transacciones con criterios reforzados,
- los programas de resiliencia frente al fraude y cibercrimen fortaleciendo la detección de patrones fraudulentos con inteligencia artificial, pero también establecer barreras de validación humana
- la actualización continua de los sistemas de filtrado con criterios avanzados, incluyendo pagos instantáneos,
- la preparación, finalmente, para los nuevos estándares comunes de la UE, asegurando políticas y procedimientos homogéneos.
Y todo ello, como siempre, en el marco de una cultura organizacional que priorice el cumplimiento como parte de la estrategia, con un enfoque claro desde la dirección fomentando la formación continua y la concienciación del personal frente a los riesgos y, en particular, los riesgos emergentes. Con un compromiso real en la lucha contra el blanqueo de capitales y la financiación del terrorismo.
¹ 2024/2025 EBA Consumer Trends Report; EBA/REP/2025/08
Belén Rico
Licenciada en Derecho por la Universidad Autónoma de Madrid
Abogada ICAM
Directora de Cumplimiento Normativo de BBVA España