Compliance AML en España 2026: todo lo que su empresa necesita saber sobre la normativa de prevención del blanqueo

Compliance AML en España 2026: el marco normativo que debe conocer su empresa

La prevención del blanqueo de capitales y de la financiación del terrorismo en España es uno de los marcos regulatorios más exigentes y en mayor evolución de todo el ordenamiento jurídico empresarial. La Ley 10/2010, de 28 de abril, y su Reglamento de desarrollo —Real Decreto 304/2014, de 5 de mayo— definen las obligaciones de un catálogo amplio de sujetos obligados y otorgan al SEPBLAC poderes sancionadores de extraordinaria contundencia. Sobre ese marco nacional se superpone la normativa europea: la Sexta Directiva anti-blanqueo (6AMLD), el nuevo Reglamento AML europeo aprobado en 2024, y la creación de la Autoridad Anti-Blanqueo europea (AMLA), que operará desde Frankfurt con supervisión directa sobre las entidades de mayor riesgo a partir de 2026.

Entender qué obliga exactamente este marco —quién es sujeto obligado, qué medidas debe adoptar, a qué supervisión está sometido y cuáles son las consecuencias del incumplimiento— es el primer paso para construir un programa de compliance AML que sea eficaz, no solo documental.

Sujetos obligados por la Ley 10/2010: el artículo 2

El artículo 2 de la Ley 10/2010 establece el ámbito subjetivo de la normativa. Estos son los principales sujetos obligados:

La determinación de si una actividad concreta cae dentro del ámbito subjetivo de la ley no siempre es inmediata, especialmente para despachos de abogados que combinan actividad de asesoramiento con actividad procesal, o para plataformas de inversión alternativa que gestionan capital privado. En BMC realizamos análisis de ámbito subjetivo para empresas que tienen dudas sobre si son o no sujetos obligados.

Las obligaciones concretas del sujeto obligado

Una vez determinada la condición de sujeto obligado, la Ley 10/2010 y el RD 304/2014 establecen un sistema de obligaciones escalonadas que el programa PBC/FT debe cubrir en su totalidad:

Diligencia debida ordinaria

Todo sujeto obligado debe identificar y verificar la identidad de sus clientes antes del inicio de la relación de negocio o antes de ejecutar operaciones ocasionales por importe superior a 1.000 euros (umbral reducido a 250 euros para entidades de pago). La verificación exige documentación original o equivalente —DNI/NIE/pasaporte para personas físicas, escritura de constitución e inscripción en el Registro Mercantil para personas jurídicas— y no puede sustituirse por la declaración del propio cliente.

La diligencia debida ordinaria incluye también conocer la naturaleza de la actividad del cliente, el origen de los fondos que van a utilizarse en la relación de negocio y la finalidad de la relación misma. Este conocimiento debe documentarse y actualizarse a lo largo de la relación.

Identificación del titular real

La identificación del titular real es la obligación que mayor número de incumplimientos genera y la que el SEPBLAC revisa con mayor rigor en sus inspecciones. El titular real es la persona física que en última instancia posee o controla al cliente: con carácter general, quien posee directa o indirectamente más del 25% del capital o de los derechos de voto.

En estructuras sencillas de sociedad limitada con dos o tres socios personas físicas, la identificación es relativamente directa. La complejidad aparece con las estructuras holding, las sociedades con accionariado disperso, las fundaciones, los fideicomisos, las estructuras con cuentas nominales o los beneficiarios de seguros de vida con estructuras de pago diferido. El Registro Mercantil español incorpora desde 2021 un libro de titulares reales que facilita la verificación, pero su consulta no exime al sujeto obligado de verificar activamente y documentar el resultado.

En los casos en que no sea posible identificar al titular real con certeza, debe hacerse constar expresamente en el expediente y, dependiendo del nivel de riesgo, puede ser necesario aplicar diligencia debida reforzada o rechazar la relación de negocio.

Diligencia debida reforzada: PEPs y jurisdicciones de riesgo

La diligencia debida reforzada es obligatoria cuando el cliente, el producto o la operación presentan un perfil de riesgo elevado. Los supuestos más frecuentes son:

• Personas políticamente expuestas (PEPs): cargos políticos de alto nivel, sus familiares directos y sus colaboradores cercanos. La definición de PEP incluye expresamente a los nacionales de terceros países y a los líderes de organizaciones internacionales. La diligencia reforzada para PEPs exige aprobación de la alta dirección para la apertura de la relación de negocio y monitoreo continuo de toda la relación.

• Clientes de jurisdicciones de riesgo: países incluidos en las listas del GAFI de jurisdicciones no cooperantes, en las listas europeas de países de alto riesgo, o en las listas de paraísos fiscales a efectos de la normativa PBC. La diligencia reforzada exige medidas adicionales de verificación del origen de los fondos y, según el nivel de riesgo, puede requerir visita presencial o confirmación por tercero verificado.

• Operaciones inusuales: operaciones cuyo volumen, naturaleza o estructura resulte inusual o injustificada desde una perspectiva económica o de negocio legítimo. Esta categoría es especialmente amplia y requiere que el compliance officer tenga criterio suficiente para identificar patrones inusuales.

Comunicación de operaciones sospechosas al SEPBLAC

La obligación de comunicar al SEPBLAC no requiere certeza sobre el blanqueo: basta con que existan indicios o sospechas razonables. La comunicación se realiza a través del sistema RCPBC del SEPBLAC y va acompañada de la obligación de confidencialidad hacia el cliente (prohibición de informarle de que se ha comunicado su operación, el denominado «tipping-off»).

El incumplimiento de la obligación de comunicar es una infracción grave bajo la Ley 10/2010. La comunicación protege al sujeto obligado frente a responsabilidad penal por cooperación en el delito de blanqueo, siempre que haya actuado de buena fe y con la diligencia debida.

Además de las comunicaciones individuales de operaciones sospechosas, los sujetos obligados deben realizar comunicaciones periódicas al SEPBLAC sobre determinados tipos de operaciones (declaraciones de movimientos de efectivo, comunicaciones sistemáticas en algunos sectores) con independencia de la existencia de sospecha.

El representante ante el SEPBLAC y el Órgano de Control Interno (OCI)

Todo sujeto obligado debe designar un representante ante el SEPBLAC con rango directivo suficiente. Este representante es el interlocutor en las inspecciones, el responsable de las comunicaciones al SEPBLAC y quien debe certificar el cumplimiento del programa PBC ante el regulador.

La normativa distingue entre el representante ante el SEPBLAC y el Órgano de Control Interno (OCI), que es el órgano interno —puede ser unipersonal o colegiado— responsable de la gestión operativa del programa PBC: revisar los expedientes de clientes, aprobar la aceptación de clientes de alto riesgo, investigar las alertas internas y decidir si se eleva una comunicación al SEPBLAC.

Para las empresas pequeñas o medianas, el representante ante el SEPBLAC y el responsable del OCI suelen ser la misma persona. Para las entidades más grandes, es recomendable separar ambas funciones y contar con un equipo de compliance AML con recursos específicos.

Unidad de cumplimiento AML vs. OCI externalizado: los sujetos obligados de mayor tamaño suelen optar por una unidad de cumplimiento interna especializada. Los de tamaño medio o pequeño, y especialmente los despachos profesionales (abogados, asesores fiscales), pueden externalizar las funciones del OCI a un proveedor especializado, manteniendo siempre la responsabilidad última y el representante ante el SEPBLAC en la propia entidad. BMC presta servicios de OCI externalizado y de representante ante el SEPBLAC para sujetos obligados que no disponen de estructura interna suficiente.

El SEPBLAC: registro, supervisión y obligaciones formales

El Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias (SEPBLAC) es la Unidad de Inteligencia Financiera (UIF) española, adscrita al Banco de España, con doble función: supervisar el cumplimiento de la normativa PBC/FT por parte de los sujetos obligados del sector no financiero y colaborar con el Ministerio del Interior y la Fiscalía en la investigación de delitos de blanqueo de capitales.

Obligaciones formales ante el SEPBLAC

Los sujetos obligados tienen, además de las obligaciones de diligencia debida y comunicación, un conjunto de obligaciones formales directas ante el SEPBLAC:

• Inscripción en el Registro de Sujetos Obligados: algunos sectores (especialmente los no supervisados por otro regulador sectorial) deben inscribirse en el registro habilitado por el SEPBLAC.
• Declaraciones periódicas: comunicaciones sistemáticas sobre determinados tipos de operaciones, con independencia de la existencia de sospecha.
• Disponibilidad en inspecciones: el sujeto obligado debe poner a disposición del SEPBLAC toda la documentación del programa PBC y los expedientes de clientes en el plazo requerido en la comunicación de inspección (que puede ser tan corto como 48 horas en inspecciones no anunciadas).
• Notificación de cambios en el representante: cualquier cambio en la persona designada como representante ante el SEPBLAC debe notificarse formalmente.

Inspecciones del SEPBLAC: qué revisan y cómo prepararse

Las inspecciones del SEPBLAC se han intensificado significativamente desde 2022, con un foco especial en los sectores identificados como deficientes por la evaluación mutua del GAFI: promotores inmobiliarios, asesores fiscales y contables, y prestadores de servicios a sociedades. Los documentos que el SEPBLAC solicita en toda inspección son, por orden de prioridad:

1. Evaluación de riesgos documentada y fechada
2. Manual de prevención del blanqueo actualizado (fecha de última revisión)
3. Expedientes de diligencia debida de los últimos tres años, con evidencia de verificación de titular real
4. Actas de formación del personal y los órganos de administración
5. Registro de operaciones sospechosas comunicadas al SEPBLAC (incluyendo las que finalmente se decidió no comunicar, con justificación documentada)
6. Documentación del representante ante el SEPBLAC y del OCI

La preparación para una inspección del SEPBLAC no es un proceso puntual: es el resultado de mantener el programa en condiciones de ser auditado en cualquier momento. BMC ofrece revisiones pre-inspección que identifican los gaps del programa y simulacros de inspección para preparar al personal y al representante.

La evaluación mutua del GAFI sobre España 2023: qué cambió

El Grupo de Acción Financiera Internacional (GAFI / FATF) publicó en 2023 su evaluación mutua de España, valorando el grado de implementación efectiva de las 40 Recomendaciones del GAFI. El informe reconoció fortalezas significativas —el marco jurídico es sólido, la investigación y el enjuiciamiento de delitos de blanqueo es activa— pero identificó deficiencias concretas con impacto directo sobre los sujetos obligados:

Sector de los asesores jurídicos y contables: el GAFI observó tasas de cumplimiento bajas en la aplicación de los controles KYC y en la comunicación de operaciones sospechosas. La justificación del secreto profesional como barrera a la comunicación fue identificada como un riesgo específico. Las organizaciones profesionales de abogados y economistas han recibido desde entonces instrucciones más claras sobre las obligaciones de sus colegiados.

Prestadores de servicios a sociedades: el GAFI señaló brechas en la verificación de titulares reales en las operaciones de constitución y modificación de sociedades, especialmente en los casos de uso de estructuras holding o administradores fiduciarios.

Supervisión basada en el riesgo: el GAFI recomendó que los supervisores sectoriales —incluido el SEPBLAC para los sectores no supervisados por otros reguladores— adoptaran un enfoque de supervisión más claramente basado en el riesgo, focalizando los recursos de inspección en los sujetos obligados y los tipos de operaciones de mayor exposición.

Como resultado de la evaluación, el SEPBLAC intensificó sus inspecciones, publicó nuevas guías de supervisión y elevó el nivel de exigencia en la calidad de la documentación de los expedientes KYC. Las empresas con programas PBC deficientes o desactualizados entraron desde 2023 en un entorno de riesgo sancionador significativamente mayor.

El paquete AML europeo 2024 y la AMLA: el nuevo escenario regulatorio

El paquete legislativo AML aprobado por el Parlamento Europeo y el Consejo en 2024 representa la reforma más profunda de la arquitectura anti-blanqueo europea desde la cuarta Directiva de 2015. Su impacto sobre los sujetos obligados españoles es sustancial:

Reglamento AML: aplicación directa en España

El nuevo Reglamento AML es un reglamento europeo —no una directiva— por lo que es de aplicación directa en todos los Estados miembros sin necesidad de transposición al ordenamiento nacional. Sus disposiciones sobre diligencia debida, identificación del titular real y requisitos de los programas internos serán directamente exigibles a los sujetos obligados españoles. Esto genera una superposición temporal con la Ley 10/2010 que los operadores deben gestionar cuidadosamente hasta que el legislador español actualice la ley nacional.

La AMLA: supervisión directa desde Frankfurt

La Anti-Money Laundering Authority (AMLA), con sede en Frankfurt, comenzará a operar en 2025 y ejercerá supervisión directa sobre las entidades financieras seleccionadas de mayor riesgo a partir de 2026. Los criterios de selección incluyen el volumen de operaciones transfronterizas, el perfil de riesgo del sector y la historia de incumplimientos previos. Para el resto de sujetos obligados —sector no financiero: inmobiliario, jurídico, contable, servicios a empresas— la AMLA ejercerá supervisión indirecta, coordinando a los supervisores nacionales y estableciendo normas técnicas de obligado cumplimiento.

Principales novedades normativas para los sujetos obligados

• Ampliación del ámbito subjetivo a los CASP: los proveedores de servicios de criptoactivos bajo el Reglamento MiCA pasan a ser sujetos obligados bajo el paquete AML, con las mismas obligaciones KYC y de comunicación al SEPBLAC que las entidades financieras tradicionales.

• Refuerzo de los requisitos de titularidad real: se establecen criterios más estrictos para la identificación del titular real en estructuras de múltiples capas, con umbrales y metodologías armonizados en toda la UE.

• Listas europeas de jurisdicciones de riesgo: la Comisión mantendrá listas de países de alto riesgo (con diligencia reforzada obligatoria) y de riesgo moderado (con medidas adicionales específicas), sustituyendo el actual mosaico de listas nacionales e internacionales.

• Requisitos mínimos armonizados para los programas internos: el Reglamento AML establece el contenido mínimo obligatorio de los programas PBC/FT, con normas técnicas de la AMLA que detallarán los procedimientos específicos. Esto facilitará la comparación entre supervisores de distintos países pero también elevará el nivel de exigencia de los programas menos desarrollados.

Compliance AML integrado: PBC, compliance penal y canal de denuncias

Un programa de compliance AML eficaz no puede diseñarse como un silo separado del resto del programa de cumplimiento de la empresa. Las sinergias con otros marcos regulatorios son evidentes:

El compliance penal (artículo 31 bis del Código Penal) y el programa PBC comparten la lógica de prevención: ambos buscan establecer controles que eviten que la empresa sea utilizada para actividades ilícitas y que, si ocurren, la empresa pueda demostrar que había adoptado medidas idóneas. El mapa de riesgos penales debe incorporar el riesgo de cooperación en el delito de blanqueo de capitales como uno de los riesgos prioritarios en muchos sectores.

El canal de denuncias exigido por la Ley 2/2023 (Whistleblowing) sirve simultáneamente como mecanismo de reporte interno de incumplimientos del programa PBC, de comunicación de sospechas de blanqueo que no alcanzan el umbral de comunicación obligatoria al SEPBLAC, y como canal de alerta para el OCI. Un canal bien diseñado permite integrar los tres flujos de información en un único sistema gestionado con los mismos estándares de confidencialidad y no represalia.

La protección de datos (RGPD/LOPDGDD) es también relevante: los expedientes KYC contienen datos personales de clientes y titulares reales cuyo tratamiento debe cumplir con el RGPD. La base jurídica del tratamiento (obligación legal bajo la Ley 10/2010), los plazos de conservación (diez años), las medidas de seguridad y los derechos de los interesados (limitados en el contexto PBC por la prohibición de tipping-off) deben estar correctamente documentados en el registro de actividades de tratamiento.

Resultados que puede esperar de un programa AML bien implementado

Un programa de compliance AML implementado correctamente produce resultados concretos y medibles:

• Superación de inspecciones del SEPBLAC sin incidencias sancionadoras, gracias a la calidad de la documentación y la preparación del personal.
• Reducción del riesgo de responsabilidad penal para administradores y directivos, al poder demostrar que la empresa adoptó medidas razonables de prevención del blanqueo.
• Acceso a clientes y contrapartes de mayor calidad: los grandes grupos empresariales y las entidades financieras exigen evidencia de programas PBC operativos antes de establecer relaciones de negocio.
• Confianza regulatoria: un historial de cumplimiento sólido con el SEPBLAC reduce la frecuencia e intensidad de las inspecciones futuras y facilita la resolución de consultas específicas.
• Preparación anticipada para el paquete AML europeo: un programa sólido hoy es la base más eficiente para adaptarse a los nuevos estándares de la AMLA sin necesidad de reconstruirlo desde cero.

En BMC nuestro equipo de compliance AML está formado por especialistas con experiencia en la implementación de programas PBC/FT en distintos sectores, en la defensa ante el SEPBLAC y en la representación de clientes en procedimientos penales por blanqueo de capitales. Contacte con nosotros para una revisión sin compromiso del estado de su programa.

Fuentes y Marco Normativo

• BOE — Ley 10/2010, de 28 de abril, de Prevención del Blanqueo de Capitales
• BOE — Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010
• SEPBLAC — Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales
• FATF/GAFI — Mutual Evaluation Report Spain 2023
• EUR-Lex — Sexta Directiva Anti-Blanqueo (6AMLD) Directiva (UE) 2018/1673
• EUR-Lex — Reglamento AMLA (UE) 2024/1620
• Ministerio de Economía — Secretaría General del Tesoro y Financiación Internacional