El primer paso no es comprar un manual

Prevención de blanqueo de capitales (PBC/FT) se suele presentar como una lista general de documentos. En España, la Ley 10/2010 define primero quién es sujeto obligado. El artículo 2 enumera entidades financieras y actividades profesionales o comerciales específicas; una pyme no queda incluida únicamente por tener empleados, clientes, facturación alta o presencia digital. La primera tarea es comparar la actividad real con la lista y condiciones legales. Solo si existe encaje se diseña un sistema de controles proporcionado. Esta puerta de entrada evita imponer medidas que no corresponden y también evita que un operador regulado ignore deberes por llamarse «consultora» o «marketplace».

Quién puede quedar sujeto obligado

La lista comprende, entre otros, entidades de crédito y pago, aseguradoras de vida, inversión, cambio de moneda, intermediación financiera, auditores, contables externos, asesores fiscales, abogados y procuradores en determinadas operaciones, notarios, registradores, determinados promotores y agentes inmobiliarios, comerciantes de bienes bajo reglas de importe y otras entidades expresamente enumeradas. Esta descripción es orientativa, no sustituto del artículo 2 completo. El encaje depende de qué actividad se realiza y en qué condición: una profesión puede estar cubierta solo al participar en ciertas operaciones, mientras que un servicio distinto de la misma persona puede no estarlo.

Comprobar la actividad, no solo el CNAE

El CNAE, objeto social o nombre comercial ayudan a describir el negocio, pero no resuelven por sí solos el alcance de la ley. Revisa contratos, servicios efectivamente prestados, quién recibe fondos, si se custodian activos, si se intermedian operaciones o si se actúa por cuenta de cliente. Una empresa que facilita anuncios inmobiliarios y otra que intermedia activamente en compras pueden tener roles distintos. El artículo 2.1.m incluye expresamente a los contables externos y asesores fiscales; para abogados y procuradores, el artículo 2.1.ñ delimita las operaciones que activan el régimen. Ley 10/2010, art. 2. Documenta la conclusión con el apartado legal aplicable y revisa si cambia el modelo de negocio.

Profesionales y operaciones cubiertas

Algunas profesiones están sujetas cuando participan en operaciones determinadas por cuenta de clientes, como compraventa de inmuebles o empresas, gestión de fondos, apertura de cuentas o creación de sociedades. No se debe afirmar que un abogado está sujeto en toda consulta jurídica ni que queda siempre exento por secreto profesional. Delimita tipo de operación, función y deber de comunicación según la ley. Si la actividad está cubierta, establece un procedimiento para identificar operaciones relevantes y separar servicios no incluidos, sin usar esa separación como pantalla para eludir obligaciones.

Comerciantes de bienes y umbrales

La ley incluye personas que comercian profesionalmente con bienes en los términos del artículo 38 y contempla umbrales y reglas sobre pagos en efectivo. No basta con que una tienda venda productos para aplicar sin más toda la normativa; debe comprobarse la categoría, el importe y las condiciones. Los cambios normativos pueden modificar umbrales, especialmente sobre medios de pago, así que no copies cifras antiguas de guías comerciales. Si la empresa maneja bienes de alto valor, efectivo o intermediación, contrasta artículo 2, artículo 38, desarrollo reglamentario y orientación vigente de SEPBLAC.

Distinguir sujeto obligado de sujeto de comunicación

La obligación de una sociedad de obtener, conservar y actualizar su propia información de titularidad real puede existir aunque no sea sujeto obligado del artículo 2. El artículo 4 bis de la Ley 10/2010 se aplica a las personas jurídicas allí indicadas y exige poner esa información a disposición del sujeto obligado con el que contraten. No confundas este deber de la entidad cliente con la diligencia debida que practica el profesional o entidad obligada. Ley 10/2010, art. 4 bis.

Una empresa puede tener deberes distintos bajo normativa sectorial, bancaria, tributaria o de sanciones sin ser sujeto obligado de la Ley 10/2010. También puede estar obligada a facilitar datos a un banco o cliente que sí tiene deberes de diligencia; eso no convierte automáticamente a la empresa proveedora en sujeto obligado. Separa: obligaciones propias por artículo 2, información que un tercero pide, y controles internos prudenciales. No uses el contrato de proveedor como evidencia legal suficiente para decidir el ámbito.

Una vez dentro: diligencia debida

La ley prevé medidas de diligencia debida como identificar formalmente al cliente, identificar al titular real, conocer propósito e índole de la relación y realizar seguimiento continuo cuando corresponda. No se ejecutan de forma idéntica en todos los casos: el nivel depende de tipo de cliente, país, producto, canal, importe y riesgo. Determina qué controles son normales, qué supuestos habilitan medidas simplificadas y cuáles exigen reforzadas. Registra por qué clasificaste el riesgo y qué documentos consultaste. Una casilla marcada «riesgo bajo» no basta si faltan indicadores o revisión.

Identificación del titular real

El titular real es la persona física que posee o controla una entidad o en cuyo nombre se realiza una operación, conforme a la definición legal. Recoger solo el representante que firma puede ser insuficiente. La compañía debe definir cómo identificar la cadena de propiedad, verificar datos y documentar discrepancias con registros públicos o declaración del cliente. En estructuras complejas, sociedades extranjeras o fideicomisos, identifica qué documentos son fiables y cuándo escalar. Los datos de titular real son sensibles: limita acceso, guarda evidencias de forma segura y observa protección de datos y conservación legal.

Enfoque basado en riesgo

El enfoque basado en riesgo permite ajustar medidas al peligro identificado, pero no permite omitir automáticamente controles básicos. Haz una evaluación del negocio: clientes y geografías, productos, operaciones, canales no presenciales, medios de pago y exposición a efectivo. Define indicadores de alerta y quién decide un examen adicional. Actualiza la evaluación cuando se abre un nuevo canal, se incorpora otro país o cambia el perfil de cliente. Evita formularios idénticos a entidades financieras si tu actividad es distinta; conserva una explicación concreta y proporcional.

Controles internos y responsable

La regla general exige designar representante ante SEPBLAC; si el sujeto obligado es empresario o profesional individual, el titular ejerce esa función. El artículo 31.1 del reglamento exime de designarlo a corredores de seguros y sujetos de los apartados i) a u) del artículo 2.1 de la Ley que, contando a sus agentes, tengan menos de 10 personas y cuyo volumen de negocios anual o balance general anual no supere 2 millones de euros. SEPBLAC aclara que la excepción deja de aplicarse si cualquiera de esas dos cifras supera el límite o si pertenecen a un grupo que lo exceda. RD 304/2014, art. 31.1 · SEPBLAC: medidas de control interno.

La exención de constituir órgano de control interno del artículo 35.2 usa otro umbral: para las categorías allí previstas, menos de 50 personas y volumen de negocios anual o balance general anual que no supere 10 millones de euros. La excepción no opera si cualquiera de las dos cifras o el grupo supera el límite. Cuando esa exención se aplica sin la del artículo 31.1, las funciones del órgano las ejerce el representante. Comprueba categoría, plantilla, cifras y grupo antes de preparar la propuesta de nombramiento. RD 304/2014, art. 35.2.

Manual, procedimientos y formación

Para los sujetos obligados que deben contar con procedimientos, el manual debe reflejar sus riesgos y operaciones: aceptación de clientes, identificación, titular real, vigilancia, alertas, comunicación por indicio, conservación, abstención cuando proceda y formación. No copies un texto de otra empresa sin adaptar sus canales, roles y productos. Define quién puede consultar expedientes y quién autoriza excepciones. La formación debe corresponder a funciones reales y dejar prueba de realización. Revisa actualizaciones normativas y comunica cambios a empleados pertinentes.

Conservación, privacidad y acceso

La ley impone conservar documentación relacionada con la diligencia debida y operaciones durante los plazos que establece. El sistema debe evitar tanto destrucción prematura como conservación indefinida sin base. Define inicio y fin del cómputo, bloqueo, acceso, protección, copia de seguridad y eliminación segura. Coordina la norma PBC/FT con RGPD y legislación de protección de datos: un interés de cumplimiento no convierte toda información del cliente en libremente accesible. No guardes copias de documentos personales en correos o dispositivos sin controles.

Examen externo: comprobar obligación y excepción

El artículo 28.4 de la Ley 10/2010 exceptúa del examen externo a empresarios y profesionales individuales. Por separado, el artículo 31.1 del reglamento exceptúa a determinados corredores de seguros y sujetos del artículo 2.1.i–u con menos de 10 personas cuyo volumen de negocios anual o balance general anual no supere 2 millones de euros. La cautela de no superar esos límites, también en el grupo, corresponde a esta segunda excepción por categoría y tamaño. La ley permite informes de seguimiento del experto en los dos años posteriores al informe completo. Verifica categoría, tamaño, volumen, grupo y desarrollo reglamentario antes de presupuestar o afirmar periodicidad. Ley 10/2010, art. 28 · RD 304/2014, arts. 31 y 38. Documenta qué versión del análisis aplica a la empresa y conserva informe, plan de medidas y seguimiento. Un asesor que ayuda a implantar controles no es automáticamente el experto independiente que la norma requiera; la independencia y competencia importan.

Comunicación por indicio y abstención

Cuando se detectan indicios o certeza de relación con blanqueo o financiación del terrorismo, los sujetos obligados tienen deberes de examen especial y comunicación, además de reglas de abstención o ejecución bajo condiciones. No se debe informar al cliente de una comunicación sospechosa, salvo los supuestos legales. El proceso debe limitar quién accede a la alerta y cómo se preserva evidencia. Un caso con posible delito requiere la coordinación interna prevista y consulta al responsable; no lo resuelvas con un correo informal ni divulgues sospechas.

SEPBLAC: trámites y canales

SEPBLAC publica materiales para sujetos obligados y canales de comunicación. La empresa debe consultar los trámites que correspondan a su clase, incluida la comunicación del representante cuando proceda y los medios de reporte. Comprueba autenticación, certificado y formulario actuales, porque el portal puede actualizarse. Evita enviar información personal o alertas por un buzón no oficial. Conserva el resguardo de envío y cualquier acuse, y confirma si la comunicación se entiende presentada.

Qué cambia al ser una pyme

La dimensión puede influir en medidas organizativas y posibles excepciones, pero no borra la condición de sujeto obligado cuando la actividad está enumerada. Una empresa pequeña necesita asignar responsabilidades, controles esenciales y formación compatibles con su volumen. No puede usar «somos pocos» para dejar sin identificar clientes o titular real si la ley lo exige. A la inversa, una microempresa ajena al artículo 2 no debería copiar cargas propias de un banco sin una razón legal. Registra ambas conclusiones.

Errores frecuentes

Los errores habituales son: aplicar una lista idéntica a todo comercio, basarse solo en CNAE, asumir que cualquier autónomo es sujeto obligado, ignorar una actividad accesoria regulada, no verificar quién es titular real, copiar un manual extranjero, no revisar los umbrales, no formar a quien opera y conservar datos sin reglas. También se confunde obligación del banco con obligación propia del proveedor. Una auditoría interna breve basada en artículos permite corregir el alcance antes de invertir en software o contratar una revisión externa.

Hoja de ruta en cuatro decisiones

Uno: identifica actividades y operaciones reales; dos: marca los apartados del artículo 2 y excepciones, obteniendo una conclusión documentada; tres: si eres sujeto obligado, mapea medidas legales, responsables, registros y comunicaciones a los riesgos; cuatro: programa revisión normativa y evaluación externa cuando proceda. La conclusión debe incluir responsables y fecha. Si el modelo de negocio cambia, reabre el análisis. SEPBLAC y el BOE son fuentes primarias para validar la lista y los procedimientos.

La decisión de ámbito debe tener expediente

Conserva una nota corta que describa actividad, operaciones, clientes y artículos que se evaluaron. Si concluyes que no eres sujeto obligado, identifica por qué las actividades no encajan y qué cambio del negocio obligaría a revisar la conclusión. Si sí lo eres, documenta categoría legal, fecha, responsable y medidas. Esto facilita auditoría, alta regulatoria y explicación a bancos o clientes. No guardes solo una captura de una página general: enlaza el texto consolidado, apartado exacto y su fecha.

Terceros que solicitan documentos AML

Bancos, grandes clientes y plataformas pueden pedir cuestionarios, estructura accionarial, identidad de titulares reales y políticas. Responde con información veraz, pero distingue solicitud contractual de deber legal propio. No inventes un manual si la empresa no está obligada; explica alcance y aporta controles existentes que correspondan. Si eres sujeto obligado, valida que el cuestionario no revele comunicaciones sospechosas o datos protegidos. Acordar canal seguro y finalidad reduce exposición de información personal.

Riesgos de operar por internet o con otros países

La prestación no presencial, uso de intermediarios, clientes de jurisdicciones de riesgo o productos de rápida transferencia pueden aumentar exposición y requerir controles reforzados si la empresa está sujeta. La evaluación no debe convertirse en prohibición genérica de clientes extranjeros. Define señales, verificación y nivel de escalado con fundamento legal. Actualiza la evaluación cuando se amplía a activos digitales o se empieza a custodiar fondos. El perfil de riesgo se revisa en función de operaciones reales y no por una etiqueta comercial.

Formación y responsabilidades del personal

Quienes aceptan clientes, gestionan cobros o revisan operaciones deben saber qué señales reportar y a quién. La formación debe ser específica al puesto, actualizada y registrada con fecha, asistentes y materiales. Evita enseñar solo definiciones abstractas: usa casos que no revelen alertas reales ni identifiquen clientes. El responsable debe evaluar que los controles se aplican y que un comercial no puede desactivar una alerta para cerrar una operación. La dirección conserva supervisión aunque delegue tareas.

Cambios regulatorios y revisión anual

La Ley 10/2010 recibió actualización publicada en marzo de 2026, por lo que conviene revisar el consolidado y no conservar un manual con referencias antiguas. Programa comprobación anual y por cambios de actividad, estructura o canal. Actualiza lista de sujetos, umbrales, procedimientos SEPBLAC y obligaciones de datos. Registra versión, responsable y fecha de aprobación. No cambies umbrales desde un blog de proveedores de software: confirma en BOE y SEPBLAC.

Señales de alerta y examen especial

Las señales de alerta ayudan a revisar una operación, pero ninguna lista determina automáticamente que existe blanqueo. En un sujeto obligado, un indicio activa análisis documentado y, si procede, examen especial y comunicación. Identifica propietario real, origen de fondos, patrón, urgencia y falta de lógica económica. Protege el secreto de la comunicación y evita informar al cliente. La decisión se eleva al órgano competente y se guarda según el procedimiento.

Relación con protección de datos

La recogida AML debe ser necesaria para cumplir obligación; minimiza datos y restringe uso a finalidades legalmente permitidas. Define acceso, retención, información al cliente y bloqueo si hay comunicación sospechosa. Coordina delegado de protección de datos y responsable AML sin compartir expedientes más allá de lo necesario. La conservación puede prevalecer sobre supresión ordinaria dentro de límites legales, pero no habilita guardar todo indefinidamente.

Debida diligencia sobre personas políticamente expuestas

La Ley establece medidas específicas para personas con responsabilidad pública y familiares o allegados. Los controles se basan en riesgo y la condición puede mantenerse durante periodo legal después de dejar el cargo. No conviertas coincidencia de nombre en clasificación definitiva; valida identidad con fuentes fiables y trata falsos positivos. Obtén aprobación de alto nivel cuando corresponda y conserva razonamiento. El cliente debe recibir tratamiento respetuoso sin revelar una alerta interna.

Comprobación normativa y fuentes

  • La Ley 10/2010 establece una lista legal de sujetos obligados por actividad y condición en el artículo 2; no toda pyme o autónomo queda sujeto por el solo hecho de operar en España. Fuente primaria.

  • Los sujetos obligados deben graduar la diligencia debida según el riesgo y documentar por escrito el análisis que justifica las medidas aplicadas. Ley 10/2010, art. 7.

  • Las medidas simplificadas de diligencia debida solo proceden en los supuestos y condiciones reglamentarios y tras comprobar que el riesgo es reducido. Ley 10/2010, art. 9.

  • SEPBLAC publica las categorías, obligaciones y trámites de los sujetos obligados; cada operador debe consultar los procedimientos que correspondan a su actividad. SEPBLAC: sujetos obligados.

  • El RD 304/2014 exime de designar representante a corredores de seguros y sujetos del artículo 2.1.i–u con menos de 10 personas cuyo volumen de negocios anual o balance general anual no supere 2 millones de euros; no se aplica si cualquiera de las dos cifras o el grupo supera el límite. RD 304/2014, art. 31.1 · SEPBLAC: medidas de control interno.

  • Los sujetos obligados conservan durante diez años la documentación que formaliza el cumplimiento de la Ley 10/2010. Transcurridos cinco años desde la terminación de la relación de negocios o la operación ocasional, su acceso queda limitado conforme al artículo 25. Fuente primaria.

Recursos relacionados

Puedes consultar más guías en el centro de recursos jurídicos. Para revisar un expediente o una situación propia, accede al servicio jurídico.

Preguntas frecuentes

¿Qué negocios son sujetos obligados por la Ley 10/2010?

La Ley 10/2010 contiene una lista de sujetos obligados en su artículo 2: incluye sectores financieros y ciertas actividades profesionales o empresariales, con alcance y excepciones propios. No todas las sociedades están obligadas por ser empresas; identifica la actividad concreta y el supuesto legal antes de diseñar medidas.

¿Qué medidas simplificadas dependen del riesgo y actividad?

Los sujetos obligados aplican medidas de diligencia debida, control interno y conservación según su actividad y riesgo. La ley admite medidas simplificadas en los supuestos tasados y permite modular controles mediante el análisis de riesgo; documenta por qué un nivel de diligencia resulta adecuado para el cliente y la operación.

¿Cuándo se necesita un manual, representante o examen externo?

Depende de la categoría y el tamaño. El artículo 31.1 del RD 304/2014 exime de designar representante y de manual a corredores de seguros y sujetos del artículo 2.1.i–u con menos de 10 personas, incluidos agentes, cuyo volumen de negocios anual o balance general anual no supere 2 millones de euros. Si cualquiera de las dos cifras o el grupo supera el límite, no hay exención. El órgano interno tiene otra excepción en el artículo 35.2; el examen externo, en el artículo 28.4 de la Ley y el 31.1 del reglamento. La diligencia debida sigue siendo exigible.

¿Qué documentación debe conservarse y por cuánto tiempo?

La documentación que formaliza las obligaciones de prevención se conserva diez años. A partir de cinco años desde el fin de la relación de negocio o de la operación ocasional, el acceso queda limitado en los términos legales. Este deber corresponde a sujetos obligados y se refiere a documentación cubierta por la ley; aplica además las reglas de protección de datos. Artículo 25 de la Ley 10/2010.