KYC para abogados: cómo cumplir la Ley 10/2010 sin morir en el intento

Casi ningún despacho incumple la Ley 10/2010 por ignorancia. Se la sabe. Lo que falla es el calendario: el cliente firma, el asunto arranca, la compraventa avanza, y tres semanas después alguien recuerda que falta el pasaporte del comprador y el certificado de titularidad real de la sociedad que va a escriturar. Entonces empieza la persecución. Correos que no se contestan, un WhatsApp con una foto borrosa del DNI por la cara que no toca, un formulario que vuelve sin firmar.

De ahí sale casi todo el dolor. Y de ahí sale también la única opinión de este artículo: la diligencia debida se hace antes de la hoja de encargo, no después. No por pureza normativa, sino por apalancamiento. Un cliente al que le falta un documento para que empiece su asunto lo manda esa misma tarde; un cliente cuyo asunto ya está en marcha lo manda cuando puede.

El resto de este texto es el procedimiento. Si busca la explicación de qué obliga la ley y por qué, está en el artículo sobre KYC y prevención de blanqueo y, más despacio, en la guía de cumplimiento de la Ley 10/2010.

Primero: decida si el asunto entra

Antes de pedir un solo documento, conteste una pregunta binaria: ¿este encargo está en la lista del artículo 2.1.ñ? Compraventa de inmuebles o de entidades, gestión de fondos o valores, apertura de cuentas, aportaciones para constituir sociedades, creación o dirección de sociedades y estructuras análogas. También cuando actúe por cuenta del cliente en operaciones financieras o inmobiliarias.

Si no está, no hay sujeto obligado. Un despido, una defensa penal, un dictamen sobre la posición jurídica de alguien: fuera.

Escriba la respuesta en el expediente. Una línea basta: «Encargo dentro / fuera del ámbito del art. 2.1.ñ por [motivo], [fecha], [quién lo decide]». Ese renglón es lo que le va a salvar dentro de seis años, cuando nadie recuerde por qué aquel asunto no tenía carpeta KYC.

Las cinco preguntas, con su artículo

La diligencia debida no es un formulario, son cinco obligaciones y cada una vive en su artículo. Conviene saber cuál es cuál, porque un requerimiento se lo van a citar así.

Artículo 3 — Identificación formal. Quién es, acreditado con documento fehaciente, antes de establecer la relación. Prohibidas las cuentas anónimas o con nombre supuesto.

Artículo 4 — Titular real. Si detrás hay una persona jurídica, quién la controla en última instancia. El umbral de referencia es más de un 25% del capital o de los derechos de voto, directa o indirectamente, y también quien controle por otros medios. La verificación debe hacerse antes de establecer la relación de negocios.

Artículo 5 — Propósito e índole. Para qué le contrata y qué actividad profesional o empresarial desarrolla. No es una casilla: es la referencia contra la que después se juzga si una operación encaja o no.

Artículo 6 — Seguimiento continuo. La relación se vigila mientras dura, y los documentos se mantienen actualizados. Un pasaporte caducado en 2027 deja de acreditar nada.

Artículo 7 — Enfoque de riesgo. Las medidas se gradúan según el riesgo, pero el artículo 7 también dice lo contrario de lo que muchos leen: cuando aparezcan indicios de blanqueo, se aplican todas las medidas, sin graduación posible.

Qué pedir, por tipo de cliente

Esta es la parte que ningún manual escribe y que todo despacho acaba improvisando. Cuatro listas cubren el 95% de los casos.

Persona física española. DNI o NIE en vigor, por las dos caras. Domicilio actual. Actividad profesional. Origen de los fondos cuando la operación lo justifique.

Persona física extranjera. Pasaporte en vigor —la página biográfica completa, legible, no una foto en diagonal— y, si reside en España, TIE o certificado de registro. NIE si la operación lo exige. Aquí es donde se pierde más tiempo: un cliente británico, uno marroquí y uno argentino traen tres documentos distintos con tres formatos distintos, y el despacho que no tiene decidido de antemano qué acepta de cada país acaba decidiéndolo por WhatsApp, cliente a cliente.

Sociedad española. Escritura de constitución y estatutos vigentes. CIF. Nota simple del Registro Mercantil reciente. Documento de identidad del administrador y acreditación de su cargo. Y la declaración de titularidad real, con el documento de identidad de cada titular por encima del 25%.

Sociedad extranjera. Lo mismo, más el problema de verdad: acreditar la cadena de control cuando una limited cuelga de un holding que cuelga de un fideicomiso. Pida el organigrama societario por escrito y firmado por quien pueda responder de él. Un certificado de titularidad real emitido en un país sin registro público equivalente no vale lo mismo que uno español, y conviene que su expediente diga que usted lo sabía.

Un detalle operativo que ahorra semanas: pida todo de una vez, con la lista concreta y la razón de cada documento, en el idioma del cliente. Tres correos pidiendo un papel cada uno tardan un mes. Uno pidiendo cinco tarda cuatro días.

Cuando el riesgo sube: artículo 14 y no residentes

El artículo 14 regula las personas con responsabilidad pública —los PEP— y ahí la diligencia se refuerza de tres maneras concretas: hace falta autorización de un nivel directivo para iniciar o mantener la relación, hay que determinar el origen del patrimonio y de los fondos, y el seguimiento se intensifica. Alcanza también a familiares y allegados.

Para un despacho con clientela internacional, el supuesto que más se repite no es el PEP sino el no residente, y ahí la clave es tenerlo decidido antes: qué se pide de más, quién autoriza y con qué frecuencia se revisa. Reforzar la diligencia no significa desconfiar de nadie. Significa tener un procedimiento en vez de un criterio distinto cada martes.

Lo que hay que escribir, y no se escribe

Si una operación no encaja —un precio raro, una estructura sin lógica, un empeño extraño en pagar de determinada manera—, el artículo 17 exige un examen especial: parar, analizar y dejar constancia escrita del análisis y de su resultado. Si del examen sale indicio, el artículo 18 obliga a comunicarlo al SEPBLAC, y está prohibido avisar al cliente.

El fallo típico no es dejar de examinar. Es examinar mentalmente y no escribirlo. Un despacho que analizó una operación, concluyó que era normal y no dejó rastro tiene, a efectos de una inspección, exactamente el mismo expediente que uno que no miró.

Dos párrafos bastan: qué le llamó la atención, qué comprobó, qué concluyó, quién y cuándo.

Qué tiene que contener el expediente

Todo lo anterior converge en una carpeta. Si un inspector la abriera mañana, o un socio que no estaba cuando se creó tuviera que defenderla, tendría que encontrar seis cosas y ninguna más:

1. La decisión de ámbito. La línea del artículo 2.1.ñ: dentro o fuera, por qué, cuándo y quién.
2. La identificación de cada interviniente, en documento vigente y legible (art. 3).
3. La titularidad real, con la cadena de control cuando hay sociedades por medio, y el documento de identidad de cada titular por encima del 25% (art. 4).
4. El propósito y la actividad del cliente, escritos con sus palabras, no deducidos (art. 5).
5. El resultado del cribado de sanciones y PEP, con fecha y con qué se cribó. Un cribado sin fecha no acredita nada; lo que importa es que se hizo antes.
6. Los exámenes especiales, si los hubo, y la autorización directiva si el cliente era PEP o el riesgo alto (arts. 14 y 17).

Fíjese en lo que no está en la lista: la valoración de riesgo no es un documento que se archiva y se olvida, sino la etiqueta que decide con qué frecuencia se revisa todo lo demás (art. 6). Un expediente KYC cerrado en 2026 y jamás vuelto a abrir es un expediente incompleto en 2029, por muy bien montado que naciera.

Diez años, y lo que eso significa de verdad

El artículo 25 fija la conservación en diez años desde el fin de la relación de negocios o de la operación. Además exige que, pasados cinco años, la documentación se mantenga con acceso restringido a quien tenga responsabilidad en la prevención.

Diez años es más que la vida útil de un ordenador, más que dos mudanzas de despacho y más que unas cuantas rotaciones de plantilla. La pregunta práctica no es «¿lo tengo?», sino «¿lo va a encontrar alguien que no estaba aquí cuando se guardó?». Si el pasaporte del cliente vive en el correo de un abogado que se fue en 2028, la obligación sigue existiendo; lo que ya no existe es la posibilidad de cumplirla. Y conservar diez años no exime del RGPD: el mismo expediente que la Ley 10/2010 obliga a guardar está sujeto a las obligaciones de protección de datos del despacho — acceso restringido, cifrado y supresión cuando el plazo vence.

Y el artículo 26 pide políticas y procedimientos escritos, formación y control interno, modulados por el reglamento —el Real Decreto 304/2014— según el tamaño del sujeto obligado. Un despacho de tres personas no necesita el manual de un banco. Necesita el suyo, corto, y necesita poder demostrar que lo aplica.

Qué parte de esto resuelve una herramienta

Conviene ser preciso, porque aquí se sobrevende mucho.

Un buen sistema resuelve la logística: pedir a cada cliente los documentos que corresponden a su nacionalidad y en su idioma, mantener el estado de cada verificación a la vista, cribar sanciones al dar de alta, y guardar el expediente KYC pegado al asunto y a la ficha del cliente en vez de repartido por tres bandejas de entrada. En Mandato eso está en todos los planes, incluido el más barato, porque cobrar el cumplimiento como extra nos parecía difícil de defender.

Lo que ninguna herramienta hace: valorar el riesgo por usted, decidir si acepta al cliente, redactar el examen especial del artículo 17, comunicar al SEPBLAC o escribirle el manual del artículo 26. Ese juicio es indelegable y sigue siendo del despacho. Y la verificación documental de identidad —comprobar que un pasaporte es auténtico— es un servicio aparte que conviene no dar por incluido en ningún sitio.

Por dónde empezar esta tarde

No hace falta un proyecto. Hace falta una lista de admisión y una decisión de secuencia.

Escriba las cuatro listas de arriba adaptadas a los países de los que le llegan clientes. Póngalas donde se abre un asunto nuevo, no en una carpeta compartida. Y mueva el momento: la carpeta KYC se completa antes de la hoja de encargo.

Ese cambio de orden no le va a quitar trabajo la primera semana. Le va a quitar las persecuciones, que es donde estaba el tiempo.