Externalización y confianza en terceros bajo el AMLR: qué puede salir del edificio y qué debe quedarse
El artículo 18 establece límites estrictos a la externalización de tareas de PBC/FT; los artículos 48 y 49 regulan la confianza en otros sujetos obligados. Qué tareas permanecen internas, qué deben contener los contratos y qué añadirán las Directrices previstas de la AMLA.
21 de septiembre de 2026. Correction: the AMLA guidelines on outsourcing and on reliance are due by 10 July 2027 and have not been consulted yet. Statuses and dates in this article were aligned with AMLA's publications (regulatory instruments overview of 4 September 2026, Single Programming Document 2026-2028). AMLA has published no final guideline yet; where an EBA guideline exists on a topic it continues to apply until AMLA replaces it.
Muchas entidades ejecutan parte de su programa de PBC/FT a través de centros de servicios de grupo o proveedores externos: verificación de identidad, cribado (screening), monitorización de transacciones e incluso la gestión de casos. El AMLR permite la externalización, pero el artículo 18 traza líneas que algunos acuerdos actuales sobrepasan.
Tareas que no pueden externalizarse
La evaluación de riesgos a nivel de toda la empresa, las funciones de cumplimiento (el responsable de cumplimiento y el oficial de cumplimiento), la aprobación de políticas y procedimientos, y las decisiones sobre si una transacción es sospechosa y debe comunicarse permanecen en manos del sujeto obligado. Un proveedor puede preparar el análisis; la decisión y la comunicación son responsabilidad suya.
Condiciones para lo que sí puede externalizarse
- Un acuerdo escrito que establezca las tareas, los estándares, el derecho de auditoría y el acceso del supervisor.
- El sujeto obligado sigue siendo responsable y debe poder demostrar control: supervisión del desempeño, comunicación de incidentes, planes de salida.
- La externalización a un proveedor en un tercer país requiere prestar atención a la protección de datos y a la capacidad del supervisor para obtener información.
- El supervisor debe ser informado cuando así lo exija el derecho nacional.
La confianza en terceros (reliance) es distinta de la externalización
Según los artículos 48 y 49, un sujeto obligado puede confiar en la diligencia debida con el cliente realizada por otro sujeto obligado, por ejemplo, un banco que confía en la identificación realizada por otro banco. La confianza en terceros es una relación entre dos sujetos obligados, ambos sometidos al AMLR; la externalización es una relación con un proveedor de servicios que actúa en su nombre. En ambos casos, la entidad que confía o que externaliza sigue siendo responsable, pero la documentación difiere: para la confianza en terceros, las Directrices sobre reliance especificarán qué debe recibirse y cuándo.
Borrador de Directrices de la AMLA
Se espera que las Directrices sobre externalización (artículo 18, apartado 8) y sobre confianza en terceros (artículo 50), ambas previstas para el 10 de julio de 2027 y aún no sometidas a consulta, establezcan expectativas sobre la diligencia debida previa a la celebración del acuerdo, sobre el riesgo de concentración cuando muchas entidades utilizan el mismo proveedor, y sobre la conservación de una copia del expediente del cliente por parte de la entidad que confía en el tercero.
Qué hacer ahora
- Elaborar un inventario de todas las tareas de PBC/FT realizadas por una entidad del grupo o un proveedor y clasificarlas: prohibida, externalización, confianza en terceros o mera tecnología.
- Revisar los acuerdos que carezcan de derechos de auditoría o de acceso del supervisor.
- Asegurarse de que la decisión de comunicar una transacción sospechosa sea tomada de forma demostrable por su propio personal.
El panel de seguimiento (dashboard) sigue ambas Directrices en el apartado de Gobernanza; el rastreador de preparación (readiness tracker) incluye bloques para la externalización y la confianza en terceros.