Cómo elegir una solución AML: criterios de evaluación y checklist
Guía de evaluación de soluciones antiblanqueo (PBC/FT): 12 criterios esenciales, checklist de selección y cuadro de puntuación para empresas.
Resumir este artículo con
ChatGPT
Claude
Perplexity
Gemini
GrokElegir una solución AML (Anti-Money Laundering) consiste en evaluar las plataformas de prevención del blanqueo de capitales y la financiación del terrorismo (PBC/FT) según su capacidad para detectar operaciones sospechosas, filtrar listas de sanciones, asegurar la monitorización transaccional y producir las comunicaciones regulatorias. El SEPBLAC y el Banco de España han incrementado significativamente las sanciones por incumplimiento de las obligaciones PBC/FT, una tendencia que refleja un endurecimiento estructural del control, no un pico coyuntural.
Esta severidad creciente sitúa a los responsables de cumplimiento ante una decisión de alto impacto: la solución AML elegida condiciona la capacidad de la empresa para detectar, comunicar y demostrar su diligencia durante 5 a 10 años. Esta guía propone un marco de evaluación estructurado: 12 criterios ponderados, 30 preguntas para los proveedores, un cuadro de puntuación y una metodología de selección en 5 etapas. Para una visión de conjunto sobre el cumplimiento documental, consulte nuestra guía de conformidad documental.
Por qué una solución AML dedicada se ha vuelto indispensable
La presión regulatoria se acelera
El marco regulatorio europeo antiblanqueo sufre una transformación importante entre 2024 y 2027. La directiva AMLD6 (6.ª directiva antiblanqueo), adoptada en 2024, aporta tres cambios fundamentales:
- Creación de la AMLA (Anti-Money Laundering Authority): la autoridad europea de supervisión directa, con sede en Fráncfort, supervisará directamente las 40 entidades financieras de mayor riesgo desde 2028 y fijará los estándares técnicos para el conjunto de las entidades obligadas.
- Ampliación del perímetro: los agentes inmobiliarios, los comerciantes de bienes de lujo, los clubes de fútbol profesional y las plataformas cripto entran en el ámbito de las obligaciones PBC/FT.
- Armonización de las reglas: el reglamento AMLR (Anti-Money Laundering Regulation), directamente aplicable en todos los Estados miembros, sustituye la transposición nacional y elimina las divergencias de interpretación.
Los límites de los enfoques manuales y artesanales
Las empresas que gestionan su cumplimiento AML con hojas de cálculo Excel, procesos manuales o módulos integrados en su ERP alcanzan un techo operacional. Tres síntomas lo señalan:
- Tasa de falsos positivos superior al 90 % en el filtrado de listas de sanciones. Es la media constatada por el Wolfsberg Group en los sistemas basados en reglas simples. Cada alerta requiere de 15 a 30 minutos de procesamiento manual.
- Incapacidad para detectar esquemas complejos: el blanqueo por estructuración (smurfing), las sociedades pantalla en cascada y los montajes con criptoactivos escapan a los controles basados en umbrales fijos.
- No conformidad del reporting: el SEPBLAC exige comunicaciones por indicio estructuradas, con marca temporal y trazables. Un proceso manual no garantiza ni la completitud ni la trazabilidad exigidas durante una inspección del Banco de España.
Los 12 criterios esenciales de una solución AML
Cada criterio se evalúa en una escala de 1 a 5 y se pondera según su impacto en el cumplimiento y la eficiencia operativa.
Criterio 1: filtrado de listas de sanciones y PEP (ponderación: 15 %)
El filtrado es la base de toda solución AML. Compara los clientes y las contrapartes con las listas de sanciones internacionales (UE, OFAC, ONU, HM Treasury) y las bases de personas políticamente expuestas.
Lo que hay que evaluar:
- Número de listas cubiertas (mínimo: 1 500 listas, 200+ jurisdicciones)
- Frecuencia de actualización (estándar: diaria; óptimo: tiempo real)
- Algoritmo de fuzzy matching (gestiona variantes ortográficas, transliteraciones, alias)
- Tasa de falsos positivos (benchmark: <5 % tras parametrización)
- Capacidad de whitelisting documentado y auditable
Puntuación 5/5: cobertura exhaustiva, actualización en tiempo real, fuzzy matching avanzado con scoring de pertinencia, falsos positivos <3 % tras calibración.
Criterio 2: monitorización transaccional (ponderación: 15 %)
La monitorización transaccional analiza los flujos financieros para detectar las operaciones sospechosas. Es el criterio que más diferencia a las soluciones entre sí.
Lo que hay que evaluar:
- Número de escenarios de detección preconfigurados (mínimo: 50 escenarios estándar)
- Capacidad para crear escenarios personalizados (editor de reglas visual vs desarrollo a medida)
- Detección de esquemas complejos (estructuración, layering, round-tripping)
- Tiempo de procesamiento (análisis en tiempo real vs batch diario)
- Tasa de detección sobre las tipologías publicadas por el SEPBLAC y el GAFI
Puntuación 5/5: 100+ escenarios preconfigurados, editor de reglas no-code, detección en tiempo real, cobertura de las tipologías GAFI y SEPBLAC.
Criterio 3: gestión de alertas y workflow de investigación (ponderación: 12 %)
Una solución que genera alertas sin proporcionar un workflow de investigación estructurado crea más problemas de los que resuelve. El volumen de alertas diario en un banco de tamaño medio alcanza las 200 a 500 al día — sin una herramienta de triaje eficaz, los analistas se ahogan.
Lo que hay que evaluar:
- Scoring y priorización automática de alertas
- Interfaz de investigación con vista consolidada (cliente, transacciones, documentos, historial)
- Workflow parametrizable (niveles de escalado, plazos, asignación automática)
- Pista de auditoría de cada decisión (quién procesó, qué decisión, en qué fecha)
- Productividad esperada: número de alertas procesadas por analista al día (benchmark: 40-60)
Criterio 4: cobertura regulatoria y reporting (ponderación: 12 %)
La solución debe producir las comunicaciones e informes exigidos por los reguladores sin reprocesamiento manual.
Lo que hay que evaluar:
- Generación automática de comunicaciones por indicio (formato SEPBLAC en España)
- Reporting regulatorio periódico (cuestionario Banco de España, informe anual PBC/FT)
- Cobertura multijurisdiccional (SAR para UK, STR para países GAFI)
- Registro de operaciones sospechosas no comunicadas (archivo con justificación)
- Adaptabilidad a las evoluciones regulatorias (plazo de actualización post-publicación de un texto)
Criterio 5: evaluación de riesgos del cliente (ponderación: 10 %)
El enfoque basado en riesgos (Risk-Based Approach) es el eje central de AMLD6. La solución debe permitir clasificar a los clientes según su nivel de riesgo y adaptar la diligencia debida en consecuencia.
Lo que hay que evaluar:
- Modelo de scoring de riesgo parametrizable (factores cliente, geográficos, producto, canal)
- Número de niveles de riesgo (mínimo: 3 — bajo, medio, alto; óptimo: 5 niveles con granularidad)
- Reclasificación automática en función de eventos (transacción sospechosa, cambio de país, inscripción en una lista)
- Documentación de la metodología (exigida por el Banco de España durante las inspecciones in situ)
Criterio 6: conocimiento del cliente y diligencia debida (ponderación: 8 %)
Más allá del KYC inicial, la solución AML debe gestionar los niveles de diligencia debida: simplificada (SDD), estándar (CDD) y reforzada (EDD).
Lo que hay que evaluar:
- Automatización de la recopilación documental según el nivel de riesgo
- Verificación de los titulares reales (UBO) con umbral del 15 % (AMLD6)
- Gestión de estructuras complejas (cadenas de participación, trusts, fundaciones)
- Revisión periódica automatizada (activación por nivel de riesgo y antigüedad)
Criterio 7: inteligencia artificial y machine learning (ponderación: 8 %)
La IA en el AML ya no es marketing. Los reguladores (EBA, Banco de España) alientan explícitamente su uso para reducir los falsos positivos y detectar nuevos esquemas de blanqueo.
Lo que hay que evaluar:
- Tipo de modelos utilizados (supervisado, no supervisado, redes neuronales de grafos)
- Explicabilidad de las decisiones (obligación regulatoria: cada alerta debe ser justificable)
- Capacidad de aprendizaje sobre sus datos (modelo preentrenado vs fine-tuning)
- Reducción de falsos positivos medida (benchmark: 40 a 70 % de reducción vs reglas simples)
- Detección de anomalías sin escenario predefinido (esencial para las nuevas tipologías)
Criterio 8: integración técnica y API (ponderación: 7 %)
La solución AML debe integrarse en un ecosistema existente: core banking, CRM, sistemas de pago, herramientas de gestión documental.
Lo que hay que evaluar:
- API REST documentada con versionado
- Conectores nativos (SWIFT, SEPA, core banking principales)
- Capacidad de procesamiento (número de transacciones por segundo)
- Tiempo de integración medio (benchmark: 8 a 16 semanas)
- Soporte de formatos de datos estándar (ISO 20022, XML, JSON)
Criterio 9: gestión de datos y confidencialidad (ponderación: 5 %)
Los datos AML están entre los más sensibles de la empresa. Su tratamiento está regulado por el RGPD/LOPDGDD y las normativas sectoriales.
Lo que hay que evaluar:
- Localización de los datos (alojamiento en la UE obligatorio para datos de residentes europeos)
- Cifrado en reposo y en tránsito (AES-256 mínimo)
- Gestión de los plazos de conservación (10 años tras el fin de la relación de negocio según la Ley 10/2010)
- Derecho al olvido vs obligación de conservación (gestión de la tensión entre RGPD Art. 17 y Ley 10/2010)
- Certificación de seguridad (ISO 27001, SOC 2 Type II)
Criterio 10: escalabilidad (ponderación: 3 %)
La solución debe acompañar el crecimiento de la actividad sin degradación de rendimiento ni sobrecoste desproporcionado.
Lo que hay que evaluar:
- Arquitectura cloud-native vs on-premise (impacto en la escalabilidad)
- Coste marginal por transacción a volumen creciente
- Capacidad multientidad (gestión de varias filiales, marcas, jurisdicciones)
- Rendimiento documentado a diferentes escalas de volumen
Criterio 11: soporte y acompañamiento (ponderación: 3 %)
El soporte va más allá del ámbito técnico. Un proveedor AML debe proporcionar acompañamiento regulatorio continuo.
Lo que hay que evaluar:
- Disponibilidad del soporte (24/7, horario laboral, días laborables únicamente)
- Idioma del soporte (español indispensable para las interacciones con el SEPBLAC)
- Vigilancia regulatoria incluida (alertas sobre evoluciones, actualización de escenarios)
- Customer Success Manager dedicado (a partir de qué umbral de facturación)
Criterio 12: coste total de propiedad (ponderación: 2 %)
El TCO de una solución AML supera ampliamente el coste de licencia. Consulte nuestro artículo sobre software de cumplimiento PBC/FT para un benchmark tarifario detallado.
Lo que hay que evaluar:
- Estructura tarifaria (por transacción, por usuario, cuota anual)
- Costes de integración y parametrización inicial
- Costes de mantenimiento y actualización (incluidos o facturados aparte)
- Costes de formación (inicial y continua)
- Coste de salida (migración de datos, reversibilidad contractual)
Checklist de selección: las 30 preguntas para los proveedores
Funcionalidades y detección (10 preguntas)
- ¿Cuántas listas de sanciones y de PEP cubren, y cuál es la frecuencia de actualización?
- ¿Su algoritmo de fuzzy matching gestiona las transliteraciones árabe-latín y los caracteres chinos?
- ¿Cuántos escenarios de monitorización transaccional están preconfigurados, y se pueden crear nuevos sin desarrollo?
- ¿Cuál es su tasa de falsos positivos medida en clientes comparables a nuestro perfil?
- ¿Sus modelos de IA son explicables en el sentido de las EBA Guidelines on the Use of ML (EBA/GL/2024/06)?
- ¿Detectan las operaciones en criptoactivos y las transferencias cross-chain?
- ¿Cómo gestionan la detección de titulares reales en estructuras multinivel?
- ¿Cuál es su cobertura de las tipologías de blanqueo publicadas por el SEPBLAC en sus informes anuales?
- ¿Ofrecen detección de anomalías no supervisada (complementaria a los escenarios basados en reglas)?
- ¿Cómo gestionan el batch screening vs el screening en tiempo real, y cuál es la latencia?
Cumplimiento y reporting (8 preguntas)
- ¿Generan automáticamente las comunicaciones por indicio en formato SEPBLAC?
- ¿Producen los elementos necesarios para el cuestionario anual del Banco de España (sección PBC/FT)?
- ¿Cuál es su plazo medio de actualización tras la publicación de un nuevo texto regulatorio?
- ¿Cubren las especificidades de AMLD6 (umbral UBO 15 %, registros centralizados, AMLA)?
- ¿Cómo documentan la pista de auditoría para cada alerta procesada?
- ¿Soportan las comunicaciones multijurisdiccionales (SAR UK, STR, etc.)?
- ¿Cuál es su enfoque de la gestión de las tensiones RGPD vs obligaciones de conservación PBC/FT?
- ¿Proporcionan informes de actividad PBC/FT listos para presentar al consejo de administración?
Técnica e integración (7 preguntas)
- ¿Su API está documentada en OpenAPI 3.0+ con entorno de sandbox?
- ¿Qué conectores nativos ofrecen (core banking, CRM, sistemas de pago)?
- ¿Cuál es el tiempo de integración medio observado en sus clientes?
- ¿Cuál es su capacidad de procesamiento (transacciones por segundo) y su SLA de disponibilidad?
- ¿Dónde se alojan los datos, y ofrecen alojamiento soberano europeo?
- ¿Disponen de certificaciones ISO 27001 y/o SOC 2 Type II?
- ¿Cómo gestionan las actualizaciones de versión sin interrupción de servicio?
Comercial y soporte (5 preguntas)
- ¿Cuál es su estructura tarifaria y cómo evoluciona el coste a volumen creciente?
- ¿Cuál es el coste de integración, formación y migración incluido o facturado aparte?
- ¿Ofrecen un Customer Success Manager dedicado y soporte en español?
- ¿Cuáles son las condiciones de reversibilidad y portabilidad de los datos al fin del contrato?
- ¿Cuál es el plazo de rescisión y las penalizaciones contractuales en caso de salida anticipada?
Cuadro de puntuación: evalúe las soluciones en paralelo
Utilice este modelo para puntuar cada solución evaluada. Multiplique la puntuación (1 a 5) por la ponderación para obtener una puntuación ponderada. La puntuación total máxima es de 500.
| Criterio | Ponderación (%) | Solución A (punt. × pond.) | Solución B (punt. × pond.) | Solución C (punt. × pond.) |
|---|---|---|---|---|
| 1. Filtrado sanciones/PEP | 15 | ___ / 75 | ___ / 75 | ___ / 75 |
| 2. Monitorización transaccional | 15 | ___ / 75 | ___ / 75 | ___ / 75 |
| 3. Gestión de alertas | 12 | ___ / 60 | ___ / 60 | ___ / 60 |
| 4. Cobertura regulatoria | 12 | ___ / 60 | ___ / 60 | ___ / 60 |
| 5. Evaluación de riesgos | 10 | ___ / 50 | ___ / 50 | ___ / 50 |
| 6. Diligencia debida (KYC/KYB) | 8 | ___ / 40 | ___ / 40 | ___ / 40 |
| 7. IA y machine learning | 8 | ___ / 40 | ___ / 40 | ___ / 40 |
| 8. Integración técnica | 7 | ___ / 35 | ___ / 35 | ___ / 35 |
| 9. Datos y confidencialidad | 5 | ___ / 25 | ___ / 25 | ___ / 25 |
| 10. Escalabilidad | 3 | ___ / 15 | ___ / 15 | ___ / 15 |
| 11. Soporte | 3 | ___ / 15 | ___ / 15 | ___ / 15 |
| 12. TCO | 2 | ___ / 10 | ___ / 10 | ___ / 10 |
| Total | 100 | ___ / 500 | ___ / 500 | ___ / 500 |
Umbrales de decisión:
- Puntuación >400: solución madura y completa, a privilegiar
- Puntuación 300-400: solución sólida con ejes de mejora identificados
- Puntuación 200-300: solución parcial, necesita complementos o solo conviene para necesidades limitadas
- Puntuación <200: solución inadecuada para las exigencias AML de una entidad obligada
Las trampas clásicas de la elección de una solución AML
Trampa 1: el lock-in tecnológico
Algunos proveedores dificultan voluntariamente la migración: formatos de datos propietarios, ausencia de exportación estandarizada de los históricos de auditoría, escenarios de detección no portables. El coste de migración de una solución AML se sitúa entre 50 000 y 300 000 € para una empresa de tamaño medio. Negocie la portabilidad desde el contrato inicial.
Trampa 2: la brecha de cumplimiento entre el marketing y la realidad
«Conforme AMLD6» es una declaración que hacen todos los proveedores en 2026. Pero AMLD6 no es una etiqueta binaria. Verifique concretamente: ¿el registro de titulares reales está conectado a los registros nacionales en tiempo real? ¿El umbral del 15 % está implementado? ¿Los escenarios de detección cubren las nuevas tipologías ligadas a criptoactivos? Exija una matriz de cumplimiento detallada artículo por artículo.
Trampa 3: los costes ocultos
El coste visible (licencia o precio por transacción) representa del 40 al 60 % del TCO real. Los costes ocultos incluyen:
- Parametrización de escenarios: 10 000 a 50 000 € si la parametrización no está incluida en la licencia
- Formación continua: 3 000 a 10 000 €/año (los reguladores exigen formación anual de los equipos PBC/FT)
- Actualizaciones regulatorias: algunos proveedores facturan cada actualización de escenario post-evolución regulatoria
- Revisión anual del dispositivo: el Banco de España espera una revisión anual documentada — si la solución no la facilita, el coste de producción manual se añade
Trampa 4: la ilusión de la IA
«Powered by AI» no significa nada sin métricas. Pregunte: ¿cuál es la tasa de reducción de falsos positivos medida en clientes comparables? ¿Las decisiones de la IA son explicables y documentadas (obligación regulatoria EBA)? ¿El modelo está entrenado con datos europeos o solo americanos? Un modelo entrenado con tipologías de blanqueo americanas detecta mal los esquemas específicos del mercado europeo (uso de sociedades civiles inmobiliarias, montajes vía holdings luxemburguesas).
Trampa 5: descuidar la gestión del cambio
La mejor herramienta AML del mercado fracasa si los equipos no la utilizan correctamente. Prevea un presupuesto y un calendario de gestión del cambio: formación inicial intensiva (3-5 días), acompañamiento operacional durante 3 meses, revisión de los procesos tras 6 meses. La tasa de adopción objetivo a 6 meses debe superar el 85 %.
Metodología de selección en 5 etapas
Etapa 1: cartografiar sus necesidades (2-3 semanas)
Antes de contactar a los proveedores, documente su situación:
- Volumetría: número de clientes, de transacciones, de contrapartes a filtrar
- Perímetro regulatorio: qué obligaciones específicas (SEPBLAC, Banco de España, CNMV, etc.)
- Sistemas existentes: core banking, CRM, herramientas actuales, flujos de datos
- Organización: tamaño del equipo de cumplimiento, procesos actuales, pain points
- Presupuesto: partida anual, capacidad de inversión año 1
Produzca un pliego de condiciones estructurado de 15 a 20 páginas. Este documento servirá de base para las consultas.
Etapa 2: preseleccionar 3 a 5 soluciones (2 semanas)
Envíe el pliego de condiciones a 6 a 8 proveedores y solicite una respuesta escrita estructurada. Elimine en base a criterios eliminatorios:
- Ausencia de cobertura regulatoria local (España/SEPBLAC)
- Sin alojamiento europeo de datos
- SLA inferior al 99,5 %
- Sin soporte en español
Retenga 3 a 5 soluciones para la fase de demostración.
Etapa 3: demostraciones y POC (4-6 semanas)
Para cada solución preseleccionada:
- Demostración guiada (2 horas): recorrido de las funcionalidades clave con sus casos de uso
- Demostración inversa (2 horas): usted pilota, el proveedor asiste
- POC (2-4 semanas): test sobre una muestra de datos reales (200-500 clientes, 1 mes de transacciones)
El POC debe medir concretamente: la tasa de falsos positivos, la tasa de detección, el tiempo de procesamiento de una alerta y la calidad del reporting generado.
Etapa 4: negociación y contractualización (2-4 semanas)
Puntos de negociación prioritarios:
- Tarificación: obtenga un compromiso de precio a 3 años con una cláusula de revisión ligada a los volúmenes
- SLA: exija penalizaciones financieras en caso de incumplimiento (créditos de servicio)
- Reversibilidad: portabilidad de los datos en formato estándar (JSON, CSV), asistencia a la migración incluida
- Actualizaciones regulatorias: incluidas en la licencia, no facturadas aparte
- Cláusula de auditoría: derecho a auditar las medidas de seguridad y el cumplimiento del proveedor
Etapa 5: despliegue y escalado (8-16 semanas)
El despliegue sigue cuatro fases:
- Integración técnica (3-4 semanas): conexión API, flujos de datos, tests de integración
- Parametrización de negocio (2-3 semanas): configuración de escenarios, calibración de umbrales, perfiles de riesgo
- Ejecución en paralelo (3-4 semanas): funcionamiento paralelo sistema antiguo/nuevo, comparación de resultados
- Migración y optimización (2-4 semanas): paso a producción, monitorización intensiva, ajuste de umbrales
Prevea un comité de seguimiento quincenal durante los 6 primeros meses con KPI de seguimiento: tasa de falsos positivos, productividad de los analistas, tiempo de procesamiento de las alertas, satisfacción de los equipos.
Preguntas frecuentes
¿Cuál es la diferencia entre una solución AML y una solución KYC?
El KYC (Know Your Customer) se centra en la verificación de la identidad del cliente al inicio de la relación: documentos de identidad, dirección, titulares reales. El AML cubre un perímetro más amplio: monitorización transaccional continua, filtrado de listas de sanciones, detección de esquemas de blanqueo, comunicaciones por indicio. En la práctica, ambos son complementarios. Algunas soluciones cubren los dos (Sumsub, Jumio), otras se especializan en AML (ComplyAdvantage, Napier, NICE Actimize).
¿Cuánto tarda el despliegue de una solución AML?
Cuente con 12 a 24 semanas para un despliegue completo: integración técnica (3-4 semanas), parametrización de escenarios (2-3 semanas), ejecución en paralelo (3-4 semanas), escalado (2-4 semanas), más un plazo de estabilización de 4 a 8 semanas. Las soluciones cloud-native reducen la fase de integración técnica. Un despliegue apresurado en 6 semanas producirá un sistema mal calibrado con más del 90 % de falsos positivos.
¿Qué presupuesto prever para una solución AML?
El presupuesto anual varía de 25 000 € para una pequeña entidad obligada (corredor, fintech early-stage) a más de 500 000 € para un banco comercial. El TCO incluye la licencia (40-60 % del total), la integración (15-25 %), la formación (5-10 %) y los costes operativos recurrentes (revisión manual de alertas, mantenimiento). Para una estimación rápida: cuente con 3 a 8 € por cliente activo al año en tarificación todo incluido.
¿Una solución AML sustituye al responsable de cumplimiento?
No. La solución automatiza la detección y el filtrado, pero las decisiones de comunicación por indicio, la política de riesgo y la relación con los reguladores siguen siendo responsabilidades humanas. El SEPBLAC exige un representante ante el SEPBLAC designado y un dispositivo de control interno pilotado por un responsable de cumplimiento identificado. La solución es una herramienta al servicio de este responsable, no un sustituto.
¿Cómo saber si mi solución AML actual es obsoleta?
Cinco señales de alerta: tasa de falsos positivos superior al 85 %, ausencia de detección de transacciones en criptoactivos, falta de soporte de AMLD6 (umbral UBO 15 %, registros centralizados), incapacidad para producir las comunicaciones por indicio al SEPBLAC en formato electrónico, y tiempo de procesamiento de una alerta superior a 25 minutos. Si tres de estos cinco criterios se cumplen, hay que planificar una migración en los próximos 12 meses.
¿CheckFile cubre el AML o únicamente la verificación documental?
CheckFile se posiciona en la verificación documental por IA: extracción, validación y control de autenticidad de los documentos KYC y KYB. Para la monitorización transaccional y el filtrado de listas de sanciones, CheckFile se interfaza con soluciones AML especializadas vía API. Este enfoque modular permite a las empresas combinar la mejor herramienta de verificación documental con la mejor herramienta AML, sin depender de una suite monolítica.
Este artículo se proporciona únicamente con fines informativos y no constituye asesoramiento jurídico, financiero ni regulatorio.