RECOMENDACIONES DEL GAFI APLICABLES A LAS OPERACIONES CON CRIPTOACTIVO
1. ¿Qué es el GAFI?
El Grupo de Acción Financiera Internacional (“GAFI”), creado en 1989 por el Grupo de los Siete G-7, se constituye como el organismo intergubernamental con mayor relevancia en el establecimiento de directrices para combatir el lavado de dinero, el financiamiento al terrorismo, la proliferación de armas de destrucción masiva, y otras amenazas relacionadas con la integridad del sistema financiero.
2. ¿Qué son las Recomendaciones de GAFI?
Las Recomendaciones del GAFI (“Recomendaciones”) constituyen un esquema de medidas que los países deben implementar para combatir el lavado de dinero, el financiamiento al terrorismo, la proliferación de armas de destrucción masiva, y otros delitos relacionados.
Las legislaciones de los países miembros del GAFI deben observar, desde su propia naturaleza legal, gubernamental, socioeconómica y riesgos, dichas Recomendaciones. México es país miembro desde el año 2000.
3. ¿Qué Recomendaciones deben ser consideradas en las operaciones con criptoactivos?
Primeramente, es importante aclarar que para referirse a los criptoactivos, tanto el GAFI, como la regulación mexica utilizan el término “Activo Virtual”, por lo que, en las respuestas a las preguntas plasmadas en el presente documento, se utilizará dicho término.
Las Recomendaciones establecen directrices dirigidas a los países, pero aplicables también tanto a las autoridades que regulan o supervisan el régimen de prevención de lavado de dinero y combate al financiamiento al terrorismo (“PLD/FT”), como a los propios sujetos obligados.
Los sujetos obligados se clasifican en: i) entidades integrantes del sistema financiero; y ii) actividades y profesionales no financieras designadas (“APNFD”).
Las APNFD son cierto tipo de negocios y profesiones legitimas que por sus características propias pueden servir a la delincuencia organizada como medio de acceso de los recursos ilícitos a la economía formal, con la finalidad de ocultar su procedencia delictiva, y las cuales se conocen en México como “Actividades Vulnerables”.
Si bien la Recomendación 22 establece algunos ejemplos de APNFD (casinos, agentes inmobiliarios, comerciantes de metales preciosos y piedras preciosas, abogados, notarios, contadores, etc.), éstas son seleccionadas por cada país de acuerdo a sus niveles de riesgo y el grado de exposición a que están sujetas y dependiendo de sus tendencias de operatividad con recursos de procedencia ilícita.
4. ¿Qué establece la Recomendación 15?
Conforme a la Recomendación 15 del GAFI, los países deben identificar y evaluar los riesgos de lavado de dinero o financiamiento del terrorismo que pudieran surgir con respecto de: i) el desarrollo de nuevos productos y nuevas prácticas comerciales, incluyendo nuevos mecanismos de envío; y ii) el uso de nuevas tecnologías o tecnologías en desarrollo para productos tanto nuevos como los existentes.
En específico, indica que para gestionar y mitigar los riesgos que surjan de los Activos Virtuales, los países deben garantizar que los Proveedores de Servicios de Activos Virtuales (“PSAV”) estén regulados para propósitos PLD/FT, y tengan licencia o registro y estén sujetos a sistemas de monitoreo, así como asegurar el cumplimiento de las medidas relevantes requeridas en las Recomendaciones del GAFI, las cuales se describen más adelante.
Asimismo, conforme la Nota Interpretativa de la Recomendación 15:
a. Los países deben considerar los Activos Virtuales como “bienes”, “productos”, “fondos”, u otros activos de “valor equivalente”.
b. Los países deben identificar, evaluar y comprender los riesgos de lavado de dinero y financiamiento del terrorismo que surgen de las operaciones de Activos Virtuales y de los PSAV.
c. Los países deben exigir que los PSAV identifiquen, evalúen y tomen medidas eficaces para mitigar sus riesgos de lavado de dinero y financiamiento del terrorismo.
d. Los PSAV deben tener licencia o registrarse. Como mínimo, se debe exigir que los PSAV tengan licencia o se registren en el país donde se crean.
e. Los países también pueden requerir que los PSAV que ofrecen productos y/o servicios a los clientes en su jurisdicción o que realizan operaciones desde su jurisdicción, tengan licencia o estén registrados también en su jurisdicción.
f. Las autoridades competentes deben tomar las medidas necesarias para impedir que los delincuentes posean, sean beneficiarios finales, o tengan una participación mayoritaria o significativa, o que ocupen una función de gestión en un PSAV.
g. Los países deben tomar medidas para identificar a las personas físicas o jurídicas que lleven a cabo actividades de PSAV sin la licencia o el registro necesarios, y aplicar las sanciones correspondientes.
h. Los países no necesitan imponer un sistema de licencia o registro independiente con respecto a las entidades financieras que operen con Activos Virtuales.
i. Los países deben garantizar que los PSAV estén sujetos a una reglamentación y supervisión adecuados de PLD/FT y que estén aplicando eficazmente las Recomendaciones pertinentes del GAFI, así como de los requisitos nacionales PLD/FT.
j. Los PSAV deben ser supervisados o monitoreados por una autoridad competente, y no por un organismo autorregulatorio.
k. Los supervisores deben tener poderes adecuados para monitorear y garantizar el cumplimiento por parte de los PSAV, incluida la autoridad para llevar a cabo inspecciones, obligar a la producción de información e imponer sanciones disciplinarias y financieras, incluida la facultad de retirar, restringir o suspender la licencia o el registro del PSAV, cuando corresponda.
l. Los países deben asegurarse de que exista una serie de sanciones efectivas, proporcionadas y disuasorias, ya sean penales, civiles o administrativas, disponibles para hacer frente a los PSAV que no cumplan los requisitos PLD/FT. Además, las sanciones deben aplicarse no solo a los PSAV, sino también a sus directores.
m. Con respecto a las medidas preventivas:
- El umbral designado para operaciones ocasionales por encima del cual los PSAV deben llevar a cabo la debida diligencia del cliente (“DDC”) es de USD/EUR 1,000.
- Los países deben asegurarse de que los PSAV: i) obtengan y mantengan la información del originante y la información del beneficiario sobre las transferencias de Activos Virtuales; y ii) envíen la información anterior al PSAV beneficiario o entidad financiera (si la hubiera) de forma inmediata y segura, así como que la pongan a disposición de las autoridades competentes, previa solicitud.
- Los países deben asegurarse de que los PSAV beneficiarios obtengan y mantengan la información del originante y la información de los beneficiarios sobre las transferencias de Activos Virtuales y que la pongan a disposición de las autoridades competentes, previa solicitud.
- La información mencionada en los puntos anteriores puede ser presentada directa o indirectamente. No es necesario que esta información se adjunte directamente a la transferencia de Activos Virtuales.
n. Los países deben proporcionar la mayor gama posible de cooperación internacional PLD/FT en relación con los Activos Virtuales.
5. ¿Qué obligaciones establecen el resto de las Recomendaciones aplicables?
Conforme el análisis realizado anteriormente, en términos generales, podemos determinar que las operaciones con Activos Virtuales deberán cumplir las siguientes obligaciones, dentro del contexto de las Recomendaciones:
Recomendación 10.
Debida diligencia del cliente.
Establecer medidas de DDC, tales como:
a. Identificar al cliente y verificar su identidad.
b. Identificar al beneficiario final y tomar medidas razonables para verificar su identidad.
c. Entender el propósito que se pretende dar a la relación comercial.
d. Realizar una debida diligencia continua de la relación comercial y examinar las operaciones llevadas a cabo a lo largo de esa relación para asegurar que las operaciones que se realicen sean consistentes con el conocimiento que tiene el PSAV sobre el cliente.
Recomendación 11.
Mantenimiento de registros.
Mantener por un período de al menos cinco años, todos los registros necesarios sobre las operaciones, tanto locales como internacionales, para que éstas puedan cumplir con rapidez con las peticiones de información solicitadas por las autoridades competentes.
Recomendación 12.
Personas Políticamente Expuestas.
Tomar medidas para determinar si un cliente o beneficiario final es una persona políticamente expuesta. En los casos de una relación de mayor riesgo con dichas personas:
a. Obtener la aprobación de la alta gerencia para establecer (o continuar, en el caso de los clientes existentes) dichas relaciones.
b. Tomen medidas razonables para establecer la fuente de riqueza.
c. Llevar a cabo un monitoreo continuo intensificado de la relación comercial.
Recomendación 17.
Dependencia en terceros.
Se puede permitir que se delegue en terceros la realización de las medidas de DDC, sin embargo, la responsabilidad final siempre será del PSAV.
Recomendación 18.
Controles internos y sucursales y filiales extranjeras.
En su caso, implementar a nivel de todo el grupo empresarial programas PLD/FT, incluyendo políticas y procedimientos para intercambiar información dentro de implementación de las Recomendaciones del GAFI.
Recomendación 19.
Países de mayor riesgo.
Aplicar medidas de DDC intensificada a las relaciones comerciales y operaciones con personas físicas y jurídicas, y entidades financieras, procedentes de países para los cuales el GAFI hace un llamado en este sentido (“Lista Negra” o “Lista Gris”).
Recomendación 20.
Reporte de operaciones sospechosas.
Si se sospecha que los recursos utilizados en las operaciones son producto de una actividad criminal, o están relacionados al financiamiento del terrorismo, se debe emitir un reporte con prontitud a la Unidad de Inteligencia Financiera (“UIF”).
Recomendación 21.
Revelación y confidencialidad.
Los PSAV, sus directores, funcionarios y empleados deben:
a. Estar protegidos por la ley frente a la responsabilidad penal y civil por violación de alguna restricción sobre la revelación de información impuesta mediante contrato o mediante alguna disposición legislativa, normativa o administrativa, si éstos reportan sus sospechas de buena fe a la UIF.
b. Tener prohibido por ley revelar el hecho de que se está entregando a la UIF un reporte de operación sospechosa o información relacionada.
6. ¿Qué criterios adicionales ha emitido GAFI?
En adición a las Recomendaciones, el GAFI con el apoyo del G-20, ha emitido algunos documentos específicos con la finalidad de orientar a los países en las aplicación de dichas Recomendaciones al sector de los Activos Virtuales. Las directrices del GAFI se aplican cuando los Activos Virtuales se intercambian por moneda fiduciaria, pero también cuando se transfieren de un Activo Virtual a otro. Por lo anterior, el GAFI ha emitido los siguientes documentos que complementan a sus Recomendaciones en esta materia:
a. Guía para un Enfoque Basado en el Riesgo de Activos Virtuales y Proveedores de Servicios de Activos Virtuales.
b. Revisión de las Recomendaciones del GAFI: Activos Virtuales y Proveedores de Servicios de Activos Virtuales.
c. Informe del GAFI al G20 sobre las denominadas Monedas Estables.
Alcance de las CBDC.
El GAFI hace la aclaración de que las Monedas Estables de los bancos centrales, conocidas como “CBDC”, no se consideran Activos Virtuales, ya que son representación digital de monedas fiduciarias aunque las Recomendaciones se aplicarían a ellas de manera similar a cualquier otra forma de moneda fiduciaria emitida por un banco central.
Definición de Activos Virtuales.
EL GAFI define a los Activos Virtuales como: la representación digital de valor que se puede negociar o transferir digitalmente y se puede utilizar con fines de pago o inversión. Los Activos Virtuales no incluyen representaciones digitales de monedas fiduciarias, valores y otros activos financieros que ya están cubiertos en otras partes de las Recomendaciones del GAFI.
Definición de PSAV.
El GAFI define a los PSAV como cualquier persona física o moral que no esté cubierta en otra parte por las Recomendaciones y realice una o más de las siguientes actividades u operaciones para o en nombre de otra persona física o jurídica:
a. Intercambio entre Activos Virtuales y moneda fiduciaria.
b. Intercambio entre una o más formas de Activos Virtuales.
c. Transferencias de Activos Virtuales.
d. Custodia y/o administración de activos o instrumentos que permitan el control sobre Activos Virtuales.
e. Prestación de servicios financieros relacionados con la oferta y/o venta de un Activo Virtual por parte de un emisor.
NFT como Activo Virtual.
Un Non Fungible Token (“NFT”) generalmente no se considera como un Activo Virtual. No obstante, algunos NFT podrían considerarse Activos Virtuales si se utilizan con fines de pago o inversión. Las NFT que son representaciones digitales de otros activos financieros cubiertos por las Recomendaciones no se consideran Activos Virtuales. El GAFI recomienda un “enfoque funcional” para regular este tipo de activos, por tal motivo los países deberían considerar la aplicación de las Recomendaciones a los NFT caso por caso.
Software DeFi como PSAV.
Cuando una aplicación descentralizada o distribuida (“DApp”) puede facilitar o llevar a cabo el intercambio o la transferencia de un Activo Virtual, y ésta ofrece servicios como los ofrecidos por los PSAV, se usará el término Decentralized Finance (“DeFi”). Sin embargo, el software o aplicación de DeFi no es un PSAV, pero los creadores, propietarios, operadores o personas que tienen el control o la influencia suficiente sobre el acuerdo DeFi podrían considerarse un PSAV cuando están proporcionando o facilitando activamente los servicios.
ICO como PSAV.
La interpretación de la definición de PSAV al ser considerada en un sentido amplio cubre las actividades relacionadas con una Initial Coin Offering (“ICO”).
Las ICO son generalmente un medio para recaudar recursos para nuevos proyectos de los primeros patrocinadores, abarcando en particular a las personas que participan en la oferta y/o venta de Activos Virtuales de los emisores o prestan servicios financieros conexos a través de actividades como las ICO.
El GAFI determina que sí se aplica la definición de PSAV a las entidades en una ICO, sin embargo, serán los hechos y circunstancias subyacentes a un activo, actividad o servicio los que determinarán la categorización.
Metodología EBR.
La Recomendación 1 establece que los países deben aplicar un Enfoque Basado en Riesgo (“EBR”) para garantizar que las medidas para prevenir y mitigar los riesgos de lavado de dinero y financiamiento al terrorismo, sean proporcionales a los riesgos identificados en sus respectivas jurisdicciones.
Al desarrollar nuevos productos, los PSAV deben evaluar los riesgos de lavado de dinero y financiamiento al terrorismo, antes de comercializarlos, así como poner en marcha medidas de mitigación antes del lanzamiento.
Controles en operaciones P2P.
El GAFI hace un llamado a los países y a los PSAV para que comprendan los riesgos asociados con las operaciones peer-to-peer (“P2P”), que son operaciones que no involucran a ningún sujeto obligado, por lo que no están explícitamente sujetas a los controles de prevención de lavado de dinero y financiamiento al terrorismo bajo las Recomendaciones del GAFI.
Las medidas que se sugieren, son las siguientes:
a. Llevar a cabo actividades de divulgación al sector privado, incluidos los PSAV y los representantes del sector P2P.
b. Capacitación del personal de supervisión de la UIF.
c. Fomentar el desarrollo de metodologías y herramientas como el análisis de blockchain, para recopilar y evaluar métricas de mercado P2P2 y soluciones de mitigación de riesgos, así como metodologías para identificar operaciones sospechosas.
d. Obligar a los PSAV a facilitar las operaciones únicamente desde y hacia los propios PSAV, y otros sujetos obligados que cumplan requisitos PLD/FT.
Regla del Viaje.
El GAFI proporciona claridad adicional en cuanto a la correcta implementación de la Recomendación 16 y su Nota Interpretativa (“Regla de Viaje”), indicando que los países deben asegurarse de que los PSAV y, en su caso, las entidades financieras, incluyan la información requerida y precisa sobre el originador, y la información requerida sobre los beneficiarios, en las transferencias de Activos Virtuales, y que se obtenga, mantenga y transmita de forma segura e inmediata.
La Regla del Viaje se aplica a los PSAV siempre que las operaciones en moneda fiduciaria o Activos Virtuales impliquen:
a. Una transferencia bancaria tradicional.
b. Una transferencia de Activos Virtuales entre un PSAV y otro sujeto obligado.
c. Una transferencia de Activos Virtuales entre un PSAV y una entidad no obligada (unhosted wallet).
La Regla del Viaje debe ser cumplida por cualquiera que esté enviando USD 1,000 o más en Activos Virtuales, ya sea a través de un PSAV, o bien, de una entidad financiera
7. ¿Cuáles son ejemplos de señales de alerta en las operaciones con criptoactivos?
De acuerdo con el GAFI, al evaluar una operación potencialmente sospechosa, las autoridades competentes, las entidades financieras, las APNFD y los PSAV deben tener en cuenta que algunas señales de alerta pueden ser más fácilmente observables durante el monitoreo transaccional general, mientras que otros pueden ser más fácilmente observables durante las revisiones específicas de la operación.
La observación de uno o más de los indicadores depende de las líneas de negocio, productos o servicios que ofrece una entidad financiera o PSAV y cómo interactúa con sus clientes. Cuando una o más señales de alerta están presentes, con poca o ninguna indicación de un propósito económico o comercial legítimo, es más probable que el sujeto obligado desarrolle una sospecha de que está ocurriendo lavado de dinero o financiamiento al terrorismo.
Algunos ejemplos, únicamente enunciativos más no limitativos, de señales de alerta, pueden ser los siguientes:
a. Respecto al tamaño y frecuencia de las operaciones.
- Estructurar operaciones de Activos Virtuales (por ejemplo, cambios o transferencia) en pequeñas cantidades, o en cantidades por debajo de los umbrales de mantenimiento de registros o informes.
- Realizar múltiples operaciones de alto valor.
- Transferir Activos Virtuales inmediatamente a múltiples PSAV, especialmente a PSAV registrados u operados en otra jurisdicción donde: i) no hay relación con el lugar donde vive o realiza negocios el cliente; o ii) la regulación PLD/FT es inexistente o débil.
b. Respecto de operaciones relativas a nuevos clientes.
- Realizar un gran depósito inicial para abrir una nueva relación con un PSAV, mientras que el monto financiado es inconsistente con el perfil del cliente.
- Realizar un gran depósito inicial para abrir una nueva relación con un PSAV y financiar el depósito completo el primer día que se abre, y que el cliente comience a negociar el monto total o una gran parte del monto ese mismo día o un día después, o si el cliente retira el importe total al día siguiente.
- Un nuevo cliente intenta negociar el saldo completo de los Activos Virtuales, o retira los Activos Virtuales e intenta enviar el saldo completo fuera de la plataforma.
c. Respecto de operaciones relativas a todos los clientes.
- Operaciones que involucran el uso de múltiples Activos Virtuales, o múltiples cuentas, sin una explicación comercial lógica.
- Hacer transferencias frecuentes en un período de tiempo determinado (por ejemplo, un día, una semana, un mes, etc.) a la misma cuenta de Activos Virtuales: i) por más de una persona; ii) desde la misma dirección IP por una o más personas; o iii) en relación con grandes cantidades.
- Operaciones entrantes de muchas carteras no relacionadas en cantidades relativamente pequeñas (acumulación de recursos) con transferencia posterior a otra cartera o cambio completo por moneda fiduciaria.
Esperamos que esta guía te sea de utilidad, para información adicional, puedes comunicarte con los miembros de nuestro equipo de práctica en Fintech y Criptoactivos.
Diego A. Ramos Castillo
dramos@rrs.com.mx
Ramos, Ripoll & Schuster
Antonio Casas Vessi
acasas@rrs.com.mx
Ramos, Ripoll & Schuster
Paulina Martínez Chávez
pmartinez@rrs.com.mx
Ramos, Ripoll & Schuster
Frida Sofía Rojas Cuéllar
srojas@rrs.com.mx
Ramos, Ripoll & Schuster
Daniela Morales González
dmorales@rrs.com.mx
Ramos, Ripoll & Schuster
Rodrigo Ramos Hopkins
ramosr@rrs.com.mx
Ramos, Ripoll & Schuster
