Factores de riesgo

Factores de riesgo asociados a productos, servicios y transacciones

21.3. Los siguientes factores pueden contribuir a aumentar el riesgo :

• a) los productos o servicios suministrados por un PSCA ofrecen un mayor grado de anonimato;
• b) el producto permite pagos de terceros que no están asociados al producto ni se han identificado y verificado de antemano, cuando dichos pagos no tienen una justificación económica aparente;
• c) el producto no impone restricciones previas sobre el volumen o el valor total de las transacciones;
• d) el producto permite transacciones entre la cuenta del cliente y:
• i. direcciones autoalojadas;
• ii. cuentas de criptoactivos o direcciones de registro distribuido gestionadas por un proveedor de servicios de criptoactivos, tal como se define en la directriz 9.20 o que está sujeto a un régimen de regulación y supervisión en materia de PBC/FT menos sólido que el previsto en la Directiva (UE) 2015/849;
• iii. una plataforma de cambio P2P de criptomonedas u otro tipo de aplicación descentralizada o distribuida de criptoactivos que no esté controlada ni influida por una persona física o jurídica [a menudo denominada «financiación descentralizada» (DeFi)];
• iv. plataformas cuyo objetivo es ocultar transacciones y facilitar el anonimato, como las plataformas mixer o tumbler ;
• v. hardware utilizado para cambiar criptoactivos a monedas oficiales o viceversa (como los criptocajeros), que implique el uso de efectivo o dinero electrónico, que se beneficie de exenciones en virtud del artículo 12 de la Directiva (UE) 2015/849 o que no entre dentro del régimen de regulación y supervisión en la UE.
• e) productos que impliquen nuevas prácticas de negocio, incluidos nuevos canales de distribución, y el uso de tecnologías en las que el PSCA no pueda evaluar de forma fiable el nivel de riesgo de BC/FT de conformidad con la directriz 1.7, letra d), debido a la falta de información;
• f) cuando el PSCA mayorista ejerza un escaso control sobre el servicio anidado prestado por otro PSCA;
• g) los resultados de un análisis realizado mediante herramientas de análisis avanzado indican un aumento del nivel de riesgo. 21.4. Los siguientes factores pueden contribuir a reducir el riesgo :
• a) productos con funcionalidad reducida, como bajos volúmenes o importes de transacciones;
• b) el producto permite transacciones entre la cuenta del cliente y
• i. cuentas de criptoactivos o direcciones de registro distribuido a nombre del cliente mantenidas por un PSCA;
• ii. una cuenta de criptoactivos o una dirección de registro distribuido a nombre del cliente, de la que sea titular un proveedor de servicios de criptoactivos que no sea un PSCA regulado en virtud del Reglamento (UE) 2023/1114⁶ , que esté regulado fuera de la UE con arreglo al marco regulador, que sea tan sólido como el previsto en el Reglamento (UE) 2023/1114 y que esté sujeto a un marco regulador y de supervisión en materia de PBC/FT que sea tan sólido como el previsto en la Directiva (UE) 2015/849;
• iii. una cuenta bancaria a nombre del cliente en una entidad de crédito sujeta al marco regulador y de supervisión en materia de PBC/FT establecido en la Directiva (UE) 2015/849 u otro marco legislativo fuera de la UE que sea tan sólido como el previsto en la Directiva (UE) 2015/849; o
• c) la naturaleza y el alcance de los canales o sistemas de pago utilizados por el PSCA se limitan a los sistemas de circuito cerrado o a los sistemas destinados a facilitar micropagos o pagos de la Administración Pública a persona, o de persona a la Administración Pública;
• d) el producto sólo está disponible para un grupo limitado y definido de clientes, como los empleados de una empresa que ha emitido un criptoactivo;

Factores de riesgo asociados a clientes

21.5. Los siguientes factores pueden contribuir a aumentar el riesgo :

• a) en lo que respecta a la naturaleza del cliente , en particular:
• i. una organización sin ánimo de lucro que haya estado vinculada, sobre la base de fuentes fiables e independientes, con el extremismo, la propaganda extremista o simpatías y actividades terroristas, o que haya estado implicada en conductas indebidas o actividades delictivas, incluidos casos relacionados con el BC/FT o la corrupción;
• ii. una empresa que sea un banco pantalla, tal como se define en el artículo 3, apartado 17, de la Directiva (UE) 2015/849, u otro tipo de sociedad pantalla;
• iii. una empresa que haya sido creada recientemente y esté procesando grandes volúmenes de transacciones;
• iv. una empresa legalmente registrada que esté procesando grandes volúmenes de transacciones después de un período de inactividad desde su establecimiento;
• v. una empresa que mantenga una relación de negocios con otra empresa o empresas del grupo, tal como se define en el artículo 3, apartado 15, de la Directiva (UE) 2015/849, que suministre productos y servicios relacionados con criptoactivos;
• vi. una empresa o una persona que utilice una dirección IP asociada a una red oscura o a un software que permite la comunicación anónima, incluidos los correos electrónicos cifrados, los servicios de correo electrónico anónimos o temporales y las VPN;
• vii. una persona vulnerable, es decir, una persona que no es probable que sea un cliente típico de un PSCA, o una persona que muestre muy poco conocimiento y comprensión de los criptoactivos o de la tecnología asociada, lo que puede demostrarse por los resultados de una prueba de adecuación/conocimiento o mediante otras interacciones con el cliente, y que, no obstante, opta por realizar transacciones frecuentes o de alto valor, puede aumentar el riesgo de que el cliente sea utilizado como «mula».
• b) En cuanto al comportamiento del cliente, situaciones en las que el cliente:
• i. Intenta abrir múltiples cuentas de criptoactivos con el PSCA sin una justificación económica aparente ni una finalidad de negocio.
• ii. o el titular real del cliente no puede o no quiere proporcionar la información de DDC necesaria, cuando se lo solicite el PSCA, sin que exista una razón legítima para ello, actuando como sigue:
• a) evitando deliberadamente el contacto directo con un PSCA, ya sea en

• b) intentando ocultar el titular real de los fondos mediante la participación

• c) guardando silencio o intentando engañar al PSCA sobre el origen de los

• iii. Utiliza una dirección IP o un dispositivo móvil que está vinculado a múltiples clientes, sin ninguna justificación económica aparente, o que se sabe que está vinculado a actividades potencialmente ilegales o delictivas; o se accede a la cuenta de criptoactivos del cliente a partir de múltiples direcciones IP sin ningún vínculo evidente con el cliente.
• iv. Proporciona información que es inconsistente, incluso cuando la dirección IP del cliente es a su vez inconsistente con otra información sobre el cliente, como la información necesaria para acompañar una transferencia de conformidad con el artículo 14, apartados 1 y 2, del Reglamento (UE) 2023/1113, o la residencia habitual, el registro o las actividades de negocio del cliente (tanto en el momento de inicio de la relación de negocios como en el momento de la transacción), la información sobre el origen de los fondos o el origen de los criptoactivos es inconsistente con otra información de DDC o el perfil general del cliente.
• v. Utiliza una dirección, una ubicación o una dirección IP vinculada a cuentas de criptoactivos registradas a nombre de diferentes usuarios y mantenidas con un solo PSCA o con varios PSCA.
• vi. Cambia con frecuencia su información personal o sus instrumentos de pago sin una razón evidente.
• vii. Recibe o transfiere con frecuencia cantidades de criptoactivos desde direcciones autoalojadas, que se sitúan justo por debajo del umbral de 1 000 EUR definido en el artículo 14, apartado 5, y el artículo 16, apartado 2, del Reglamento (UE) 2023/1113, lo que da lugar a la verificación del beneficiario o del originador.
• viii. Indica que el propósito es invertir en una oferta pública inicial de tokens o en un criptoactivo o producto que ofrezca una rentabilidad desproporcionadamente elevada y esté basado en una jurisdicción de alto riesgo o esté asociado a indicaciones de alto riesgo de fraude o que no esté respaldado por un libro blanco requerido en virtud del Reglamento (UE) 2023/1114⁷ .
• ix. Muestra patrones de comportamiento o de transacciones que no se ajustan a los esperados del tipo de cliente o de la categoría de riesgo a la que pertenece, o que resultan inesperados sobre la base de la información que el cliente ha facilitado al PSCA, ya sea al inicio o durante la relación de negocios. Dichas circunstancias incluyen al cliente que:
• a) inesperadamente, y sin razones obvias, aumenta significativamente el

• b) realiza transacciones con una frecuencia y un volumen de criptoactivos

• x. Muestra comportamiento y pautas inusuales porque implican transferencias inexplicadas a/desde direcciones de registro distribuido o cuentas de criptoactivos en múltiples jurisdicciones sin ninguna finalidad comercial o lícita aparente.
• xi. Al cambiar criptoactivos por monedas oficiales y viceversa, el cliente:
• a) utiliza múltiples cuentas bancarias o de pago, tarjetas de crédito o tarjetas

• b) utiliza una cuenta bancaria o de pago o una tarjeta de crédito a nombre

• c) utiliza una cuenta bancaria o de pago situada en una jurisdicción que no

• d) usa múltiples proveedores de servicios de pago;
• e) solicita repetidamente un cambio de criptoactivos por dinero en efectivo

• g) utiliza criptocajeros en diferentes lugares para transferir repetidamente

• h) retira los criptoactivos de un PSCA a una dirección autoalojada

• xii. Está invirtiendo o cambiando criptoactivos, que ha tomado prestados a través de una plataforma de préstamo P2P u otra plataforma de préstamo que no entra en el ámbito de aplicación del Reglamento (UE) 2023/1114 o de cualquier otro marco normativo pertinente dentro o fuera de la UE y que es, en particular, una aplicación descentralizada o distribuida sin ninguna persona jurídica o física con control o influencia sobre ella.
• xiii. Recibe o envía, directa o indirectamente, criptoactivos asociados a la red oscura o que son el resultado de actividades ilegales.
• xiv. Invierte o cambia criptoactivos que ofrecen por sí mismos un mayor grado de anonimato o el cliente recibe criptoactivos que han sido objeto de actividades de mejora del anonimato, en particular, procesos que ofuscan la transacción en la tecnología de registros distribuidos o contienen otras características similares a las enumeradas en la letra a) de la directriz 21.5.
• xv. recibe reiteradamente criptoactivos de o envía criptoactivos a:
• a) una cuenta de criptoactivos a través de un proveedor de servicios de

• b) múltiples direcciones autoalojadas o múltiples cuentas de criptoactivos

• c) una cuenta de criptoactivos de nueva creación o previamente inactiva o

• d) direcciones autoalojadas en plataformas descentralizadas, que implican

• e) una cuenta de criptoactivos poco después de ser dado de alta por parte

• g) una cuenta de criptoactivos fragmentando las transacciones en múltiples

• xvi. El cliente parece explotar las deficiencias o fallos tecnológicos en su beneficio.
• xvii. El cliente explica que los criptoactivos transferidos al PSCA se han obtenido a través de recompensas por minar o bloquear, pero estas recompensas no parecen ser proporcionales a los criptoactivos generados a través de dichas actividades. 21.6. Los siguientes factores pueden contribuir a reducir el riesgo cuando:
• a) el cliente ha cumplido los requisitos de información previstos en el Reglamento (UE) 2023/1113 y especificados con más detalle en la Sección 4 de las Directrices sobre la regla de viaje de la ABE⁸ , durante transacciones anteriores con criptoactivos y ha facilitado información que permite la identificación de un cliente
• o la posibilidad de comprobarla en caso de duda o sospecha;
• b) Las transacciones anteriores con criptoactivos del cliente no han suscitado sospecha o preocupación, y el producto o servicio solicitado se corresponden con el perfil de riesgo del cliente;
• c) el cliente solicita un cambio a/desde la moneda oficial y el origen o el destino de los fondos es la cuenta bancaria propia del cliente en una entidad de crédito en una jurisdicción evaluada por el PSCA como de bajo riesgo;
• d) el cliente solicita un cambio y el origen o el destino del criptoactivo es la propia cuenta de criptoactivos del cliente o una dirección de registro distribuido, que está alojada bien por un PSCA regulado conforme al Reglamento (UE) 2023/1114 o por un proveedor de servicios de criptoactivos que, no siendo un PSCA, esté regulado y supervisado fuera de la UE de acuerdo con un marco normativo que sea tan sólido como el previsto en el Reglamento (UE) 2023/1114, y que esté sujeto a requisitos de PBC/FT tan rigurosos como los previstos en la Directiva (UE) 2015/849, que haya sido incluido en la lista blanca o determinado de otro modo por el PSCA como de bajo riesgo;
• e) el cliente solicita un cambio y el origen o destino del criptoactivo están relacionados con pagos de escasa cuantía por bienes y servicios con origen o destino en una cuenta de criptoactivos o una dirección de registro distribuido sobre los que no se disponga de información desfavorable;
• f) las transferencias de clientes entre dos PSCA o entre un PSCA y un proveedor de servicios de criptoactivos, distinto de un PSCA, que esté sujeto a regulación y supervisión dentro de la UE o esté sujeto a un marco regulador tan sólido como el previsto en el Reglamento (UE) 2023/1114 y que esté sujeto a requisitos de PBC/LFT tan rigurosos como los previstos en la Directiva (UE) 2015/849.

Factores de riesgo asociados a países o geográficos

21.7. Los siguientes factores pueden contribuir a aumentar el riesgo :

• a) Los fondos del cliente que se cambian por criptoactivos se derivan de relaciones personales o de negocios en las que participan jurisdicciones asociadas a un mayor riesgo de BC/FT.
• b) La cuenta de criptoactivos de origen o beneficiaria o la dirección de registro distribuido está vinculada a una jurisdicción asociada a un mayor riesgo de BC/FT o a jurisdicciones o regiones de las que se sabe que proporcionan financiación o apoyo para actividades terroristas o en las que se sabe que operan grupos que cometen delitos de terrorismo, y jurisdicciones sujetas a sanciones financieras, embargos o medidas relacionadas con el terrorismo, la financiación del terrorismo
• o la proliferación.
• c) El cliente o el titular real del cliente es residente, está establecido, opera o tiene relaciones personales o de negocios con una jurisdicción asociada a un mayor riesgo de BC/FT.
• d) La relación de negocios se establece a través de un PSCA o un criptocajero situado en una región o jurisdicción asociada a elevados niveles de riesgo de BC/FT.
• e) El cliente participa en operaciones de minería de criptoactivos, ya sea directa o indirectamente a través de relaciones con terceros, que tienen lugar en una jurisdicción de alto riesgo, identificada por la Comisión Europea de conformidad con el artículo 9 de la Directiva (UE) 2015/849, o en una jurisdicción que está sujeta a medidas restrictivas o sanciones financieras específicas.

21.8. El siguiente factor puede contribuir a reducir el riesgo :

• a) cuando la transferencia tenga como origen o destino una cuenta de criptoactivos o una dirección de registro distribuido alojada por un PSCA o un proveedor de servicios de criptoactivos que no sea un PSCA, en una jurisdicción asociada a bajos niveles de riesgo de BC/FT.

Factores de riesgo asociados al canal de distribución

21.9. Los siguientes factores pueden contribuir a aumentar el riesgo :

• a) La relación de negocios se establece utilizando soluciones de alta de clientes a distancia que no cumplen las Directrices de la ABE sobre el alta de clientes a distancia⁹ .
• b) No hay restricciones sobre el instrumento de financiación, por ejemplo, en el caso de dinero en efectivo, cheques o productos de dinero electrónico que se beneficien de la exención del artículo 12 de la Directiva (UE) 2015/849.
• c) La relación de negocios entre el PSCA y el cliente se establece a través de un proveedor de servicios de criptoactivos intermediario definido en la directriz 9.20 anterior.
• d) La identificación y verificación de un cliente se lleva a cabo por un proveedor de servicios de criptoactivos ubicado en una jurisdicción de alto riesgo sobre la base de un acuerdo de externalización, de conformidad con el artículo 29 de la Directiva (UE) 2015/849.

criptoactivos, que aún no se han probado completamente o que presentan un mayor nivel de riesgo de BC/FT.

• f) La relación de negocios se establece a través de criptocajeros, lo que aumenta el riesgo debido al uso de efectivo.

21.10. El siguiente factor puede contribuir a reducir el riesgo :

conformidad con el artículo 26 de la Directiva (UE) 2015/849 y cuando dicho tercero esté situado en la UE.

⁶ Reglamento (UE) 2023/1114 sobre mercados de criptoactivos, y por el que se modifican los Reglamentos (UE) n.º 1093/2010 y (UE) n.º 1095/2010 y las Directivas 2013/36/UE y (UE) 2019/1937

⁷ Reglamento (UE) 2023/1114, relativo a los mercados de criptoactivos, y por el que se modifican los Reglamentos (UE) n.º 1093/2010 y (UE) n.º 1095/2010 y las Directivas 2013/36/UE y (UE) 2019/1937.

⁸ Directrices para prevenir el abuso de fondos y determinadas transferencias de criptoactivos con fines de blanqueo de capitales y financiación del terrorismo en virtud del Reglamento (UE) 2023/1113, [….. introduzca aquí el número de estas Directrices una vez adoptadas», actualmente en fase de consulta (EBA/CP/2023/35)] («Directrices sobre la regla de viaje»)

⁹ Directrices sobre el uso de soluciones de alta de clientes a distancia con arreglo al artículo 13, apartado 1, de la Directiva (UE) 2015/849 (EBA/GL/2022/15).

1. Resumen

1.1 Referencias

1.2 Requisitos identificados

1.3 Estándares relacionados

2. Requisitos identificados

3. Estándares relacionados

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/