Las 15 preguntas que hacer a un proveedor KYC/KYB antes de firmar

En resumen: una licitación KYC/KYB se gana con las preguntas que se hacen antes de la firma, no con el folleto comercial. Quince preguntas bastan para diferenciar a los proveedores, repartidas en seis temas: los datos, la detección de fraude, el cumplimiento normativo, la IA, la seguridad y el alojamiento, y el modelo comercial. Para cada una hay una buena respuesta, y respuestas que deben ponerle en alerta.

‍

Tanto si formaliza un RFP completo como si simplemente prepara una demo, esta checklist transforma un discurso comercial en un compromiso verificable. Complementa nuestras guías sobre cómo elegir una solución KYB y cómo elegir una solución KYC, criterio por criterio.

‍

Los datos (preguntas 1 a 3)

‍

1. ¿Qué fuentes consultan en mi mercado principal, y con qué profundidad histórica? La buena respuesta es precisa: registros oficiales con nombre y apellidos, profundidad histórica cuantificada (por ejemplo, la comparación de las cuentas anuales con el histórico de depósitos en el Registro Mercantil). Desconfíe si la respuesta es un número de países.

‍

2. ¿Los datos se consultan en tiempo real o por lotes? Un dato de empresa con tres meses de antigüedad puede ocultar un cambio de administrador reciente, precisamente la señal que importa.

‍

3. ¿Qué ocurre cuando una fuente no está disponible? Lo que busca: una degradación controlada y señalizada, nunca un score silenciosamente incompleto.

‍

La detección de fraude (preguntas 4 a 6)

‍

4. Muéstrenme su informe sobre una sociedad pantalla reactivada. La prueba decisiva en KYB: cuentas anuales depositadas en ráfaga, cambio de administrador reciente, domiciliación masiva. Una herramienta que la puntúa como una empresa sana falla en lo esencial.

‍

5. ¿Detectan la multisolicitud entre sus clientes, y mutualizan los fraudes confirmados? El efecto red es un diferenciador clave: un defraudador bloqueado en un operador lo vuelve a intentar en otro ese mismo mes.

‍

6. ¿Cuál es su tasa de falsos positivos constatada en una cartera comparable a la mía? Exija una cifra y una referencia, no un adjetivo. Cada buen cliente rechazado es facturación perdida.

‍

El cumplimiento normativo (preguntas 7 y 8)

‍

7. ¿Cómo cubren las exigencias del paquete AML6, aplicable en julio de 2027? Espere respuestas concretas: identificación continua de los titulares reales (UBO), screening de sanciones y PEP, pista de auditoría exportable. El calendario y las obligaciones se detallan en nuestro artículo sobre la normativa AML6.

‍

8. En caso de inspección del regulador sobre un expediente de hace dos años, ¿qué puedo presentar? La buena respuesta: la decisión íntegra (datos consultados, versión del modelo, motivos, sello de tiempo) en unos pocos clics.

‍

La IA (preguntas 9 y 10)

‍

9. Para este score, denme la lista exacta de las señales que lo explican. Una IA explicable restituye sus motivos, decisión por decisión. Una caja negra es indefendible tanto en una auditoría como frente al cliente, y el AI Act la convierte en una exigencia para el scoring.

‍

10. ¿Puede el analista invalidar el score, y queda trazada esa decisión? El score orienta, el humano decide en los casos ambiguos: es a la vez una buena práctica operativa y una expectativa regulatoria.

‍

La seguridad y el alojamiento (preguntas 11 y 12)

‍

11. ¿Dónde se alojan y se tratan los datos, y por qué entidades transitan? Para datos KYC/KYB (datos personales, directivos, titulares reales), el alojamiento en la UE sin transferencias fuera de la Unión simplifica su cumplimiento del RGPD, y se vuelve eliminatorio en la mayoría de las licitaciones bancarias.

‍

12. ¿Qué certificaciones de seguridad tienen, y cuál es su historial de incidentes? ISO 27001 o equivalente, y una respuesta transparente sobre los incidentes pasados valen más que un «cero incidentes» imposible de verificar.

‍

El modelo comercial (preguntas 13 a 15)

‍

13. ¿Qué cubre exactamente una «verificación» facturada, y facturan los controles no completados? Los perímetros varían de uno a cuatro. Compruebe también que releer un resultado desde el histórico no vuelve a lanzar un análisis de pago.

‍

14. ¿Cuál es su tasa de automatización constatada, y qué volumen tendrán que tratar mis analistas? La primera partida de coste de una solución KYC/KYB es humana: es la tasa de automatización la que determina el coste real, no el precio unitario.

‍

15. Si mañana añado la verificación de IBAN o el scoring de solvencia, ¿cuántos contratos e integraciones adicionales? La respuesta lo dice todo sobre la arquitectura: un módulo que se activa dentro del mismo contrato, o un nuevo proyecto de compra de seis meses.

‍

Cómo interpretar las respuestas

‍

Tres señales de alerta transversales: las respuestas en número de países en lugar de profundidad de datos, las métricas «media del mercado» nunca vinculadas a una referencia de cliente, y la imposibilidad de hacer una demostración con sus propios casos. Al contrario, un proveedor que acepta probar en directo una sociedad pantalla, un documento falso y un expediente ambiguo generalmente no tiene nada que ocultar.

‍

La forma más rápida de recorrer esta checklist sigue siendo plantearla en condiciones reales: planifique una demo y venga con sus casos más retorcidos.

‍

FAQ

‍

¿Qué es un RFP para una solución KYC/KYB?

‍

Un RFP (Request for Proposal) es una licitación formalizada: la empresa describe sus necesidades de verificación de identidad y de empresas, y los proveedores responden punto por punto. Incluso sin un RFP formal, una batería de preguntas estructurada permite comparar las soluciones de forma objetiva.

‍

¿Cuánto tiempo hay que prever para elegir una solución KYC/KYB?

‍

De cuatro a doce semanas según la gobernanza: definición de necesidades, demos con casos reales, prueba técnica (POC) sobre una muestra de expedientes, validación de cumplimiento y seguridad, negociación. El POC sobre sus propios expedientes es la etapa que mejor diferencia.

‍

¿Hay que probar la solución antes de firmar?

‍

Sí, sistemáticamente, y con sus casos reales: expedientes fraudulentos conocidos, casos ambiguos, documentos falsificados. Un proveedor que rechaza la prueba en condiciones reales es una señal de alerta en sí misma.