El anteproyecto crea la ANIFI, amplía el perímetro de sujetos obligados, lleva la titularidad real al centro del KYC y eleva la responsabilidad de administradores y responsables de cumplimiento. Esperar a la aprobación definitiva sería un error.

España se prepara para sustituir la Ley 10/2010 por un sistema de prevención del blanqueo más europeo, tecnológico e intrusivo. El cambio no consiste únicamente en reemplazar al SEPBLAC por una nueva autoridad. Obliga a revisar quién está sujeto, quién gobierna el cumplimiento, cómo se identifica al titular real, qué pruebas deben conservarse y qué responsabilidad asumen personalmente los administradores.

El texto fue aprobado en primera vuelta por el Consejo de ministros el 28 de julio de 2026 y continúa como anteproyecto sometido a tramitación administrativa urgente. No es todavía un proyecto de ley remitido a las Cortes ni una norma vigente. La audiencia pública finaliza el 30 de septiembre de 2026.

El anteproyecto está concebido para funcionar junto al Reglamento (UE) 2024/1624, el Reglamento (UE) 2023/1113 sobre transferencias de fondos y criptoactivos, la Directiva (UE) 2024/1640 y la nueva Autoridad europea de lucha contra el blanqueo. La futura ley española dejará de ser una pieza relativamente autosuficiente: parte sustancial de las obligaciones estará en el reglamento europeo, mientras la norma nacional organizará autoridades, competencias, procedimientos y sanciones.

Para los sujetos obligados, la conclusión práctica es clara. La adaptación no puede limitarse a sustituir referencias legales en el manual interno. Habrá que revisar el perímetro subjetivo, la evaluación de riesgos, el gobierno del cumplimiento, la identificación del titular real, la calidad de los exámenes especiales, los flujos de comunicación, la protección de datos, la externalización, la gestión de grupos y la capacidad de respuesta ante una inspección.

La futura supervisión no preguntará solo si existe un manual. Exigirá demostrar que los controles funcionan, disponen de recursos suficientes y producen decisiones trazables.

La ANIFI concentrará inteligencia, supervisión y sanción

La primera gran novedad es institucional. El Fondo de Reestructuración Ordenada Bancaria se transformará en la Autoridad Nacional de Integridad Financiera, la ANIFI, manteniendo su personalidad jurídica, patrimonio y derechos. La nueva autoridad asumirá las funciones actualmente desarrolladas por el Servicio Ejecutivo y la Secretaría de la Comisión y actuará, al mismo tiempo, como Unidad de Inteligencia Financiera y supervisor único de los sujetos obligados, salvo las competencias atribuidas directamente a la autoridad europea (arts. 50 y 51 y disposición transitoria primera).

La acumulación de facultades es considerable. La ANIFI recibirá comunicaciones, analizará inteligencia, aprobará circulares e instrucciones, inspeccionará, adoptará medidas correctoras, impondrá multas coercitivas e iniciará y resolverá procedimientos sancionadores (art. 51.1). Podrá realizar inspecciones in situ sin previo aviso, acceder a libros, sistemas informáticos, comunicaciones internas, actas y documentación de proveedores externos, y entrevistar a las personas vinculadas con los controles (art. 66.4).

El tránsito, sin embargo, no será instantáneo. Hasta la puesta en funcionamiento efectiva de la ANIFI, la Comisión y sus órganos de apoyo continuarán aplicando la Ley 10/2010 y su normativa de desarrollo. La fecha se fijará mediante orden ministerial, una vez cumplidos los hitos previstos y dentro de un máximo de dieciocho meses desde la entrada en vigor (disposiciones transitorias primera y segunda). En consecuencia, las entidades deberán gestionar durante un tiempo un régimen de transición y evitar la falsa impresión de que el SEPBLAC desaparece automáticamente con la publicación de la ley.

Más sujetos obligados y un mapa sectorial más complejo

El artículo 2 conserva el núcleo tradicional de entidades financieras y profesionales, pero amplía y reordena el perímetro. Incorpora expresamente a proveedores e intermediarios de financiación participativa, sociedades mixtas de cartera no financieras, agentes de fútbol y clubes de fútbol profesional en determinadas operaciones. También sistematiza las actividades relacionadas con bienes de gran valor, bienes culturales, zonas francas, migración por inversión, custodia o transporte profesional de fondos y servicios transfronterizos.

Los clubes profesionales quedan comprendidos cuando operen con inversores, patrocinadores, agentes o intermediarios y en traspasos de jugadores (art. 2.1.s). La disposición final decimocuarta difiere hasta el 10 de julio de 2029 la entrada en vigor para las sociedades mixtas de cartera no financieras y los agentes de fútbol, pero no menciona a los clubes. Esa diferencia deberá vigilarse durante la tramitación, junto con las exclusiones por bajo riesgo que podrán aprobarse reglamentariamente (art. 2.3).

¿A quién afectará?

En el bloque financiero, el impacto alcanzará a bancos, entidades de pago y dinero electrónico, empresas de servicios de inversión, aseguradoras, fondos, proveedores de servicios de criptoactivos y plataformas de financiación participativa. Sus prioridades serán la gobernanza, el Fichero de Titularidades Financieras, la calidad de los datos, el reporting y la coordinación con la supervisión europea.

En el ámbito profesional, afectará a auditores, contables externos, asesores fiscales, notarios, registradores, abogados y otros profesionales jurídicos cuando intervengan en las operaciones delimitadas legalmente. Para ellos resultará esencial precisar el perímetro efectivo de actividad, el alcance del secreto profesional, el funcionamiento de los órganos centralizados y la adaptación de la doble función de cumplimiento.

En el sector no financiero, deberán prepararse las actividades inmobiliarias, el juego, los operadores de metales y piedras preciosas, el comercio de bienes de gran valor y de arte, las zonas francas, el transporte de fondos y los programas de migración por inversión. Los prestadores de servicios societarios y fiduciarios afrontarán, además, un régimen reforzado de acceso y permanencia en la actividad.

Las asociaciones, fundaciones y entidades religiosas dejan de figurar como sujetos obligados generales, pero no quedan fuera del sistema. El artículo 30 crea un régimen específico frente a la financiación del terrorismo basado en la idoneidad de los órganos de gobierno, la trazabilidad de los fondos y la colaboración con la ANIFI. Para las entidades con riesgo superior a medio o actividad en jurisdicciones de riesgo se prevé la identificación y conservación de datos de donantes y beneficiarios en determinadas operaciones superiores a 1.000 euros.

El cumplimiento pasa al centro del órgano de dirección

La tercera transformación es de gobierno corporativo. El artículo 14 exige que todos los sujetos obligados designen a un miembro del órgano de dirección, en su función de gestión, como director de cumplimiento normativo, y a un responsable de cumplimiento que actuará como representante ante la ANIFI. La propuesta de nombramiento de este último, acompañada de una descripción detallada de su trayectoria, deberá remitirse a la autoridad, que podrá formular reparos u observaciones (art. 14.1 y 14.2).

Las funciones de cumplimiento deberán disponer de personal y tecnología adecuados al tamaño, naturaleza y riesgo de la organización, y de facultades reales para proponer medidas (art. 14.4). La infradotación de recursos se convierte expresamente en infracción grave (art. 82.1.o). El consejo ya no podrá tratar la prevención como una tarea periférica delegada por completo en un técnico, un despacho externo o una aplicación informática.

La literalidad de la norma genera, sin embargo, una dificultad para autónomos, microempresas y pequeños despachos. No aclara suficientemente cómo aplicar la dualidad entre director y responsable de cumplimiento cuando la estructura no permite dos nombramientos diferenciados. El principio de proporcionalidad del reglamento europeo y el futuro desarrollo reglamentario deberán impedir que la exigencia se convierta en una obligación imposible o puramente nominal. La suficiencia de recursos deja de ser una discusión presupuestaria interna y pasa a ser un estándar jurídico revisable y sancionable.

La titularidad real entra en el corazón del KYC

El cambio operativo más visible aparece en el artículo 3.1.a. Para identificar al titular real de todos los clientes será obligatorio consultar el Registro Central de Titularidades Reales y obtener una certificación electrónica o extracto que acredite el acceso. Cuando existan incoherencias entre el Registro y la información obtenida por otras vías, el sujeto obligado deberá notificar la discrepancia.

La consulta no sustituye el juicio profesional ni la verificación independiente. Cada entidad seguirá siendo responsable de comprender la estructura de propiedad y control, documentar las medidas adoptadas y decidir si la información resulta suficiente. El Registro se convierte en un mínimo obligatorio, no en una exoneración de responsabilidad.

El acceso tendrá un coste de 2 euros por persona jurídica o estructura consultada, reducido a 1 euro en los accesos automatizados máquina a máquina; notarios, registradores y determinadas autoridades quedan exentos (art. 44 y disposición adicional tercera). Para operadores con grandes volúmenes de altas, revisiones periódicas o estructuras complejas, el coste económico y de integración tecnológica puede ser material.

El título IV refuerza también las obligaciones de las propias personas jurídicas y estructuras: mantener información adecuada, exacta y actualizada, comunicarla, conservar evidencia, responder a requerimientos y corregir discrepancias (arts. 34 a 41). Estas reglas y su régimen sancionador podrían entrar en vigor al día siguiente de la publicación en el BOE, antes de la entrada general prevista para 2027 (disposición final decimocuarta. 2.a).

Nuevas obligaciones: de la diligencia debida a la trazabilidad

Identificación, seguimiento y personas del medio político

El artículo 3 remite de forma extensa al Reglamento (UE) 2024/1624. Exige identificar y verificar al cliente y al titular real, conocer el propósito y naturaleza de la relación y mantener un seguimiento continuo. Las medidas simplificadas solo podrán aplicarse cuando concurran los supuestos europeos; las reforzadas serán obligatorias ante un riesgo superior al promedio y para las personas del medio político y sus familiares (arts. 4 a 6).

El perímetro familiar se amplía, para determinados cargos del artículo 6, a los hermanos. Los motores de screening, formularios de alta, criterios de revisión y procedimientos de escalado tendrán que incorporar la nueva definición.

Examen especial, comunicación y abstención

Toda operación o pauta compleja, inusual, carente de propósito económico o lícito aparente o con indicios de simulación o fraude deberá examinarse especialmente y documentarse por escrito. El procedimiento interno deberá incorporar tipologías, revisiones periódicas y aplicaciones informáticas adecuadas al negocio, la geografía y el volumen de información (art. 7).

Las operaciones, fondos o actividades sospechosas se comunicarán a la ANIFI. Si el examen presentado es insuficiente, la autoridad podrá devolver la comunicación para que el sujeto obligado profundice en el análisis. Las operaciones intentadas deberán registrarse como no ejecutadas y comunicarse con la información disponible (art. 8.1). La calidad narrativa y probatoria del expediente será, por tanto, tan importante como el número de comunicaciones.

La comunicación sistemática se realizará con la periodicidad, formato y soporte que determine la ANIFI. Incluso la ausencia de operaciones susceptibles de comunicación deberá declararse con la periodicidad que se establezca reglamentariamente (art. 9). A ello se suman la obligación de abstenerse de ejecutar operaciones comunicadas y la prohibición de revelación, con las especialidades previstas para registradores (art. 8.3 y 8.4).

Respuesta a las autoridades y reconstrucción histórica

Los sujetos obligados deberán responder de forma completa y diligente a la Comisión, la ANIFI y las demás autoridades competentes. Los sistemas tendrán que permitir determinar si mantuvieron relaciones de negocio durante los diez años anteriores con personas concretas y explicar su naturaleza (art. 10). Una respuesta parcial que impida conocer la situación puede constituir incumplimiento.

Riesgos, personal, grupos y externalización

Las políticas, procedimientos y controles internos deberán incorporar una evaluación de riesgos de toda la actividad, la integridad y formación del personal, canales internos de denuncia y protección del informante, así como su aplicación a sucursales y filiales del grupo, incluidas las situadas en terceros países (art. 13). La autoridad podrá exceptuar a determinados sectores de la evaluación individual cuando el riesgo esté suficientemente identificado, pero no a las entidades financieras ni a los proveedores o intermediarios de financiación participativa (art. 13.2).

El artículo 16 permite externalizar determinadas funciones, pero prohíbe externalizar el examen especial y la comunicación sistemática. Allí donde se permita contratar apoyo, la responsabilidad seguirá perteneciendo al sujeto obligado. Los contratos deberán garantizar que la ANIFI acceda a la documentación, los sistemas y el personal del proveedor, porque la inspección podrá extenderse a las tareas subcontratadas (art. 66.4).

Protección de datos e intercambio de información

La conservación general se fija en diez años. Transcurridos cinco años desde el fin de la relación o la operación ocasional, la documentación solo será accesible para los órganos de control interno, las unidades técnicas y, en su caso, los encargados de la defensa jurídica (art. 21). Esta segmentación deberá trasladarse a permisos, repositorios, copias de seguridad y registros de acceso.

El artículo 22.4 exige una evaluación de impacto en protección de datos para los tratamientos derivados de la diligencia debida y medidas reforzadas de seguridad que garanticen integridad, confidencialidad, disponibilidad y trazabilidad. Otra evaluación será necesaria para los sistemas de intercambio de información del artículo 24.5. No bastará con actualizar una cláusula informativa: será preciso revisar legitimación, minimización, retención, perfiles de acceso, transferencias, modelos automatizados y respuesta a incidentes.

Los artículos 23 y 24 habilitan asociaciones y sistemas para intercambiar información en supuestos regulados y permiten compartir datos sobre operaciones sospechosas rechazadas cuando exista riesgo de que se intenten ante otro sujeto obligado. Es una herramienta poderosa contra las redes de cuentas mula y el fraude organizado, pero exige controles estrictos de finalidad, acceso, seguridad y trazabilidad, además del dictamen de la Agencia Española de Protección de Datos en los casos previstos.

Ficheros financieros y servicios societarios

El artículo 18 amplía la información que deberán declarar bancos, entidades de pago y dinero electrónico, empresas y sociedades de inversión, gestoras y proveedores de servicios de criptoactivos al Fichero de Titularidades Financieras. Se incluyen cuentas de pago, valores y criptoactivos, cajas de seguridad, titulares reales, representantes, autorizados y otras personas con poder de disposición, junto con las fechas de inicio y fin de sus facultades. La periodicidad y determinados datos adicionales quedan pendientes de desarrollo reglamentario.

Para los prestadores de servicios societarios y fiduciarios, el artículo 19 configura un régimen mucho más exigente. Antes de iniciar la actividad será obligatoria la inscripción registral, la acreditación de antecedentes penales de administradores, directivos y titulares reales y la verificación por la ANIFI de los procedimientos y órganos preventivos. Transcurridos tres meses, el silencio opera como verificación positiva del trámite.

La información deberá actualizarse anualmente. Las personas jurídicas acompañarán al depósito de cuentas certificados de antecedentes y datos sobre servicios, territorio, clientes no residentes, facturación, número de operaciones y cambios de titularidad real. Las personas físicas profesionales efectuarán su depósito durante los tres primeros meses del año. La falta de actualización podrá provocar la cancelación de la inscripción (art. 19.6 a 19.9).

Sanciones más altas y exposición personal

El anteproyecto eleva de forma notable la presión sancionadora. Las infracciones muy graves podrán castigarse con una multa mínima de 150.000 euros y máxima equivalente a la mayor de estas cifras: el 15 % del volumen de negocios anual total, el triple del contenido económico de la operación, el quíntuplo de los beneficios obtenidos o 15 millones de euros (art. 86.1.a). La multa será obligatoria y se acompañará de amonestación pública. También podrán imponerse restricciones de actividad, cambios de gobierno y suspensión o revocación de la autorización.

En las infracciones graves, la multa mínima general será de 60.000 euros y podrá alcanzar la mayor entre el 10 % del volumen de negocios, las magnitudes ligadas a la operación o el beneficio y 10 millones de euros. Para las personas físicas, el mínimo podrá reducirse a 30.000 euros (art. 87.1). Las infracciones leves podrán alcanzar 60.000 euros (art. 88).

La responsabilidad no queda encerrada en la persona jurídica. Los administradores y directivos responderán cuando el incumplimiento sea imputable a una conducta dolosa o negligente (art. 84). En las infracciones muy graves, las multas individuales podrán oscilar entre 60.000 y 15 millones de euros; en las graves, entre 3.000 y 10 millones, además de la separación e inhabilitación hasta cinco años (arts. 86.3 y 87.2). La publicación de las sanciones firmes durante cinco años añade un riesgo reputacional de gran intensidad (art. 90).

La supervisión tendrá, además, capacidad de corrección inmediata. La Comisión Rectora podrá ordenar el refuerzo de controles, imponer requisitos específicos para clientes, operaciones o canales de alto riesgo, modificar la gobernanza o reducir el riesgo de determinados productos y actividades (art. 99). El incumplimiento puede activar multas coercitivas periódicas de hasta el 3 % del volumen de negocios diario medio de la persona jurídica, durante seis meses prorrogables por otros seis (art. 100).

Los cinco riesgos que deben valorar las organizaciones

1-Implantación fragmentada

La futura ley no contendrá por sí sola todo el catálogo de obligaciones. Las continuas remisiones al Reglamento (UE) 2024/1624 y a los actos técnicos europeos hacen peligrosa una implantación basada únicamente en el articulado nacional. Cada entidad debería elaborar una matriz que conecte obligación, norma europea, norma española, procedimiento interno, evidencia, propietario del control y fecha de disponibilidad.

2-Coste tecnológico y de datos

La consulta obligatoria al Registro Central, los accesos automatizados, la gestión de discrepancias, la ampliación del Fichero de Titularidades Financieras, las evaluaciones de impacto y la trazabilidad exigirán desarrollos técnicos. A ello se añade el coste por consulta y, para los sujetos autorizados de mayor activo, la tasa destinada a financiar la ANIFI, con un máximo individual de 1,5 millones de euros y devengo anual el 1 de febrero (disposición adicional segunda).

3-Responsabilidad por falta de recursos

El órgano de dirección deberá justificar por qué la dotación de personas, sistemas, calidad de datos y capacidad analítica es proporcional al riesgo. Ya no bastará con afirmar que el departamento de cumplimiento pidió más presupuesto. La falta de recursos figura expresamente entre las infracciones graves (art. 82.1.o).

4-Protección de datos, automatización y discriminación

El tratamiento de personas del medio político, la información compartida, los modelos de riesgo y las decisiones automatizadas pueden provocar falsos positivos, exclusión financiera y tratamientos excesivos. El anteproyecto exige evaluaciones de impacto y prevé que los mecanismos de verificación no produzcan resultados discriminatorios (arts. 22.4, 24.5 y 41.5). La explicabilidad, la revisión humana y la gobernanza del modelo deberán formar parte del programa PBC/FT.

5-Reputación y continuidad de negocio

La publicación de sanciones, la posibilidad de restringir actividades, exigir cambios de gobierno o suspender autorizaciones y las órdenes de suspensión sobre operaciones, cuentas y relaciones de negocio pueden afectar de inmediato a clientes, contrapartes y financiación. La gestión de una crisis regulatoria debería integrarse en los planes de continuidad y comunicación corporativa (arts. 63, 86, 87 y 90).

El calendario que no debe perderse de vista

El anteproyecto combina una entrada general con varias reglas anticipadas, transitorias y diferidas. Esta superposición exige un calendario normativo propio para cada organización.

30 de septiembre de 2026. Finaliza la audiencia pública. Las observaciones deben remitirse en el documento normalizado del Ministerio, sin alterar las tablas ni utilizar control de cambios.

Día siguiente a la publicación en el BOE. Entrarían en vigor anticipadamente el título IV sobre titularidad real, sus infracciones y sanciones asociadas, el procedimiento específico y la parte del artículo 2.1.a indicada en la disposición final decimocuarta.2.a y b.

10 de julio de 2027. Es la fecha prevista para la entrada en vigor general y coincide con el principal horizonte de aplicación del paquete europeo (disposición final decimocuarta.1).

Primer ejercicio tras la entrada en vigor. Los prestadores de servicios societarios ya inscritos deberán acreditar sus procedimientos y órganos preventivos junto al depósito de cuentas. La obligación aparece en la disposición transitoria octava y vuelve a reproducirse en la decimotercera.

Primer trimestre de cada año. Los prestadores de servicios societarios que sean personas físicas profesionales depositarán el certificado de antecedentes y la información anual (art. 19.7).

Un año desde la entrada en vigor. Los registros y bases de datos fuente realizarán el primer envío total de información al Registro Central de Titularidades Reales (disposición transitoria séptima).

Máximo de dieciocho meses. Deberá aprobarse la orden de puesta en funcionamiento de la ANIFI y el traspaso de las funciones de resolución, una vez cumplidos los hitos previstos (disposición transitoria primera.1).

10 de julio de 2029. Entrará en vigor la sujeción de las sociedades mixtas de cartera no financieras y los agentes de fútbol (art. 2.1.q y r y disposición final decimocuarta.2.c).

Diez años. Es el plazo general de conservación de la información preventiva. Después del quinto año, el acceso interno quedará restringido (art. 21).

Lo que todavía depende del desarrollo reglamentario

La aprobación de la ley no cerrará el sistema. Varias obligaciones esenciales dependerán de reglamentos, circulares de la ANIFI y normas técnicas europeas. Entre las cuestiones abiertas destacan las siguientes:

Perímetro y exclusiones. Las actividades financieras ocasionales o muy limitadas y las posibles exclusiones por bajo riesgo de determinados proveedores de juego y clubes de fútbol (art. 2.3).

Examen especial y reporting. Las operaciones que deberán ser siempre examinadas, así como las categorías, periodicidad, soporte y formato de la comunicación sistemática, incluida la declaración negativa (arts. 7 y 9).

Profesiones colegiadas. La creación y funciones adicionales de los órganos centralizados de prevención (art. 15).

Fichero de Titularidades Financieras. La periodicidad, los datos adicionales y las instrucciones técnicas de la ANIFI (art. 18).

Medios de pago. Los modelos de declaración y el mínimo de supervivencia excluido de una intervención (arts. 25 y 27).

Tercer sector. El análisis sectorial que determinará qué fundaciones, asociaciones y entidades religiosas presentan un riesgo significativo y quedan sujetas al régimen reforzado (art. 30).

Organización institucional. La composición y funcionamiento de la Comisión, sus comités, las estadísticas y los análisis nacionales de riesgo, además del Reglamento de Régimen Interno, la estructura y el canal de relación de la ANIFI (arts. 49 a 55).

Circulares vinculantes. Las reglas sobre actividades de mayor riesgo, contramedidas y remisión recurrente de información que podrá aprobar la ANIFI (arts. 51 y 68).

Tasas. La circular anual de cálculo de la tasa de la ANIFI y los formularios de liquidación y distribución de la tasa de acceso al Registro Central (disposiciones adicionales segunda y tercera).

Desarrollo europeo. Los reglamentos de ejecución y normas técnicas sobre titularidad real, gravedad de los incumplimientos, supervisión transfronteriza y demás mandatos de la Directiva (UE) 2024/1640.

Un borrador que necesita depuración técnica

El documento sometido a audiencia contiene referencias provisionales e inconsistencias que deberían corregirse antes de su aprobación. No son meros defectos estéticos cuando afectan a autoridades, sanciones o fechas de entrada en vigor.

Artículo 1.2. Cita el Reglamento de 31 de mayo de «202» y debe completar el año.

Artículos 15.3, 24.2 y 92.2. Utilizan la denominación «ANBPLAC», mientras el resto del texto crea la ANIFI.

Artículo 38.2. Remite a los apartados 7 y 8 del artículo 44, aunque este solo contiene tres apartados.

Artículo 82.1.v. Remite a una «disposición adicional XX», marcador incompatible con una versión definitiva.

Artículo 87.5. Se refiere al artículo 59 ter, inexistente en el anteproyecto, previsiblemente en lugar del artículo 90.

Disposiciones transitorias octava y decimotercera. Duplican sustancialmente la obligación de los prestadores de servicios societarios ya inscritos y utilizan referencias internas distintas.

Disposición final novena. Mantiene referencias reglamentarias a la Ley 10/2010 pese a que la disposición derogatoria proyecta su derogación.

Artículo 14. La doble función de cumplimiento necesita una regla clara de proporcionalidad para profesionales individuales y microempresas.

Estas inconsistencias justifican alegaciones específicas para eliminar remisiones rotas, aclarar la proporcionalidad organizativa, coordinar las entradas en vigor anticipadas y evitar que obligaciones sancionables dependan de conceptos o autoridades incorrectamente identificados.

Diez decisiones que conviene adoptar antes del BOE

Sin prejuzgar los cambios que puedan introducirse en el Consejo de Ministros o durante la tramitación parlamentaria, un programa prudente de transición puede organizarse en diez decisiones:

Confirmar el perímetro. Documentar qué letras del artículo 2 se aplican a cada sociedad, línea de negocio, establecimiento y servicio transfronterizo.

Construir una matriz normativa. Cruzar la futura ley con los Reglamentos (UE) 2024/1624 y 2023/1113, los actos técnicos de la autoridad europea y las normas sectoriales.

Recalibrar el riesgo. Actualizar las metodologías de cliente, producto, canal, geografía, tecnología y financiación de la proliferación.

Resolver la gobernanza. Definir director y responsable de cumplimiento, independencia, sustituciones, acceso al órgano de dirección, responsabilidades y evidencia de supervisión.

Presupuestar recursos. Justificar con datos la plantilla, las herramientas, la cobertura horaria, la calidad de los datos, la formación y la capacidad investigadora.

Integrar el Registro Central. Prever consultas, certificaciones, accesos masivos, tasas, discrepancias, reintentos, contingencias y archivo probatorio.

Rehacer los expedientes de examen especial. Mejorar hipótesis, análisis de contexto, trazabilidad del dinero, fuentes, descartes y conclusión.

Revisar privacidad y seguridad. Realizar evaluaciones de impacto, segmentar la documentación de más de cinco años y registrar accesos y comunicaciones.

Auditar a los proveedores. Identificar funciones no externalizables, modificar contratos y garantizar acceso supervisor, continuidad, confidencialidad y devolución de datos.

Ensayar una inspección. Comprobar que la organización puede reconstruir relaciones de diez años, explicar alertas y demostrar la eficacia de sus controles.

Conclusión: esperar sería una decisión de riesgo

El anteproyecto inaugura un cambio de modelo. La prevención española se integrará en un sistema multinivel en el que el Reglamento europeo contiene buena parte de las obligaciones, la ley española organiza autoridades y potestades, y la ANIFI y la autoridad europea completarán el marco mediante circulares, guías y normas técnicas.

El reto no será únicamente jurídico. Será un reto de gobierno corporativo, tecnología, datos, recursos y capacidad probatoria. Quien espere a la aprobación definitiva para iniciar el análisis asumirá un riesgo innecesario, sobre todo porque determinadas reglas de titularidad real y sus sanciones podrían entrar en vigor al día siguiente de la publicación.

La actuación razonable tiene tres horizontes: formular alegaciones antes del 30 de septiembre de 2026; ejecutar durante 2026 y 2027 un diagnóstico de brechas y un plan de adaptación; y preparar con tiempo la incorporación diferida de determinadas nuevas categorías en 2029. El texto puede cambiar. La dirección regulatoria, sin embargo, es inequívoca: más información, más trazabilidad, más responsabilidad directiva y una supervisión con mayor capacidad de intervención.

El cumplimiento que viene deberá poder probarse. La existencia formal de políticas será insuficiente si la organización no acredita recursos, decisiones y resultados.

Fuentes oficiales y nota jurídica

Ministerio de Economía, Comercio y Empresa. Trámite de audiencia pública del anteproyecto. Consultado el 4 de septiembre de 2026.

Consejo de Ministros. Referencia de 28 de julio de 2026. Aprobación en primera vuelta y tramitación urgente.

Texto analizado. Anteproyecto de Ley de medidas integrales en materia de prevención del blanqueo de capitales, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva; 296 páginas, 100 artículos, ocho disposiciones adicionales, trece transitorias y catorce finales.

Normativa europea. Reglamento (UE) 2024/1624 y Directiva (UE) 2024/1640.

Nota jurídica. Este artículo analiza un anteproyecto sometido a audiencia pública. Sus artículos, plazos, cuantías y soluciones organizativas pueden modificarse antes de la aprobación como proyecto de ley, durante la tramitación parlamentaria o mediante el desarrollo reglamentario y técnico posterior.

Declaración de uso de IA: este contenido se ha desarrollado con asistencia de inteligencia artificial en las fases de análisis y redacción. Las valoraciones, la interpretación del material y la verificación de los datos son responsabilidad del autor.