¿Haber superado correctamente un procedimiento KYC exime de responsabilidad penal por estafa? La respuesta es no. Que una entidad haya identificado a un cliente y validado su expediente no acredita que las operaciones posteriores fueran lícitas, ni excluye que concurra un engaño típico. En los delitos de estafa vinculados al phishing, a las falsas plataformas de inversión o forex y al blanqueo de capitales a través de mulas financieras, es frecuente confundir la finalidad de la normativa KYC con los indicios exigidos para atribuir el tipo penal. Se trata de planos jurídicos diferentes que, pese a compartir ocasionales puntos de contacto probatorio, responden a lógicas distintas.
Qué es el KYC y cuál es su finalidad regulatoria
Las obligaciones de conocimiento del cliente (Know Your Customer, KYC) se integran en las medidas de diligencia debida que la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, y su reglamento de desarrollo (Real Decreto 304/2014), imponen a los sujetos obligados. Su función es esencialmente preventiva y regulatoria: persigue que las entidades identifiquen formalmente a sus clientes y a su titular real, conozcan la naturaleza y el propósito de la relación de negocios, evalúen el riesgo de blanqueo o financiación del terrorismo y sometan la relación a un seguimiento continuo. De ese entramado deriva, además, el deber de comunicar al SEPBLAC las operaciones que presenten indicios de blanqueo.
La clave está en delimitar correctamente su alcance. El KYC no está diseñado para acreditar la licitud de todas las operaciones que un cliente realice a lo largo del tiempo, sino para dotar a la entidad de herramientas con las que gestionar el riesgo y cumplir sus deberes regulatorios. Por eso, cuando una entidad aplica correctamente el KYC, lo que demuestra es que ha satisfecho su propia diligencia debida. En ningún caso significa que el cliente no pueda cometer después un delito valiéndose de esa relación bancaria.
La relevancia del KYC en el ámbito mercantil y civil
En sede mercantil o civil, el cumplimiento del KYC sí adquiere un peso propio, porque el objeto de análisis es la conducta de la entidad financiera y el grado de observancia de sus obligaciones legales. En este plano puede resultar determinante para valorar, entre otras cuestiones, si la entidad actuó con la diligencia que le era exigible, si incumplió obligaciones contractuales o regulatorias, si incurre en responsabilidad frente a terceros perjudicados o si debió bloquear determinadas operaciones e intensificar el seguimiento del cliente.
En otras palabras, el foco recae aquí sobre el comportamiento del banco. La pregunta no es si el cliente delinquió, sino si la entidad cumplió lo que la normativa le imponía. Esta diferencia de objeto explica que un mismo dato, la corrección del expediente KYC, pueda tener consecuencias muy distintas según el orden jurisdiccional en el que se examine.
Por qué la estafa se analiza con criterios penales autónomos
La responsabilidad penal por estafa se rige por criterios completamente distintos. El artículo 248 del Código Penal exige comprobar la concurrencia de los elementos típicos del delito: un engaño bastante, el error de la víctima provocado por ese engaño, un acto de disposición patrimonial, el consiguiente perjuicio económico, el ánimo de lucro y una relación de causalidad entre el engaño y el perjuicio. Conviene recordar que, tras la reforma operada por la Ley Orgánica 14/2022, la modalidad informática de la estafa (la habitual en el phishing y en los fraudes de inversión en línea) se ubica en el artículo 249 del Código Penal, si bien sus elementos esenciales responden a la misma lógica del engaño defraudatorio.
Ninguno de estos elementos depende de que el investigado haya superado o no un procedimiento KYC. Puede ocurrir, y de hecho ocurre con frecuencia en la práctica, que una persona abra una cuenta identificándose de forma correcta, aporte toda la documentación requerida y logre que la entidad valide su expediente, para emplear semanas o meses después esa misma cuenta como instrumento de una estafa o de un delito de blanqueo. El cumplimiento del KYC no elimina ni desactiva la posible concurrencia de los elementos del tipo penal, porque unos y otros operan en momentos y sobre objetos distintos.
El KYC no genera una presunción de licitud
Desde una perspectiva probatoria conviene desactivar un argumento defensivo recurrente: “el banco verificó mi identidad y me permitió operar”. Ese hecho puede acreditar, ciertamente, que el investigado no utilizó una identidad falsa, siempre que no mediara un documento de identidad falsificado, que no ocultó inicialmente quién era y que no se detectaron irregularidades en la apertura de la cuenta. Pero de ahí no se sigue en modo alguno que las operaciones posteriores fueran lícitas ni que estuviera ausente el engaño característico de la estafa.
La comparación resulta ilustrativa: sería como sostener que quien obtiene legalmente su permiso de conducir queda por ello inmunizado frente a un futuro delito contra la seguridad vial. El cumplimiento de un requisito administrativo o regulatorio nunca excluye la responsabilidad penal por conductas cometidas con posterioridad. El KYC certifica un punto de partida, no blinda todo lo que venga después.
¿Tiene el cumplimiento del KYC alguna relevancia penal?
Sí, aunque solo de forma indirecta. El cumplimiento del KYC puede operar como un indicio favorable al investigado cuando la acusación sostenga, por ejemplo, que ocultó deliberadamente su identidad o que se sirvió de documentación falsa. En ese escenario, acreditar que la identificación fue correcta debilita esa concreta línea acusatoria.
Ahora bien, ese dato no desvirtúa por sí solo los indicios de una estafa. El objeto del proceso penal continúa siendo determinar si existió el engaño típico y si concurren el resto de los elementos del delito, cuestiones que permanecen intactas al margen del expediente bancario. De hecho, el juez de instrucción puede considerar plenamente acreditado que la entidad cumplió con escrupulosidad sus obligaciones KYC y, simultáneamente, apreciar indicios suficientes de que el investigado cometió una estafa a través de esa misma cuenta. No hay contradicción alguna: ambos juicios recaen sobre objetos jurídicos diferentes y, por ello, son perfectamente compatibles.
Consecuencias prácticas y conclusión
De todo lo anterior se extrae una idea nuclear para quien afronta una investigación por estafa, phishing o blanqueo: la diligencia del banco y la responsabilidad penal del cliente discurren por carriles separados. Invocar la corrección del KYC como escudo frente a la imputación es un planteamiento defensivo débil si no se acompaña de una estrategia que ataque directamente los elementos del tipo, muy especialmente la existencia y suficiencia del engaño.
Por la misma razón, tampoco la acusación puede apoyarse en supuestas deficiencias del KYC para dar por probada una estafa: son planos que conviene deslindar con precisión técnica en el escrito de defensa y a lo largo de la instrucción. Si se encuentra investigado en un procedimiento de esta naturaleza, contar cuanto antes con el asesoramiento de un abogado penalista resulta decisivo para construir una defensa centrada en lo que verdaderamente se dirime en el proceso.
