El pKYC (KYC perpetuo) se suele explicar como una forma de evitar que los expedientes de clientes se queden anticuados, y esa explicación, siendo cierta, deja fuera lo más interesante. El KYC periódico revisa a cada cliente cuando lo marca el calendario, y ese calendario responde a lo que pide el supervisor mucho más que al ritmo al que cambia el riesgo de un cliente. Los fundamentos de qué significan AML y KYC siguen siendo los mismos.
Con el KYC perpetuo, lo que decide cuándo volver a mirar a un cliente es lo que ocurre en su relación con la entidad, y esa diferencia tiene más consecuencias de las que parece, tanto en cumplimiento como en fraude.
¿Qué es el pKYC (KYC perpetuo)?
El pKYC es un modelo de debida diligencia en el que la información del cliente se revisa y actualiza cuando ocurre un evento relevante, como un cambio en sus datos, en su comportamiento o en su nivel de riesgo, en lugar de esperar a la fecha que marca un calendario fijo de revisiones.
Dicho así, parece una mejora técnica de la gestión documental. En la práctica obliga a algo bastante más incómodo, que es definir de antemano qué cambios en un cliente son lo bastante relevantes como para actuar, y sostener esa definición ante el supervisor. El calendario no desaparece, se queda como límite máximo, pero deja de ser el único criterio.
Conviene no confundirlo con la identidad digital reutilizable, que permite a una persona aprovechar una verificación ya hecha para darse de alta en otros servicios. La primera facilita la entrada en relaciones nuevas, mientras que el pKYC se ocupa de mantener al día las que ya existen.
Por qué el KYC periódico ya no basta
Al analizar el nuevo rol del CISO, en mi artículo anterior, el problema de fondo era poder demostrar después que una decisión automatizada estuvo bajo control. Con el cliente ocurre algo muy parecido, y el KYC periódico lo resuelve mal, porque solo deja evidencia en los días de revisión. Todo lo que pasa entre una revisión y la siguiente queda fuera del expediente.
Y es precisamente en ese tramo donde se mueve buena parte del fraude que hoy preocupa a los equipos de riesgo. La toma de control de cuentas parte de identidades que se verificaron bien en su momento. Las identidades sintéticas que se activan después del alta superan el onboarding porque están diseñadas para no levantar sospechas, y después esperan. Los casos de fraude de identidad sintética siguen ese patrón con bastante disciplina, con meses de actividad discreta, a veces construyendo historial, antes del primer movimiento relevante.
A mi juicio, la debilidad de fondo del modelo periódico, más que su lentitud, es que resulta predecible para quien se toma la molestia de estudiarlo. Un calendario conocido le dice a un atacante cuánto margen tiene.
A eso se suma un coste que conoce cualquier equipo de operaciones KYC. Cuando el calendario agrupa vencimientos llegan las campañas de remediación, con miles de clientes a los que se pide la misma documentación a la vez, respuestas que no llegan, cuentas que se restringen y un backlog que tarda meses en cerrarse. La mayoría de quienes sufren esa fricción son clientes sin ningún riesgo especial.
Nada de esto resta valor a la verificación de identidad (KYC) del alta, que sigue siendo la base de la relación. Lo que muestra es que una verificación correcta el primer día dice poco sobre quién opera la cuenta seis meses después.
Diferencias clave entre el KYC periódico y el pKYC
Los dos modelos persiguen lo mismo, conocer al cliente, pero lo resuelven con lógicas muy distintas.
| KYC periódico | pKYC | |
|---|---|---|
| Disparador | La fecha que marca el calendario de revisiones | Un evento que cambia el riesgo del cliente |
| Frecuencia | Fija, según el nivel de riesgo asignado | Variable, con el calendario como límite máximo |
| Qué se verifica | Sobre todo los datos y documentos del expediente | Los datos y, en los momentos de riesgo, a la propia persona |
| Fricción para el cliente | Concentrada en campañas de actualización masivas | Repartida y proporcional, solo cuando hay motivo |
| Evidencia para auditoría | Instantáneas espaciadas en el tiempo | Historial continuo de eventos, decisiones y respuestas |
Si tuviera que quedarme con una fila, sería la última. Cuando un supervisor revisa un expediente, comprobar que está al día es solo el principio, y la conversación suele ir hacia cómo supo la entidad que debía actualizarlo y qué hizo después. Esa pregunta solo tiene una buena respuesta cuando hay un historial detrás.
Qué eventos activan una revisión pKYC
Cada entidad define sus disparadores según su modelo de riesgo, aunque en banca y fintech los más habituales se repiten:
- Cambios en los datos personales o societarios, como un nuevo domicilio, un cambio de titular real o de actividad.
- Un dispositivo o una ubicación que no encajan con el historial del cliente.
- Operaciones inusuales por importe, frecuencia o destino.
- Coincidencias en listas de sanciones o en noticias adversas.
- Cambios en la calificación de riesgo del cliente.
- La caducidad de un documento de identidad.
Elaborar esta lista es la parte sencilla. Lo difícil, y donde un proyecto de pKYC se juega su viabilidad, es decidir qué respuesta merece cada evento. Si cada cambio de domicilio dispara una revisión completa, el modelo genera más alertas de las que un equipo puede atender y acaba reproduciendo el mismo backlog que pretendía eliminar. Un cambio de domicilio puede resolverse con una actualización de datos, mientras que un acceso desde un dispositivo desconocido seguido de una transferencia elevada sí justifica volver a confirmar quién está detrás.
Cómo funciona el pKYC a lo largo del ciclo de vida del cliente
Un modelo basado en eventos solo funciona si cada momento de la relación genera información aprovechable en el siguiente. Por eso pesa tanto la verificación de identidad orquestada, ya que lo que se recoge en el alta, en cada acceso o en cada revisión queda asociado a la misma identidad y sirve de referencia para las decisiones posteriores.
1. Alta (onboarding)
El onboarding digital combina la verificación del documento, el cotejo biométrico facial y la prueba de vida pasiva, que confirma que hay una persona real frente a la cámara sin pedirle gestos adicionales. Todo lo que venga después se medirá contra lo que se capture aquí. Por eso conviene no tratar el alta como un trámite que hay que acortar a cualquier precio.
2. Accesos y cambios sensibles
Cuando un cliente accede desde un dispositivo nuevo, cambia su teléfono o su correo, o modifica los datos que permiten recuperar la cuenta, la re-autenticación biométrica permite confirmar que sigue siendo la misma persona verificada en el alta. Son los momentos que más buscan quienes intentan apropiarse de una cuenta legítima, y también aquellos en los que una contraseña o un código de un solo uso aportan menos certeza.
3. Eventos de riesgo
Una operación atípica, un cambio de titularidad o una señal que no encaja con el historial no exigen siempre la misma respuesta. La re-verificación se ajusta al nivel de riesgo. En unos casos basta con una comprobación adicional ligera y en otros conviene repetir la verificación biométrica antes de autorizar la operación.
4. Monitorización continua
Entre un evento y otro, la relación sigue generando información. El screening AML continuo contrasta a los clientes con listas de sanciones, personas políticamente expuestas y noticias adversas a medida que esas listas se actualizan. Las señales de comportamiento ayudan a detectar cuándo la forma de operar de una cuenta deja de parecerse a la de su titular. Ninguna de estas fuentes decide por sí sola, y su valor está en alimentar los disparadores del punto anterior.
Del pKYC a la identidad continua
Aquí es donde creo que el debate sobre el pKYC se queda corto. El pKYC resuelve la parte de cumplimiento, la que mantiene al día la debida diligencia cuando cambia el riesgo, y forma parte de un enfoque más amplio. La identidad continua gestiona la identidad como un activo que acumula evidencias durante toda la relación, desde el alta hasta cada acceso y cada operación sensible. Además, vuelve a confirmar con biometría que la persona es quien dice ser en los momentos en que el riesgo lo pide.
La identidad se construye en momentos concretos, como el alta o una reverificación, y se consulta de forma continua cada vez que hay que tomar una decisión sobre ese cliente.
En la práctica, consiste en decidir con todo lo que ya se sabe de esa identidad y pedir una nueva verificación solo cuando el contexto lo justifica. Someter al cliente a comprobaciones constantes resultaría tan molesto para él como poco útil para la entidad. Una identidad con cinco años de historial y varias verificaciones superadas ofrece una base de decisión muy distinta a la de una creada hace diez minutos, sin que esta última tenga por qué ser sospechosa. Tratarlas igual es uno de los errores en los que resulta más fácil caer cuando el modelo se apoya solo en reglas fijas.
Es la misma pregunta que cerraba el análisis sobre el CISO y los agentes de IA: saber con certeza si al otro lado de una operación hay una persona legítima, un agente autorizado o un intento de suplantación. Ahí se encuentran el pKYC y la identidad continua, porque un expediente impecable aporta poco si no se sabe quién está operando la cuenta.
Qué exigen los reguladores en debida diligencia continua
La obligación de revisar al cliente durante la relación tiene recorrido. La Recomendación 10 del GAFI incluye en la debida diligencia el seguimiento continuo de la relación de negocios, con el examen de las operaciones y la actualización de los documentos, datos e información recogidos. Lo que está cambiando es el grado de detalle con el que se espera que se cumpla y, sobre todo, la capacidad de demostrarlo, que es el eje del KYC demostrable.
En la Unión Europea, el Reglamento europeo AML 2024/1624 concreta plazos. Su artículo 26 fija un máximo entre actualizaciones de la información del cliente de un año para los clientes de mayor riesgo y de cinco años para el resto. También obliga a revisarla antes cuando cambian circunstancias relevantes. Leído con atención, el artículo deja poco margen para la interpretación cómoda. Cinco años es lo máximo que se tolera, y una entidad que aplique ese plazo a toda su cartera de bajo riesgo cumple el límite pero se salta la evaluación que debería decidir cada intervalo. El reglamento será aplicable a partir de julio de 2027.
En España, la Ley 10/2010 ya recoge en su artículo 6 el seguimiento continuo de la relación de negocios. Esto incluye examinar las operaciones y mantener actualizados los documentos, datos e información de los clientes.
En América Latina la dirección es la misma. En México, las Disposiciones de carácter general a que se refiere el artículo 115 de la Ley de Instituciones de Crédito vinculan la actualización de los expedientes al grado de riesgo de cada cliente. Además, la reforma publicada en el Diario Oficial de la Federación el 10 de julio de 2026 da a las entidades dieciocho meses para adaptar sus procesos de identificación, verificación y monitoreo. En Colombia, el monitoreo continuo SARLAFT apunta en el mismo sentido.
En todos estos marcos, la pregunta del supervisor acaba siendo si la entidad detectó a tiempo que algo había cambiado y qué hizo después.
Cómo implantar el pKYC en cinco pasos
Pasar de revisar a los clientes en fechas fijas para hacerlo cuando algo cambia en la relación exige más rediseño de procesos que tecnología. Si tuviera que dar un consejo antes de entrar en los pasos, sería empezar por decidir qué eventos deben activar una revisión y cómo se va a demostrar después lo que se hizo, y dejar la parte tecnológica para el medio.
- Mapear los eventos disparadores. Definir qué cambios en los datos, el comportamiento o el riesgo del cliente deben activar una revisión, y con qué nivel de respuesta en cada caso.
- Unificar la evidencia de identidad. Reunir en un mismo historial las verificaciones del alta, las autenticaciones y las revisiones posteriores, para que cada decisión parta de todo lo que ya se sabe del cliente.
- Re-verificar con biometría en los momentos de riesgo. Volver a confirmar a la persona cuando el evento lo justifica, con una exigencia proporcional al riesgo.
- Orquestar las señales en una plataforma. Una plataforma de orquestación de identidad permite que la verificación, la autenticación y las señales de cada sesión trabajen con una misma identidad como referencia, de modo que cada disparador se evalúe con todo el contexto acumulado en lugar de con la información aislada de cada sistema.
- Medir y auditar. Registrar qué evento activó cada revisión, qué se decidió y por qué, y comprobar con periodicidad fija si los disparadores siguen siendo los adecuados.
Bien planteado, el pKYC cambia lo que una entidad puede explicar sobre sus clientes. Con el modelo periódico sabe cómo eran el día de su última revisión. Con el perpetuo puede contar qué ha cambiado desde entonces, cuándo lo supo y qué hizo al respecto, que es exactamente lo que se le va a preguntar.
FAQS
Es un modelo en el que la debida diligencia del cliente se actualiza cuando ocurre un evento relevante, como un cambio de datos, de comportamiento o de riesgo. Se aplica en lugar de seguir únicamente un calendario fijo de revisiones.
El KYC periódico revisa al cliente cada cierto tiempo según su nivel de riesgo. El pKYC activa la revisión cuando un evento cambia ese riesgo, de modo que la información se mantiene al día entre una revisión y la siguiente.
Depende de la normativa y del riesgo del cliente. El Reglamento europeo AML 2024/1624, aplicable desde julio de 2027, fija un máximo de un año entre actualizaciones para los clientes de mayor riesgo y de cinco años para el resto. También exige revisar antes si cambian circunstancias relevantes.
Cambios en los datos personales o societarios, un dispositivo o una ubicación nuevos, operaciones inusuales, coincidencias en listas de sanciones o noticias adversas, cambios en la calificación de riesgo y la caducidad de documentos de identidad.
No. El pKYC mantiene la información al día entre revisiones, mientras que la debida diligencia reforzada sigue siendo obligatoria para clientes y operaciones de alto riesgo. El pKYC ayuda a detectar antes cuándo hay que aplicarla.
El pKYC es la parte de cumplimiento, la que mantiene al día la debida diligencia cuando cambia el riesgo. La identidad continua es el enfoque completo: acumula las evidencias de una identidad durante toda la relación y vuelve a confirmar con biometría a la persona en los momentos en que el riesgo lo pide.
Hay que definir los eventos que deben activar una revisión y unificar la evidencia de identidad. Después, se re-verifica a la persona con biometría en los momentos de riesgo y se orquestan las señales en una sola plataforma con trazabilidad para auditoría.
No. La autenticación continua confirma que quien accede es el usuario legítimo, mientras que el pKYC mantiene actualizada la debida diligencia del cliente. Se complementan cuando la re-verificación biométrica se activa en los momentos de riesgo.
