Single rulebook: cómo avanzar en la transición mientras se definen los instrumentos regulatorios

En el Congreso INBLAC 2026 planteábamos que la transición al nuevo marco europeo de PBC/FT no podía limitarse a actualizar manuales: había que convertir el single rulebook en un sistema capaz de demostrar cómo gestiona los riesgos de PBC/FT asociados a su actividad. Una vez fijado este planteamiento inicial, debemos avanzar en esta transición, preparándonos para ir planificando la gestión de un marco técnico y nacional que todavía no está cerrado y evolucionará durante los próximos meses.

En junio, durante el Congreso INBLAC 2026, dediqué mi intervención a una pregunta muy concreta: una vez conocido el nuevo paquete europeo de prevención del blanqueo, ¿cómo lo aterrizamos dentro de la organización?

La conclusión fue que el verdadero reto no consistía en conocer un Reglamento más, sino en llegar a 2027 con un sistema proporcional, operativo y capaz de acreditar que gestiona adecuadamente los riesgos de PBC/FT asociados a su actividad. Gobierno, análisis de brechas, evaluación de riesgos, primera línea, tecnología, proveedores, evidencias y seguimiento formaban parte de una misma hoja de ruta. Esa fue también la idea central del artículo publicado en este mismo Blog después del Congreso: pasar del single rulebook a un sistema de prevención demostrable.

Este nuevo artículo continúa aquella hoja de ruta. Ahora que la arquitectura principal del nuevo marco ya está aprobada, debemos centrarnos en cómo avanzar cuando una parte relevante de las reglas que condicionarán su aplicación práctica todavía se está desarrollando.

Durante los próximos meses AMLA irá concretando los instrumentos regulatorios que desarrollarán distintas materias del nuevo sistema y España continuará trabajando en su adaptación normativa. Por eso este texto abre una serie de artículos con un propósito muy definido: acompañar a los sujetos obligados durante ese proceso de transición y analizar las distintas piezas cuando alcancen un grado suficiente de madurez regulatoria y operativa.

No os anticiparé cada novedad; trataré de ayudaros a decidir qué hacer con ella.

El riesgo de esperar y el riesgo de anticiparse demasiado

El AMLR será aplicable con carácter general desde el 10 de julio de 2027. Llegar a esa fecha para comenzar entonces el diagnóstico, revisar datos, analizar proveedores, modificar procedimientos o formar a la organización sería una mala forma de gestionar un cambio regulatorio de esta dimensión. La aplicación directa del Reglamento no convierte los meses anteriores en un simple periodo de espera.

Pero tampoco podemos precipitarnos. El registro de instrumentos regulatorios de AMLA muestra a día de hoy situaciones diferentes: consultas abiertas, consultas ya finalizadas e instrumentos que han alcanzado fases técnicas más avanzadas. En materias tan relevantes como diligencia debida, evaluación global de riesgos, ongoing monitoring, perfiles de riesgo de sujetos no financieros o formatos para comunicar sospechas, el desarrollo técnico continúa avanzando. Una consulta pública no es una norma vigente y una consulta cerrada tampoco equivale automáticamente a un texto definitivamente aplicable.

La diligencia, en mi opinión, está en el punto medio entre no esperar a que desaparezca toda incertidumbre y no convertir cada borrador del regulador en una obligación interna.

¿Cómo empezar? Medidas que no dependen de las especificaciones técnicas pendientes de publicación

La transición debe comenzar designando al responsable del proyecto y fijando los procedimientos de información al órgano de gobierno. Será necesario identificar los procesos afectados y realizar un análisis de brechas y, anticipándonos a una de las exigencias más reforzadas del nuevo paquete regulatorio, deberíamos ir verificando el grado de eficacia de nuestro sistema a la hora de conservar evidencias suficientes y permitir reconstruir nuestras decisiones relevantes.

El proceso pasará también por identificar a los proveedores que intervienen en identificación, screening, monitorización o tratamiento de datos; revisar la calidad de la información con la que operamos; y comprobar si la primera línea entiende qué información debe captar, cómo debe tratarla y cuándo tiene que escalar una situación.

Ninguna de estas actuaciones nos exige conocer todavía el contenido definitivo de cada desarrollo técnico futuro y, sin embargo, son imprescindibles para gobernar adecuadamente la transición.

En este punto mantengo una idea que ya apunté en el Congreso: si hoy un supervisor preguntara qué está haciendo una organización para prepararse para el nuevo marco, debería existir alguien capaz de responder y, sobre todo, de mostrar qué se ha ido desplegando.

Mientras esperamos las especificaciones técnicas pendientes

Existe un segundo grupo de materias en las que también debemos trabajar, aunque con otro enfoque. La actualización de la información del cliente, el seguimiento de las relaciones de negocio y la monitorización de transacciones y actividades ya forman parte de las obligaciones actuales, pero el nuevo marco y los trabajos de AMLA reforzarán y concretarán sus exigencias.

Por eso deberíamos revisar si nuestro sistema mantiene la información de los clientes razonablemente actualizada, detecta cambios relevantes de perfil y permite comprobar si el modelo de monitorización responde realmente al riesgo que gestionamos. También deberíamos poder explicar por qué se generó una alerta y cómo se trató. Son cuestiones que ya forman parte de la gestión actual y que, al mismo tiempo, nos preparan para el futuro inmediato.

Por el contrario, no es recomendable en esta fase incorporar a un procedimiento interno una solución que dependa todavía de un instrumento técnico en desarrollo.

Prepararnos nos exige identificar impactos, evaluar capacidades, localizar brechas y diseñar alternativas. Cuando una decisión pueda adoptarse con suficiente seguridad, procederá implantarla; otras deberán permanecer abiertas hasta que se definan los instrumentos técnicos necesarios, dejando establecido cómo iremos analizando cada posible escenario hasta su implantación definitiva.

Debemos estar atentos también a la legislación nacional

El Consejo de Ministros aprobó el 28 de julio, en primera vuelta, el anteproyecto de una nueva ley integral en materia de prevención del blanqueo, financiación del terrorismo y financiación de la proliferación. El texto sometido a participación pública pretende sustituir la Ley 10/2010 y adaptar el ordenamiento español al paquete europeo, incluyendo una reorganización institucional mediante la futura Autoridad Nacional de Integridad Financiera, ANIFI.

Si bien el anteproyecto debe ser tenido en cuenta, a mi juicio el actual contexto parlamentario no favorece las expectativas de que este proyecto salga aprobado en lo que queda de legislatura. Debemos, por tanto, considerarlo con todas las cautelas necesarias y, mientras no se produzca el correspondiente cambio normativo, el marco español vigente sigue siendo el que debemos cumplir.

Esta incierta convivencia entre presente y futuro será una de las características de los próximos meses: obligaciones actuales que siguen plenamente operativas, normas europeas ya aprobadas pero con aplicación diferida, desarrollos técnicos en distintas fases y una adaptación nacional cuyo resultado y calendario todavía no conocemos.

Necesitamos un mapa de decisiones, no sólo un mapa de normas

Creo que el instrumento más útil para esta fase es un mapa de decisiones. Cada organización debería separar, al menos conceptualmente, cuatro grupos de cuestiones:

1. las que ya puede ejecutar;

2. las que debería preparar sin cerrar;

3. las que debe mantener abiertas porque dependen de un desarrollo todavía pendiente;

4. las que necesita monitorizar hasta que exista una novedad material.

Durante los próximos meses deberemos gestionar un flujo de consultas abiertas, consultas cerradas y final reports que nos llevará hasta la adopción, publicación y aplicación de los instrumentos de despliegue del paquete europeo que son responsabilidad de la Comisión. Gestionar inadecuadamente este flujo puede llevarnos a adoptar decisiones internas equivocadas.

AMLA mantiene un registro de sus instrumentos regulatorios y recuerda que determinadas directrices de EBA continúan aplicándose hasta que los nuevos instrumentos AMLA sobre la misma materia entren en vigor. La transición que afrontamos no parte, por tanto, de un vacío regulatorio ni supondrá una sustitución instantánea de todo lo anterior.

Gobernar la incertidumbre es una prueba de la madurez de nuestro sistema

Estamos acostumbrados a pensar que un buen sistema de compliance es aquel que conoce con claridad sus obligaciones, pero el verdadero valor de un sistema maduro se prueba en momentos como este, cuando nos permite gestionar una transición regulatoria como la que afrontamos.

Debe ser capaz de, a partir de lo que conocemos y gestionamos hoy, afrontar las cuatro grandes cuestiones descritas en el apartado anterior y dejar evidencia del criterio aplicado a las decisiones que vayamos adoptando.

Esa evidencia de criterio no sustituye a la prueba de ejecución de los controles; la completa. Permite acreditar que el propio proceso de transformación se ha gestionado con método, seguimiento y una justificación razonable de las decisiones adoptadas.

El objetivo no consiste en adivinar hoy cómo será hasta el último detalle del sistema PBC/FT de 2027. Consiste en que, cuando llegue ese momento, podamos reconstruir el camino que hemos trazado y ejecutado desde ahora.

Acompañar el despliegue durante los próximos meses

A medida que AMLA vaya concretando sus instrumentos y avance la adaptación española, iremos abordando en sucesivos artículos aquellas materias que tengan suficiente relevancia para los sujetos obligados: evaluación de riesgos, diligencia debida, seguimiento continuo, supervisión de sujetos no

financieros, reporting, gobierno, datos, proveedores y las demás cuestiones que vayan requiriendo decisiones reales de implantación.

No se trata de comentar jurídicamente cada novedad regulatoria, sino de traducirla a los términos que verdaderamente importan dentro de una organización: ¿qué cambia para mi sistema?, ¿qué debo hacer ahora? y ¿qué evidencia debería conservar de esa decisión?

Ese será el propósito de esta serie: acompañar a los sujetos obligados desde la norma hasta su despliegue efectivo, para que el sistema llegue a 2027 no sólo actualizado, sino preparado para demostrar que funciona.

Autor: Francisco Bonatti, Presidente de INBLAC