KYB y verificación de socios

1) Por qué KYB

KYB (Know Your Business) es la identificación y evaluación de riesgos de las personas jurídicas y los organizadores de transacciones: afiliados, proveedores de juegos y agregadores, PSP/bancos, orquestadores de pagos, proveedores KYC/AML, agencias de marketing, call centers, B2B distribuidores, marcas blancas y revendedores. Objetivo: prevenir los riesgos de sanciones y AML/CFT, el tráfico y los pagos, las violaciones de IP/licencias, las filtraciones de datos y los incidentes de reputación.

2) Principios y modelo de RBA

Aplicación basada en riesgo: la profundidad de la validación depende del perfil de riesgo de la contraparte (geo, papel en la cadena, acceso al dinero/datos, historial de incidentes, volúmenes).
Proportionality: CDD para proveedores de bajo riesgo, EDD para proveedores de alto riesgo (PSP, afiliados de tráfico agresivo, revendedores de border cruzado).
Ongoing Monitoring: la verificación primaria sin monitoreo permanente es inútil.
Four-Eyes & Segregation: soluciones de acoplamiento/bloqueo - un mínimo de dos empleados.

3) Funciones y responsabilidad

Junta/Exec: aprueba la política de KYB, el apetito de riesgo, la matriz de escaladas.
MLRO/Compliance: Propietario del proceso de COV/sanciones, metodología Adverse Media/PEP, SAR/AMB cuando sea necesario.
Risk/Analytics: puntuación de riesgo, reglas de comportamiento para afiliados/PSP.
Commercial/BD: recopilación de documentos, control de los términos de los contratos, KPI de los socios.
Legal: garantías contractuales, IP/licencias, multas, derecho de terminación unilateral en eventos AML/sancionadores.
Seguridad/TI: accesos, cifrado, registro de actividades, evaluación de seguridad de proveedores.
Finanzas/Pagos: control de pagos, registros de beneficiarios, conciliación de datos.

4) Niveles KYB (ejemplo)

CDD (básico): documentos de registro, directores, UBO ≥25%, sanciones/PEP/Adverse Media, sitio web/contactos, número fiscal, confirmación de la dirección del jurista.
ID + EDD (ampliado): cadena completa de propiedad a los individuos, estados financieros, cartas/referencias bancarias, licencias/permisos, descripción del modelo de negocio y fuentes de ingresos, verificación de sitios operativos, verificación de dominios/canales de tráfico, seguridad de la tecnología.
Continuous: rugido por eventos (sanciones, cambio de UBO/directores, picos de tráfico/chargebacks), revisión anual del dossier.

5) Recopilación de datos y documentos

• Certificado de constitución, estatuto/contrato de instalación, registro de participaciones/participaciones.
• Lista de directores y UBO (con cuotas y ciudadanía).
• Dirección UR y dirección real, número de impuesto/VAT.
• Licencias/permisos (iGaming/pago/publicidad), contratos de sub-proveedores.
• Datos bancarios (carta del banco/cheque de voz), confirmación de la propiedad de la cuenta.
• Políticas AML/KYC/KYB, cribado sancionador en la empresa, GDPR/seguridad, DPIA (si hay acceso a PD).
• Para el afiliado: descripción de las fuentes de tráfico, dominios/landings, cuentas de redes sociales/adsets, geo y formatos de publicidad, CRM/rastreadores.

• Documento de identidad + duchas, dirección (≤3 mes), sanciones/PEP/Adverse Media.
• Confirmación de la relación con la empresa (nombramiento como director, tenencia de acciones).

6) Sanciones, PEP, Adverse Media

Detección de una entidad jurídica, todos los nombres comerciales, dominios relacionados y directores/UBO.
Búsqueda Fuzzie, alias y transliteraciones; compensación manual de coincidencias fronterizas.
Revisiones periódicas (actualizaciones diarias de las listas) y de eventos cuando se producen cambios en el perfil del socio.
Adverse Media: los temas son corrupción, frod, narcotráfico, juego sin licencia, lavado.

7) Evaluación de la madurez técnica y regulatoria

Licencias y cumplimiento: validez y volumen de licencias (juego, pago, publicidad), informes, multas en el pasado.
Seguridad y privacidad: cifrado, RBAC/ABAC, administración de claves/secretos, registros de acceso, política de retención de datos, incidente-respuesta.
Confiabilidad de las operaciones: SLA/aptime, backups, plan de continuidad, protección DDoS.
Integraciones: API seguras, registros de auditoría, versiones SDK, reglas PI/PCI DSS (si funciona con tarjetas).

8) Especificidad por tipo de socio

8. 1 Afiliados (KYA - Saber tu afiliado)

Perfil de tráfico: fuentes (SEO/ASO, PPC, teasers, redes sociales, streams), prácticas blancas/grises, admisibilidad geo y orientación por edad.
Etiquetas de calidad: CR→FTD, FTD→depozitor, depozit→vyvod, picos anormales, fracción de multiacounts/bonus abius.
Contenido y seguridad de marca: sin falsas promesas, cumpliendo con las reglas de publicidad local.
Aspecto financiero: conciliación de los datos de pago, ausencia de terceros como beneficiarios de los pagos.
Monitoreo: dominios regulares "crawl'/creativos, redirecciones clandestinas/dorvei - factores de parada.

8. 2 Proveedores de juegos/agregadores

Derecho de distribución IP: licencias de RNG/juegos, derecho de uso de marcas/música/activos artísticos.
Jurisdicciones de disponibilidad: matriz de mercado (qué se puede mostrar donde), mecanismos de geo-filtración.
Fair play: certificación RNG, laboratorios, informes, historial de incidentes (rigging/fugas).
Pagos: modelo de regalías (RevShare/flat), conciliación de informes, anti-manipulación de GGR/etiquetas.

8. 3 PSP/bancos/orquestadores

Licencias de pago (EMI/PI/bancario), procesos KYC/AML, límites, clases MCC.
Riesgos de bloqueo: charjbacks, devoluciones, blacklists; Plan de evasión de incidentes (Failover).
Seguimiento de pagos: verificación del titular de la cuenta, reglas «same method», informes.

8. 4 Proveedores de servicios (KYS - Know Your Supplier)

Acceso a PD/cuentas/base de código → EDD + contratos de protección de datos, derecho de auditoría, notificación de incidentes, sub-procesadores.

9) Garantías y controles contractuales

Cláusulas AML/Sanciones: garantía de conformidad con todos los regímenes, derecho de rescisión inmediata en caso de infracción.
KYC/KYB-compromiso: proporcionar documentos a pedido, actualización en el cambio de UBO/directores.
Normas de publicidad (para afiliados): prohibición de mis ventas, disclamers obligatorios, restricciones locales.
Auditorías e inspecciones: derecho de inspección, acceso a logs/creativos, multas/retenciones por infracciones graves.
SLA/OLA: aptime, TAT por tickets, plazos de respuesta a incidentes, multas por retraso.
IP/Contenido: prueba de derechos, responsabilidad por reclamaciones de terceros.
Datos y seguridad: DPIA/DTIA, cifrado, breach-notification ≤72 h, prohibición de transferir a jurisdicciones «rojas» sin garantías.

10) Monitoreo y rugido (Ongoing)

• Cambio de UBO/directores/datos bancarios.
• Evento sancionador/Adverse Media.
• Tráfico anormal/charjbacks/spikes de pagos.
• Quejas de usuarios/solicitudes regulatorias.
• Cambio de modelo de negocio/geografía.

Proceso: señal → caso → solicitud de documentos/explicaciones → solución (guardar/congelar/cancelar) → post-mar y actualización de reglas.

11) Matriz de riesgos (ejemplo)

12) Métricas y KPI KYB

Onboarding TAT (mediana/95 percentil).
Completeness Score dossier (porcentaje de perfiles completos).
Auto-clear/Manual-review rate por alertas.
False Positive rate sanciones/RER y tiempo de compensación.
Calidad de tráfico (afiliados): CR, FTD-calidad, WD-ratio, chargeback-tasa.
Incident Rate и Time-to-Contain.
Audit Findings Closed on Time.
Vendor SLA Compliance (aptime/reacción).

13) Arquitectura e integración

Fichero único del socio: gráfico de propiedad de UBO, documentos, estados de sanciones/RER, licencias, dominios, datos de pago.
Bus de eventos: cambios de datos, picos de tráfico/chargebacks, apdates sancionadores → alertas al sistema de casos.
Motor de soluciones: reglas + ML (puntuación de afiliados, riesgo de PSP, anomalías).
Registros y almacenamiento WORM: versiones inmutables de documentos, motivaciones de soluciones, rastros de acceso.
Accesos y secretos: RBAC/ABAC, HSM/secret-vault, restricción de descargas.
Degradación: cuando los proveedores de sanciones no están disponibles - quórum/retraídas, endurecimiento temporal de los umbrales.

14) Hojas de cheques

• Documentos, estatutos, dirección de registro.
• Director/UBO ≥25% + CUS/dirección.
• Sanciones/PEP/Adverse Media (jurlizo/personas).
• Licencias, derecho a productos/contenidos.
• Datos bancarios y confirmación de la propiedad de la cuenta.
• Políticas de seguridad de datos AML/KYC/KYB +.
• Para el afiliado: fuentes de tráfico, dominios, creativos, geo.
• Tratado: cláusulas AML, derecho de auditoría, SLA, multas.

• Nuevo cribado sancionador.
• Verificación del beneficiario de la cuenta = socio/UBO.
• Conciliación de informes (tráfico/juegos/regalías).
• Controles antifraude (anomalías, cadenas de múltiples niveles).

• Pertinencia de los documentos/licencias/UBO.
• Resumen de incidentes/quejas/regatas.
• Cambios en los geo/canales de tráfico/línea de productos.
• Recalibración de riesgos y límites.

15) Riesgos típicos y cómo cerrarlos

Una estructura de UBO oculta a través de offshore → requerir una cadena a los individuos, registros independientes, confirmación legal.
Tráfico «sucio» de afiliados → prohibiciones contractuales, monitoreo automático de dominios, multas, stop list.
Riesgos sancionadores/RR → revisión diaria, compensación manual, escalamiento de MLRO.
Sustitución de datos de pago (BEC-fraud) → confirmación de los datos del canal del contrato, dos-man rule, control de cambios de 24-48 h de cuarentina.
Acceso al DPIA por terceros →, minimización, auditoría de huellas de acceso, obstáculos técnicos y contractuales.

16) FAQ

¿Dónde está el umbral para EDD? Alto riesgo por geo/rol/volumen, acceso a PD/dinero, estructura compleja de UBO, medios negativos.
¿Con qué frecuencia revisar el dossier? Mínimo anual; más un evento.
¿Es posible pagar a un afiliado en una cuenta personal? No es recomendable: coincidencia de propietario, link UBO, verificación de destino y reglas locales.
¿Qué hacer cuando se discute sobre la calidad del tráfico? Incluir en el contrato el derecho de auditoría, la muestra de leads, la metodología de atribución, retención/corrección de chargeback.

17) Plantilla de estructura de política KYB (para wiki)

1. Alcance y definiciones

2. Papel y responsabilidad (RACI)

3. Metodología RBA y umbrales EDD

4. Requisitos de documentación (jurlizo/director/UBO)

5. Sanciones/PEP/Adverse Media y periodicidad de las revisiones

6. Especificidad por tipo de socio (KYA/KYS/PSP/proveedores de juegos)

7. Requisitos contractuales (AML, SLA, auditoría, IP, datos)

8. Monitoreo y rev-KYB (desencadenantes, gestión de casos)

9. Métricas e informes para Board/Management

10. Almacenamiento de datos, seguridad, privacidad

11. Plan de continuidad y respuesta a incidentes

12. Aplicaciones: hojas de cheques, formularios, plantillas de correo electrónico e informes

Resultado

Circuito KYB fuerte = profundidad de verificación de entrada correcta, marcos contractuales rígidos, monitoreo constante y métricas transparentes. Estandarice los expedientes, automatice el circuito sancionador, mida la calidad del tráfico y el cumplimiento de los SLA, revise periódicamente el perfil de riesgo de los socios y reduzca los riesgos regulatorios, financieros y de reputación sin comprometer el ritmo del negocio.