Por sector

Canal de denuncias para entidades de pago y dinero electrónico

Actualizado a junio 2026 · 9 minutos de lectura

Publicado el 26 de mayo de 2026 por el equipo de EticAlert

Las entidades de pago (IP) y las entidades de dinero electrónico (EME) son un sector regulado de alto riesgo en materia de blanqueo. Su obligación de canal de denuncias no depende de cuántos empleados tengan, sino de su licencia regulatoria y su condición de sujeto obligado PBC. Una empresa de remesas de 8 personas puede estar tan obligada como un banco.

¿Qué empresas están incluidas?

Doble obligación: PBC y PSD2

Las entidades de pago tienen dos vías que generan la obligación de canal:

• Sujetos obligados PBC: la Ley 10/2010, art. 2.1.b), incluye a las entidades de pago y cambio de moneda. Condición de sujeto PBC → obligación whistleblowing sin umbral de empleados.
• Normativa europea de servicios financieros: la PSD2 es derecho europeo de servicios financieros. Operar bajo PSD2 → ámbito de la Directiva Whistleblowing → obligación de canal.

Riesgos del sector: qué comunicaciones llegan al canal

• Omisión de medidas KYC en clientes de alto volumen: responsables comerciales que permiten operar a clientes sin verificación completa para no perder negocio.
• Smurfing facilitado: fraccionamiento de transferencias para evitar los umbrales de reporte, tolerado o facilitado por empleados.
• Falta de reporte al SEPBLAC: el MLRO o compliance officer detecta operaciones sospechosas pero la dirección presiona para no reportarlas.
• Incidentes de seguridad ocultados: fallos en los sistemas de autenticación o transacciones fraudulentas que no se notifican al Banco de España.
• Operación sin licencia en nuevas jurisdicciones: expansión a países donde la entidad no tiene autorización pero ya está procesando pagos.
• Uso irregular de los fondos salvaguardados: la PSD2 obliga a segregar los fondos de los usuarios en cuentas de salvaguarda; usarlos temporalmente para tesorería propia es una de las infracciones más graves que puede destapar un empleado de finanzas.

El canal del Banco de España no sustituye al tuyo

El Banco de España mantiene un canal público para comunicar infracciones de normativa de supervisión, y el SEPBLAC recibe los reportes de operativa sospechosa. Es un error frecuente pensar que con esos cauces externos la entidad ya cumple. La Ley 2/2023 distingue claramente:

• Canal interno (el tuyo): obligatorio para la entidad. Recibe comunicaciones de empleados, agentes y colaboradores. Lo gestiona tu RSII con los plazos de 7 días y 3 meses.
• Canal externo (AIPI, Banco de España): derecho del informante, que puede acudir directamente sin pasar por el canal interno. Que exista no te exime de tener el tuyo.
• Reporte al SEPBLAC: obligación de la propia entidad (no del empleado) de comunicar operativa sospechosa. Una denuncia interna bien tramitada puede acabar generando un reporte al SEPBLAC — el protocolo debe prever esa derivación.

De hecho, para el supervisor la existencia de un canal interno robusto es una señal del entorno de control: si los empleados solo pueden denunciar fuera, cada irregularidad escala directamente al regulador sin que la entidad haya tenido oportunidad de corregirla.

Agentes y distribuidores: el punto ciego típico

La mayoría de entidades de pago españolas opera a través de redes de agentes (locutorios, estancos, comercios) y, en el caso de las EME, de distribuidores. Ahí se concentra el riesgo real de blanqueo — y también el punto ciego del canal de denuncias:

• Los empleados y responsables de los agentes conocen infracciones en contexto profesional relacionado con la entidad, por lo que son informantes protegidos por la Ley 2/2023. Tu canal debe estar accesible para ellos, no solo para la plantilla interna.
• Las comunicaciones más valiosas suelen venir de ahí: un empleado de un locutorio que recibe instrucciones de fraccionar envíos, un comercio al que se le pide no registrar operaciones en efectivo.
• En la práctica: incluye el enlace del canal en el contrato de agencia, en el material de formación PBC anual de la red y en el portal del agente. Es una expectativa razonable del supervisor y cuesta cero.

Cómo encajar el canal cuando ya tienes OCIC y representante ante el SEPBLAC

Las entidades de pago ya tienen estructura de cumplimiento PBC: órgano de control interno (OCIC), representante ante el SEPBLAC y manual de prevención. El canal de la Ley 2/2023 se apoya en esa estructura, con tres decisiones a documentar:

1. Quién es el RSII. Puede ser el responsable de cumplimiento normativo o el propio representante ante el SEPBLAC — la ley no lo impide. Lo que exige es que ejerza el rol con autonomía y que el nombramiento se notifique a la AIPI. Documenta la separación de funciones: cuando actúa como RSII aplica la Ley 2/2023; cuando reporta al SEPBLAC aplica la Ley 10/2010.
2. Cómo se cruzan los expedientes. Si una denuncia interna revela operativa sospechosa de blanqueo, el RSII traslada el caso al OCIC para su análisis y eventual reporte, preservando la identidad del informante. Este flujo debe estar escrito en el protocolo del canal.
3. Qué herramienta lo soporta. El examen del supervisor y de la AIPI es documental: fechas de acuse, plazos, registro. Una plataforma con sellado de tiempo y libro-registro automático convierte esa auditoría en un trámite; un buzón de correo, en un problema.