Conformitat AML i signatura electrònica en finances: guia 2026

La conformitat AML (Anti-Money Laundering) i la signatura electrònica són dos pilars ara inseparables per a establiments financers, plataformes de pagament i fintechs que operen a Europa. Desde l'entrada en vigor de la 6a directiva anti-blanqueig (6AMLD) i la progressió del paquet normatiu AML 2024-2025 de la Unió Europea — inclòs la creació de l'Autoritat europea de lluita contra el blanqueig de capitals (AMLA) —, els actors sotmesos han de demostrar un nivell de diligència raonable sense precedents. La signatura electrònica, quan es desplegada correctament, no és simplement una eina de desmaterialització: esdevé un instrument de conformitat per se. Aquest article t'guia a través de les obligacions AML aplicables a la signatura electrònica, els nivells d'assegurança requerits, les solucions tècniques disponibles i les bones pràctiques a adoptar per a 2026.

Per què la signatura electrònica és al cor de la conformitat AML

La lluita contra el blanqueig de capitals es recolza sobre tres pilars fonamentals: la coneixença de client (KYC — Know Your Customer), la vigilància de transaccions i la conservació de proves. La signatura electrònica intervé directament en els dos primers i el tercer aspecte.

La signatura electrònica com a prova d'identitat verificada

En el marc AML, l'entrada en relació d'affaires és el moment més exposat. L'article 13 de la directiva 2015/849/UE (4AMLD, tal com es va modificar per 5AMLD) imposa una verificació rigorosa de l'identitat del client abans de qualsevol establiment de relació contractual. La signatura electrònica avançada o qualificada — en el sentit del reglament eIDAS núm. 910/2014 — garanteix que el firmant és realment la persona que pretén ser, gràcies a un procés d'autenticació i identificació documentada. Una signatura electrònica qualificada (SEQ), emesa per un prestador de serveis de confiança (QTSP) que figura a la llista de confiança europea, ofereix el nivell d'assegurança «elevat» tal com es defineix en el reglament eIDAS 2.0 (reglament UE 2024/1183 entrat en vigor en maig de 2024). Aquest nivell és compatible amb les exigències de diligència amplada imposades per a clients de risc elevat.

Traçabilitat i pista d'auditoria conforme a les exigències AML

La normativa AML exigeix la conservació dels documents KYC durant un període mínim de 5 anys després de la finalització de la relació d'affaires (article 40 de la directiva 2015/849). La signatura electrònica genera nativament una pista d'auditoria completa: marca de temps certificada, hash del document, identitat del firmant, registre d'accés i certificats criptogràfics. Aquesta traçabilitat assegurada per l'estampillat temporal electrònic respon directament a les exigències de conservació i prova imposades per les autoritats de supervisió — ACPR a França, BaFin a Alemanya, FCA al Regne Unit.

Integració en els processos d'onboarding digital

Les fintechs i neobancas han digitalitzat massiament el seu onboarding. Segons l'informe McKinsey Digital Banking 2025, més del 78 % dels nous comptes bancaris europeus es donen d'alta totalment en línia. En aquest context, la signatura electrònica integrada en un recorregut d'onboarding KYC permet:

• Recollir el consentiment informat del client sobre les condicions generals i la política de tractament de dades (RGPD)
• Formalitzar l'autorització de recollida de documents d'identitat i comprovants de domicili
• Finalitzar els contractes d'obertura de compte amb un valor probatori màxim
• Arxivar l'conjunt del dossier en un coffre digital auditable

Per als establiments sotmesos que busquen reforçar el seu dispositiu, la guia completa de signatura electrònica en empresa constitueix un punt de partida estructurant.

Els nivells de signatura requerits segons el perfil de risc AML

Una de les qüestions més freqüents dels equips de conformitat és quin nivell de signatura electrònica desplegar segons el nivell de risc del client. L'enfocament per riscos, al cor del dispositiu AML, s'aplica també a l'elecció tecnològica.

Signatura electrònica simple i avançada: casos d'ús a risc estàndard

Per a clients identificats com presentant risc estàndard — persones físiques residint en un Estat membre de la UE, sense factors de risc particulars —, una signatura electrònica avançada (SEA) és generalment suficient. La SEA es recolza en dades de creació de signatura lligades al firmant de manera unívoca, es crea a partir de dades que només el firmant pot utilitzar sota el seu control exclusiu, i permet detectar qualsevol modificació posterior del document signat (article 26 del reglament eIDAS). Solucions conformes eIDAS com Certyneo permeten desplegar aquest nivell de signatura amb una verificació d'identitat en temps real per reconeixement documental (OCR + comprovació de vivacitat biomètrica), allò que satisfà les exigències de diligència estàndard.

Signatura qualificada: obligació per a la diligència amplada

Quan el perfil de risc del client és elevat — persones políticament exposades (PPE), nacionals de països tercers de risc elevat llistats per la Comissió Europea, transaccions de quantitat significativa —, la diligència amplada (Enhanced Due Diligence, EDD) s'imposa. En aquest context, només una signatura electrònica qualificada garanteix el nivell d'assegurança requerit. La SEQ implica l'ús d'un dispositiu de creació de signatura qualificada (QSCD) i un certificat qualificat emès per un QTSP acreditat. Per entendre millor les diferències entre aquests nivells i escollir la solució adaptada, el comparatiu de solucions de signatura electrònica disponible a Certyneo ofereix una anàlisi estructurada de les ofertes del mercat en 2026.

El paper de la verificació d'identitat a distància (eIDAS 2.0 i cartera EUDI)

El reglament eIDAS 2.0 (UE 2024/1183) introdueix la cartera d'identitat digital europea (EUDI Wallet), el desplegament de la qual està previst fins a final de 2026 en tots els Estats membres. Aquesta cartera permetrà als ciutadans presentar atributs d'identitat verificats (nacionalitat, data de naixement, adreça) de manera descentralitzada, sense tenir que sotmetre's novament els seus documents a cada prestador de serveis. Per a la conformitat AML, aquesta evolució és important: permetrà una verificació d'identitat certificada al nivell «elevat» directament durant el procés de signatura, sense fricció afegida per a l'usuari. Els establiments financers que integren avui solucions compatibles eIDAS 2.0 anticipen aquesta transició i redueixen el seu risc normatiu a mitjà termini. L'actualització sobre el reglament eIDAS 2.0 publicada per Certyneo detalla les implicacions pràctiques per als actors sotmesos.

Obligacions específiques dels actors financers en matèria de signatura AML

Les entitats assujetades concernides

La directiva 2015/849/UE, transposada en dret francès als articles L. 561-1 i següents del Codi Monetari i Financer, defineix un perímetres ampli d'entitats assujetades a la normativa AML: establiments de crèdit, establiments de pagament, empreses d'assegurança de vida, consellers en gestió de patrimoni, agents immobiliaris que realitzen transaccions superiors a 10.000 €, professions jurídiques, i des de 2020, els prestadors de serveis sobre actius digitals (PSAN) ara sotmesos a l'aprovació CASP sota el règim MiCA. Per a cadascuna d'aquestes categories, la documentació de les relacions contractuals per signatura electrònica traçable és una exigència implícita que es desprèn de les obligacions de conservació i prova.

Conservació de dades: articulació RGPD i AML

Una tensió aparent existeix entre la durada de conservació imposada per l'AML (mínim 5 anys) i el principi de minimització de dades del RGPD (reglament UE 2016/679). El CEPD (Comitè Europeu de Protecció de Dades) ha aclarit en les seves línies directrius 4/2022 que la base legal de conservació a efectes de lluita contra la frau i blanqueig constitueix una derogació justificada del dret a l'esborrat, sempre que les dades conservades siguin estrictament necessàries. La signatura electrònica, en arxivar només les metadades criptogràfiques i les proves d'identitat estrictament necessàries, permet satisfer simultàniament ambdós règims. L'ús d'un coffre digital certificat, separat del sistema de gestió documental corrent, és la bona pràctica recomanada pel GAFI (Grup d'Acció Financera) en les seves línies directrius sobre transformació digital de 2023.

Sancions i riscos en cas de no-conformitat

Les sancions en cas de manaments AML són significatives. A França, l'ACPR (Autoritat de Control Prudencial i de Resolució) pot pronunciar sancions pecuniàries fins a 100 milions d'euros o el 10 % de la facturació anual. En 2025, l'ACPR ha pronunciat sancions totalitzant més de 47 milions d'euros contra actors financers, dels quals diversos casos implicaven deficiències en la documentació i verificació de les entrades en relació. L'absència de pista d'auditoria fiable — que la signatura electrònica permet precisament de constituir — figurava entre les objeccions mantingudes en diverses decisions públiques.

Bones pràctiques per desplegar una signatura electrònica conforme AML

Integrar la signatura en el flux de treball KYC des de la concepció

L'enfocament «privacy by design» imposat pel RGPD es junta aquí amb l'enfocament «compliance by design» recomanat pel GAFI. Això significa que la signatura electrònica no ha de ser afegida com una capa superficial a un procés existent, sinó integrada des de la concepció del recorregut client. Els fluxos han de ser pensats de manera que cada etapa generi automàticament les proves necessàries: certificat de signatura, informe d'auditoria, estampillat temporal qualificat, hash documental. Els equips de conformitat han de treballar en conjunt amb els equips informàtics per definir regles d'orquestració clares: quin nivell de signatura per quin tipus de document, quina durada d'arxivament, quines metadades conservar.

Escollir un prestador QTSP homologat i auditable

L'elecció del prestador de signatura electrònica és estructurant per a la conformitat AML. Cal verificar que el prestador figura a la llista de confiança nacional (a França, gestionada per l'ANSSI) i a la llista de confiança europea (EU Trust List), que està certificat segons les normes ETSI EN 319 411 (per a les polítiques de certificats) i ETSI EN 319 132 (per a signatures XAdES), i que disposa d'un informe d'auditoria anual realitzat per un organisme acreditat. La capacitat d'exportació de les proves en un format estandarditzat (PAdES, XAdES, CAdES) és també essencial per permetre'n l'ús en el marc de procediments judicials o investigacions AML. Els establiments que desitgen optimitzar el seu dispositiu poden utilitzar la calculadora ROI de Certyneo per quantificar els guanys de conformitat i eficiència operacional associats a la signatura electrònica.

Formar els equips i documentar els procediments

La conformitat AML no s'atura en la tecnologia. Els equips front-office, responsables de conformitat i directors de riscos han de ser formats en les particularitats de la signatura electrònica en un context AML: entendre els nivells de signatura, saber interpretar un informe d'auditoria, conèixer els procediments a seguir en cas de contestació. La documentació interna dels procediments de signatura — integrada en els manuals de conformitat — és examinada durant els controls de l'ACPR. Un procediment clar, provat i actualitzat regularment demostra l'engagement de l'establiment en una aproximació de conformitat proactiva.

Marc legal aplicable a la conformitat AML i la signatura electrònica

L'articulació entre signatura electrònica i lluita anti-blanqueig es recolza en un corpus normatiu dens, tant europeu com nacional.

Reglament eIDAS núm. 910/2014 i eIDAS 2.0 (UE 2024/1183): Aquests textos defineixen els tres nivells de signatura electrònica (simple, avançada, qualificada) i les condicions de reconeixement jurídic mutu entre Estats membres. L'article 25 del reglament eIDAS estableix el principi de no discriminació: una signatura electrònica no pot ser rebutjada com a prova en justícia únicament pel motiu que és en forma electrònica. El reglament eIDAS 2.0, entrat en vigor en maig de 2024, reforça les exigències d'identitat digital amb la introducció de la cartera EUDI Wallet.

Codi Civil, articles 1366 i 1367: L'article 1366 del Codi Civil francès reconeix l'escrit electrònic com equivalent a l'escrit en suport paper sempre que es pugui identificar adequadament la persona de la qual emana i es constitueixi en condicions que en garanteixin la integritat. L'article 1367 regula específicament la signatura electrònica en dret francès, remetent a les condicions fixades per decret en Consell d'Estat (decret núm. 2017-1416 de 28 de setembre de 2017).

Directives AML — 4AMLD (2015/849/UE), 5AMLD (2018/843/UE), 6AMLD (2018/1673/UE): Aquestes directives imposen a les entitats assujetades obligacions de verificació d'identitat, conservació de documents durant 5 anys, vigilància de transaccions i declaració de sospita a la unitat de rensenyament financer competent (TRACFIN a França). La transposició francesa figura als articles L. 561-1 a L. 565-1 del Codi Monetari i Financer.

Paquet AML 2024 de la UE: El reglament UE 2024/1624 (AMLR), aplicable directament en tots els Estats membres a partir de 2027, i la directiva UE 2024/1640 (AMLD6) harmonitzen les regles de diligència i creen l'Autoritat europea de lluita contra el blanqueig de capitals (AMLA), la seu de la qual és a Frankfurt. Aquests textos reforçen les exigències de verificació d'identitat per via electrònica, fent la conformitat eIDAS encara més estratègica.

RGPD núm. 2016/679: L'article 5 (minimització de dades), l'article 17 (dret a l'esborrat, amb les seves excepcions legals) i l'article 30 (registre de les activitats de tractament) s'apliquen completament als tractaments relacionats amb la signatura electrònica en un context AML. La base legal de conservació per obligació legal (article 6.1.c del RGPD) justifica la conservació prolongada de les dades de signatura.

Normes ETSI: La norma ETSI EN 319 132-1 defineix els perfils de signatura electrònica XAdES. La norma ETSI EN 319 102-1 especifica els procediments de creació i validació de signatura. Aquestes normes tècniques són la traducció operacional de les exigències jurídiques eIDAS per als prestadors tècnics.

Riscos de no-conformitat: A banda de les sancions pecuniàries de l'ACPR (fins a 100 M€ o 10 % del CA), el reglament AMLR 2024 preveu sancions harmonitzades al nivell europeu que poden arribar al 10 % de la facturació mundial consolidada per als manaments més greus. Els dirigents també poden ser personalmentposats en causa, amb prohibicions d'exercici previstes per l'article 42 de la directiva AMLD6.

Escenaris d'ús: signatura electrònica i conformitat AML en la pràctica

Escenari 1 — Onboarding digital en un establiment de pagament aprovat

Un establiment de pagament aprovat pel Banc de França, tractant aproximadament 15.000 noves entrades en relació per mes a través de la seva aplicació mòbil, s'enfronta a exigències AML estrictes per a la verificació d'identitat dels seus clients. Abans de la implementació d'una solució de signatura electrònica avançada integrada en el seu recorregut d'onboarding, l'establiment es recolzava en processos manuals de verificació documental, generant retards mitjans de 72 hores i una taxa d'abandonament del 34 % durant la suscripció.

En desplegar una solució de signatura electrònica avançada combinada amb verificació d'identitat biomètrica (comprovació de vivacitat + OCR de document d'identitat), l'establiment ha reduït el retard d'onboarding a menys de 8 minuts per al 89 % dels casos estàndard. La pista d'auditoria generada automàticament — incloent el certificat de signatura, l'informe de verificació biomètrica i l'estampillat temporal qualificat — respon directament a les exigències de conservació AML. La taxa d'abandonament ha caigut del 34 % a l'11 %, és a dir, un augment net de suscripcions finalitzades de l'ordre del 35 %, segons rangs observats en els informes Juniper Research 2025 sobre banca digital.

Escenari 2 — Gestió de la diligència amplada en una societat de gestió de carteres

Una societat de gestió de carteres que gestiona actius per a clients adinerades (UHNWI — Ultra High Net Worth Individuals) està sotmesa a obligacions de diligència amplada per a l'ensemble de la seva clientela, una fracció significativa dels seus clients estant classificada com PPE (Persones Políticament Exposades). La documentació contractual — mandats de gestió, cartes d'acceptació de riscos, informes periòdics signats — representa diversos milers de documents per any.

En desplegar una solució de signatura electrònica qualificada per a tots els documents PPE i integrant un arxivament automàtic en un coffre digital certificat NF461, la societat ha constituït una pista d'auditoria completa i auditable. Durant un control de l'ACPR de 48 hores, la totalitat dels dossiers demanats va poder ser produïda en menys de 2 hores, contra una mitjana sectorial estimada de 2-3 dies segons les realimentacions d'experiència publicades per l'ACPR en el seu informe anual de control de 2024. Els equips de conformitat també han reduït en un 60 % el temps dedicat a la preparació dels dossiers de control.

Escenari 3 — Conformitat AML per a un prestador de serveis sobre actius digitals (CASP)

Un prestador de serveis sobre actius digitals (CASP) sotmès al reglament MiCA i a les obligacions AML amplades aplicables des de gener de 2026 ha de documentar l'ensemble de les seves relacions contractuals amb obligacions de verificació d'identitat equivalents a les d'un establiment de crèdit. Els contractes d'ús de la plataforma, els mandats de conservació i les attestacions de política d'inversió han de ser signats i conservats.

En integrar una solució de signatura electrònica avançada via API en el seu recorregut de registre, el CASP ha pogut automatitzar la generació i signatura dels documents contractuals des de la validació del KYC. Cada document signat és automàticament indexat al sistema de gestió de conformitat amb les seves metadades criptogràfiques. Aquest enfocament ha permès reduir en un 80 % les intervencions manuals dels equips de conformitat en els casos estàndard, alliberant temps per al tractament dels casos de risc elevat que requereixen una revisió humana.

Conclusió

La conformitat AML i la signatura electrònica formen ara un binomi incontestable per a qualsevol actor financer que operi a Europa en 2026. Les directives anti-blanqueig successives, culminant amb el paquet AML 2024 i la creació de l'AMLA, han incrementat considerablement el nivell d'exigència en matèria de verificació d'identitat, traçabilitat documental i conservació de proves. La signatura electrònica — sempre que es desplegui al nivell adequat (avançada o qualificada segons el perfil de risc), integrada des de la concepció dels recorreguts client i recolzada en un prestador QTSP acreditat — respon estructuralment a aquestes exigències. Constitueix simultàniament una eina de conformitat, un factor d'eficiència operacional i un avantatge competitiu en la relació client digital.

Certyneo acompanya els actors financers, fintechs i societats de gestió en el desplegament de solucions de signatura electrònica conformes eIDAS i adaptades a les exigències AML. Descobreix les nostres ofertes i comença la teva conformitat AML avui.