Desde la Resolución SBS N° 02648-2024, todo PSAV que opere en Perú debe implementar un sistema de prevención de lavado de activos (SPLAFT) cuyo núcleo es la debida diligencia en el conocimiento del cliente: identificar y verificar la identidad de cada usuario según tres regímenes (simplificado, general y reforzado) con umbral de US$ 1,000, identificar al beneficiario final, hacer screening de PEP y listas internacionales, designar un oficial de cumplimiento, reportar operaciones sospechosas a la UIF-Perú en un máximo de 24 horas y conservar los registros al menos 5 años. Desde el 1 de agosto de 2026 se suma la regla de viaje para transferencias de activos virtuales. Esta guía resume lo esencial y cómo automatizarlo.
¿Qué es un PSAV?
Un Proveedor de Servicios de Activos Virtuales (PSAV) es toda persona natural o jurídica, domiciliada o constituida en el Perú, que como negocio realiza al menos una de estas actividades: intercambio entre activos virtuales y moneda fiat, intercambio entre distintos activos virtuales, transferencia de activos virtuales, custodia o administración de activos virtuales, o servicios financieros relacionados con la oferta o venta de un activo virtual (Decreto Supremo N° 006-2023-JUS).
Aunque en el lenguaje comercial se hable de “activos digitales” o “criptoactivos”, el término legal peruano es activos virtuales: representaciones digitales de valor que se pueden comercializar o transferir digitalmente y usarse para pagos o inversiones (art. 3.1 de la Res. SBS 02648-2024, alineado al glosario del GAFI). Exchanges, plataformas de custodia, rampas fiat-cripto y billeteras con custodia entran en la definición.
¿Qué normas regulan a los PSAV en Perú?
| Hito | Norma | Fecha |
|---|---|---|
| Los PSAV se vuelven sujetos obligados ante la UIF-Perú | Decreto Supremo N° 006-2023-JUS | 27 de julio de 2023 |
| Norma PLAFT específica para PSAV (39 artículos) | Resolución SBS N° 02648-2024 | Publicada el 1 de agosto de 2024 |
| Plazo de adecuación | 120 días desde la vigencia de la norma | — |
| Regla de viaje (Capítulo VIII) | Entra en vigencia a los 2 años de la publicación | 1 de agosto de 2026 |
La norma implementa en Perú la Recomendación 15 del GAFI, que desde 2018 exige que los proveedores de servicios de activos virtuales estén registrados, supervisados y sujetos a obligaciones de prevención de lavado de activos.
¿Cuál es la debida diligencia mínima según el régimen?
La Res. SBS 02648-2024 estructura el conocimiento del cliente en tres etapas — identificación, verificación y monitoreo (art. 15.2) — y tres regímenes según el riesgo y el monto (art. 16):
| Régimen | Cuándo aplica | Información mínima |
|---|---|---|
| Simplificado (art. 16.2) | Operaciones menores a US$ 1,000 no realizadas en efectivo | Persona natural: nombres y apellidos + tipo y número de documento. Persona jurídica: razón social, RUC y representante |
| General (art. 16.1) | Operaciones en efectivo por cualquier monto, o desde US$ 1,000 por otros medios | Nombres, documento de identidad, nacionalidad, estado civil, domicilio, ocupación, teléfono y correo, propósito de la relación, condición de PEP, beneficiario de la operación, origen de fondos y número de cuenta o dirección de billetera |
| Reforzado (art. 16.3) | Clientes no residentes, personas jurídicas no domiciliadas, fideicomisos, PEP (y cónyuge/conviviente y parientes hasta el segundo grado), investigados por LA/FT, corresponsalía con paraísos fiscales | Todo lo del régimen general + medidas adicionales y aprobación de la relación por el máximo nivel gerencial |
Dos precisiones que suelen pasarse por alto:
- El beneficiario final se identifica y verifica siempre, sin importar el régimen (art. 14.2, conforme al D. Leg. N° 1372).
- El screening de listas es al inicio y durante toda la relación: listas del Consejo de Seguridad de la ONU, lista OFAC, lista de terroristas de la UE y países no cooperantes del GAFI (art. 12).
Las demás obligaciones esenciales del SPLAFT
| Obligación | Detalle | Base |
|---|---|---|
| Oficial de cumplimiento | Designación obligatoria, comunicada a la UIF-Perú en 15 días hábiles vía SISDEL | Arts. 5–7 |
| Registro de operaciones | Efectivo por cualquier monto; otros medios desde US$ 1,000; remisión a la UIF vía Portal PLAFT | Art. 26 |
| Reporte de operaciones sospechosas (ROS) | Sin importar el monto, en máximo 24 horas desde que la operación se califica como sospechosa, vía ROSEL | Art. 27.1 |
| Conservación de registros | Mínimo 5 años (DDC, registros de operaciones, ROS, políticas y análisis) | Art. 35 |
| Conocimiento de directores, trabajadores y proveedores | Declaraciones juradas + screening en las mismas listas | Arts. 17–18 |
| Informe anual del oficial de cumplimiento | A la UIF-Perú a más tardar el 15 de febrero de cada año | Art. 30.3 |
| Capacitación | Al menos una vez al año; inducción a nuevos trabajadores en 30 días | Arts. 20–21 |
La regla de viaje: la fecha que todo PSAV debe tener en el calendario
Desde el 1 de agosto de 2026, el PSAV que origina una transferencia de activos virtuales debe obtener, conservar y transmitir al PSAV beneficiario la información del ordenante y del beneficiario de forma inmediata y segura (arts. 24–25). El matiz que casi nadie explica: no hay umbral de exención — la regla aplica a todas las transferencias; los US$ 1,000 solo gradúan cuánta información se transmite (set completo desde US$ 1,000; nombres + dirección de billetera o código rastreable por debajo, art. 24.5). Con billeteras autocustodiadas, si el cliente no entrega la información del ordenante o beneficiario, el PSAV no ejecuta la operación y evalúa emitir un ROS (art. 24.4).
Checklist operativo: qué implementar en cada etapa
- Registro como sujeto obligado — inscripción ante la UIF-Perú, designación del oficial de cumplimiento en 15 días hábiles (SISDEL) y aprobación del manual y políticas SPLAFT.
- Onboarding del cliente — clasificar el régimen aplicable (umbral US$ 1,000 / efectivo / factores de riesgo), capturar la información mínima, verificar identidad contra fuentes oficiales, determinar condición de PEP y beneficiario final, y documentar el origen de fondos cuando aplique.
- Monitoreo continuo — screening periódico contra listas, actualización de la información según el riesgo, calificación de operaciones inusuales y registro de operaciones desde los umbrales.
- Reporte y conservación — ROS en 24 horas vía ROSEL, remisión del registro de operaciones, informe anual (15 de febrero) y conservación de todo por 5 años.
Cómo automatizar la debida diligencia con VerificaID
La norma no exige hacer todo esto a mano. Cada verificación del régimen general y reforzado puede resolverse por API contra fuentes oficiales del Estado peruano:
| Obligación de la norma | Mecanismo de VerificaID |
|---|---|
| Identificar y verificar a la persona natural (art. 16.1) | Consulta RENIEC: valida identidad de ciudadanos peruanos contra el registro oficial — nombre, fecha de nacimiento, mayoría de edad |
| Verificar a clientes extranjeros (régimen reforzado, no residentes) | Consulta Migraciones: valida carnet de extranjería, calidad migratoria y vigencia de residencia |
| Determinar condición de PEP y parientes (arts. 16.1 y 16.3) | Consulta PEP: identifica con el DNI si una persona es PEP o familiar de PEP, con historial laboral y vínculos, en menos de un segundo |
| Conocer a la persona jurídica y su representante (art. 16.2) | Consulta SUNAT: razón social, estado tributario, actividad y representantes legales para KYB |
| Screening contra listas al inicio y durante la relación (art. 12) | Screening AML: listas de sanciones internacionales (OFAC–ONU), PEP titulares, históricos, candidatos e internacionales con relacionados y asociados, personas de interés, otros listados oficiales y listas de negatividad (adverse media) |
| Identificar y verificar al beneficiario final (art. 14.2) | Verificación UBO y empresas: beneficiario final (UBO), miembros de directorio, participación de sociedades y empresas estatales |
| Debida diligencia reforzada y prevención de suplantación | Validación Biométrica: prueba de vida, comparación facial contra el documento y fuentes de gobierno, con detección de deepfakes e identidades sintéticas |
| Formalizar la relación contractual con identidad verificada | FirmaID: firma electrónica avanzada con verificación biométrica del firmante integrada |
El resultado: un onboarding que captura y verifica los datos que exige el régimen general en segundos en lugar de días, con evidencia auditable para el oficial de cumplimiento. La responsabilidad del cumplimiento del SPLAFT sigue siendo del PSAV; las herramientas facilitan y documentan la verificación.
El contexto: por qué la SBS reguló ahora
Perú movió US$ 28 mil millones en volumen de transacciones cripto entre julio de 2022 y junio de 2025, el sexto mercado de América Latina, en una región que creció alrededor de 63% en adopción en el último periodo medido (Chainalysis, Latin America Crypto Adoption 2025). Un mercado de ese tamaño sin controles de identidad era exactamente el vacío que el DS 006-2023-JUS y la Res. SBS 02648-2024 vinieron a cerrar.
Preguntas frecuentes
¿Qué es un PSAV en Perú? Toda persona natural o jurídica domiciliada o constituida en el país que, como negocio, intercambia activos virtuales por dinero fiat o entre sí, los transfiere, los custodia o administra, o presta servicios financieros vinculados a su oferta o venta (DS 006-2023-JUS).
¿Desde cuándo aplica la regla de viaje en Perú? Desde el 1 de agosto de 2026 (dos años después de la publicación de la Res. SBS 02648-2024, cuyo Capítulo VIII la regula).
¿Qué debo pedir a un cliente que opera menos de US$ 1,000? Si la operación no es en efectivo, aplica el régimen simplificado: nombres y apellidos más tipo y número de documento (persona natural). El screening de listas y la identificación del beneficiario final aplican igual.
¿Un PSAV puede rechazar una transferencia desde una billetera autocustodiada? Debe hacerlo si el cliente no entrega la información del ordenante o beneficiario que exige la regla de viaje: la norma ordena no ejecutar la operación y evaluar un ROS (art. 24.4).
¿Cuánto tiempo deben conservarse los registros de debida diligencia? No menos de 5 años, incluyendo la información de conocimiento del cliente, los registros de operaciones y los ROS (art. 35).
¿Tu PSAV está en plena adecuación al SPLAFT? Agenda una demo de VerificaID y automatiza la verificación de identidad, PEP y KYB contra fuentes oficiales del Estado peruano.
Fuentes
- Resolución SBS N° 02648-2024 — texto oficial (PDF, SBS)
- Decreto Supremo N° 006-2023-JUS — El Peruano
- SBS publica norma PLAFT para PSAV — El Peruano
- Peru Travel Rule — Notabene
- Latin America Crypto Adoption 2025 — Chainalysis
- Recomendación 15 y activos virtuales — GAFILAT
Este contenido es informativo y no constituye asesoría legal. Última revisión: agosto de 2026.