El GAFI es el organismo que fija el estándar internacional contra el blanqueo de capitales. Sus listas no son un ranking reputacional: cuando una jurisdicción entra en ellas, cambia el nivel de diligencia debida que tu empresa está obligada a aplicar sobre los clientes, los proveedores y las operaciones vinculadas a ese país. Esta guía reúne lo que necesitas en 2026, con la lista vigente tras el plenario de junio y las obligaciones concretas que se activan en España.
Lo esencial
- El GAFI (Grupo de Acción Financiera Internacional, FATF en inglés) nació en 1989 y publica las 40 recomendaciones, el estándar global en prevención del blanqueo de capitales y de la financiación del terrorismo.
- Mantiene dos listas: la lista gris (jurisdicciones bajo supervisión intensificada) y la lista negra (jurisdicciones de alto riesgo sujetas a una llamada a la acción).
- En la declaración del 19 de junio de 2026 hay 22 jurisdicciones en la lista gris. Entraron Bosnia y Herzegovina e Irak; salieron Argelia y Namibia.
- En la lista negra siguen Corea del Norte e Irán con contramedidas, y Myanmar con diligencia reforzada.
- En España, el artículo 11 de la Ley 10/2010 obliga a aplicar medidas reforzadas de diligencia debida cuando interviene un país con deficiencias estratégicas.
- La lista del GAFI y la lista europea de países terceros de alto riesgo no son la misma lista, y la que te obliga por norma es la europea.
¿Qué es el GAFI y qué poder real tiene sobre tu empresa?
El GAFI es un organismo intergubernamental creado en 1989 en la cumbre del G7 de París para coordinar la respuesta internacional al blanqueo de capitales. Después amplió su mandato a la financiación del terrorismo y a la financiación de la proliferación de armas de destrucción masiva. No es un regulador: no dicta normas de aplicación directa ni impone sanciones a empresas.
Su poder es indirecto y, aun así, muy efectivo. Funciona por dos vías. La primera es la evaluación mutua: equipos de evaluadores revisan país por país si el marco legal existe y, sobre todo, si funciona en la práctica. La segunda es la publicación de las listas, que la Unión Europea y los Estados toman como base para sus propias normas.
Para un sujeto obligado español, la cadena es esta: el GAFI identifica deficiencias, la Comisión Europea actualiza su lista de países terceros de alto riesgo mediante reglamento delegado, y la Ley 10/2010 obliga a aplicar medidas reforzadas en las relaciones de negocio y operaciones que impliquen a esos países. Lo que empieza como una declaración técnica en París acaba, unos meses más tarde, en el expediente de un cliente concreto.
Si estás revisando tu marco general de prevención, conviene tener a mano el mapa completo de obligaciones en nuestra página de prevención del blanqueo de capitales.
¿Cuáles son las 40 recomendaciones del GAFI?
Las 40 recomendaciones son el estándar internacional que cada país debe trasladar a su legislación. La versión vigente se adoptó en 2012 y se actualiza de forma periódica. Ese año el GAFI integró en el texto las nueve recomendaciones especiales que hasta entonces trataban la financiación del terrorismo por separado, de modo que hoy hay un solo cuerpo de 40.
Se agrupan en siete bloques:
| Bloque | Recomendaciones | De qué trata |
|---|---|---|
| Políticas y coordinación | 1 y 2 | Enfoque basado en riesgo y cooperación entre autoridades |
| Blanqueo y decomiso | 3 y 4 | Tipificación del delito y recuperación de activos |
| Financiación del terrorismo y proliferación | 5 a 8 | Sanciones financieras dirigidas y entidades sin ánimo de lucro |
| Medidas preventivas | 9 a 23 | Diligencia debida, titularidad real, conservación de documentos, comunicación de operaciones sospechosas |
| Transparencia y titularidad real | 24 y 25 | Información sobre personas jurídicas y fideicomisos |
| Facultades de las autoridades | 26 a 35 | Supervisión, unidades de inteligencia financiera y régimen sancionador |
| Cooperación internacional | 36 a 40 | Asistencia judicial, extradición e intercambio de información |
El bloque que más pesa en el día a día de un departamento de cumplimiento es el de medidas preventivas: identificación del cliente y del titular real, seguimiento continuo y comunicación de lo sospechoso. Si quieres el detalle operativo de cómo se gradúan esas medidas, lo desarrollamos en la guía de debida diligencia en prevención del blanqueo.
¿Qué diferencia hay entre la lista gris y la lista negra del GAFI?
La diferencia no es de grado reputacional, es de consecuencia práctica. La lista gris identifica países que han reconocido sus deficiencias y han acordado un plan de acción con plazos; la lista negra identifica países cuyas deficiencias el GAFI considera tan graves que pide a sus miembros una respuesta activa.
| Lista gris | Lista negra | |
|---|---|---|
| Nombre oficial | Jurisdicciones bajo supervisión intensificada | Jurisdicciones de alto riesgo sujetas a una llamada a la acción |
| Situación del país | Deficiencias estratégicas con plan de acción acordado | Deficiencias estratégicas sin avances suficientes |
| Qué pide el GAFI | Diligencia debida reforzada, proporcionada al riesgo | Contramedidas, que pueden llegar a cortar relaciones de corresponsalía |
| Jurisdicciones (19-06-2026) | 22 | 3 |
En la lista negra, a 19 de junio de 2026, Corea del Norte e Irán están sujetas a contramedidas. Myanmar está en una situación intermedia: el GAFI pide diligencia debida reforzada y advierte de que valorará contramedidas si no hay avances en octubre de 2026.
¿Qué países están en la lista gris del GAFI?
A fecha de la declaración del 19 de junio de 2026, estas son las 22 jurisdicciones bajo supervisión intensificada:
| Región | Jurisdicciones |
|---|---|
| África | Angola, Camerún, Costa de Marfil, República Democrática del Congo, Kenia, Sudán del Sur |
| Américas | Bolivia, Haití, Venezuela |
| Asia y Pacífico | Laos, Nepal, Papúa Nueva Guinea, Vietnam |
| Europa | Bosnia y Herzegovina, Bulgaria, Mónaco |
| Oriente Medio | Irak, Kuwait, Líbano, Siria, Yemen |
| Territorios | Islas Vírgenes Británicas |
Dos movimientos de ese plenario conviene anotarlos en el expediente. Bosnia y Herzegovina e Irak entraron en la lista, así que las relaciones de negocio con esas jurisdicciones pasan a exigir medidas reforzadas. Argelia y Namibia salieron, lo que permite revisar a la baja las medidas que se les aplicaban, siempre que tu propio análisis de riesgo lo respalde. La lista se revisa en cada plenario, tres veces al año, de modo que cualquier procedimiento interno que la cite debe incorporar una fecha de verificación.
¿Qué te obliga a hacer en España que un país esté en la lista del GAFI?
El artículo 11 de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, titulado «Medidas reforzadas de diligencia debida», obliga a los sujetos obligados a aplicar esas medidas en relación con países que presentan deficiencias estratégicas en sus sistemas, identificados mediante decisión de la Comisión Europea.
En la práctica, eso se traduce en cuatro cosas concretas:
- Información adicional sobre el cliente y el titular real, más allá de la identificación básica, y sobre el propósito de la relación de negocio.
- Información sobre el origen de los fondos y del patrimonio cuando la operación lo justifique.
- Autorización de un nivel directivo superior para establecer o mantener la relación de negocio.
- Seguimiento reforzado y continuo, con revisión de la frecuencia y del alcance de los controles.
Hay un error frecuente que conviene evitar: tratar la lista como una prohibición. Que un país esté en la lista gris no impide operar con él. Lo que impide es operar con el mismo nivel de control que aplicarías a una jurisdicción de riesgo bajo. La decisión de no operar es una decisión de negocio; la de reforzar el control es una obligación legal. El contexto de riesgo país, junto con los demás factores, lo analizamos en el artículo sobre riesgos de blanqueo de capitales y financiación del terrorismo.
¿Por qué la lista del GAFI no coincide con la lista europea de países de alto riesgo?
Porque son dos procedimientos distintos con dos calendarios distintos. El GAFI publica su declaración después de cada plenario. La Comisión Europea mantiene su propia lista de países terceros de alto riesgo mediante reglamento delegado, que se tramita con un plazo de escrutinio del Parlamento y del Consejo.
El resultado es un desfase de meses y, en algunos casos, una diferencia de contenido: la Comisión puede incluir o mantener una jurisdicción por razones propias. Para un sujeto obligado español esto tiene una consecuencia muy concreta. La lista que genera la obligación legal es la europea, porque es la que invoca el artículo 11 de la Ley 10/2010. La del GAFI es un indicador anticipado y una fuente de contexto para tu análisis de riesgo, no la norma. Lo razonable es consultar las dos y documentar cuál has aplicado y por qué.
España, por su parte, ha ido adaptando su marco a las recomendaciones del GAFI a lo largo de los años, un recorrido que repasamos en el artículo sobre España y los requisitos internacionales contra el blanqueo de capitales.
¿Cómo preparas el cambio que llega en julio de 2027?
El marco europeo se está reescribiendo. El Reglamento (UE) 2024/1624 del Parlamento Europeo y del Consejo, de 31 de mayo de 2024, relativo a la prevención de la utilización del sistema financiero para el blanqueo de capitales o la financiación del terrorismo, se aplica a partir del 10 de julio de 2027. Al ser un reglamento, sus obligaciones no necesitan ley española que las traslade: se aplican directamente.
Eso deja una ventana de preparación corta para un cambio profundo. Tres tareas se pueden adelantar desde ahora sin esperar al texto final de desarrollo:
- Revisar el procedimiento de país de alto riesgo para que cite la fuente y la fecha de la lista aplicada, no un listado estático.
- Depurar la información de titularidad real de clientes y proveedores, porque es el punto donde más expedientes se quedan incompletos.
- Documentar el análisis de riesgo de forma que soporte una revisión externa, con el criterio escrito y no solo el resultado.
Preguntas frecuentes sobre el GAFI
¿Qué significa GAFI?
GAFI son las siglas de Grupo de Acción Financiera Internacional, el organismo intergubernamental creado en 1989 para combatir el blanqueo de capitales. En inglés se denomina FATF, Financial Action Task Force. Es la misma institución con dos nombres según el idioma.
¿Cuántos países hay en la lista gris del GAFI?
En la declaración del 19 de junio de 2026 hay 22 jurisdicciones bajo supervisión intensificada. La cifra cambia en cada plenario, que se celebra tres veces al año, así que cualquier procedimiento interno debe verificar la lista vigente antes de aplicarla.
¿Estar en la lista gris del GAFI prohíbe operar con ese país?
No. La inclusión en la lista gris no prohíbe la relación de negocio, obliga a reforzarla con medidas de diligencia debida adicionales, autorización directiva y seguimiento continuo. La decisión de no operar con una jurisdicción es una decisión de riesgo de cada entidad, no una imposición del GAFI.
¿Las 40 recomendaciones del GAFI son de obligado cumplimiento?
No directamente para las empresas. Son un estándar dirigido a los Estados, que lo trasladan a su legislación. En España ese traslado se materializa en la Ley 10/2010 y su normativa de desarrollo, que sí obligan a los sujetos obligados.
¿Quién supervisa en España el cumplimiento de estas obligaciones?
El SEPBLAC, el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias, actúa como unidad de inteligencia financiera y como autoridad supervisora en materia de prevención del blanqueo, y es el destinatario de las comunicaciones de operativa sospechosa.
Conclusión
Las listas del GAFI son una herramienta de trabajo, no un titular. Lo que convierte una declaración de junio en cumplimiento real es un procedimiento que diga de dónde sale la lista, con qué fecha se consultó y qué medidas se activaron en cada expediente. Con el Reglamento (UE) 2024/1624 aplicándose desde julio de 2027, ese nivel de trazabilidad deja de ser una buena práctica y pasa a ser lo exigible.
Este artículo tiene finalidad informativa y no constituye asesoramiento jurídico. Última actualización: 13 de octubre de 2026.
