Fundaciones y blanqueo de capitales: qué cambia en octubre

El 28 de octubre, la mayoría de las fundaciones dejan de identificar a cada donante de 100 €

El Real Decreto 813/2026, publicado en el BOE el 8 de octubre, reescribe el artículo 42 del Reglamento de prevención del blanqueo de capitales, que es el que regula a fundaciones y asociaciones, y entra en vigor el 28 de octubre de 2026. Para la mayoría de las entidades, la relación entre fundaciones y blanqueo de capitales se vuelve más ligera: desaparece la obligación de identificar y comprobar la identidad de cada persona que dona 100 € o más y de cada persona que recibe ayuda. Sólo las fundaciones y asociaciones con un riesgo superior al medio, y en todo caso las que trabajan en países de riesgo de financiación del terrorismo, tendrán que registrar a donantes y beneficiarios en las operaciones de más de 1.000 €. Lo que sí se endurece es el control sobre quién se sienta en el patronato o en la junta directiva, que a partir de ahora tiene una lista concreta de delitos y un certificado de antecedentes penales que la entidad puede pedir.

Esto le interesa a quien firma en nombre de la entidad: patronos, presidentes, tesoreros, gerentes y miembros de juntas directivas. La razón es menos evidente de lo que parece, porque la reforma descarga de papeleo a la organización y deja el foco sobre las personas.

Un patrono ejerce el cargo gratis, como dice el artículo 15.4 de la Ley 50/2002 de Fundaciones, y sin embargo la Ley 10/2010 le puede multar a título personal con un mínimo de 3.000 € si la entidad incumple por su negligencia. Vamos a ver qué cambia exactamente, quién sigue obligado al registro, qué tiene que hacer el patronato antes del día 28 y qué parte de todo esto puede cubrir un seguro.

Fundaciones y blanqueo de capitales: el artículo 42, antes y después

El Reglamento de la Ley 10/2010, aprobado por el Real Decreto 304/2014, tenía desde 2014 un artículo 42 pensado para un sector al que se consideraba de riesgo alto. Todas las entidades, grandes o pequeñas, tenían que identificar a los beneficiarios, a los donantes desde 100 €, a sus contrapartes en los proyectos, y controlar y documentar durante diez años el destino de cada fondo.

El preámbulo del nuevo real decreto explica el cambio en una línea: se trata de alinear la norma con los estándares del GAFI y con un enfoque basado en el riesgo. En la práctica, cinco de las medidas desaparecen o se limitan, una se concreta mucho más y aparece una nueva.

Hay un matiz que conviene tener presente antes de vaciar ningún archivo. La ley no ha cambiado. El artículo 39 de la Ley 10/2010 sigue diciendo que todas las fundaciones, y también las asociaciones, conservan registros de quienes aportan y reciben fondos a título gratuito, y que el patronato vela por que la entidad no se use para blanquear dinero ni para financiar el terrorismo.

Lo que cambia el reglamento es la forma de cumplirlo: para la mayoría, con las obligaciones de contabilidad y documentación que ya les impone su propia normativa. Los libros, los recibís de las ayudas y los certificados de donación que se emiten para Hacienda siguen haciendo falta.

¿Es tu entidad de las que siguen registrando donantes?

El artículo 42 pone el listón en el “riesgo inherente superior al medio”, con la escala del Reglamento europeo que creó la autoridad comunitaria contra el blanqueo, y se remite a un análisis sectorial de riesgo que debe aprobar la Comisión de Prevención del Blanqueo de Capitales y revisarse cada cuatro años.

El más reciente es el análisis sectorial de 2025 sobre financiación del terrorismo en las organizaciones sin fines de lucro, difundido por el Tesoro, en el que participaron el SEPBLAC, la Guardia Civil, la Policía Nacional, los protectorados de fundaciones y las grandes asociaciones del sector.

Su conclusión es tranquilizadora para casi todos. Ninguna categoría de fundación ni de asociación queda por encima del riesgo medio. Las fundaciones, las asociaciones y las ONG de desarrollo con actividad internacional en países de riesgo de financiación del terrorismo están en riesgo inherente medio, y el resto, en medio-bajo. Sólo una categoría llega a sustancial, las entidades religiosas con actividad en esos países, y el preámbulo del real decreto aclara que el artículo 42 no se les aplica porque tienen su propia normativa.

Con ese mapa, lo que de verdad decide si una fundación lleva el registro de más de 1.000 € es la segunda parte del artículo: las que trabajan en países de riesgo de financiación del terrorismo están obligadas “en todo caso”. Una asociación de vecinos, un club cultural o una fundación que gestiona una residencia de mayores no lo están. Una ONG que financia proyectos en zonas de conflicto, probablemente sí.

El reglamento no publica la lista de países, así que si tu entidad envía fondos fuera de la Unión Europea, lo prudente es dejarlo resuelto por escrito con tu asesor antes del día 28 y no darlo por supuesto.

Y una advertencia sobre la foto: el análisis se revisa. Si el siguiente sube de nivel a una categoría, sus entidades entrarán en el registro sin que cambie una coma del reglamento.

Lo que se endurece: quién puede estar en el patronato

La letra a) del nuevo apartado 3 es la única medida que se aplica a todas las fundaciones y asociaciones sin excepción, y es la que más trabajo da al órgano de gobierno. La entidad tiene que velar por que ninguna persona condenada por delitos contra el patrimonio, contra el orden socioeconómico, contra la Hacienda Pública y la Seguridad Social, contra la Administración Pública, de falsedades o de financiación del terrorismo sea titular real, directivo o tesorero, ni forme parte del órgano de gobierno o de representación. O, como alternativa, establecer procedimientos que controlen ese riesgo. Quienes ocupen esos cargos “deberán proveer el certificado de antecedentes penales a petición de la entidad”.

Leído con calma, no obliga a pedir el certificado a todo el mundo ni a renovarlo cada año. Obliga a tener un procedimiento y a poder demostrar que se aplica. Una forma sencilla, en una fundación pequeña, es incluir una declaración responsable en el documento de aceptación del cargo, pedir el certificado a quien entra a partir del 28 de octubre y dejar constancia en el acta de cómo se ha revisado al patronato actual. En una entidad que maneja subvenciones grandes o fondos internacionales, mejor pedirlo siempre.

¿Y si alguien no quiere entregarlo? La norma no lo resuelve, pero ese patrono deja a la entidad sin forma de acreditar que cumple, y el cargo es voluntario. Es una conversación incómoda que conviene tener antes de que la pida el Protectorado.

Lo que está en juego explica la prisa. El artículo 52.3.b) de la Ley 10/2010 califica como infracción grave el incumplimiento por fundaciones o asociaciones de sus obligaciones en esta materia. Para la entidad, la multa grave arranca en 60.000 €. Además, el artículo 54 hace responsables a quienes ejercen cargos de administración o dirección cuando la infracción se debe a su conducta dolosa o negligente, y el 57.2 les puede imponer, a cada uno, una multa de 3.000 € a 5.000.000 €, junto a una amonestación o la separación del cargo.

A eso se suma la responsabilidad civil de siempre: el artículo 17 de la Ley 50/2002 hace responder solidariamente a los patronos frente a la fundación por los daños de actos contrarios a la ley o hechos sin diligencia, y el artículo 15 de la Ley Orgánica 1/2002 dice lo mismo de los miembros de la junta de una asociación frente a la entidad, los asociados y terceros.

La reforma quita papeleo a la entidad y deja la responsabilidad donde ya estaba: en las personas que firman, que en una fundación no cobran por hacerlo.

Qué puede cubrir un seguro y qué no

Conviene empezar por lo que no hace. Un seguro no cumple el artículo 42 por ti, no sustituye al procedimiento de idoneidad ni al acta que lo documenta, y la multa en sí, por lo general, no la paga: las pólizas de responsabilidad de directivos excluyen las sanciones que la ley declara inasegurables y las conductas dolosas, y las que admiten alguna sanción lo hacen con condiciones muy concretas. Si alguien te vende lo contrario, pide que te enseñe la cláusula.

Lo que sí hace bien el seguro de responsabilidad de administradores y directivos, el D&O, en su modalidad para entidades sin ánimo de lucro, es pagar la defensa. Abogados desde el primer requerimiento, también en un expediente administrativo, y las reclamaciones que la propia fundación, el Protectorado en su nombre o un tercero dirijan contra el patrimonio personal de un patrono o de un miembro de la junta. La póliza la contrata la entidad y cubre a todos los cargos sin nombrarlos. Muchas pólizas incluyen también a quienes ya han dejado el cargo, algo importante en patronatos que se renuevan cada pocos años, pero no todas.

Lo que hay que mirar al contratarlo es la fecha de retroactividad, si cubre a los patronos salientes y qué dice exactamente de los procedimientos administrativos y las sanciones.

Hay un segundo riesgo que la reforma no menciona y que conviene tener en el radar. Una entidad que recibe donaciones y transfiere fondos a proyectos es el objetivo perfecto para el fraude del cambio de cuenta: un correo que parece del socio local con un IBAN nuevo, o del presidente pidiendo una transferencia urgente. Ese es un riesgo de estafa, distinto del blanqueo, y lo cubre, cuando lo cubre, un seguro de ciberriesgos con la garantía de fraude, no el D&O.

Qué hacer antes del 28 de octubre

1. Decidir en qué grupo está la entidad y dejarlo escrito en el acta del patronato o de la junta: si trabaja o envía fondos a países de riesgo de financiación del terrorismo, lleva el registro de donantes y beneficiarios de más de 1.000 €; si no, sigue con su contabilidad.
2. No destruir archivos. La ley sigue pidiendo registros de quien aporta y recibe, y el plazo general de conservación del artículo 25 de la Ley 10/2010 es de diez años.
3. Aprobar el procedimiento de idoneidad: declaración responsable al aceptar el cargo, certificado de antecedentes penales para los nuevos nombramientos y revisión documentada de los cargos actuales, incluidos el gerente y el tesorero aunque no sean patronos.
4. Canalizar cobros y pagos por banco siempre que se pueda, y reducir el efectivo a lo imprescindible. Es la nueva letra g), y además es lo que mejor defiende a la entidad si un día alguien pregunta.
5. Saber por dónde se comunica al SEPBLAC un hecho sospechoso y quién lo hace.
6. Revisar el D&O: si existe, a quién cubre, desde qué fecha y qué dice de los expedientes sancionadores. Si no existe, es buen momento para pedirlo.

Ninguno de esos pasos lleva más de una reunión de patronato. Hay que hacerlos, eso sí, porque el ahorro de papeleo del artículo 42 sólo es real para la entidad que pueda demostrar que no le tocaba llevar el registro.

Todo lo que suele necesitar una entidad del tercer sector, de la responsabilidad civil al seguro de los voluntarios, está en seguros para ONG, fundaciones y asociaciones. Las obligaciones de aseguramiento de los voluntarios, que también dependen de la ley y no de la costumbre, las explicamos en seguro de voluntarios: qué obliga la ley y qué no.

Para la póliza de directivos, la página del seguro D&O para administradores y directivos detalla coberturas y exclusiones, y la guía sobre cuándo responde un administrador con su patrimonio explica la lógica de esa responsabilidad en sociedades, que en las fundaciones funciona de forma parecida. El fraude por suplantación lo tratamos en ciberestafas en 2026 y qué cubre tu seguro.

Preguntas frecuentes