Debida diligencia en el conocimiento del cliente, proveedor, trabajador y Personas Expuestas Políticamente (PEP) bajo normas SPLAFT

Debida diligencia bajo normas SPLAFT: una obligación clave para prevenir riesgos legales y reputacionales

En el entorno empresarial peruano, la debida diligencia en el conocimiento del cliente, proveedor, trabajador y Personas Expuestas Políticamente (PEP) se ha convertido en un componente esencial de cualquier sistema de cumplimiento. No se trata solo de una buena práctica administrativa: en muchos casos, constituye una exigencia regulatoria vinculada al Sistema de Prevención del Lavado de Activos y del Financiamiento del Terrorismo (SPLAFT).

Las empresas, asociaciones, organizaciones sin fines de lucro y sujetos obligados en general enfrentan hoy mayores exigencias para identificar con quién hacen negocios, quiénes integran su estructura laboral, quiénes son sus beneficiarios finales y si existen vínculos con operaciones inusuales o de alto riesgo. Un error en esta etapa puede exponer a la organización a sanciones, contingencias operativas, investigaciones y un serio daño reputacional.

En este artículo explicamos, de forma práctica y aplicada a la realidad peruana, cómo implementar procesos de debida diligencia sobre clientes, proveedores, trabajadores y PEP, cuáles son los elementos mínimos que debe contener un procedimiento interno y qué señales de alerta deben considerarse bajo el enfoque SPLAFT.

¿Qué es la debida diligencia en el marco SPLAFT?

La debida diligencia es el conjunto de políticas, procedimientos y controles que una organización aplica para identificar, verificar y monitorear a las personas naturales o jurídicas con las que mantiene relaciones comerciales, contractuales, laborales o institucionales.

En el marco del SPLAFT, esta revisión busca prevenir que la empresa sea utilizada, directa o indirectamente, para:

• Lavado de activos.
• Financiamiento del terrorismo.
• Ocultamiento del beneficiario final.
• Canalización de fondos de origen ilícito.
• Actos de corrupción o conflictos de interés, especialmente cuando intervienen PEP.

La debida diligencia no debe verse como un trámite aislado al inicio de una relación. Debe ser un proceso continuo, basado en riesgo, documentado y actualizado periódicamente.

Marco normativo aplicable en Perú

En Perú, la prevención del lavado de activos y del financiamiento del terrorismo se sustenta en un conjunto de normas que deben ser consideradas por los sujetos obligados y, de manera creciente, por empresas que buscan fortalecer su compliance corporativo.

Normas legales relevantes

• Ley N.° 27693, Ley que crea la Unidad de Inteligencia Financiera del Perú (UIF-Perú), especialmente en lo relacionado con las funciones de supervisión y recepción de reportes.
• Ley N.° 29038, que incorpora la UIF-Perú a la Superintendencia de Banca, Seguros y AFP (SBS).
• Decreto Legislativo N.° 1106, Decreto Legislativo de lucha eficaz contra el lavado de activos y otros delitos relacionados a la minería ilegal y crimen organizado, en particular sus disposiciones sobre actos de conversión, transferencia, ocultamiento y tenencia.
• Ley N.° 30424, Ley que regula la responsabilidad administrativa de las personas jurídicas, cuyo artículo 17 reconoce la importancia de los modelos de prevención para mitigar riesgos vinculados, entre otros, al lavado de activos.
• Decreto Supremo N.° 020-2017-JUS, Reglamento de la Ley N.° 30424, cuyo artículo 41 desarrolla los elementos mínimos del modelo de prevención.
• Decreto Legislativo N.° 1372, que regula la obligación de informar la identificación del beneficiario final.
• Decreto Supremo N.° 003-2019-EF, Reglamento del Decreto Legislativo N.° 1372, que desarrolla criterios de identificación del beneficiario final.

Normativa SBS y enfoque basado en riesgo

Dependiendo del sector, los sujetos obligados deben cumplir además con los reglamentos emitidos por la SBS y otras entidades supervisoras. En todos los casos, el criterio central es el enfoque basado en riesgo: no todos los clientes, proveedores o trabajadores presentan el mismo nivel de exposición, por lo que los controles deben ser proporcionales.

Por ejemplo, no representa el mismo riesgo un proveedor local con años de trayectoria, RUC activo y operaciones bancarizadas, que una sociedad recientemente constituida, con accionistas no transparentes y exigencia de pagos a cuentas de terceros.

¿A quiénes debe aplicarse la debida diligencia?

En una organización con enfoque de compliance, la debida diligencia no debe limitarse al cliente. Debe extenderse, como mínimo, a los siguientes grupos:

• Clientes.
• Proveedores y contratistas.
• Trabajadores, directivos y personal clave.
• Accionistas, asociados o contrapartes estratégicas.
• Personas Expuestas Políticamente (PEP) y sus vinculados, cuando corresponda.

Este enfoque integral es especialmente importante en empresas familiares, ONGs, constructoras, comercializadoras, estudios profesionales, inmobiliarias y organizaciones que reciben fondos del exterior o manejan volúmenes significativos de efectivo.

Debida diligencia del cliente: qué revisar y cómo documentarlo

El conocimiento del cliente, también conocido como Know Your Customer o KYC, permite validar la identidad, actividad económica, origen de fondos y perfil transaccional esperado de quien contrata con la organización.

Información mínima a recopilar

Para una persona natural, usualmente se recomienda contar con:

• Nombres y apellidos completos.
• DNI, carné de extranjería o pasaporte.
• RUC, si corresponde.
• Domicilio real y fiscal.
• Actividad económica u ocupación.
• Declaración sobre origen de fondos, cuando el riesgo lo amerite.
• Verificación de condición PEP.

Para una persona jurídica:

• Razón social completa.
• RUC y condición de habido.
• Partida registral y vigencia de poder.
• Objeto social.
• Identificación de representantes legales.
• Identificación del beneficiario final.
• Principales accionistas o socios.
• Actividad económica real y ubicación operativa.

Validaciones recomendables en Perú

• Consulta RUC en SUNAT.
• Consulta de vigencia de poder en SUNARP.
• Revisión de listas internas, listas restrictivas y antecedentes públicos.
• Validación de beneficiario final conforme al Decreto Legislativo N.° 1372.
• Coherencia entre actividad declarada y volumen de operación.

Ejemplo práctico

Una empresa comercializadora en Lima recibe una solicitud de venta por S/ 180,000 de una sociedad recientemente constituida en Arequipa. El gerente solicita despacho inmediato y propone pagar desde la cuenta bancaria de una empresa distinta “por temas administrativos”. Aquí existen varias señales de alerta: reciente constitución, presión por rapidez, pago por tercero y posible falta de trazabilidad del beneficiario final. En este caso, la empresa debería suspender la operación hasta verificar la estructura societaria, la vigencia de poder, el origen de fondos y la relación entre ambas compañías.

Debida diligencia del proveedor: un control frecuentemente subestimado

Muchas organizaciones concentran su atención en el cliente, pero descuidan a los proveedores. Sin embargo, un proveedor puede convertirse en un canal para sobrefacturación, pagos ficticios, triangulación de fondos, conflictos de interés o actos de corrupción.

Aspectos clave en el conocimiento del proveedor

• Existencia legal y capacidad operativa real.
• RUC activo y habido.
• Experiencia en el rubro.
• Domicilio verificable.
• Relación entre socios, representantes y trabajadores de la empresa contratante.
• Beneficiario final identificado.
• Cuenta bancaria a nombre del propio proveedor.
• Historial tributario y comercial razonable.

Señales de alerta comunes

• Proveedor sin infraestructura para prestar el servicio contratado.
• Dirección fiscal que corresponde a una vivienda sin actividad visible.
• Representante legal sin experiencia o difícil de ubicar.
• Solicitud de pago a cuentas de terceros o al exterior sin justificación contractual.
• Precios muy por encima o por debajo del mercado.
• Coincidencia de apellidos, correos o teléfonos con trabajadores de la empresa.

Ejemplo práctico

Una ONG en Perú contrata servicios de capacitación por S/ 95,000 con un proveedor que presentó una propuesta competitiva. Durante la revisión documental, se detecta que el proveedor fue constituido hace dos meses, comparte domicilio con otra empresa observada por incumplimientos y su cuenta bancaria está a nombre de una persona natural distinta al representante legal. Antes de aprobar el pago, corresponde aplicar debida diligencia reforzada, solicitar sustento adicional y, de ser necesario, descartar la contratación.

Debida diligencia del trabajador: prevención desde el ingreso y durante la relación laboral

El conocimiento del trabajador es esencial no solo para fines laborales y de recursos humanos, sino también para prevenir riesgos de fraude interno, conflicto de interés, soborno, filtración de información y uso indebido de la organización para canalizar operaciones sospechosas.

Controles recomendables sobre trabajadores

• Verificación de identidad y documentación personal.
• Validación de antecedentes laborales y referencias.
• Revisión de incompatibilidades para puestos sensibles.
• Declaración de conflicto de interés.
• Evaluación de condición PEP cuando el puesto lo amerite.
• Monitoreo reforzado en áreas de tesorería, compras, logística, finanzas y gerencia.

En cargos de confianza o funciones críticas, es recomendable que la organización documente adecuadamente el proceso de selección, la evaluación de integridad y la aceptación expresa de políticas de compliance y ética.

Ejemplo práctico

Una empresa de servicios incorpora a un jefe de compras con facultad para aprobar órdenes hasta S/ 50,000. Meses después se detecta que tres proveedores recurrentes comparten vínculos familiares con el trabajador y que no existían declaraciones de conflicto de interés actualizadas. Un procedimiento adecuado de debida diligencia y monitoreo periódico habría permitido identificar el riesgo oportunamente.

Debida diligencia sobre Personas Expuestas Políticamente (PEP)

Las Personas Expuestas Políticamente (PEP) requieren un tratamiento especial debido al mayor riesgo de exposición a corrupción, cohecho, tráfico de influencias o uso indebido de recursos públicos. No significa que una PEP sea ilícita por definición, sino que la relación debe evaluarse con un nivel superior de control.

¿Qué es una PEP?

En términos generales, una PEP es una persona natural que desempeña o ha desempeñado funciones públicas prominentes, así como, según corresponda, sus familiares cercanos y personas vinculadas. La definición específica puede variar según la regulación sectorial aplicable y las listas utilizadas por el sujeto obligado.

Controles reforzados para PEP

• Identificación expresa de la condición PEP al inicio y durante la relación.
• Aprobación por niveles jerárquicos superiores para iniciar o mantener la relación.
• Indagación reforzada sobre origen de fondos y patrimonio.
• Monitoreo intensificado de operaciones.
• Actualización más frecuente del expediente.

Ejemplo práctico

Una empresa inmobiliaria recibe una separación de inmueble por S/ 420,000 de una persona que figura como ex funcionario de alto nivel en una entidad pública. Además, el pago inicial sería realizado por una compañía vinculada del exterior. En este supuesto, la empresa debe aplicar debida diligencia reforzada, identificar la condición PEP, documentar el origen de fondos, revisar al beneficiario final de la empresa pagadora y elevar la aprobación a la gerencia o al oficial de cumplimiento, según su estructura interna.

Diferencias entre debida diligencia estándar, simplificada y reforzada

Procedimiento interno recomendado para una empresa u ONG

Un procedimiento eficaz de debida diligencia bajo SPLAFT debería incluir, como mínimo, los siguientes componentes:

1. Política aprobada por la alta dirección

Debe establecer el compromiso institucional, el alcance, los responsables, los criterios de riesgo y las consecuencias del incumplimiento.

2. Matriz de riesgo

La organización debe clasificar riesgos por tipo de contraparte, zona geográfica, canal de operación, monto, producto o servicio y condición PEP.

3. Formularios y checklists

Es recomendable estandarizar la recopilación de información para clientes, proveedores, trabajadores y terceros vinculados.

4. Validaciones documentarias y fuentes externas

La revisión debe sustentarse con consultas objetivas: SUNAT, SUNARP, listas internas, bases públicas y documentación contractual.

5. Alertas y escalamiento

Si se detectan inconsistencias, la operación o contratación debe escalarse al oficial de cumplimiento, comité de riesgos o gerencia, según corresponda.

6. Monitoreo y actualización

La debida diligencia no concluye con el alta inicial. Debe actualizarse periódicamente y cada vez que cambie el perfil de riesgo.

Señales de alerta frecuentes en la práctica peruana

• Empresas con RUC activo pero sin capacidad operativa verificable.
• Pagos o cobros desde cuentas de terceros sin sustento contractual.
• Negativa a identificar al beneficiario final.
• Uso de socios nominales o estructuras societarias poco transparentes.
• Trabajadores o proveedores vinculados no declarados.
• Operaciones por montos altos sin sustento económico razonable.
• PEP que evitan proporcionar información patrimonial o societaria.
• Proveedores insistentes en pagos fraccionados o en efectivo.

Relación con auditoría interna, auditoría externa y control corporativo

La debida diligencia no opera de manera aislada. Debe integrarse con la gestión de riesgos, el control interno, la auditoría interna y, cuando corresponda, la auditoría externa.

Desde la perspectiva de control, resultan útiles criterios de documentación, evidencia y evaluación consistentes con normas internacionales de auditoría, tales como la NIA 315, “Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno”, y la NIA 330, “Respuestas del auditor a los riesgos valorados”. Si bien estas normas se aplican al trabajo del auditor financiero, su lógica de conocimiento del entorno y respuesta al riesgo ofrece pautas valiosas para fortalecer procedimientos internos de compliance.

Asimismo, cuando existan estimaciones, provisiones o contingencias derivadas de incumplimientos, puede resultar relevante considerar criterios de la NIC 37, “Provisiones, Pasivos Contingentes y Activos Contingentes”, especialmente para evaluar impactos contables de sanciones probables o litigios vinculados a fallas de control.

Errores comunes que deben evitar las organizaciones

Ejemplo práctico integral

Una asociación sin fines de lucro con operaciones en Lima, Piura y Cusco recibe una donación internacional para ejecutar un proyecto de fortalecimiento comunitario por S/ 1,200,000. Durante la implementación, debe contratar consultores, adquirir bienes y abrir procesos de selección para coordinadores regionales.

Si la asociación aplica un enfoque robusto de debida diligencia SPLAFT, debería:

• Validar la identidad y legitimidad del donante y sus condiciones de desembolso.
• Identificar beneficiarios finales de proveedores críticos.
• Revisar si algún consultor o directivo califica como PEP.
• Solicitar declaraciones de conflicto de interés a trabajadores y miembros del consejo directivo.
• Verificar que los pagos se realicen a cuentas del titular contractual.
• Documentar cualquier alerta o excepción aprobada.

Con ello, no solo reduce el riesgo de lavado de activos o financiamiento del terrorismo, sino también riesgos de fraude interno, observaciones de cooperantes y sanciones por deficiencias de control.

Buenas prácticas para fortalecer el compliance SPLAFT

• Diseñar una política de debida diligencia diferenciada por tipo de contraparte.
• Capacitar periódicamente al personal de ventas, compras, tesorería, recursos humanos y gerencia.
• Implementar listas de verificación y expedientes digitales.
• Definir umbrales de aprobación para operaciones de mayor riesgo.
• Actualizar la evaluación de PEP y beneficiario final de forma periódica.
• Integrar la debida diligencia con políticas anticorrupción y de conflicto de interés.
• Realizar revisiones internas o auditorías de cumplimiento.

Conclusión

La debida diligencia en el conocimiento del cliente, proveedor, trabajador y PEP bajo normas SPLAFT ya no es una práctica opcional para las organizaciones que buscan operar con seguridad y sostenibilidad en Perú. Es un mecanismo esencial para prevenir riesgos legales, financieros, reputacionales y operativos.

Aplicar controles proporcionales, documentados y basados en riesgo permite a la empresa conocer mejor a sus contrapartes, detectar señales de alerta a tiempo y demostrar una cultura real de cumplimiento. En un contexto de mayor fiscalización y exigencia regulatoria, contar con procedimientos sólidos de debida diligencia puede marcar la diferencia entre una operación segura y una contingencia seria.

Si su empresa, ONG o entidad requiere evaluar o implementar procedimientos de debida diligencia y compliance SPLAFT, puede solicitar asesoría especializada escribiendo a auditor@carloslingan.pe.