Debida diligencia

En síntesis

La debida diligencia es el conjunto de medidas que una organización aplica para conocer a un cliente y mantener ese conocimiento vigente durante toda la relación.

Su rasgo definitorio es la graduación: no todos los clientes reciben el mismo escrutinio. El nivel se determina según el riesgo que cada relación representa, y esa calibración es una decisión que la organización tiene que poder justificar.

Por eso la debida diligencia no es un requisito que se cumple, es un criterio que se aplica. Dos clientes de la misma organización pueden atravesar procesos distintos sin que ninguno de los dos esté mal.

La debida diligencia tiene niveles y el nivel lo define el riesgo

Los regímenes de la región trabajan con tres intensidades. Los nombres varían un poco entre normas; la lógica no.

• Simplificada — para relaciones de riesgo bajo demostrado. Reduce la profundidad de la información requerida, nunca la identificación en sí. No existe un cliente al que no haya que identificar.
• Ordinaria — el estándar de la mayoría de la cartera. Identificación del cliente, comprensión del propósito de la relación y monitoreo de rutina.
• Reforzada — para relaciones de riesgo alto. Suma origen de fondos y de patrimonio, aprobación de un nivel jerárquico superior para vincular o mantener la relación, y monitoreo más frecuente con umbrales más bajos.

Aplicar el nivel más alto a toda la cartera no es prudencia: es un programa mal diseñado. Consume el tiempo del equipo de forma pareja y lo deja sin capacidad de mirar donde el riesgo realmente está, que es exactamente lo que el enfoque basado en riesgo intenta evitar.

Qué determina el nivel y qué dispara la versión reforzada

La clasificación se construye sobre cuatro factores, y los cuatro se evalúan juntos.

• El cliente — quién es, a qué se dedica, qué estructura tiene detrás y si califica como PEP.
• El producto — qué tan expuesto está al movimiento de fondos y qué tan fácil resulta convertirlo en efectivo.
• El canal — cómo se estableció la relación. Una vinculación sin presencia física tiene un perfil de riesgo distinto de una presencial.
• La jurisdicción — dónde opera el cliente y con qué países se relaciona su operatoria.

Sobre esa base, los disparadores más frecuentes de la debida diligencia reforzada son la condición de PEP, las estructuras societarias que dificultan identificar al beneficiario final, las operaciones sin justificación económica aparente y la exposición a jurisdicciones señaladas por deficiencias en su régimen de prevención, tal como se explica en GAFI y GAFILAT.

El canal digital merece una aclaración, porque la lectura clásica quedó vieja. La vinculación no presencial se consideró durante años un factor de riesgo por sí misma, cuando el único modo de comprobar identidad con solidez era tener a la persona enfrente. Hoy un proceso digital con verificación documental, comparación biométrica y prueba de vida produce más evidencia, y más auditable, que un empleado mirando un documento en un mostrador. Lo que agrega o quita riesgo no es el canal, es la calidad de la comprobación y la evidencia que deja.

La debida diligencia no termina en el alta

El error de diseño más caro de esta parte del programa es tratarla como un requisito de la vinculación.

La obligación es continua. La organización tiene que saber quién es su cliente el primer día y seguir sabiéndolo el año siguiente, lo que implica tres cosas distintas.

• Actualizar la información — los datos cambian, y un expediente desactualizado deja de sostener la clasificación de riesgo que se construyó con él.
• Revisar la clasificación — el nivel asignado en el alta caduca. Un cliente puede asumir una función pública, cambiar de actividad o modificar su estructura societaria.
• Monitorear la operatoria contra el perfil — que es donde la debida diligencia se conecta con el resto del programa de AML y deja de ser un trámite del onboarding.

La debida diligencia del cumplimiento no es la de una compra de empresa

Los dos usos del término conviven y designan cosas muy distintas, lo que explica buena parte de la confusión cuando aparece en una conversación de proyecto.

En una operación societaria, la debida diligencia es la revisión que un comprador hace de la empresa que va a adquirir: contratos, pasivos, litigios, cumplimiento fiscal. Es un ejercicio acotado en el tiempo, voluntario y orientado a decidir un precio.

En prevención de lavado, la debida diligencia es una obligación regulatoria sobre cada cliente, continua mientras dure la relación, con un contenido mínimo que fija la norma y con un supervisor que puede revisarla.

La primera se hace una vez y termina en un informe. La segunda no termina, y lo que produce es un expediente vivo que hay que poder mostrar.