Debida Diligencia del Cliente (DDC): qué es y cómo aplicarla bien según la UAF
Cada vez que una empresa regulada incorpora a un cliente, se abre una puerta. La Debida Diligencia del Cliente (DDC), también conocida como conocimiento del cliente o KYC (Know Your Customer), es el proceso que define quién puede cruzarla y bajo qué condiciones. No es un trámite de bienvenida: es la primera línea de defensa de una organización frente al lavado de activos, el financiamiento del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva (LA/FT/FP).
En Chile, la DDC no es una novedad ni una buena práctica opcional: es una obligación legal desde hace más de dos décadas. Su base está en la Ley N°19.913 (2003), que creó la Unidad de Análisis Financiero (UAF) y estableció el marco de prevención, y en las sucesivas circulares que la UAF ha dictado desde entonces. Lo que cambió en 2025 es el cómo: la Circular N°62 de la UAF, vigente desde el 1 de junio de 2025, sistematizó en un solo cuerpo reglas que antes estaban dispersas y las reforzó con un principio central: el enfoque basado en riesgo. Esta guía explica, en términos concretos, qué es la DDC, qué exige la normativa y cómo aplicarla sin caer en los errores más comunes.
¿Qué es la debida diligencia del cliente?
La debida diligencia del cliente es el conjunto de medidas mediante las cuales un sujeto obligado identifica a sus clientes, verifica su identidad, comprende el propósito de la relación comercial y evalúa el riesgo que esa relación representa. Dicho de otro modo: es la diferencia entre conocer a un cliente y simplemente tenerlo.
La DDC no ocurre una sola vez. Comienza en el onboarding, se mantiene durante toda la relación comercial mediante monitoreo continuo y solo termina cuando la empresa conserva, por el plazo legal, la evidencia de lo que hizo. Es un proceso vivo, no una carpeta que se archiva.
¿Por qué es obligatoria en Chile?
La obligación nace de la Ley N°19.913, que creó la UAF y estableció el marco de prevención de LA/FT/FP en Chile. La Circular N°62, dictada el 19 de marzo de 2025 y en vigor desde el 1 de junio de 2025, es la instrucción que aterriza esa ley en obligaciones concretas para los sujetos obligados. La circular derogó y reemplazó la mayoría de las circulares previas (entre ellas la N°49), unificando el marco en un texto único y de fácil comprensión.
Su cambio más importante es de fondo, no de forma: la Circular N°62 incorpora expresamente el enfoque basado en riesgo (EBR), alineado con los estándares del Grupo de Acción Financiera Internacional (GAFI). Eso significa que la ley ya no espera que todas las empresas apliquen la misma diligencia a todos los clientes por igual, sino que calibren la intensidad del control según el riesgo real de cada relación.
¿Cuáles son los niveles de debida diligencia?
Bajo el enfoque basado en riesgo, la DDC no funciona como un botón de encendido y apagado, sino como un dial que se ajusta. Sobre una debida diligencia general que todos los sujetos obligados deben aplicar, la Circular N°62 contempla dos ajustes según el nivel de riesgo:
DDC general (línea base). Es el estándar que se aplica a todo cliente: identificación, verificación de identidad, identificación del beneficiario final y conocimiento del propósito de la relación comercial.
DDC simplificada. Los sujetos obligados podrán aplicarla a clientes, productos o servicios calificados de bajo riesgo. Permite aligerar el proceso (por ejemplo, postergar cierta verificación o reducir la frecuencia de actualización de datos), sin eliminar la identificación del cliente.
DDC reforzada. Los sujetos obligados deberán aplicarla a clientes u operaciones de alto riesgo. Exige pasos adicionales que veremos más abajo.
La distinción entre podrán y deberán no es un detalle: la DDC simplificada es una opción para el bajo riesgo, mientras que la reforzada es obligatoria cuando el riesgo es alto. En ambos casos, la empresa debe poder justificar por qué clasificó a un cliente en un nivel u otro. La clasificación tiene que estar fundamentada y documentada. No basta con que "nos pareció de bajo riesgo".
¿Qué pasos incluye un proceso de DDC?
Aunque cada sector tiene matices, un proceso de debida diligencia bien construido sigue una secuencia clara:
Identificación del cliente. Recopilar los datos que permiten saber, sin ambigüedad, con quién se está tratando (persona natural o jurídica).
Verificación de identidad. Contrastar esos datos con documentación y fuentes confiables. Identificar no es lo mismo que verificar.
Identificación del beneficiario final. Determinar quién está realmente detrás del cliente cuando este es una persona o estructura jurídica.
Evaluación y clasificación de riesgo. Asignar un nivel de riesgo (bajo, medio, alto) que definirá la intensidad de la diligencia.
Decisión. Aceptar, rechazar o escalar la relación para aprobación de un nivel superior.
Monitoreo continuo. Revisar el comportamiento del cliente en el tiempo y actualizar su perfil cuando cambian las circunstancias.
Conservación de registros. Guardar la evidencia por el plazo legal.
¿Qué rol juega el beneficiario final?
Uno de los grandes cambios de la Circular N°62 es que, desde el 1 de junio de 2025, todos los sujetos obligados deben identificar al beneficiario final de sus clientes que sean personas jurídicas o estructuras jurídicas (con excepciones acotadas, como AFP y casinos por circulares específicas).
La norma define al beneficiario final como la persona natural que, directa o indirectamente, posee una participación igual o superior al 10% del capital o de los derechos a voto, o bien aquella que ejerce el control efectivo en la toma de decisiones. El objetivo es evitar que sociedades de fachada o cadenas de propiedad opacas escondan a quien de verdad mueve los hilos.
Aquí hay un detalle que muchos pasan por alto. Para identificar al beneficiario final, la norma exige que el cliente complete el formulario de declaración dispuesto por la UAF, y que el sujeto obligado tome medidas razonables para verificar esa información. Si el cliente se niega o demora de forma injustificada en entregar estos datos, esa conducta debe considerarse señal de alerta para evaluar el envío de un ROS (Reporte de Operaciones Sospechosas) a la UAF. La propia Circular fija el umbral: se entiende que hay dilación injustificada una vez transcurridos 40 días hábilesdesde que se requirió el formulario.
¿Cuándo se aplica la debida diligencia reforzada?
La DDC reforzada se activa cuando el riesgo sube. Los casos típicos incluyen:
Personas Expuestas Políticamente (PEP), sus vínculos y beneficiarios finales que tengan esa calidad.
Clientes u operaciones vinculados a países o jurisdicciones de riesgo bajo seguimiento del GAFI por deficiencias estratégicas.
Cualquier cliente que, según la política de riesgos de la empresa, presente señales de mayor exposición.
En estos casos, la Circular N°62 exige medidas adicionales:
Aprobación de la alta gerencia para establecer o mantener la relación comercial.
Tomar medidas razonables para determinar el origen del patrimonio y el origen de los fondos del cliente.
Comprender el propósito de la operación.
Aplicar una DDC continua intensificada sobre la relación.
¿Cuánto tiempo deben conservarse los registros?
Los sujetos obligados deben mantener registros permanentes (de operaciones en efectivo, operaciones sospechosas, DDC y conocimiento del cliente, operaciones con PEP y transferencias de fondos) por un plazo mínimo de cinco años, contado desde el término de la relación comercial o desde la última operación ocasional. En una fiscalización, esos registros son la prueba de que la diligencia efectivamente se realizó. Sin evidencia documentada, para efectos prácticos, es como si no se hubiera hecho.
Errores frecuentes al aplicar la DDC
Confundir identificar con verificar. Pedir el RUT no es verificar la identidad; es solo el primer paso.
Tratar a todos los clientes igual. El enfoque basado en riesgo no es opcional: aplicar el mismo control a todos desperdicia recursos en los de bajo riesgo y deja cortos a los de alto riesgo.
Detenerse en el cliente y olvidar al beneficiario final. La persona jurídica que firma no siempre es quien controla.
Hacer la DDC solo al inicio. Sin monitoreo continuo, el perfil de riesgo queda congelado en el día uno.
No documentar. Una decisión correcta pero sin respaldo no resiste una fiscalización.
Desde Enterstep creemos que…
La debida diligencia no es un costo de cumplimiento: es un mecanismo de protección. Cuando una empresa conoce de verdad a quién incorpora, no solo cumple con la UAF; blinda su reputación, su operación y su patrimonio frente a un riesgo que, cuando se materializa, sale mucho más caro que cualquier control preventivo.
El problema histórico de la DDC nunca fue su lógica, sino su ejecución: procesos manuales, documentos dispersos en correos, fichas incompletas y verificaciones que dependen de que alguien "se acuerde" de revisar. Ahí es donde el cumplimiento se vuelve frágil.
En Enterstep automatizamos el onboarding y la debida diligencia de clientes, proveedores y colaboradores en una sola plataforma: identificación y verificación, identificación del beneficiario final, clasificación de riesgo, generación de las fichas y declaraciones exigidas, firma electrónica, monitoreo continuo y trazabilidad auditable de punta a punta. Lo que antes tomaba días y dependía de la memoria de un equipo, hoy queda estructurado, completo y a prueba de fiscalización desde el primer cliente.
¿Tu empresa está obligada a prevenir el lavado de activos? Conoce cómo convertir tu debida diligencia en una ventaja operativa en enterstep.com.
Documentación y fuentes
Circular N°62 de la Unidad de Análisis Financiero (UAF), dictada el 19 de marzo de 2025, vigente desde el 1 de junio de 2025. Disponible en: https://www.uaf.cl/es-cl/normativa/circulares-uaf
Ley N°19.913, que crea la Unidad de Análisis Financiero. Disponible en: https://www.uaf.cl/es-cl/normativa/nuestra-ley
Recomendaciones del GAFI sobre enfoque basado en riesgo y debida diligencia del cliente.