Haz doble clic para editarlo...
Qué exige hoy la debida diligencia de contrapartes y cómo demostrar que tu empresa la cumple.
Cada vez que una empresa firma con un cliente, un proveedor o un subcontratista, también asume un riesgo. Hasta hace poco, para muchas organizaciones ese riesgo era solo comercial. Hoy también puede ser penal.
Con la Ley N°21.595 de Delitos Económicos, una empresa puede ser condenada penalmente por delitos que cometan quienes trabajan para ella o actúan en su nombre, si no tiene un Modelo de Prevención de Delitos (MPD) que funcione en la práctica, es decir, un conjunto de reglas y controles internos para evitar que esos delitos ocurran. Y esto no aplica solo a las empresas que reportan a la Unidad de Análisis Financiero (UAF) o a la Comisión para el Mercado Financiero (CMF).
La pregunta cambió. Ya no es “¿tenemos un modelo de prevención?”, sino “¿podemos demostrar que funciona?”. Y uno de los procesos donde más se nota esa diferencia es la debida diligencia de contrapartes: cómo la empresa conoce y revisa a sus clientes, proveedores y socios antes de hacer negocios con ellos.
¿Qué cambió con la Ley N°21.595?
Desde el 1 de septiembre de 2024 rigen las modificaciones que la Ley de Delitos Económicos introdujo a la Ley N°20.393, que define cuándo una empresa puede ser responsable penalmente (artículos 50 y 60, Ley N°21.595).
Hoy la lista de delitos por los que una empresa puede responder es amplia: entre otros, lavado de activos, delitos tributarios y aduaneros, estafas y fraude informático, delitos del mercado de valores, atentados contra el medio ambiente y financiamiento del terrorismo (artículo 1°, Ley N°20.393, y artículos 1 al 4, Ley N°21.595).
¿Y cuándo responde la empresa? Cuando se cumplen tres condiciones (artículo 3°, Ley N°20.393):
El delito se comete en el marco de la actividad de la empresa.
Lo comete, o interviene en él, alguien que ocupa un cargo, función o posición en la empresa, o que le presta servicios gestionando asuntos suyos ante terceros, como un intermediario o un representante.
El delito se vio favorecido o facilitado porque la empresa no tenía implementado, de forma efectiva, un modelo de prevención adecuado.
Además, la reforma eliminó un requisito que antes servía de resguardo: ya no es necesario que el delito se haya cometido en interés o provecho directo de la empresa.
Dicho de otra forma: si la empresa no puede mostrar que tenía controles y que los aplicaba, queda expuesta. Por eso, el modelo de prevención dejó de ser un documento: es la principal defensa de la empresa.
¿A qué empresas aplica?
A muchas más de las que suelen pensarlo. La responsabilidad penal alcanza a todas las personas jurídicas de derecho privado (empresas, sociedades, fundaciones y corporaciones), a las empresas públicas creadas por ley, a las empresas, sociedades y universidades del Estado, a los partidos políticos y a las personas jurídicas religiosas de derecho público (artículo 2°, Ley N°20.393).
Por eso, cuando en una reunión nos preguntan “Nosotros no reportamos a la UAF, ¿esto también nos aplica?”, la respuesta es sí. Estar o no obligado ante la UAF (ser sujeto obligado) define si hay que cumplir sus normas, pero no cambia esta responsabilidad penal.
Durante mucho tiempo, el cumplimiento se vio como un tema “solo para los bancos”. Hoy, cualquier empresa que contrata con terceros necesita poder mostrar cómo los conoce y los valida.
¿Qué exige al Modelo de Prevención de Delitos?
La ley dice que el modelo de prevención protege a la empresa si está efectivamente implementado y hecho a la medida de su giro, tamaño, complejidad, recursos y actividades. Es decir, no se le pide lo mismo a una pyme que a un grupo con miles de clientes. En concreto, el modelo debe considerar cuatro elementos (artículo 4°, Ley N°20.393):
Saber dónde está el riesgo: identificar qué actividades o procesos de la empresa podrían prestarse para cometer un delito.
Reglas claras para prevenir y detectar: protocolos y procedimientos, con un canal seguro de denuncia y sanciones internas, que se comuniquen a todos los trabajadores y queden incorporados en sus contratos de trabajo y de prestación de servicios, incluidos los de sus máximos ejecutivos.
Un responsable: una o más personas a cargo del modelo, con independencia, autoridad, acceso directo a la administración y los recursos para hacer su trabajo.
Revisión externa: evaluaciones periódicas hechas por terceros independientes, y mecanismos para mejorar y actualizar el modelo a partir de ellas. Esta exigencia reemplazó a la antigua certificación del modelo.
Un MPD no se acredita con un manual bien escrito. Se acredita con evidencia de que los controles se aplican, caso a caso.
¿Dónde entra la debida diligencia de contrapartes?
La ley no usa la expresión “debida diligencia de contrapartes”, pero sin ella es difícil demostrar que el modelo funciona. Por dos razones:
El modelo debe identificar los procesos de riesgo de la empresa (artículo 4°, número 1, Ley N°20.393), y hacer negocios con clientes, socios, inversionistas, proveedores y subcontratistas es uno de los más evidentes.
La empresa también puede responder por delitos de quienes le prestan servicios gestionando asuntos suyos ante terceros, como un intermediario o un representante externo (artículo 3°, Ley N°20.393).
En la práctica, la mayoría de las empresas sí revisa a sus contrapartes. El problema es cómo lo hace: cédulas y liquidaciones de sueldo que llegan por WhatsApp o correo, fichas completadas a mano, revisiones en listas sin registro de quién las hizo ni cuándo, y sociedades sin identificar a sus dueños reales, los llamados beneficiarios finales.
Y eso choca con lo que pide la ley: el modelo debe tener reglas para prevenir y detectar delitos en los procesos de riesgo y someterse a evaluaciones periódicas hechas por terceros independientes (artículo 4°, números 2 y 4, Ley N°20.393). Si una revisión no quedó registrada, no hay cómo mostrársela a ese evaluador, ni a un fiscal o un juez. Y si nadie identificó a los dueños reales de una sociedad, el control queda incompleto justo donde el riesgo es mayor.
Por eso no basta con revisar: hay que poder demostrar que se revisó, con un mismo procedimiento para todas las contrapartes y la evidencia de cada caso, de acuerdo con el giro, tamaño y actividades de cada empresa (artículo 4°, Ley N°20.393).
Y el riesgo no es solo de cumplimiento. Antes de firmar con un comprador, un arrendatario, un proveedor o un subcontratista, también importa saber si tiene causas de cobranza, deudas laborales o previsionales o problemas tributarios. Al final, conocer a la contraparte también es una decisión de negocio.
¿Qué incluye una debida diligencia que se pueda demostrar?
Una debida diligencia sólida, y que resista una revisión del directorio, una auditoría o una eventual fiscalización, considera al menos estos pasos:
Un mismo estándar para todas las contrapartes, sean personas naturales o jurídicas.
Verificación de identidad a partir de la cédula de identidad.
Fichas y declaraciones firmadas: ficha de cliente, origen de fondos, declaración de persona expuesta políticamente (PEP) y de conflicto de interés.
Revisión en listas de riesgo y PEP y, en el caso de sociedades, también de sus representantes y beneficiarios finales.
Registro de cada revisión, con fecha, responsable y resultado.
Monitoreo continuo, para saber si una contraparte cambia de condición después de incorporada.
Evidencia centralizada en un solo lugar, donde se pueda ver qué se revisó, cuándo y quién lo hizo.
Si alguno de estos pasos depende hoy de una planilla o de la memoria de alguien del equipo, ahí está la brecha.
Errores frecuentes en la debida diligencia de contrapartes
Pensar que solo aplica a sujetos obligados. Como vimos más arriba, la responsabilidad penal alcanza a todas las personas jurídicas de derecho privado y también a empresas y universidades del Estado, partidos políticos y personas jurídicas religiosas de derecho público, estén o no reguladas por la UAF (artículo 2°, Ley N°20.393).
Revisar solo a clientes. Proveedores, socios y subcontratistas también son contrapartes.
Confiar solo en lo que declara la contraparte. Si no se verifica su identidad ni se cruza con fuentes públicas, una identidad mal declarada o un beneficiario final no informado pueden pasar inadvertidos.
Recibir documentos por WhatsApp o correo. La evidencia queda dispersa y cuesta acreditar qué se revisó, cuándo y quién lo hizo.
Revisar una sola vez. Una contraparte puede cambiar de condición después de firmar.
Sumar fricción al cliente. Pedirle los mismos datos dos o tres veces puede terminar en abandono y en procesos incompletos.
Desde Enterstep creemos que…
Cumplir con la Ley de Delitos Económicos no debería significar más trabajo manual para los equipos ni más trámites para los clientes, y la recolección de datos no debería frenar la conversión comercial.
Así, el cumplimiento normativo pasa a ser parte de una experiencia 100% digital, que automatiza la validación de clientes, proveedores y colaboradores de punta a punta con un mismo estándar de debida diligencia. Es decir, velocidad con control, en un mismo flujo.
En Enterstep el proceso es simple: la persona recibe un enlace con la marca de la empresa y, sin instalar nada, completa sus datos una sola vez desde su celular. Los datos se extraen automáticamente de su cédula mediante lectura automática (OCR), las fichas y declaraciones se llenan solas con sus respuestas, y solo tiene que revisarlas y firmarlas digitalmente.
Por detrás, el sistema revisa más de 4.000 listas y fuentes de riesgo en 240 países y territorios, como las listas de sanciones de OFAC, la ONU y la Unión Europea y las de PEP, además de fuentes locales por RUT (tributarias, judiciales, laborales, societarias y de insolvencia). También identifica representantes y beneficiarios finales, y genera alertas si algo no calza con fuentes públicas.
Cada revisión queda registrada con fecha, responsable y resultado, y el monitoreo continuo avisa si una contraparte cambia de condición. Y si alguien deja el proceso a medias, los recordatorios automáticos ayudan a rescatarlo antes de que la venta se enfríe.
El resultado: evidencia ordenada para el directorio, una auditoría o una eventual fiscalización, y procesos más rápidos de cara a los clientes.
¿Tu empresa necesita demostrar que su modelo de prevención realmente funciona? Conoce cómo automatizar la debida diligencia de tus contrapartes en enterstep.com.
Documentación y fuentes
📄 Ley N°20.393, que establece la responsabilidad penal de las personas jurídicas, artículos 1° a 4°. Biblioteca del Congreso Nacional. Disponible en: https://www.bcn.cl/leychile/navegar?idNorma=1008668
📄 Ley N°21.595 de Delitos Económicos, artículos 50 (modificaciones a la Ley N°20.393) y 60 (vigencia). Biblioteca del Congreso Nacional. Disponible en: https://www.bcn.cl/leychile/navegar?idNorma=1195119