Es el procedimiento por el que una empresa conoce a quién le compra, a quién le vende, con quién se asocia y a quién contrata, antes de vincularlo y de forma periódica después. El reglamento ecuatoriano lo resume en tres políticas: conozca a su cliente, conozca a su empleado y conozca a su proveedor. Comprende identificar a la contraparte y a su beneficiario final, consultar listas restrictivas y fuentes judiciales, entender el propósito de la relación y monitorearla. No es un trámite de papel: es la evidencia de que la empresa actuó con diligencia si algo sale mal.

Dos cosas. Primero, el Decreto Ejecutivo 298 —publicado el 2 de febrero de 2026— puso en marcha el reglamento que le faltaba a la ley de 2024: enfoque basado en riesgo, niveles de debida diligencia, beneficiario final, oficial de cumplimiento y conservación de expedientes por diez años. Segundo, la Resolución UAFE-DG-2026-0007 cambió todos los formularios de reporte, obligatorios desde el 1 de mayo de 2026, e introdujo el ROS tentativo y el NO ROS mensual.

Depende de la actividad. La lista incluye instituciones financieras y de seguros, casas de valores, administradoras de fondos y fideicomisos, cooperativas, fundaciones y ONG, inmobiliarias y constructoras, concesionarios de vehículos y aeronaves, comerciantes de joyas, metales y obras de arte, casas de empeño, notarías y registros, agencias de viajes, promotores artísticos y clubes profesionales de fútbol, entre otras. La reforma sumó nuevos sujetos. Además, quien queda incluido tiene 30 días para obtener su código de registro ante la UAFE. La verificación de si le aplica es lo primero que revisamos, y se lo decimos antes de proponerle nada.

Sí, y no por el lavado de activos: la debida diligencia está nombrada en el Código Penal. El artículo 49 del COIP, reformado por la Ley Anticorrupción (Registro Oficial 392 del 17 de febrero de 2021), hace a las personas jurídicas de derecho privado penalmente responsables por los delitos cometidos en su beneficio —o en el de sus asociados— por quienes ejercen su propiedad o control, sus órganos de gobierno, apoderados, representantes, agentes, delegados y hasta por terceros que, contractualmente o no, se inmiscuyan en una actividad de gestión. Esa responsabilidad es independiente de la de la persona natural y subsiste aunque no se la identifique. Las penas van de la multa a la clausura y la disolución de la compañía. En su parte final, el mismo artículo fija los once requisitos mínimos que debe incorporar un sistema de integridad, normas, programas o políticas de cumplimiento. El undécimo, textualmente, son los «programas conozca a su cliente o debida diligencia». Y hay otros tres que se apoyan en el mismo expediente: identificar y administrar riesgos, supervisar y monitorear de forma continua, y reportar los incumplimientos al oficial de cumplimiento. Tener ese sistema implementado antes del hecho opera como circunstancia atenuante; no tenerlo, como agravante. Por eso la debida diligencia le aplica a toda empresa, esté o no en la lista de la UAFE.

Es la persona natural que en última instancia controla o se beneficia de una empresa, aunque no aparezca en el nombramiento ni en la nómina de accionistas visible. Importa porque la mayoría de los riesgos serios —vínculos con estructuras sancionadas, testaferrato, conflicto de interés con un funcionario— no se ven en la capa societaria de superficie, sino dos o tres niveles más abajo. Trazamos la cadena de propiedad hasta la persona natural y documentamos cómo llegamos allí.

El reglamento distingue diligencia simplificada, estándar y reforzada. La reforzada es obligatoria cuando la contraparte es una persona expuesta políticamente —o su familiar o allegado—, y exige documentar el origen de los fondos, monitorear más de cerca y obtener aprobación de la alta gerencia para iniciar o mantener la relación. La condición de PEP no se apaga al salir del cargo: se mantiene dos años después.

Las listas vinculantes del Consejo de Seguridad de la ONU y las listas de control y sanciones de referencia internacional, junto con bases de personas expuestas políticamente y de exclusiones de organismos multilaterales. La consulta no termina en la coincidencia de nombre: cada posible acierto se depura contra identificadores adicionales —cédula o RUC, fecha de nacimiento, nacionalidad, vínculos societarios— para separar el homónimo del acierto real. Un informe lleno de falsos positivos no sirve para decidir.

Trabajamos con plazos comprometidos por escrito: 24 horas para la básica, 48 horas para la ampliada y 72 horas para la reforzada internacional. El reloj empieza cuando recibimos los datos mínimos de identificación de la contraparte. Si un hallazgo obliga a extender la revisión —una estructura societaria más profunda de lo previsto, una jurisdicción sin acceso a registro— se lo decimos de inmediato y acordamos el nuevo plazo antes de continuar.

El criterio es proporcional al riesgo: cuanto más alto, más seguido. Y hay un ritmo que el reglamento fija por su cuenta: desde mayo de 2026 existe el NO ROS mensual, la certificación de que cada mes se monitoreó aunque no hubiera nada que reportar, dentro de los diez días siguientes al cierre. Eso convierte la debida diligencia en un expediente vivo, no en una foto del día de la vinculación. Además, todo se conserva diez años desde la última transacción.

Sí, y es una condición del trabajo, no un añadido. Toda la información que se recoge sobre personas naturales se trata bajo la Ley Orgánica de Protección de Datos Personales: finalidad determinada, autorización cuando corresponde, uso limitado a la evaluación de riesgo, acceso restringido a quien la empresa designe y custodia con plazo de conservación definido. Entregamos el expediente por canal seguro y no lo compartimos con terceros.

Sí. Cubrimos contrapartes en la región andina y en otros mercados, con verificación registral y de listas internacionales, y con apoyo en fuentes locales cuando el caso lo exige. Si una jurisdicción no permite comprobar algo con fiabilidad, lo decimos en el informe en lugar de rellenarlo con supuestos.