El concepto, sin rodeos
Debida diligencia es saber con quién está haciendo negocios y poder probarlo. Nada más, y nada menos.
En Panamá dejó de ser una buena práctica para convertirse en una obligación con consecuencias: la Ley 23 de 2015 la exige a un conjunto amplio de empresas, financieras y no financieras, y su ausencia se sanciona. Pero reducirla a "un requisito del regulador" es perder de vista para qué sirve. Una empresa que no sabe quién está del otro lado de la mesa no solo se expone a una multa: se expone a que su estructura sea usada por un tercero para mover dinero de origen dudoso, y a enterarse cuando ya es tarde.
Qué incluye en la práctica
Identificar al cliente. Nombre, documento de identidad o registro público en el caso de personas jurídicas, domicilio, actividad económica. Es el paso obvio y el que casi todos hacen.
Verificar esa identidad. Contrastar lo declarado contra documentación confiable e independiente. Una copia de cédula que nadie miró no es verificación.
Entender el propósito de la relación. Qué va a hacer este cliente con nosotros, con qué frecuencia, por qué montos. Sin esa línea base es imposible detectar después que algo se salió del patrón.
Identificar al beneficiario final. Este es el punto duro. Cuando el cliente es una sociedad, la ley quiere saber qué persona natural la controla o se beneficia de ella en última instancia. Una cadena de sociedades que termina en otra sociedad no cumple: hay que llegar a la persona.
Monitorear la relación en el tiempo. La diligencia no se agota al abrir la cuenta o firmar el contrato. Un cliente cuyo comportamiento cambia de forma significativa exige una nueva mirada.
Simplificada, estándar y ampliada
No todo cliente merece el mismo esfuerzo, y la ley lo reconoce.
La diligencia simplificada aplica a relaciones de bajo riesgo demostrable — y esa palabra, demostrable, es la clave: la empresa debe poder explicar por qué clasificó a ese cliente como de bajo riesgo.
La estándar es el procedimiento base para la mayoría de las relaciones comerciales.
La ampliada es obligatoria cuando hay señales de riesgo elevado. Los disparadores típicos: personas expuestas políticamente (PEP) y su entorno cercano, clientes o fondos vinculados a jurisdicciones de alto riesgo, estructuras societarias innecesariamente complejas, operaciones que no guardan relación con el perfil declarado, o relaciones establecidas sin presencia física del cliente.
El error que más caro sale
Tratar la debida diligencia como un trámite de apertura.
El expediente se llena, se archiva, y nadie vuelve a mirarlo. Dos años después el cliente opera por montos que no tienen nada que ver con lo que declaró al inicio, y no hay ningún mecanismo que levante la mano. Cuando el supervisor pregunta, la empresa tiene el expediente completo —y ninguna evidencia de haber monitoreado nada.
El segundo error, casi tan común: aplicar el procedimiento más pesado a todos los clientes por igual, "por si acaso". Suena prudente y es contraproducente. Agota al equipo comercial, genera fricción con clientes de bajo riesgo, y diluye la atención justo donde debía concentrarse.
Qué debe poder mostrar su empresa
Ante una inspección, la pregunta no es si usted conoce a sus clientes. Es si puede demostrarlo:
- Expedientes completos, con identificación verificada y beneficiario final documentado
- Una clasificación de riesgo por cliente, con el criterio que la sustenta
- Evidencia de monitoreo, no solo de apertura
- Procedimientos escritos que describan cómo se hace todo lo anterior en su organización
- Personal capacitado que sepa aplicarlos
Cómo empezar si va tarde
Un diagnóstico primero. Revisar una muestra de expedientes existentes contra lo que exige la norma casi siempre revela el mismo cuadro: los clientes nuevos están mejor documentados que los antiguos, y los antiguos son justamente los de mayor volumen.
A partir de ahí, un plan de remediación por prioridad de riesgo —no alfabético, no por antigüedad— y el ajuste de los procedimientos para que el problema no se vuelva a acumular.