Cuando una empresa ecuatoriana va a contratar un proveedor, vincular un cliente importante, o admitir un nuevo socio, necesita saber con quién está tratando. No alcanza con verificar el nombre y la cédula: hay que investigar si esa persona o empresa tiene antecedentes penales, procesos judiciales abiertos, deudas tributarias, apariciones en listas de sanciones internacionales, o cualquier otro factor que represente un riesgo legal, financiero o reputacional. Ese proceso de investigación integral se llama debida diligencia.
En Ecuador, la debida diligencia no es opcional para muchas organizaciones. La UAFE la exige a los sujetos obligados del sistema de prevención de lavado de activos. La Superintendencia de Compañías la requiere para ciertos procesos corporativos. Y aunque su empresa no esté formalmente obligada, realizarla es la mejor protección contra riesgos que podrían costarlo todo: desde multas administrativas hasta responsabilidad penal.
Esta guía explica qué es la debida diligencia, quién debe hacerla, qué fuentes oficiales consultar en Ecuador, cómo se diferencia entre personas naturales y jurídicas, el proceso paso a paso, los errores más comunes y cómo automatizar lo que históricamente se hacía a mano.
Qué es la debida diligencia y por qué importa en Ecuador
La debida diligencia (en inglés, due diligence) es el proceso sistemático de investigar y evaluar a una persona natural o jurídica antes de establecer, mantener o profundizar una relación comercial. El objetivo es identificar riesgos que podrían afectar a la organización: riesgos legales, financieros, reputacionales, regulatorios o de seguridad.
Es importante diferenciar la debida diligencia de un background check (verificación de antecedentes). Un background check es una consulta puntual: se revisan antecedentes penales, se confirma la identidad, se verifica si hay procesos judiciales abiertos. Es un componente importante, pero no es todo. La debida diligencia va más allá: incluye la evaluación de riesgo financiero, la revisión de la estructura societaria (quiénes son los dueños reales de una empresa), el screening contra listas de sanciones internacionales, y la documentación completa del proceso para que sea auditable. En otras palabras, el background check es una herramienta dentro de la debida diligencia, pero la debida diligencia es el marco completo.
En el contexto ecuatoriano, la debida diligencia cobra especial importancia por varias razones:
- Prevención de lavado de activos: La Ley Orgánica de Prevención, Detección y Combate del Delito de Lavado de Activos y del Financiamiento de Delitos (Ley PLA/FT) establece obligaciones claras para los sujetos obligados. La UAFE supervisa el cumplimiento y sanciona las faltas.
- Requisitos de la Superintendencia de Compañías (SCVS): Desde 2022, la SCVS exige la declaración de beneficiarios finales para las compañías ecuatorianas. Las empresas que no cumplen enfrentan observaciones y posibles suspensiones de inscripciones.
- Protección reputacional: Hacer negocios con una persona o empresa que resulte estar vinculada a actividades ilícitas puede destruir la reputación de una organización en horas. Un proceso de debida diligencia documentado demuestra que se actuó con responsabilidad.
- Responsabilidad penal corporativa: En casos graves, la falta de debida diligencia puede generar responsabilidad penal para los administradores de la organización, especialmente en delitos de lavado de activos.
La debida diligencia no es un trámite burocrático: es la primera línea de defensa de cualquier organización contra riesgos que pueden ser catastróficos. Y en Ecuador, donde la regulación se está endureciendo cada año, hacerla bien no es una ventaja competitiva sino una necesidad operativa.
Quién está obligado a realizar debida diligencia
No todas las organizaciones tienen la misma obligación legal de realizar debida diligencia. Algunas están explícitamente designadas como sujetos obligados por la UAFE o por su regulador sectorial. Otras no están formalmente obligadas, pero deberían hacerla como práctica de gestión de riesgos. La siguiente tabla resume el panorama:
| Tipo de organización | Obligatorio | Base legal |
|---|---|---|
| Instituciones financieras (bancos, mutualistas) | Sí | Ley PLA/FT + Resoluciones UAFE |
| Aseguradoras y reaseguradoras | Sí | Ley PLA/FT |
| Cooperativas de ahorro y crédito (segmentos 1 y 2) | Sí | Resoluciones UAFE + SEPS |
| Sujetos obligados ante SCVS (casas de valores, administradoras de fondos, etc.) | Sí | Resolución SCVS + Ley PLA/FT |
| Inmobiliarias en operaciones mayores a USD 100,000 | Sí | Resoluciones UAFE |
| Empresas privadas en general | Recomendado | Buenas prácticas de gestión de riesgos |
| Universidades e instituciones educativas | Recomendado | Due diligence de proveedores y contratistas |
Aunque su organización no esté en la lista de sujetos obligados, considere lo siguiente: si contrata un proveedor que resulta estar en la lista OFAC, si vincula un cliente que tiene procesos penales activos por estafa, o si admite un socio cuya empresa tiene deudas tributarias firmes con el SRI, las consecuencias recaen sobre usted. La debida diligencia es la forma de protegerse antes de que el problema ocurra.
Además, la tendencia regulatoria en Ecuador es clara: cada año se amplía el universo de sujetos obligados. Las resoluciones UAFE de 2025 y 2026 han incorporado nuevos sectores (apuestas deportivas, plataformas digitales de pagos). No es descabellado pensar que en los próximos años más industrias serán incluidas. Anticiparse con un proceso de debida diligencia estructurado es más económico que implementarlo de urgencia cuando la regulación lo exija.
Para las organizaciones que ya son sujetos obligados, el incumplimiento tiene consecuencias concretas. La UAFE puede imponer multas de 1 a 40 SBU (Salario Básico Unificado), que en 2026 equivale a un rango de USD 460 a USD 18,400. Pero las multas son el menor de los problemas: la falta de debida diligencia documentada puede interpretarse como facilitación del lavado de activos, lo cual tiene implicaciones penales.
DD de persona natural vs persona jurídica
El proceso de debida diligencia varía significativamente dependiendo de si el sujeto investigado es una persona natural (un individuo con cédula) o una persona jurídica (una empresa con RUC). Cada uno tiene fuentes distintas, riesgos distintos y profundidades de análisis diferentes.
Para una persona natural, la debida diligencia se centra en la identidad, los antecedentes legales y la situación financiera del individuo. Para una persona jurídica, el foco se amplía a la estructura societaria, los beneficiarios finales (quiénes realmente controlan la empresa), el cumplimiento corporativo y la situación tributaria de la entidad. La siguiente tabla muestra las diferencias clave:
| Aspecto | Persona natural (cédula) | Persona jurídica (RUC) |
|---|---|---|
| Identificación | Cédula de identidad, Registro Civil | RUC, razón social, certificado de existencia legal |
| Antecedentes penales | Certificado de antecedentes penales (Policía Nacional) | No aplica directamente; se verifican los administradores y representante legal |
| Procesos judiciales | Consulta por cédula en Función Judicial | Consulta por RUC y razón social en Función Judicial |
| Multas y obligaciones | ANT (tránsito), SRI (tributario), pensiones alimenticias | SRI (situación tributaria, deudas firmes), SCVS (observaciones) |
| Sanciones internacionales | OFAC, ONU, INTERPOL, UE (por nombre y cédula) | OFAC, ONU, UE (por razón social y RUC) |
| Estructura societaria | No aplica | SCVS: nómina de accionistas, beneficiarios finales, administradores |
| Cumplimiento corporativo | No aplica | SCVS: certificado de cumplimiento de obligaciones |
Un error común es tratar la debida diligencia de una empresa como si fuera simplemente verificar al representante legal. El representante legal es una persona natural que se puede verificar individualmente, pero la empresa como entidad tiene su propia historia legal, tributaria y corporativa. Y más importante aún: los verdaderos dueños de la empresa (los beneficiarios finales) pueden ser personas completamente distintas al representante legal, y esas personas también deben ser verificadas.
StatusEC ofrece verificación tanto de personas naturales como de personas jurídicas. Para personas naturales se consultan las 12 fuentes gubernamentales estándar. Para personas jurídicas se agrega la consulta a la Superintendencia de Compañías (certificado de cumplimiento, nómina de accionistas, beneficiarios finales y administradores), además de las fuentes judiciales y tributarias por RUC.
Las fuentes oficiales que debe consultar
Una debida diligencia seria no se basa en Google ni en referencias personales. Se basa en fuentes oficiales del Estado ecuatoriano y en bases de datos internacionales reconocidas. Estas son las fuentes que un proceso de debida diligencia completo debe consultar:
Policía Nacional - Antecedentes penales
El certificado de antecedentes penales emitido por la Policía Nacional indica si la persona tiene condenas penales vigentes. Es la fuente más directa para determinar si alguien tiene un historial criminal. La consulta se realiza a través del portal del Ministerio del Interior con resolución de captcha, lo cual dificulta la consulta masiva manual.
Función Judicial - Procesos judiciales activos
La Función Judicial mantiene el registro de todos los procesos judiciales del país. Se puede consultar por cédula o por nombre para encontrar procesos activos en cualquier materia: penal, civil, laboral, familia, contencioso administrativo. Además, el sistema SUPA permite verificar si la persona tiene obligaciones de pensiones alimenticias pendientes. Para debida diligencia, los procesos penales y los de lavado de activos son los más relevantes, pero los laborales y civiles también aportan información sobre el perfil de riesgo.
SRI - Situación tributaria
El Servicio de Rentas Internas permite verificar el estado del RUC (activo, suspendido, cancelado), la actividad económica registrada, y si existen deudas tributarias firmes. Para personas jurídicas, un RUC suspendido o con deudas firmes es una señal de alerta importante. Para personas naturales que son proveedores o contratistas, verificar que su RUC esté activo y en regla es un paso básico de debida diligencia.
Superintendencia de Compañías (SCVS)
Para personas jurídicas, la SCVS es la fuente más importante. Permite obtener el certificado de cumplimiento de obligaciones (que indica si la empresa está al día con sus reportes y obligaciones ante la Superintendencia), la nómina de accionistas, la declaración de beneficiarios finales y la lista de administradores. Sin esta información, la debida diligencia de una empresa está incompleta.
Listas de sanciones internacionales (OFAC, ONU, INTERPOL, UE)
El screening contra listas de sanciones internacionales es obligatorio para los sujetos obligados UAFE y es una buena práctica para cualquier organización. Las listas principales son: OFAC (Office of Foreign Assets Control, EE.UU.), Naciones Unidas (Consejo de Seguridad), INTERPOL (Notices Rojas) y Unión Europea. Una coincidencia en cualquiera de estas listas es una señal de alerta crítica que requiere acción inmediata.
Para una explicación detallada de las 12 fuentes oficiales que StatusEC consulta, lea el artículo 12 fuentes oficiales de verificación en Ecuador. Y para entender cómo estas fuentes se aplican específicamente en el sector financiero, consulte Compliance UAFE en sector financiero.
Beneficiarios finales y accionistas: por qué revisarlos
El concepto de beneficiario final (en inglés, ultimate beneficial owner o UBO) se refiere a la persona natural que, en última instancia, posee o controla una empresa. No es necesariamente el accionista directo ni el representante legal: puede ser alguien que controla la empresa a través de una cadena de sociedades intermedias, fideicomisos u otros vehículos jurídicos.
En Ecuador, la Superintendencia de Compañías exige desde 2022 que las empresas declaren a sus beneficiarios finales. El umbral general es del 10% de participación: cualquier persona natural que directa o indirectamente posea el 10% o más de las acciones de una compañía debe ser reportada como beneficiario final. Pero el concepto va más allá de la propiedad: también incluye a quien ejerce control efectivo sobre la empresa por otros medios (derechos de veto, acuerdos de accionistas, poder de designar administradores, etc.).
La razón por la que esto importa para la debida diligencia es fundamental: una empresa puede parecer completamente limpia en sus propios registros, pero sus verdaderos dueños pueden estar sancionados, procesados penalmente o vinculados a actividades ilícitas. Las estructuras de empresas pantalla (shell companies) se usan precisamente para ocultar la identidad de los beneficiarios finales. Si su proceso de debida diligencia se limita a verificar la empresa sin investigar quién la controla, tiene un punto ciego crítico.
El riesgo concreto: imagine que su organización establece una relación comercial con una empresa ecuatoriana que tiene todos sus papeles en regla ante la SCVS. Pero esa empresa es propiedad al 100% de otra empresa constituida en Panamá, cuyo beneficiario final es una persona que aparece en la lista OFAC. Si UAFE investiga y descubre que su organización no verificó la cadena de propiedad, la responsabilidad recae sobre usted.
El proceso correcto para debida diligencia de personas jurídicas incluye:
- Obtener la nómina de accionistas de la empresa en la SCVS.
- Si hay accionistas que son personas jurídicas (empresas), investigar a su vez quiénes son los accionistas de esas empresas, hasta llegar a personas naturales.
- Verificar la declaración de beneficiarios finales ante la SCVS.
- Hacer screening de cada beneficiario final identificado contra listas de sanciones internacionales.
- Verificar antecedentes penales y judiciales de los beneficiarios finales y administradores clave.
Para un análisis técnico detallado sobre cómo consultar el certificado de cumplimiento, la nómina de accionistas y los beneficiarios finales en la Superintendencia de Compañías, lea el artículo Certificado de cumplimiento SCVS y beneficiarios finales.
Proceso de debida diligencia paso a paso
Un proceso de debida diligencia bien estructurado sigue una secuencia lógica. Cada paso construye sobre el anterior, y omitir cualquiera deja brechas que pueden ser explotadas o cuestionadas en una auditoría. A continuación, los 10 pasos que recomendamos para un proceso completo en Ecuador:
- Identificar al sujeto de verificación. Recopilar el número de cédula (persona natural) o RUC (persona jurídica), nombres completos, y cualquier información adicional disponible (dirección, actividad económica, relación comercial propuesta). Esta información es la base para todas las consultas posteriores.
- Obtener consentimiento LOPDP si aplica. La Ley Orgánica de Protección de Datos Personales requiere consentimiento para el tratamiento de datos personales, salvo excepciones legales. Si su organización es sujeto obligado UAFE, el screening contra listas de sanciones no requiere consentimiento (la base legal es la obligación legal). Pero para el resto de consultas, necesita consentimiento u otra base legal. StatusEC facilita la captura de consentimiento digital con evidencia auditable.
- Consultar Registro Civil o SCVS para datos básicos. Para personas naturales, el Registro Civil confirma la identidad (nombres, fecha de nacimiento, estado civil). Para personas jurídicas, la SCVS proporciona datos de constitución, estado legal vigente y certificado de cumplimiento.
- Verificar antecedentes penales y judiciales. Consultar el certificado de antecedentes penales (Policía Nacional) y los procesos activos en la Función Judicial. Para personas jurídicas, buscar procesos por RUC y por razón social. Incluir la consulta SUPA para pensiones alimenticias si aplica.
- Realizar screening contra listas de sanciones internacionales. Verificar al sujeto (persona natural o jurídica) contra OFAC, ONU, INTERPOL y UE. Este paso es obligatorio para sujetos obligados UAFE y es una buena práctica universal. Los falsos positivos deben documentarse y descartarse formalmente.
- Evaluar situación tributaria en el SRI. Verificar que el RUC esté activo, que no haya deudas tributarias firmes, y que la actividad económica registrada sea coherente con la relación comercial propuesta.
- Para personas jurídicas: revisar accionistas y beneficiarios finales. Obtener la nómina de accionistas de la SCVS, identificar a los beneficiarios finales, y verificar a cada uno de ellos individualmente contra listas de sanciones y antecedentes.
- Consolidar hallazgos y asignar nivel de riesgo. Integrar los resultados de todas las fuentes consultadas. Asignar un nivel de riesgo al sujeto: BAJO (sin hallazgos relevantes), MEDIO (hallazgos que requieren análisis adicional) o ALTO (hallazgos que requieren acción inmediata o rechazo de la relación).
- Documentar con reporte auditable. Generar un reporte formal con timestamp que incluya todas las fuentes consultadas, los resultados obtenidos, el análisis realizado y la decisión tomada. Este reporte es la evidencia que presentará en una inspección UAFE o una auditoría interna.
- Programar re-verificación periódica. La debida diligencia no es un evento único. El riesgo cambia con el tiempo: una persona que hoy está limpia puede mañana tener un proceso penal o aparecer en una lista de sanciones. La frecuencia de re-verificación depende del nivel de riesgo: alto (3-6 meses), medio (6-12 meses), bajo (12-24 meses).
StatusEC automatiza los pasos 3 al 9. Para una verificación individual, se ingresa la cédula o RUC y el sistema consulta todas las fuentes en minutos, genera el score de riesgo y produce el reporte PDF con timestamp. Para monitoreo continuo (paso 10), el sistema re-verifica automáticamente cada mes y alerta si hay cambios. Consulte la página de debida diligencia o la verificación de antecedentes para más detalles.
5 errores comunes al hacer debida diligencia en Ecuador
Incluso las organizaciones que realizan debida diligencia pueden hacerla mal. Estos son los cinco errores que vemos con más frecuencia en empresas ecuatorianas:
1. Verificar solo al inicio y nunca actualizar
Este es, por lejos, el error más común. La organización hace una verificación exhaustiva cuando inicia la relación comercial y luego nunca vuelve a verificar. El problema es que el riesgo es dinámico: un proveedor que estaba limpio hace dos años puede hoy tener procesos penales activos. Un cliente que pasó el KYC en 2024 puede haber sido incluido en la lista OFAC en 2025. La debida diligencia tiene que ser un proceso continuo, no un trámite de una sola vez. UAFE lo exige explícitamente para los sujetos obligados, y es una buena práctica para todos los demás.
2. Revisar solo antecedentes penales e ignorar lo judicial, tributario y sanciones
Muchas organizaciones equiparan "debida diligencia" con "verificar antecedentes penales". Pero un certificado de antecedentes limpio no significa ausencia de riesgo. La persona puede tener múltiples demandas civiles por incumplimiento contractual, deudas tributarias firmes con el SRI, procesos laborales acumulados, o puede aparecer en listas de sanciones internacionales. Limitarse a una sola fuente es tener una visión parcial del riesgo.
3. No verificar beneficiarios finales en personas jurídicas
Verificar la empresa pero no investigar quiénes son sus verdaderos dueños es dejar la puerta abierta al riesgo más grave. Las estructuras de empresas pantalla existen precisamente para ocultar a los beneficiarios finales. Si su proceso de debida diligencia se detiene en el representante legal y no llega a los accionistas y beneficiarios finales, tiene un punto ciego que un regulador o un auditor va a identificar inmediatamente.
4. No documentar el proceso
Hacer la verificación pero no documentarla es casi tan malo como no hacerla. En una inspección UAFE o una auditoría interna, lo que no está documentado no existe. Cada paso del proceso debe quedar registrado: qué fuentes se consultaron, cuándo, qué resultados arrojaron, qué análisis se hizo, qué decisión se tomó y quién la tomó. Un reporte PDF con timestamp por cada verificación es el estándar mínimo.
5. Hacer DD manual cuando el volumen justifica automatización
Si su organización verifica 5 personas al mes, hacerlo manualmente es factible (aunque lento). Pero si verifica 50, 500 o 5,000, el proceso manual se vuelve insostenible: tarda demasiado, es propenso a errores humanos, las fuentes tienen captchas que dificultan la consulta masiva, y la documentación se vuelve inconsistente. La automatización no es un lujo: a partir de cierto volumen, es la única forma de mantener la calidad y la consistencia del proceso. Para una comparación detallada entre procesos manuales y automatizados, lea verificación manual vs automatizada.
¿Necesita implementar debida diligencia con fuentes oficiales?
StatusEC consulta 12 fuentes gubernamentales en minutos. Persona natural y jurídica. Con evidencia auditable para inspección UAFE o auditoría interna.
Agendar demoPreguntas frecuentes
¿La debida diligencia es lo mismo que un background check?
No exactamente. El background check es una verificación de antecedentes puntuales: penales, judiciales, identidad. Se enfoca en confirmar hechos sobre una persona. La debida diligencia es más amplia: incluye evaluación de riesgo financiero, revisión de beneficiarios finales (en personas jurídicas), screening contra listas de sanciones internacionales y documentación completa del proceso para que sea auditable. En la práctica, el background check es un componente de la debida diligencia, pero no la cubre por completo.
¿Qué pasa si no hago debida diligencia y soy sujeto obligado?
Las sanciones varían según el organismo de control. La UAFE puede imponer multas de 1 a 40 SBU (equivalente a USD 460 a USD 18,400 en 2026). La Superintendencia de Compañías puede suspender inscripciones de actos societarios o imponer observaciones que bloquean operaciones corporativas. En casos graves — especialmente si la falta de debida diligencia facilitó el lavado de activos — hay responsabilidad penal para los administradores y el oficial de cumplimiento.
¿Puedo hacer debida diligencia sin el consentimiento de la persona?
Depende del tipo de consulta y de su rol como organización. Si su organización es sujeto obligado por UAFE, el screening contra listas de sanciones internacionales no requiere consentimiento del titular porque la base legal es la obligación legal del responsable del tratamiento (Art. 9 LOPDP). Sin embargo, para el resto de la verificación — consultar fuentes judiciales, tributarias, Registro Civil, etc. — generalmente se requiere consentimiento LOPDP u otra base legal aplicable (ejecución de contrato, interés legítimo debidamente fundamentado).
¿Con qué frecuencia debo actualizar la debida diligencia?
Depende del nivel de riesgo asignado al sujeto. La práctica recomendada es: riesgo alto, cada 3 a 6 meses; riesgo medio, cada 6 a 12 meses; riesgo bajo, cada 12 a 24 meses. La UAFE recomienda monitoreo continuo para los sujetos obligados, lo cual implica re-verificación permanente, no periódica. StatusEC automatiza este proceso con re-verificación mensual de todas las personas y empresas monitoreadas, con alertas automáticas cuando se detecta un cambio en el perfil de riesgo. Lea más sobre este tema en actualización periódica de clientes.
¿StatusEC hace debida diligencia de personas jurídicas?
Sí. Para personas jurídicas identificadas por RUC, StatusEC consulta la Superintendencia de Compañías (certificado de cumplimiento de obligaciones, nómina de accionistas, declaración de beneficiarios finales, lista de administradores), el SRI (situación tributaria, estado del RUC, deudas firmes), la Función Judicial (procesos judiciales por RUC y por razón social) y las listas de sanciones internacionales (OFAC, ONU, UE). El resultado es un reporte estructurado específico para persona jurídica con score de riesgo, disponible en planes empresariales.
Conclusión
La debida diligencia en Ecuador dejó de ser una formalidad opcional para convertirse en una obligación regulatoria para muchas organizaciones y una necesidad operativa para todas. El proceso requiere consultar múltiples fuentes oficiales, cruzar información de personas naturales y jurídicas, verificar beneficiarios finales, documentar cada paso y mantener la verificación actualizada en el tiempo.
Hacerlo manualmente es posible para volúmenes bajos, pero rápidamente se vuelve insostenible. La automatización permite consultar las 12 fuentes oficiales en minutos, generar reportes auditables con timestamp, y programar re-verificación periódica sin intervención manual.
Si su organización necesita implementar o mejorar su proceso de debida diligencia, StatusEC ofrece verificación de personas naturales y jurídicas con reporte auditable. Agende una demo para ver cómo funciona con datos reales.
Para profundizar en temas específicos de este artículo, continúe con: actualización periódica de información de clientes, certificado de cumplimiento SCVS y beneficiarios finales, y compliance UAFE en el sector financiero. Si opera en el sector financiero, la página de servicios financieros detalla cómo StatusEC se integra al flujo KYC/PLA-FT.