Compliance en Ecuador: qué exige el régimen a los sujetos obligados

Qué es un sujeto obligado

Un sujeto obligado es una persona o empresa a la que la normativa ecuatoriana de prevención de lavado de activos y financiamiento de delitos le impone un deber activo: identificar a sus clientes, entender con quién está tratando, vigilar la relación y reportar a la UAFE lo que corresponda.

No es una categoría voluntaria ni depende del tamaño de la empresa. Depende de la actividad. Y el incumplimiento no se mide por el daño causado: se mide por la ausencia del control. Se puede sancionar a una empresa que nunca movió un dólar sospechoso, simplemente porque no tenía implementado lo que debía tener.

Qué exige el régimen, en la práctica

Dejando de lado la arquitectura formal —manual, políticas, oficial de cumplimiento, matriz de riesgo, capacitación, reportes—, el trabajo cotidiano se reduce a cuatro cosas que hay que poder demostrar:

1. Identificar al cliente y a su beneficiario final, con documentación.
2. Verificar lo que se pueda verificar contra fuentes independientes, en lugar de aceptar la declaración del cliente.
3. Vigilar la relación de forma continua, no solo al inicio.
4. Documentar todo lo anterior con fecha, de forma que un tercero pueda reconstruir qué se supo y cuándo.

Debida diligencia del cliente: los tres niveles

El régimen no pide el mismo esfuerzo para todos los clientes. Pide que el esfuerzo sea proporcional al riesgo, y que esa proporción esté justificada por escrito:

Nivel	Cuándo aplica	Qué implica
Simplificada	Riesgo bajo, debidamente justificado	Identificación y verificación básica, con cruce de listas
Estándar	La generalidad de los clientes	Identificación, beneficiario final, perfil y monitoreo
Reforzada	Riesgo alto: PEP, jurisdicciones de riesgo, estructuras opacas, operaciones inusuales	Todo lo anterior, más origen de fondos, aprobación de alta dirección y vigilancia intensificada

El error frecuente no es aplicar mal un nivel: es no poder explicar por qué se asignó ese nivel. La matriz de riesgo existe para responder esa pregunta.

Listas restrictivas: el control que más se falla

De todos los controles, el cruce contra listas restrictivas es el más sencillo de ejecutar y el que más veces aparece como hallazgo. Las razones son casi siempre las mismas tres:

• Se cruza solo a la empresa, no a sus representantes legales, accionistas ni beneficiarios finales. El listado casi nunca está a nombre de la sociedad.
• Se cruza una sola vez, al dar de alta. Las listas se actualizan constantemente: un cliente limpio en marzo puede estar listado en octubre.
• Se cruza contra una sola lista. OFAC es la más conocida, pero no es la única que aplica: están también las de Naciones Unidas, la Unión Europea y el Reino Unido, y las de inhabilitados del Banco Mundial y del BID.

Census Alert cruza OFAC, listas de sanciones de Naciones Unidas, ENFAST de la Unión Europea, FBI, BASC y Policía Nacional, y lo hace todos los días sobre toda la cartera vigilada, no solo en el alta. En el informe suma además las sanciones financieras de la Unión Europea y del Reino Unido, y las firmas y personas inhabilitadas por el Banco Mundial y por el BID.

Monitoreo continuo y señales de alerta

El monitoreo continuo suele entenderse como vigilancia del comportamiento transaccional, y lo es. Pero hay una capa anterior, más barata y que casi nadie cubre: lo que el Estado publica sobre ese cliente mientras la relación está viva.

Señales que aparecen en fuentes públicas y que deberían mover el nivel de riesgo:

• Aparición de deuda firme con el SRI donde antes no había.
• Cambio de estado del RUC, o calificación como contribuyente fantasma.
• Mora patronal sostenida en el IESS.
• Nuevas causas judiciales, sobre todo penales o como demandado.
• Noticias del delito registradas en Fiscalía.
• Cambios societarios en la Superintendencia de Compañías.
• Aparición en cualquier lista restrictiva.

Lo que de verdad se examina: la evidencia

Cuando llega una revisión, la pregunta rara vez es «¿tienen un manual?». Casi siempre es más incómoda: «muéstrenme la verificación de este cliente en particular, en la fecha en que lo dieron de alta».

Ahí es donde se cae el cumplimiento de papel. El manual existe, la política existe, el oficial de cumplimiento existe — y la carpeta del cliente tiene una copia de la cédula y nada más. Por eso importa que cada revisión quede registrada con fecha, con el detalle de qué dijo cada fuente y, muy especialmente, con constancia expresa de las fuentes que no se pudieron consultar ese día. Un informe que da por limpia una fuente caída no es evidencia: es un riesgo adicional.

La vigilancia diaria cuesta desde US$ 1,99 al mes por vigilado, sin contratos ni mínimos. Para una cartera regulada, es la forma más barata de convertir un control que se ejecuta «a veces» en uno que deja rastro todos los días.