Debida diligencia de proveedores en Perú: lo que la UIF ya exige y por qué "cada dos años" no es monitoreo

El 30 de octubre, El Peruano publicó la Resolución SBS N° 02582-2026. A primera vista es una norma de nicho: somete a consulta pública un proyecto de reglas de prevención del lavado de activos y del financiamiento del terrorismo (LA/FT) para empresas que transportan o custodian dinero y valores, empresas de factoring y arrendamiento financiero no supervisadas por la SBS y administradoras de fondos de inversión privados no supervisadas por la SMV.

Pero si se lee junto con lo que la Unidad de Inteligencia Financiera (UIF-Perú) ya exige a mineras, constructoras e inmobiliarias, y con el proyecto que en agosto se publicó para el sector de insumos químicos, el mensaje es otro. En Perú, conocer al proveedor ya no es una buena práctica de compras. Es una obligación regulatoria escrita, con información mínima, verificación en listas, cláusulas contractuales, señales de alerta y un plazo máximo de actualización. Y ese plazo, dos años, dice mucho sobre la distancia entre cumplir la norma y controlar el riesgo.

El hecho

La Resolución SBS N° 02582-2026, fechada el 27 de octubre de 2026, autoriza la prepublicación del proyecto de "Norma para la prevención del LA/FT aplicable a los sujetos obligados a informar, personas jurídicas, bajo supervisión de la UIF-Perú", en el marco de la Ley N° 27693 y su reglamento (D.S. N° 020-2017-JUS). Los comentarios se reciben durante 15 días calendario; según la cobertura especializada, el plazo vence el 14 de noviembre de 2026.

De acuerdo con lo reportado por Semana Económica y TokenPost, el proyecto establece obligaciones sobre:

conocimiento de clientes, directores, trabajadores y proveedores;
regímenes general y reforzado de debida diligencia;
capacitación y código de conducta para la prevención;
designación de oficial de cumplimiento corporativo y alterno, cuando corresponda;
reporte de operaciones sospechosas (ROS), informe anual del oficial de cumplimiento y auditoría interna;
un umbral para el registro de operaciones.

No es una pieza aislada. El 28 de agosto, mediante la Resolución SBS N° 02117-2026, la SBS ya había prepublicado un proyecto de norma PLAFT para empresas de insumos químicos y bienes fiscalizados, vinculado expresamente al combate de la minería ilegal. Según el análisis de PRCP, ese proyecto también incluye debida diligencia de proveedores al momento de la selección y después de la vinculación, señales de alerta específicas y un plazo de implementación de 120 días.

Y ambos proyectos se apoyan en una base que ya está vigente desde hace años.

Lo que ya está vigente: el artículo 18 de la Resolución SBS N° 789-2018

La Resolución SBS N° 789-2018 es la norma PLAFT para los sujetos obligados a informar que están bajo supervisión de la UIF-Perú. Su artículo 2 incluye, entre otras actividades, a las empresas mineras, la construcción, las inmobiliarias, el comercio de joyas, metales y piedras preciosas, y la comercialización de cierta maquinaria y equipos.

Dos precisiones importan antes de seguir:

Para esta norma, "empresa minera" no es cualquier titular minero. Es la persona natural con negocio o persona jurídica que realiza actividades de la industria minera bajo el sistema de concesiones y además comercializa oro (compraventa, importación para el consumo o exportación de oro en bruto o semielaborado, o el obtenido de un proceso minero o metalúrgico).
"Construcción" tampoco abarca todo: se refiere a la ejecución de obra de edificación nueva para vivienda, oficina o comercio, por encargo de un tercero que no sea el Estado, excluyendo estructuras metálicas o similares.

Para esos sujetos obligados, el artículo 18 regula el conocimiento de proveedores: personas naturales o jurídicas con las que se contrata la prestación de bienes o servicios relacionados directamente con la actividad supervisada. La norma exige requerir y verificar, como mínimo:

nombre o razón social, RUC y documento de identidad cuando se trate de personas naturales;
domicilio y dirección de la oficina o local principal;
años de experiencia en el mercado y rubros en los que el proveedor opera;
identificación del beneficiario final, conforme al Decreto Legislativo N° 1372;
datos del representante legal;
declaración jurada de no tener antecedentes penales (persona natural) o de no tener sanción conforme al artículo 105 del Código Penal, la Ley N° 30424 o la ley penal especial aplicable (persona jurídica).

Además, el sujeto obligado debe:

verificar las listas que contribuyen a la prevención del LA/FT (OFAC, listas del Consejo de Seguridad de la ONU, entre otras) al momento de la selección y con posterioridad a la vinculación;
actualizar la información de forma periódica, con un plazo que no puede ser mayor a dos años, dejando constancia si no hubo cambios;
evaluar cuándo conviene incluir en los contratos la obligación del proveedor de cumplir normas PLAFT y deberes de reserva;
elaborar señales de alerta relacionadas con proveedores y los procedimientos que se activan cuando aparecen.

Los anexos sectoriales de la misma resolución confirman que las empresas mineras y quienes comercian metales y piedras preciosas deben aplicar estos procedimientos sobre sus proveedores.

Por qué importa ahora

El contexto explica la insistencia del regulador. El Peruano, al informar sobre el proyecto para insumos químicos, recordó que la Evaluación Nacional de Riesgos de Lavado de Activos 2025 calificó a la minería ilegal y al tráfico ilícito de drogas como amenazas de riesgo muy alto. A eso se suma el cierre del REINFO el 31 de diciembre de 2026, que ya analizamos en este artículo sobre el fin del REINFO y la debida diligencia de proveedores mineros.

La lectura de conjunto es clara. Sector por sector, la SBS está replicando la misma arquitectura: conocer al cliente, sí, pero también conocer a quien te vende, te transporta, te procesa o te presta un servicio vinculado a tu actividad. El proveedor dejó de ser solo una contraparte comercial. Para el regulador, es un posible canal de entrada de dinero o bienes de origen ilícito.

Qué está cambiando

Hay tres movimientos que vale la pena separar:

1. El proveedor entra al perímetro de prevención. Durante años, la conversación PLAFT en Perú se concentró en el cliente: quién paga, de dónde viene el dinero. El artículo 18 de la 789-2018, y ahora los proyectos de 2026, ponen el mismo peso en la cadena de abastecimiento.

2. La verificación ya no es solo de ingreso. La norma vigente exige revisar listas "con posterioridad a la vinculación". Es decir, el regulador reconoce que el riesgo puede aparecer cuando el proveedor ya está dentro.

3. El sistema financiero no bancario también mirará a sus contrapartes. Si el proyecto de la 02582-2026 se aprueba en los términos reportados, las empresas de factoring no supervisadas por la SBS tendrán que aplicar debida diligencia sobre sus clientes. Eso incluye a contratistas y proveedores que hoy venden sus facturas para financiar capital de trabajo. En la práctica, otros actores del mercado empezarán a conocer a los proveedores de una minera o una constructora con un estándar formal.

El problema para las empresas: dos años es una eternidad

El plazo máximo de actualización de dos años es un mínimo regulatorio razonable para una norma de alcance general. Pero no describe cómo se mueve el riesgo de un proveedor.

En dos años, un proveedor puede:

cambiar de accionistas o de beneficiario final;
cambiar de representante legal;
pasar a ser no habido o ver alterada su condición tributaria;
ser incluido en una lista restrictiva;
recibir una sanción penal o administrativa;
acumular deudas laborales o previsionales;
subcontratar a terceros que el mandante nunca evaluó.

Una empresa que actualiza la ficha del proveedor el último día del plazo cumple la letra del artículo 18. Pero si el cambio relevante ocurrió veinte meses antes, el riesgo convivió con la operación durante casi todo ese tiempo sin que nadie lo viera.

Por eso la propia norma pide algo más que la ficha: señales de alerta y procedimientos para cuando se activan. Una señal de alerta solo sirve si alguien está mirando cuando aparece.

El caso de los contratistas

Para una minera, una constructora o una operación industrial, la cadena relevante no termina en el proveedor de bienes. Incluye contratistas de servicios, transportistas, empresas de mantenimiento, intermediarios de personal y sus propios subcontratistas.

Ahí confluyen regímenes que en Perú suelen gestionarse en áreas separadas:

el PLAFT (UIF-Perú), que pregunta por identidad, beneficiario final, listas y señales de alerta;
el laboral y previsional (SUNAFIL), que pregunta si los trabajadores destacados están en planilla y si el principal responde solidariamente, como revisamos en este análisis sobre RMV, tercerización y solidaridad;
el tributario (SUNAT), que pregunta si el proveedor es real y si sus comprobantes tienen respaldo, como vimos en el artículo sobre empresas fantasma y SSCO;
la responsabilidad de la persona jurídica (Ley N° 30424), cuyo modelo de prevención exige identificar, evaluar y mitigar riesgos de delito; en una cadena de contratistas, buena parte de esos riesgos viene de terceros.

Cada régimen pide su propio formulario. Pero el riesgo es uno solo: no saber, a tiempo, quién está realmente dentro de la operación.

Qué deberían hacer las empresas

Para quienes son sujetos obligados bajo la 789-2018, y para quienes quieren anticiparse:

Confirmar el perímetro. Verificar si la empresa encaja en alguna de las actividades del artículo 2, con sus definiciones precisas. La definición de "empresa minera" exige comercialización de oro; no todas las mineras están dentro.
Definir qué proveedor es "relacionado directamente" con la actividad supervisada. Es el criterio del artículo 18 y conviene documentarlo.
Tratar los dos años como techo, no como calendario. Segmentar proveedores por riesgo y actualizar con mayor frecuencia a los críticos: compradores o vendedores de mineral, transportistas, intermediarios y contratistas con alta rotación de personal.
Revisar listas después del onboarding, no solo antes. La norma ya lo pide; operarlo de forma recurrente es lo que lo vuelve útil.
Escribir las señales de alerta de proveedores. Cambios de beneficiario final, domicilios compartidos entre proveedores, experiencia de mercado incompatible con el volumen contratado, rubros que no calzan con el servicio.
Incluir cláusulas PLAFT en los contratos críticos cuando el sector lo justifique, como permite el artículo 18.2.
Conectar PLAFT con laboral y tributario. El mismo proveedor que aparece en una alerta tributaria o con trabajadores fuera de planilla merece una revisión PLAFT, y viceversa.
Revisar el proyecto 02582-2026 antes del 14 de noviembre si la empresa trabaja con factoring, leasing o transporte de valores no supervisados por la SBS, o si es uno de ellos.

La perspectiva de Continuous Due Diligence

La norma peruana ya contiene, en pequeño, la intuición correcta: revisar listas después de la vinculación y activar procedimientos cuando aparece una señal. Lo que falta en muchas empresas no es la regla, es la operación.

El modelo tradicional funciona por expedientes: se arma la ficha del proveedor, se archiva y se vuelve a abrir cuando vence el plazo o llega una fiscalización. El modelo de debida diligencia continua invierte la lógica. El expediente es solo el punto de partida, y lo que se gestiona es el cambio: quién cambió de dueño, quién entró a una lista, quién dejó de cotizar por sus trabajadores, quién empezó a facturar algo que no calza con su rubro.

Ese es el enfoque detrás de Continuous Due Diligence en Califix: pasar de verificar a los terceros de vez en cuando a enterarse cuando algo cambia.

Conclusión

El regulador peruano ya decidió que el proveedor es parte del riesgo LA/FT. Lo tiene escrito en la Resolución SBS N° 789-2018 para mineras y constructoras, lo está extendiendo en 2026 a insumos químicos y a factoring, leasing y transporte de valores, y todo indica que el perímetro seguirá creciendo.

La pregunta para las empresas ya no es si deben conocer a sus proveedores. Es cuánto tiempo están dispuestas a no saber lo que les pasó desde la última vez que miraron.

Fuentes principales