Due diligence de proveedores: guía OSINT para verificar terceros en Perú

Contratar a un proveedor es transferirle dinero, acceso, información o, en el peor caso, la capacidad de actuar en nombre de su empresa. Esta guía explica qué es OSINT, cuál es el ancla legal de la debida diligencia de terceros en Perú, cómo ejecutarla con fuentes públicas peruanas, qué banderas rojas buscar y dónde están los límites legales.

¿Qué es OSINT y qué aporta a la verificación de proveedores?

La estrategia de inteligencia de fuentes abiertas de la comunidad de inteligencia de Estados Unidos (IC OSINT Strategy 2024-2026, ODNI) define OSINT como inteligencia derivada exclusivamente de información pública o comercialmente disponible que responde a necesidades, requerimientos o vacíos de inteligencia específicos. La fuente es pública o se obtiene comercialmente, como un registro estatal o un certificado que cualquiera puede comprar, y siempre hay una pregunta concreta: ¿este proveedor existe, quién lo controla, arrastra sanciones o conflictos que me comprometan?

Aplicado a compras y cumplimiento, OSINT es un método: definir la pregunta, elegir fuentes legítimas, verificar identidades, fechar cada dato, descartar lo que no se puede atribuir con certeza y entregar una conclusión con su nivel de confianza.

Qué no es OSINT

El Protocolo de Berkeley sobre investigaciones digitales de fuentes abiertas, de la Universidad de California, Berkeley, y la Oficina del Alto Comisionado de la ONU para los Derechos Humanos, ayuda a trazar la frontera:

• No es acceso no autorizado. La información de fuente abierta es la que cualquier persona puede observar, comprar o solicitar sin una condición legal especial ni acceso no autorizado. Ingresar a cuentas, sistemas o bases de datos restringidas queda fuera.
• No es interactuar con el investigado. Según el Protocolo, obtener información comunicándose con otras personas ya no es fuente abierta. En una due diligence corporativa, eso excluye el pretexting: hacerse pasar por cliente, periodista o reclutador para sonsacar datos.
• No es usar todo lo que "está en internet". El mismo Protocolo advierte que la información filtrada, hackeada o expuesta sin consentimiento puede estar disponible y, aun así, tener restricciones legales y éticas para su uso.
• No es investigar la vida privada. El objeto de una due diligence de proveedores es la empresa y las personas en su rol empresarial: propietarios, representantes y apoderados.

¿Por qué la debida diligencia de terceros importa en Perú?

Un proveedor mal evaluado expone a su empresa a cuatro riesgos: fraude (empresas de fachada, sobreprecios, suplantación), responsabilidad por corrupción (un intermediario que paga a un funcionario para obtener un permiso a su favor), sanciones (contratar con alguien inhabilitado o listado internacionalmente) y daño reputacional (aparecer vinculado a un tercero investigado).

El ancla legal: Ley N° 30424 y su modelo de prevención

La Ley N° 30424 regula la responsabilidad de las personas jurídicas en el proceso penal. Entre otras normas, fue modificada por el Decreto Legislativo N° 1352 (2017), la Ley N° 30835 (2018) y, de forma sustancial, por la Ley N° 31740, publicada en El Peruano el 13 de mayo de 2023. Tras esa reforma, su artículo 1 alcanza delitos como el cohecho en sus distintas modalidades, la colusión, el tráfico de influencias, el lavado de activos, los delitos aduaneros y tributarios y el financiamiento del terrorismo, entre otros.

Tres disposiciones explican por qué un proveedor puede convertirse en un problema legal para su empresa:

• Artículo 3. La persona jurídica responde por esos delitos cuando se cometen en su nombre o por cuenta de ella y en su beneficio, directo o indirecto, por sus socios, directores, administradores, representantes legales o apoderados, o por personas sometidas a su autoridad que actúan por orden o autorización de aquellos o cuando el delito fue posible porque se incumplieron los deberes de supervisión.
• Artículo 12. La persona jurídica queda exenta de responsabilidad si, antes del delito, adoptó e implementó un modelo de prevención adecuado a su naturaleza, riesgos, necesidades y características. La eximente no se aplica cuando el delito lo cometen socios, directores, administradores, representantes o apoderados con capacidad de control; en ese caso el juez solo impone multa, que puede reducirse hasta en un noventa por ciento.
• Artículo 17. El modelo se construye sobre el perfil de riesgo de la empresa y debe tener como mínimo un encargado de prevención, acciones de mitigación de los riesgos identificados, procedimientos de denuncia, difusión y capacitación periódica, y evaluación y monitoreo continuo.

El Reglamento de la Ley N° 30424, aprobado por Decreto Supremo N° 002-2019-JUS y adecuado a la Ley N° 31740 por el Decreto Supremo N° 002-2025-JUS, concreta el papel de los terceros:

• Su artículo 5 define la debida diligencia como el proceso para identificar y evaluar con detalle los riesgos de delitos en transacciones, proyectos, actividades, socios comerciales y personal, y decidir de forma informada.
• El mismo artículo define socios comerciales de forma amplia: clientes, consorciados, proveedores, contratistas, subcontratistas, agentes, distribuidores, intermediarios e inversores, entre otros.
• Su artículo 25 establece la debida diligencia como un control específico adicional que permite decidir si conviene posponer, continuar, suspender o revisar una relación.

Si una empresa alega contar con un modelo de prevención, el fiscal necesita un informe técnico de la Superintendencia del Mercado de Valores (SMV) antes de formalizar la investigación, y la SMV puede tomar declaraciones incluso a terceros con relación comercial. Una due diligence documentada es evidencia de que el modelo funciona.

Implementar el modelo es facultativo, como precisan los Lineamientos para la Implementación y Funcionamiento del Modelo de Prevención de la SMV (Resolución SMV N° 006-2021-SMV/01). Esos lineamientos dedican un capítulo a la debida diligencia de proveedores y demás socios comerciales, y citan la norma ISO 37001 de gestión antisoborno entre sus referencias internacionales.

¿Cómo hacer una due diligence de proveedores paso a paso?

1. Clasifique al proveedor por nivel de riesgo

La profundidad se decide antes de buscar. El Reglamento incluye entre los criterios para identificar riesgos a los socios comerciales e intermediarios y la intensidad de las interacciones con funcionarios públicos, y la SMV sugiere distinguir un régimen general de uno reforzado.

2. Confirme identidad y existencia legal

• Consulta RUC de SUNAT. La consulta RUC permite verificar la razón social, el estado del contribuyente (activo, suspensión temporal o alguna de las modalidades de baja) y la actividad económica. SUNAT recuerda que, para operar con normalidad, el RUC debe estar activo y el domicilio fiscal habido. Compare la actividad registrada con lo que el proveedor le ofrece.
• SUNARP. El Directorio Nacional de Personas Jurídicas indica gratis si la empresa está inscrita, extinta o con anotación preventiva de oficio, pero es referencial. Para la información con efectos registrales están el certificado literal de la partida y el de vigencia de poder.
• Quién firma. Verifique que quien suscribirá el contrato tenga poder vigente. Es un control simple contra fraudes por suplantación.

3. Establezca quién es el dueño y quién controla

La partida registral reúne los actos inscritos de la sociedad, como su constitución, el nombramiento de gerentes y directores y los poderes otorgados, pero según el tipo societario no siempre muestra quiénes son hoy sus accionistas. El concepto relevante es el de beneficiario final: la persona natural que efectiva y finalmente posee o controla la persona jurídica, según el Decreto Legislativo N° 1372, tal como lo explica la orientación de SUNAT. Esa declaración se presenta ante SUNAT; no es una consulta pública de libre acceso.

En el nivel reforzado, lo razonable es pedir al proveedor una declaración de su estructura de propiedad y beneficiarios finales, y contrastarla con lo público. La SMV sugiere conocer accionistas, grupo económico, zona de operación y posibles conflictos de interés. Si el proveedor es una empresa supervisada por la SMV, su Sistema de Información del Mercado de Valores muestra datos generales, directorio, información financiera y hechos de importancia.

4. Revise litigios, sanciones y prensa adversa

• Contratación pública. El OECE (antes OSCE), adscrito al MEF y a cargo del Registro Nacional de Proveedores y del SEACE, publica la relación de proveedores sancionados: multas e inhabilitaciones del Tribunal de Contrataciones Públicas, vigentes y de los últimos cinco años, inhabilitaciones judiciales y enlaces a las listas del Banco Mundial y del BID.
• Procesos judiciales. La Consulta de Expedientes Judiciales del Poder Judicial busca por código de expediente o por filtros (distrito judicial, instancia, especialidad, año y número de expediente). No admite búsquedas por nombre y apellido o DNI, de modo que sirve para verificar casos ya identificados, no para descubrirlos.
• Listas internacionales. La Lista consolidada del Consejo de Seguridad de la ONU y las listas de sanciones de la OFAC del Tesoro de Estados Unidos son las referencias que la propia SMV menciona en sus Lineamientos.
• Normas legales y prensa. El buscador de normas legales de El Peruano permite ubicar resoluciones publicadas. En prensa nacional y regional, cada mención debe confirmarse: ¿es la misma persona o empresa, de qué fecha es y cómo terminó? Una denuncia no es una condena.

5. Lea las señales financieras y tributarias

La consulta RUC incluye la deuda en cobranza coactiva remitida a centrales de riesgo, que según SUNAT corresponde a deuda exigible a la que ya se le inició el procedimiento de cobranza coactiva. La SMV también sugiere revisar información pública financiera o crediticia en centrales de riesgos. Cuando el monto del contrato lo justifica, puede pedirse además al proveedor sus estados financieros.

6. Evalúe reputación y coherencia operativa

Contraste lo declarado con lo observable: dirección, sitio web, antigüedad, personal, clientes y experiencia. Si el proveedor afirma haber trabajado para el Estado, esos procedimientos deberían rastrearse en el SEACE. La SMV sugiere además visitas in situ, entrevistas o cuestionarios, revisar certificaciones e indagar si el proveedor tiene su propio modelo de prevención.

7. Identifique vínculos con personas expuestas políticamente

La Resolución SBS N° 4349-2016 define a las personas expuestas políticamente (PEP), en materia de prevención del lavado de activos, como personas naturales que cumplen o que en los últimos cinco años hayan cumplido funciones públicas destacadas. En enero de 2025 la SBS actualizó la lista de funciones y cargos mediante la Resolución SBS N° 00199-2025. Para empresas no supervisadas por la SBS, es una referencia útil.

Las declaraciones juradas de intereses que regula la Ley N° 31227 se publican en el portal de la Contraloría y permiten conocer vínculos empresariales declarados por funcionarios. Un vínculo con una PEP no es ilícito por sí mismo: es un factor de riesgo que exige revisión reforzada, sobre todo si esa persona tiene poder de decisión sobre permisos, contratos o fiscalizaciones que afectan a su empresa. La revisión se limita al cargo y a la relación comercial; las opiniones políticas son datos sensibles según la Ley N° 29733.

8. Documente, decida y monitoree

Registre cada hallazgo con su fuente, fecha de consulta, evidencia preservada y nivel de confianza. La decisión tiene cuatro salidas: aprobar, aprobar con condiciones (por ejemplo, cláusulas anticorrupción, como sugieren los Lineamientos), rechazar o escalar. La SMV recomienda que la debida diligencia no se haga solo antes de contratar, sino cada vez que surja un evento o una noticia que comprometa al tercero, con conservación confidencial de la documentación.

¿Qué fuentes públicas peruanas sirven para verificar a un proveedor?

Banderas rojas en la due diligence de proveedores

Una bandera roja no es una conclusión: es una pregunta que el proveedor o el analista deben responder antes de seguir.

• RUC no activo, domicilio no habido o actividad económica que no coincide con lo ofrecido.
• Empresa de constitución reciente, sin trayectoria verificable, que aspira a contratos de alto valor.
• Firmante sin poder vigente inscrito en SUNARP.
• Negativa a identificar accionistas y beneficiarios finales, o sociedades en el extranjero sin razón comercial explicable.
• Sanción vigente o reciente para contratar con el Estado, o coincidencia confirmada en listas de la ONU, la OFAC, el Banco Mundial o el BID.
• Deuda en cobranza coactiva relevante para el tamaño del contrato.
• Procesos o menciones en prensa vinculadas a corrupción, lavado de activos, fraude o delitos tributarios.
• Propietarios o gerentes vinculados a funcionarios con poder de decisión sobre su empresa.
• Pedidos de pago a terceros, en efectivo, a cuentas en otros países o por adelantado sin sustento.
• Comisiones de éxito desproporcionadas o insistencia en que su intermediación es indispensable para obtener un permiso.
• Experiencia o referencias que no pueden verificarse.

¿Qué límites legales tiene una investigación OSINT de proveedores?

La Ley N° 29733 de Protección de Datos Personales, hoy reglamentada por el Decreto Supremo N° 016-2024-JUS, se aplica cada vez que la due diligence trata datos de personas naturales, como propietarios, gerentes o representantes.

• Fuentes accesibles para el público. El artículo 14 no exige consentimiento para tratar datos contenidos en fuentes accesibles para el público, que el artículo 2 define como bancos de datos que cualquier persona puede consultar, pagando la contraprestación cuando corresponde.
• Legalidad. El artículo 4 prohíbe recopilar datos por medios fraudulentos, desleales o ilícitos, lo que excluye el pretexting.
• Finalidad y proporcionalidad. Los datos deben recopilarse para una finalidad determinada, explícita y lícita, y el tratamiento debe ser adecuado, relevante y no excesivo (artículos 6 y 7). Evaluar a un proveedor no justifica revisar la vida familiar de su gerente.
• Calidad y conservación. Los datos deben ser veraces, exactos y actualizados, y conservarse solo el tiempo necesario (artículo 8). Un homónimo mal descartado es un error de calidad.
• Datos sensibles. La Ley califica como sensibles, entre otros, los ingresos económicos y las opiniones políticas. No forman parte de una due diligence ordinaria.

Cada investigación debería dejar por escrito su finalidad, el riesgo que justifica su alcance, las fuentes consultadas y quién accede al resultado.

¿Cuándo conviene escalar a una investigación profesional?

Las verificaciones básicas pueden hacerse internamente. Conviene escalar cuando:

• el proveedor queda en nivel reforzado o actuará ante entidades públicas en nombre de su empresa;
• aparecen banderas rojas que el proveedor no aclara, o versiones contradictorias en prensa;
• la propiedad atraviesa varias sociedades o jurisdicciones;
• se trata de un consorcio, una adquisición o una alianza estratégica;
• el resultado debe sustentarse ante el directorio, los asesores legales o una evaluación del modelo de prevención.

Un servicio de OSINT e inteligencia corporativa aporta lo que una búsqueda interna no suele resolver: descarte de homónimos, contraste entre fuentes, niveles de confianza explícitos y evidencia preservada. Si el riesgo excede a un proveedor y abarca la operación, un análisis de riesgos de seguridad prioriza escenarios por probabilidad e impacto; si la decisión depende del entorno de un sector o una región, un informe de inteligencia estratégica aporta escenarios y contexto.

Cómo trabaja STRATON la due diligence de terceros

STRATON realiza due diligence de integridad de socios y proveedores con fuentes abiertas de acceso legítimo, sin engaños ni acceso a información privada, dentro de la Ley N° 29733. Cada encargo se formaliza con alcance, base legal y confidencialidad, y concluye en un informe con hallazgos contrastados, nivel de confianza y recomendaciones. Si su empresa está por contratar a un tercero crítico, revise el alcance y los entregables del servicio de OSINT e inteligencia corporativa.