La debida diligencia es el proceso mediante el cual una empresa identifica, verifica, analiza y monitorea a las personas y organizaciones con las que mantiene o planea establecer una relación. Su objetivo es detectar oportunamente riesgos legales, reputacionales, financieros, operativos y de lavado de activos antes de tomar una decisión.
En términos prácticos, realizar una debida diligencia no consiste solamente en consultar el número de identificación de una persona en una lista restrictiva. Requiere implementar un proceso estructurado de validación de contrapartes que permita identificar, analizar y documentar los riesgos encontrados. También exige comprender quién es el tercero, cómo está estructurado, quiénes son sus beneficiarios finales, qué antecedentes presenta, qué activos utiliza y si su comportamiento es coherente con la relación comercial propuesta.
Por esta razón, una estrategia efectiva debe integrar la verificación de personas, empresas, proveedores, contratistas, vehículos y demás contrapartes dentro de un mismo proceso de gestión de riesgos.
¿Qué es la debida diligencia?
La debida diligencia es un conjunto de medidas destinadas a conocer suficientemente a una contraparte antes de contratarla, vincularla o realizar una operación con ella.
En el contexto de cumplimiento empresarial, permite responder preguntas como:
- ¿La identidad del tercero es verificable?
- ¿La empresa realmente existe y se encuentra activa?
- ¿Quién controla o se beneficia de la organización?
- ¿La persona o empresa aparece en listas restrictivas, sancionatorias o de cautela?
- ¿Existen antecedentes judiciales, administrativos o reputacionales relevantes?
- ¿Los vehículos o activos asociados presentan limitaciones o señales de riesgo?
- ¿La operación propuesta es coherente con la actividad económica del tercero?
La Superintendencia de Sociedades, dentro del Capítulo X de la Circular Básica Jurídica, establece lineamientos sobre debida diligencia, conocimiento de contrapartes, beneficiarios finales, personas expuestas políticamente y debida diligencia intensificada.
Esto significa que la consulta inicial es solo una parte del proceso. La información obtenida debe ser analizada, documentada y actualizada de acuerdo con el nivel de riesgo.
¿Por qué una consulta de antecedentes no es suficiente?
Uno de los errores más frecuentes es reducir la debida diligencia a una consulta aislada en listas restrictivas, sin analizar las relaciones, los antecedentes y el contexto de la contraparte.
Una persona podría no presentar coincidencias directas, pero estar relacionada con una empresa sancionada, actuar en nombre de un tercero de alto riesgo o utilizar activos que presentan inconsistencias. De igual manera, una sociedad puede encontrarse formalmente registrada, pero tener una estructura accionaria poco transparente, beneficiarios finales no identificados o representantes legales con antecedentes relevantes.
La gestión del riesgo requiere conectar diferentes fuentes y tipos de información.
Una debida diligencia integral debe permitir analizar:
- La identidad de la contraparte.
- Su actividad económica y comportamiento esperado.
- Sus relaciones empresariales y societarias.
- Sus beneficiarios finales.
- Sus antecedentes y señales de alerta.
- Los bienes o activos vinculados a la operación.
- La evolución de la relación comercial.
El valor no está únicamente en encontrar información, sino en convertirla en evidencia útil para decidir si una relación debe aprobarse, rechazarse, condicionarse o someterse a controles adicionales.
¿Qué terceros deben verificarse?
El alcance depende de la actividad y del mapa de riesgos de cada organización. Sin embargo, existen varias categorías que deberían incorporarse al proceso.
Personas naturales
La verificación de personas puede incluir empleados, clientes, representantes legales, socios, beneficiarios finales, contratistas independientes y candidatos a ocupar cargos sensibles.
El proceso debe validar la identidad y realizar una consulta de listas restrictivas, sanciones, antecedentes y PEP, de acuerdo con el perfil de riesgo de la persona.
Cuando se detecta una coincidencia, no debe asumirse automáticamente que se trata de la misma persona. Es necesario comparar nombres, documentos, ubicación y demás datos disponibles para confirmar o descartar la alerta.
En procesos laborales, comerciales o contractuales, la verificación de antecedentes en Colombia también debe realizarse con criterios definidos, autorización cuando corresponda y evidencia suficiente de la consulta.
Empresas y estructuras corporativas
En las personas jurídicas no basta con validar la razón social y el número de identificación tributaria.
La debida diligencia empresarial debe revisar, entre otros aspectos:
- Existencia y estado de la sociedad.
- Actividad económica.
- Representantes legales.
- Accionistas o socios conocidos.
- Beneficiarios finales.
- Estructura corporativa.
- Sanciones y procesos relevantes.
- Coincidencias en listas restrictivas.
- Relaciones con otras compañías o jurisdicciones.
La identificación del beneficiario final es especialmente relevante dentro de los controles que debe priorizar el oficial de cumplimiento en SAGRILAFT, porque el riesgo puede encontrarse en las personas que controlan la sociedad y no en la razón social visible.
Cuando existen múltiples niveles societarios, empresas extranjeras o intermediarios, puede ser necesario profundizar hasta identificar a las personas naturales que ejercen control o reciben el beneficio económico final. La Superintendencia de Sociedades dispone además de herramientas y documentos de consulta sobre PEP, beneficiarios finales y SAGRILAFT que pueden orientar este análisis.
Proveedores y contratistas
Los proveedores y contratistas pueden generar riesgos de corrupción, fraude, incumplimiento laboral, afectación reputacional, lavado de activos o interrupción operativa.
Antes de su vinculación, conviene evaluar su existencia, experiencia, capacidad financiera, representantes, beneficiarios finales y antecedentes. También debe verificarse si la contratación, los precios y las condiciones comerciales son coherentes con el mercado.
En relaciones críticas, la evaluación puede incorporar cláusulas contractuales sobre ética empresarial, derechos humanos, protección de datos, prevención del trabajo infantil y cumplimiento de los sistemas internos de la organización.
Para incorporar esta dimensión, las empresas pueden consultar la Guía práctica de debida diligencia empresarial en derechos humanos para pymes, desarrollada por la Fundación Ideas para la Paz y la Cámara de Comercio de Bogotá.
La verificación debe repetirse periódicamente, especialmente cuando cambia la composición societaria, se modifican las condiciones del contrato o aumenta el volumen de operaciones.
Vehículos, maquinaria y bienes muebles
En sectores como transporte, logística, construcción, agricultura, minería o distribución, la contraparte no es el único elemento que puede generar riesgo. También deben revisarse los activos utilizados para desarrollar la operación.
La validación de vehículos puede contribuir a identificar información sobre propiedad, características, antecedentes, limitaciones o inconsistencias relacionadas con el activo.
En maquinaria y equipos también resulta relevante revisar contratos de leasing, alquiler, mantenimiento, propiedad y operación. Cuando el nivel de exposición lo amerite, la revisión documental debe complementarse con inspecciones físicas o conceptos técnicos independientes.
Activos inmobiliarios
La debida diligencia inmobiliaria requiere un análisis especializado. Además de verificar a compradores, vendedores y propietarios anteriores, puede ser necesario estudiar la tradición del inmueble, gravámenes, limitaciones, licencias, normas urbanísticas y riesgos ambientales.
Una revisión insuficiente puede exponer a la empresa a disputas sobre la propiedad, contingencias regulatorias o riesgos relacionados con la Ley 1708 de 2014 o Código de Extinción de Dominio. Por ello, el estudio jurídico y técnico debe realizarse antes de adquirir, financiar o desarrollar un inmueble.
Intermediarios y socios comerciales
Agentes, distribuidores, aliados, comisionistas y demás intermediarios pueden actuar en nombre de la empresa o representarla ante clientes, proveedores y entidades públicas.
La organización debe conocer quiénes son, cómo fueron seleccionados, qué remuneración reciben y cuál es la justificación económica de su participación.
El análisis debe cubrir tanto la cadena ascendente de proveedores como la cadena descendente de distribuidores, agentes y clientes empresariales.
Etapas de una debida diligencia de terceros
Aunque el procedimiento debe adaptarse a cada organización, un flujo operativo puede estructurarse en seis etapas.
1. Identificación
Se recopila la información básica del tercero: nombre, documento, razón social, identificación tributaria, representantes, actividad económica, dirección y datos de contacto.
En personas jurídicas también deben solicitarse documentos que permitan conocer la estructura societaria y los beneficiarios finales.
2. Verificación
Los datos suministrados se contrastan con documentos y fuentes independientes. En esta etapa se realizan consultas en listas, registros públicos, antecedentes, bases empresariales y fuentes reputacionales.
3. Clasificación del riesgo
El tercero se clasifica de acuerdo con variables como actividad económica, jurisdicción, tipo de producto, volumen de operaciones, estructura societaria, presencia de PEP y resultados de las consultas.
La clasificación permite definir la intensidad de los controles.
4. Análisis de alertas
Las coincidencias deben revisarse individualmente. El responsable debe establecer si se trata de un homónimo, una alerta descartable o un hallazgo que modifica el perfil de riesgo.
La decisión y sus soportes deben quedar documentados.
5. Aprobación o rechazo
Dependiendo del resultado, la empresa puede aprobar la vinculación, solicitar información adicional, establecer condiciones especiales, escalar el caso a la alta dirección o rechazar la relación.
6. Monitoreo y actualización
La debida diligencia continúa después de la contratación. Los cambios en accionistas, representantes, antecedentes, volumen de operaciones o comportamiento transaccional pueden modificar el riesgo inicial.
Por ello, los expedientes deben actualizarse periódicamente y cuando se presente una señal de alerta.
Debida diligencia simplificada, normal e intensificada
No todos los terceros requieren el mismo nivel de revisión.
La debida diligencia simplificada puede aplicarse cuando existe un riesgo bajo previamente sustentado. Esto no significa eliminar los controles, sino ajustar su alcance y frecuencia.
La debida diligencia normal incluye la identificación, verificación, clasificación, análisis y monitoreo básico de la contraparte.
La debida diligencia intensificada exige medidas adicionales cuando el tercero presenta un mayor riesgo. Puede aplicarse, por ejemplo, ante PEP, jurisdicciones de alto riesgo, estructuras societarias complejas, resistencia a entregar información, operaciones sin justificación económica o señales reputacionales relevantes.
En estos casos puede requerirse:
- Identificar con mayor profundidad al beneficiario final.
- Verificar el origen de los fondos o activos.
- Solicitar documentación adicional.
- Obtener aprobación de un nivel superior.
- Aumentar la frecuencia del monitoreo.
- Documentar expresamente la justificación de la relación.
La regla operativa es clara: a mayor riesgo, mayor profundidad de conocimiento y control.
Cómo centralizar la debida diligencia con Validiti
Cuando las verificaciones se realizan manualmente y en múltiples portales, el proceso puede volverse lento, fragmentado y difícil de auditar.
Además del tiempo invertido, aumenta el riesgo de omitir una fuente, utilizar información desactualizada o perder los soportes que justificaron una decisión.
Validiti permite integrar en un mismo entorno la consulta y validación de diferentes tipos de contrapartes y activos, incluyendo:
- Personas naturales.
- Empresas.
- Proveedores.
- Contratistas.
- Representantes y terceros relacionados.
- Vehículos.
Esta integración facilita que el oficial de cumplimiento o el área responsable pueda revisar información de manera más ordenada, mantener trazabilidad de las consultas y sustentar las decisiones tomadas durante la vinculación y el monitoreo.
El objetivo no es reemplazar el criterio del responsable de cumplimiento. La tecnología permite reducir la carga operativa para que el análisis se concentre en los hallazgos y riesgos que realmente requieren atención.
Preguntas frecuentes sobre debida diligencia
Debe realizarse antes de vincular a una contraparte y mantenerse durante toda la relación. También debe actualizarse cuando cambien sus datos, estructura, comportamiento o nivel de riesgo.
No. La consulta de listas es un control importante, pero debe complementarse con identificación, verificación documental, beneficiarios finales, análisis reputacional, clasificación de riesgo y monitoreo.
Un proveedor es un tipo de tercero. El concepto de tercero también puede incluir clientes, empleados, contratistas, aliados, agentes, distribuidores, accionistas, representantes legales e intermediarios.
La coincidencia debe analizarse para determinar si corresponde realmente a la persona o empresa consultada. No todas las alertas implican que la relación deba rechazarse, pero todas deben evaluarse y documentarse.
No. Debe mantenerse mediante actualizaciones y monitoreo periódico, porque el perfil y los antecedentes de una contraparte pueden cambiar.
De la consulta aislada a una gestión integral del riesgo
Una debida diligencia efectiva conecta personas, empresas, beneficiarios finales, proveedores, contratistas, vehículos y activos dentro de una visión integral del tercero.
Este enfoque permite detectar relaciones que podrían pasar inadvertidas en una consulta individual, reducir la exposición a riesgos y construir expedientes con mayor trazabilidad.
Para las organizaciones que administran numerosas contrapartes, centralizar las verificaciones deja de ser solamente una mejora de eficiencia. Se convierte en una herramienta para proteger la operación, respaldar las decisiones del oficial de cumplimiento y fortalecer la capacidad de respuesta frente a auditorías o requerimientos regulatorios.
Con Validiti, las empresas pueden avanzar de consultas dispersas hacia un proceso integrado de conocimiento, verificación y monitoreo de terceros.
