Un cambio de cargo puede modificar el perfil de riesgo de una contraparte, pero no elimina automáticamente su condición de Persona Expuesta Políticamente (PEP). Este es un punto que muchas empresas pasan por alto cuando actualizan expedientes de clientes, proveedores, contratistas, beneficiarios finales o representantes legales.
En Colombia, el Decreto 830 de 2021 establece que la calidad de PEP se mantiene durante el ejercicio del cargo y por dos años más desde la dejación, renuncia, despido o declaración de insubsistencia. En un entorno de nombramientos, rotaciones administrativas y cambios societarios, revisar solo la información entregada al momento de la vinculación puede dejar el expediente desactualizado.
Para el Oficial de Cumplimiento, la pregunta no es únicamente si una persona ocupa hoy un cargo público. También debe evaluar qué relación mantiene con la contraparte, qué controles corresponden al nivel de riesgo y qué evidencia respalda la decisión.
¿Qué significa actualizar una validación PEP?
Actualizar una validación PEP no equivale a repetir exactamente la misma consulta cada año. Significa revisar si ocurrió un cambio que altera la información, el riesgo o los controles de una relación comercial.
Entre los eventos que pueden justificar una actualización están:
- cambio, terminación o inicio de un cargo público;
- ingreso o salida de un representante legal, accionista o beneficiario final;
- modificación de la estructura societaria;
- aparición de una alerta, sanción, noticia adversa o nueva fuente relevante;
- cambio en el objeto, monto, jurisdicción o forma de la relación comercial;
- vencimiento de la periodicidad definida en la matriz de riesgo;
- identificación de una relación familiar o de asociación cercana que no estaba documentada.
El objetivo no es tratar a toda contraparte como un caso de alto riesgo. Es evitar que una decisión actual se base en una fotografía antigua.
La condición PEP no termina el día que termina el cargo
El Decreto 830 de 2021 define personas expuestas políticamente y establece que la calidad se conserva durante el ejercicio del cargo y por dos años más. Esa regla evita que la empresa reduzca controles justo cuando una persona deja una posición de influencia.
La condición PEP tampoco debe confundirse con una lista restrictiva o vinculante. Ser PEP no implica una sanción, una conducta ilegal ni la prohibición automática de contratar. Significa que la relación requiere una evaluación basada en riesgo y, cuando aplique, debida diligencia intensificada, aprobación de una instancia superior o monitoreo reforzado.
El error frecuente es reemplazar una decisión de riesgo por una regla binaria: “aparece” o “no aparece”. Un proceso sólido necesita confirmar la identidad, entender el cargo o vínculo, evaluar la relación comercial y documentar los controles aplicados.
¿Por qué es especialmente relevante en 2026?
La nueva Circular Básica Jurídica, adoptada mediante la Circular Externa 100-000020 del 2 de julio de 2026, refuerza un enfoque integral de gestión de riesgos para los sujetos obligados bajo supervisión de Supersociedades. Este modelo conecta la gestión LA/FT/FP con riesgos de corrupción local y soborno transnacional.
En ese contexto, la información sobre PEPs no debería quedar aislada en una consulta inicial. Puede ser relevante para procesos de conocimiento de terceros, análisis de beneficiarios finales, contratación de proveedores, relacionamiento con entidades públicas y actualización de perfiles de riesgo.
La Circular no indica que toda PEP deba recibir el mismo tratamiento. Exige que los controles sean coherentes con el riesgo, las políticas de la empresa y la evidencia disponible. Precisamente por eso, tener información actualizada y trazable se vuelve más importante que acumular pantallazos.
Cinco controles prácticos para actualizar expedientes PEP
1. Defina disparadores de actualización
No deje la actualización únicamente en manos de un calendario anual. Defina eventos que obliguen a revisar el expediente: cambio de administración, modificación accionaria, vinculación a una operación sensible, aparición de una alerta o cambios en el comportamiento de la contraparte.
2. Revise la relación, no solo el nombre
Una PEP puede aparecer como representante legal, accionista, beneficiario final, apoderado, proveedor, contratista o persona relacionada. Si se valida solamente a la persona que firma un contrato, el análisis puede omitir a quien controla o se beneficia de la relación.
3. Confirme posibles coincidencias y homonimias
Una coincidencia de nombre no confirma la identidad. Contraste documento, fecha de nacimiento, cargo, entidad, país y demás datos disponibles. La información incompleta debe llevar a una revisión adicional, no a una conclusión automática.
4. Documente el análisis y la decisión
El expediente debe indicar qué se consultó, en qué fecha, cuáles fueron los resultados, qué señales se analizaron, quién tomó la decisión y cuándo deberá actualizarse. Esta trazabilidad permite explicar la decisión ante auditorías, comités o revisiones internas.
5. Ajuste la periodicidad al riesgo
No todos los terceros necesitan la misma frecuencia. Una contraparte crítica, un beneficiario final PEP o una relación con exposición estatal puede requerir revisiones más frecuentes que un tercero de bajo riesgo. La periodicidad debe responder a la matriz, no a una rutina uniforme.
Tabla de decisión: qué revisar según el cambio detectado
| Cambio detectado | Pregunta de control | Acción sugerida |
|---|---|---|
| La persona deja un cargo público | ¿La condición PEP se mantiene bajo la norma aplicable? | Mantener la clasificación y aplicar el periodo de dos años establecido en Colombia. |
| Nuevo representante legal o accionista | ¿La estructura y los relacionados fueron actualizados? | Verificar identidad, PEP, listas y demás fuentes definidas por la política. |
| Cambio en una contratación o relación estatal | ¿El riesgo de corrupción o conflicto de interés cambió? | Actualizar el análisis de riesgo, responsables de aprobación y soportes. |
| Posible coincidencia PEP | ¿Los datos confirman que es la misma persona? | Resolver homonimia y documentar la conclusión antes de decidir. |
| Alerta posterior a la vinculación | ¿El perfil actual sigue siendo aceptable? | Reabrir el expediente, evaluar controles y definir el escalamiento. |
PEPs, asociados cercanos y beneficiarios finales
La revisión no debería limitarse a una persona identificada como PEP. Dependiendo del riesgo y de la información disponible, la empresa puede necesitar entender sus relaciones con asociados cercanos, familiares, accionistas, beneficiarios finales o personas que ejercen control.
Esto no autoriza a recolectar información indiscriminada. La validación debe tener una finalidad legítima, ser pertinente para el proceso y respetar las obligaciones de protección de datos. El principio es simple: obtener la información necesaria para gestionar el riesgo, no acumular datos sin un propósito definido.
Cómo puede apoyar Validiti
Validiti permite consultar personas, empresas y otros terceros en fuentes nacionales e internacionales. La plataforma ayuda a identificar posibles coincidencias PEP, contrastarlas con otras fuentes relevantes para cumplimiento, generar reportes y conservar el histórico de las consultas.
También permite organizar el monitoreo parametrizable cuando el perfil de riesgo lo justifica. La herramienta no decide por la empresa ni reemplaza al Oficial de Cumplimiento: facilita que el equipo tenga información más ordenada, pertinente y trazable para sustentar una decisión.
Preguntas frecuentes
En Colombia, la calidad PEP se mantiene durante el ejercicio del cargo y por dos años más, de acuerdo con el Decreto 830 de 2021. La empresa debe aplicar esta regla junto con su política interna y el análisis de riesgo.
No. Ser PEP no equivale a una sanción ni a una lista vinculante. La empresa debe confirmar la identidad, evaluar el contexto y aplicar los controles definidos en su sistema de cumplimiento.
No existe una única periodicidad válida para todos los casos. La frecuencia debe definirse según el riesgo, el tipo de contraparte, la naturaleza de la relación y los eventos que pueden modificar el perfil.
Como mínimo: fecha de la consulta, fuentes revisadas, datos usados para confirmar identidad, hallazgos, análisis, decisión, responsables y próxima fecha o disparador de actualización.
