Una PEP, o Persona Expuesta Políticamente, es una persona que por el cargo o la función pública que desempeña puede tener una mayor exposición a riesgos de corrupción, lavado de activos, financiación del terrorismo o conflictos de interés.
Esta condición es relevante para bancos, aseguradoras, empresas de transporte, compañías que trabajan con el Estado, áreas de compras, talento humano y, en general, cualquier organización que deba conocer y gestionar el riesgo de sus clientes, proveedores, contratistas y demás terceros.
Sin embargo, existe una confusión frecuente: ser PEP no significa haber cometido una irregularidad, estar sancionado o no poder contratar. Significa que la relación puede requerir un análisis más cuidadoso, controles proporcionales y evidencia de la decisión tomada.
¿Qué significa PEP?
PEP significa Persona Expuesta Políticamente. En Colombia, el Decreto 830 de 2021 regula esta figura y establece categorías de personas expuestas políticamente por el cargo que desempeñan, por reconocimiento público, extranjeras y vinculadas a organizaciones internacionales.
La condición se asocia a funciones de alto nivel, manejo o influencia sobre recursos públicos y capacidad de incidir en decisiones estatales. Por esa exposición, los estándares de prevención de riesgos recomiendan que las organizaciones conozcan mejor la relación, identifiquen posibles conflictos y documenten los controles aplicados.
La calidad de PEP se mantiene durante el ejercicio del cargo y por dos años más desde que la persona deja la función que originó la condición. Por eso, una empresa no debe asumir que un tercero deja de requerir revisión el mismo día en que termina su cargo.
¿Ser PEP es lo mismo que estar en una lista restrictiva?
No. Esta diferencia es esencial en compliance.
Una PEP tiene una condición de riesgo asociada a su función o exposición pública. Una lista restrictiva puede contener información de riesgo, sanciones, investigaciones, fuentes reputacionales u otros registros que deben evaluarse según su naturaleza. Una lista vinculante, por su parte, puede generar obligaciones específicas para la organización.
Ninguna de estas categorías debe analizarse solo por el nombre. Antes de tomar una decisión, la empresa debe confirmar la identidad de la persona, revisar la fuente, la fecha, el contexto y la política interna aplicable.
| Concepto | Qué significa | Implicación de compliance |
|---|---|---|
| PEP | Persona con exposición política relevante, según la norma aplicable | Evaluar el riesgo, aplicar controles y documentar la decisión. |
| Lista restrictiva | Fuente que puede generar una alerta o requerir análisis adicional | Validar la coincidencia, la fuente, vigencia y materialidad. |
| Lista vinculante | Registro o medida con efectos obligatorios según el régimen aplicable | Activar el procedimiento interno y cumplir las obligaciones correspondientes. |
¿Por qué una PEP requiere controles adicionales?
Las medidas adicionales no buscan discriminar a una persona por su cargo. Buscan prevenir que una relación sea utilizada para ocultar conflictos de interés, corrupción, lavado de activos u otros riesgos.
El alcance de los controles dependerá de la matriz de riesgo y de la naturaleza de la relación. Puede incluir:
- confirmar la identidad y el cargo que origina la condición PEP;
- entender la relación de la persona con la empresa o contraparte;
- identificar beneficiarios finales, representantes y asociados cercanos cuando sea pertinente;
- analizar el origen de los recursos o la coherencia económica de la operación, cuando aplique;
- obtener niveles de aprobación definidos por la política;
- actualizar el expediente y realizar monitoreo según el riesgo;
- conservar evidencia de las consultas, análisis y decisiones.
Una coincidencia PEP no debe generar un rechazo automático. El control correcto es proporcional: ni ignorar la señal, ni tratarla como una conclusión de culpabilidad.
PEP y debida diligencia: qué debe revisar una empresa
La debida diligencia permite conocer mejor a una contraparte antes de vincularla o durante una relación existente. Cuando una PEP participa directamente o está relacionada con la contraparte, el proceso puede requerir una revisión reforzada.
Una revisión útil debería responder cinco preguntas:
1. ¿La persona identificada es realmente la PEP reportada?
Es necesario contrastar datos como documento, fecha de nacimiento, cargo, entidad y país. Esto evita confundir homónimos o atribuir un resultado a la persona equivocada.
2. ¿Cuál es la relación con la contraparte?
La PEP puede ser cliente, proveedor, contratista, representante legal, accionista, beneficiario final, apoderado o asociado cercano. La relación define la relevancia y el tipo de control.
3. ¿Qué riesgos específicos tiene la operación?
No es lo mismo una relación comercial de bajo monto que una contratación pública, una operación con jurisdicciones de mayor riesgo o una estructura societaria compleja. El análisis debe considerar actividad, sector, monto, canales, países y comportamiento esperado.
4. ¿Qué controles se aplicaron?
El expediente debe mostrar qué fuentes se consultaron, qué información se solicitó, qué aprobaciones se obtuvieron y qué medidas de monitoreo o actualización se definieron.
5. ¿La información debe actualizarse?
Una condición PEP, una estructura de propiedad o una relación comercial pueden cambiar. La empresa debe definir una periodicidad y eventos que activen una nueva revisión.
PEPs, asociados cercanos y beneficiarios finales
En algunos casos, revisar únicamente a la persona identificada como PEP no es suficiente. El riesgo puede involucrar a personas relacionadas, asociados cercanos o beneficiarios finales de una empresa.
Esto no significa que la organización deba recopilar información de manera indiscriminada. El tratamiento de datos personales debe responder a una finalidad legítima, ser pertinente y cumplir los deberes aplicables. La clave es identificar qué relaciones son relevantes para el riesgo y documentar por qué se revisaron.
Un ejemplo sencillo: si una empresa evalúa a un proveedor cuyo beneficiario final es PEP, el análisis no debería quedarse en el certificado de existencia y representación legal. Debe entender quién controla la sociedad, cuál es la relación con la operación y qué controles exige la política interna.
Errores frecuentes al gestionar PEPs
- Tratar a toda PEP como una persona prohibida. La condición PEP no equivale a sanción ni a una conducta ilegal.
- Tomar una coincidencia de nombre como una confirmación. Las homonimias deben resolverse con datos de identidad y contexto.
- Consultar una sola vez y olvidar el expediente. Los cambios de cargo, relación, propiedad o comportamiento pueden exigir actualizaciones.
- Revisar solo al representante legal. El análisis puede requerir revisar accionistas, beneficiarios finales, apoderados y otros relacionados.
- Guardar solo un pantallazo. Una evidencia completa incluye fecha, fuente, resultado, análisis, decisión y responsable.
Cómo puede apoyar Validiti
Validiti ayuda a las organizaciones a consultar personas, empresas, vehículos y terceros relacionados en fuentes nacionales e internacionales. En procesos de compliance, permite identificar posibles coincidencias PEP junto con listas, sanciones, antecedentes y otros registros relevantes.
La plataforma organiza resultados, genera reportes y conserva histórico para facilitar una decisión trazable. No sustituye el criterio del Oficial de Cumplimiento ni determina por sí sola si una relación debe aprobarse o rechazarse. Aporta información para que la empresa aplique sus políticas de forma más consistente.
Preguntas frecuentes
Sí. La condición PEP no prohíbe la relación. La empresa debe evaluar el riesgo, aplicar los controles definidos por su política y documentar la decisión.
El Decreto 830 de 2021 establece que se mantiene durante el ejercicio del cargo y por dos años más desde la dejación, renuncia, despido o declaración de insubsistencia.
No. PEP y lista vinculante son conceptos diferentes. La condición PEP exige evaluación basada en riesgo; una lista vinculante puede generar obligaciones específicas según el régimen aplicable.
No necesariamente. Debe definir la periodicidad y los eventos de actualización según el riesgo de la contraparte y las características de la relación.
