Debida diligencia de contrapartes en 2026: qué exige Supersociedades y cuándo intensificarla

La debida diligencia de contrapartes es el proceso con el que una empresa obligada al sistema unificado de prevención LA/FT/FP y C/ST conoce a sus clientes, proveedores, empleados, socios y contratistas antes de vincularlos y mientras dura la relación. La Circular Externa 100-000020 de 2026 de la Superintendencia de Sociedades la regula en los numerales 9.15 a 9.17, fija cinco lineamientos mínimos y pone plazos de actualización: al menos una vez al año para las contrapartes de riesgo alto y cada dos años para las de riesgo medio o bajo. Esta guía explica qué debe hacer en cada caso, cuándo la debida diligencia se vuelve intensificada y qué debe quedar en el expediente.

Qué es la debida diligencia y a quién se le aplica

El numeral 9.2 la define como el proceso mediante el cual la empresa "adopta medidas para el conocimiento de la contraparte, de sus operaciones, negocios jurídicos y productos, así como del volumen de sus transacciones". La contraparte es cualquier persona natural o jurídica con la que la empresa tenga vínculos comerciales, de negocios, contractuales o jurídicos: asociados, empleados, clientes, acreedores, contratistas y proveedores.

La definición de contratista del mismo numeral es más amplia de lo que muchos formatos reflejan: incluye intermediarios, agentes, distribuidores, asesores, consultores y quienes sean parte de consorcios, uniones temporales o contratos de colaboración con la empresa. El error más común es tener un formulario de vinculación para clientes y nada para los demás. En una revisión, la pregunta típica es por el expediente de un agente comercial o de un socio que entró en la última capitalización.

Este artículo trata la debida diligencia del sistema completo (numerales 9.4 y 9.5). Las empresas del Régimen de Medidas Mínimas tienen una versión más corta en el numeral 9.21.3, que explicamos en la guía del Régimen de Medidas Mínimas.

El punto de partida: enfoque basado en riesgo

El numeral 9.15 parte de una regla que cambia la forma de diseñar los formatos: "no todos los negocios jurídicos, las transacciones, relaciones comerciales y las contrapartes, exigen el mismo nivel o intensidad de Debida Diligencia". La empresa debe tener medidas proporcionales a su riesgo y "evitar los excesos de Debida Diligencia que puedan afectar su operación". La nota al pie 52 lo resume: medidas intensificadas en situaciones de alto riesgo y simplificadas en casos de bajo riesgo, siempre que no haya sospechas de actividades ilícitas.

El mismo numeral recuerda que la Ley 2195 de 2022 elevó la debida diligencia a principio, y cierra con una prohibición expresa: el procedimiento "en ningún caso" podrá adoptarse de manera general, sino con base en un análisis de los riesgos de cada empresa. Un manual copiado de otra compañía, con el mismo formulario para todos, contradice esa instrucción.

En la práctica, esto significa clasificar primero y diseñar después. Un proveedor de papelería que factura montos pequeños por transferencia no necesita el mismo expediente que un intermediario que gestiona permisos ante una entidad pública y cobra comisión de éxito. Defina segmentos de contraparte, asígneles un nivel de riesgo con criterios escritos y, a partir de allí, decida qué documentos pide a cada uno.

Los cinco lineamientos mínimos del numeral 9.15.1

1. Identificar y verificar la identidad

La empresa debe identificar a la contraparte y verificar su identidad "utilizando documentos, datos o información confiable, de fuentes independientes", y diseñar formatos de conocimiento que puede ajustar según su sector y sus factores de riesgo. La información que entrega la propia contraparte no es fuente independiente: el certificado de existencia y representación legal expedido por la cámara de comercio y las consultas en fuentes públicas sí lo son.

2. Entender el propósito del negocio

Hay que indagar sobre el objeto y los elementos esenciales del negocio y la pertinencia de celebrarlo. La circular pide verificar que exista "una identidad contractual y su correspondiente correlación" con los bienes o servicios que se contratan. Un contrato de "asesoría general" con honorarios altos y sin entregables definidos es exactamente lo que este lineamiento busca detectar.

3. Identificar al beneficiario final y la estructura de propiedad

El beneficiario final es la persona natural que en último término es dueña o controla a la contraparte; la circular remite a la definición del Estatuto Tributario (artículo 631-5). La empresa debe tomar medidas razonables para verificar su identidad, con información "adecuada, precisa y actualizada", y especificar cómo se ejerce el control: por propiedad (acciones, participaciones) o por otros medios (control efectivo). Las medidas deben ser proporcionales al riesgo y a la complejidad de la estructura, sin volverse excesivas.

El error frecuente es aceptar como beneficiario final a otra sociedad. Si la contraparte es una SAS cuya única accionista es una sociedad extranjera, la debida diligencia no termina en el nombre de esa sociedad: hay que llegar a las personas naturales detrás de ella.

4. Hacer un análisis continuo y llevar una base de datos

La debida diligencia no termina con la vinculación. La empresa debe revisar que las transacciones sean consistentes con lo que sabe de la contraparte, su actividad y su perfil de riesgo, incluido el origen de los fondos cuando sea necesario. Para eso debe construir una base de datos u otro mecanismo que permita consolidar información e identificar alertas, con estos campos mínimos:

5. Analizar remuneraciones y pagos

La circular pide revisar los pagos y remuneraciones, los canales de distribución, las jurisdicciones de pago y de ejecución del negocio, y los pagos en jurisdicciones de alto riesgo, para verificar su "relación de causalidad". La debida diligencia debe dar elementos para descartar que una remuneración muy elevada esconda sobornos a servidores públicos nacionales o extranjeros a través de un intermediario. Dos señales típicas: una comisión que duplica lo usual en el mercado y un pago a una cuenta en un país distinto al de la contraparte o al de ejecución del contrato.

Para todo lo anterior, la empresa debe designar personal competente con recursos humanos y tecnológicos para consultar antecedentes comerciales, reputacionales y sancionatorios (administrativos, penales o disciplinarios). Los procedimientos cubren también a los potenciales contratistas y a las personas que prestan servicios a los contratistas cuando sean relevantes según el riesgo, lo que en una constructora, por ejemplo, alcanza a los subcontratistas.

Cada cuánto actualizar la debida diligencia

La circular insiste en que el plazo anual "no deberá interpretarse como una limitación temporal" y que el conocimiento de la contraparte es "un proceso dinámico y continuo". Una empresa que actualiza a todas sus contrapartes cada enero, pero no reacciona cuando un proveedor cambia de accionistas en junio, cumple el calendario y falla en lo que importa. Configure alertas para los cambios que sí puede detectar: un nuevo representante legal, una cuenta bancaria distinta para los pagos o un aumento fuerte en el volumen de operaciones.

Antes de vincular, y qué hacer si no se puede completar

La debida diligencia debe hacerse antes del negocio, la transacción o la relación comercial, y solo de manera excepcional después, "siempre garantizando que los riesgos LA/FT/FP y C/ST estén bajo control, documentando el proceso" (numeral 9.15.1). Si no se puede completar satisfactoriamente, la empresa debe evaluar, según su política, si continúa la relación y si procede un reporte de operación sospechosa (ROS) a la UIAF.

Cuando no sea posible identificar o conocer a la contraparte o a su beneficiario final, el Oficial de Cumplimiento debe dejar documentadas las razones jurídicas de la limitación, y eso no lo exime de completar la debida diligencia después de la vinculación (numeral 9.15).

Advertencia: la circular no fija un plazo para completar la debida diligencia cuando se hace de manera posterior. Defínalo usted en el manual, junto con los casos en que se admite la excepción (por ejemplo, un proveedor de un insumo urgente) y quién la autoriza. Sin esa regla escrita, la excepción termina convertida en la práctica habitual.

Listas vinculantes: consulta permanente

El numeral 9.15.1 exige consultar "permanentemente" las listas vinculantes, en consonancia con el artículo 20 de la Ley 1121 de 2006 y las Recomendaciones 6 y 7 del GAFI. Según el numeral 9.2, son las listas de personas y entidades asociadas con organizaciones terroristas que obligan a Colombia, incluidas las del Consejo de Seguridad de las Naciones Unidas (por ejemplo, las Resoluciones 1267 de 1999 y 1373 de 2001), y otras como las listas de terroristas de Estados Unidos y de la Unión Europea.

Si se identifica cualquier bien, activo, fondo o derecho de una persona o entidad incluida en esas listas, el Oficial de Cumplimiento debe reportarlo de manera inmediata a la UIAF y ponerlo en conocimiento de la Fiscalía General de la Nación. Como buena práctica, consulte en la vinculación, en cada actualización y cada vez que las listas cambien, cruzando la base de datos completa y no solo las contrapartes nuevas.

Situaciones especiales: efectivo, ventas masivas y activos virtuales

El numeral 9.16 añade reglas para tres situaciones:

• Operaciones en efectivo (9.16.1). Son un factor de riesgo. La empresa que recibe efectivo debe definir cómo lo maneja y fijar patrones de normalidad, de modo que las operaciones que se aparten de ellos se traten como señal de alerta.
• Ventas masivas o retail (9.16.2). Cuando el canal impide una debida diligencia detallada a cada comprador, deben fijarse umbrales específicos para hacerla de forma proporcional, y el esfuerzo se concentra en detectar operaciones inusuales.
• Activos virtuales (9.16.3). Hay que adoptar medidas razonables para identificar a la persona con quien se hace la operación y los riesgos asociados. El numeral 9.17 exige, además, debida diligencia intensificada a quienes desarrollen actividades con activos virtuales.

El numeral 9.16.4 exceptúa de la debida diligencia los actos registrales de las cámaras de comercio y los servicios de sus centros de arbitraje y conciliación.

Debida diligencia intensificada: cuándo aplica y qué añade

La debida diligencia intensificada es un conocimiento más profundo de la contraparte, sus negocios y el origen de sus recursos (numerales 9.2 y 9.17). El numeral 9.17 obliga a examinar, tanto como sea razonablemente posible, los antecedentes y el propósito de las transacciones complejas e inusuales sin propósito económico o lícito aparente, y a aplicar estas medidas cuando la contraparte o su beneficiario final:

• representa un mayor riesgo para la empresa;
• es una persona expuesta políticamente (PEP), o
• está ubicada en países no cooperantes o jurisdicciones de alto riesgo, según los listados del GAFI, que la empresa debe revisar permanentemente.

Además de la debida diligencia ordinaria, la intensificada exige tres medidas: obtener la aprobación de la alta gerencia para empezar o continuar la relación, adoptar medidas razonables para establecer el origen de los recursos y hacer un monitoreo continuo e intensificado de la relación.

Qué incluye la debida diligencia a una PEP

Una PEP es la persona expuesta políticamente según el Decreto 1081 de 2015, incluidas las PEP extranjeras (numeral 9.2). Ese decreto, modificado por el Decreto 830 de 2021, mantiene la calidad de PEP durante el cargo y los dos años siguientes al retiro. Según el numeral 9.17, la debida diligencia intensificada a una PEP se extiende a:

• su cónyuge o compañero permanente;
• sus familiares hasta el segundo grado de consanguinidad, primero de afinidad y primero civil;
• la declaración de las cuentas financieras en el exterior sobre las que tenga derecho o poder de firma;
• las personas jurídicas o naturales, patrimonios autónomos o fiducias del artículo 2.1.4.2.3 del Decreto 1081 de 2015, y
• sus asociados cercanos.

También se aplica cuando la PEP es beneficiaria final de la contraparte, actúe de forma directa o indirecta. Por eso no basta con preguntarle a la contraparte "¿es usted PEP?": el formulario debe preguntar también por sus beneficiarios finales y por los vínculos familiares relevantes.

Advertencia sobre los asociados cercanos: el numeral 9.2 incluye entre ellos a las personas jurídicas con las que la PEP "mantenga relaciones comerciales", una categoría tan amplia que, leída al pie de la letra, sería imposible de cubrir. Aplíquela con el enfoque basado en riesgo que pide el mismo numeral 9.17: deje escrito en el manual qué relaciones comerciales considera relevantes y por qué.

Qué debe quedar documentado

El numeral 9.22 exige que todo repose en documentos y registros que garanticen integridad, oportunidad, confiabilidad, reserva y disponibilidad. La información que entregó la contraparte y "el nombre de la persona que la verificó" deben quedar documentados "con fecha y hora". Los soportes se conservan según el artículo 28 de la Ley 962 de 2005, salvo lo previsto en el parágrafo 3 del artículo 12 de la Ley 2195 de 2022, y el tratamiento de los datos debe respetar las Leyes 1266 de 2008 y 1581 de 2012: el formulario de vinculación necesita la autorización de tratamiento de datos personales.

Un expediente que resiste una revisión suele tener, como buena práctica:

• formulario de vinculación firmado, con la autorización de tratamiento de datos;
• soportes de identidad de la contraparte y de su beneficiario final, con la estructura de propiedad cuando sea una sociedad;
• constancia de la consulta en listas vinculantes y de antecedentes, con fecha, hora y nombre de quien la hizo;
• calificación de riesgo asignada y el criterio usado;
• aprobación de la alta gerencia cuando se aplicó debida diligencia intensificada, y
• registro de cada actualización.

Recuerde que el numeral 9.9.5, literal g, le asigna al Oficial de Cumplimiento la verificación de estos procedimientos; revise sus requisitos y funciones en nuestra guía sobre los requisitos del Oficial de Cumplimiento. Supersociedades, por su parte, puede pedir información financiera, contable y contractual para supervisar la debida diligencia (numeral 9.15.1).

Preguntas frecuentes