Alexander Galindo Beltrán
Gerente de Soluciones en Cumplimiento
Introducción
En un entorno empresarial cada vez más expuesto a riesgos de lavado de activos, financiación del terrorismo, financiamiento de la proliferación de armas de destrucción masiva, corrupción y soborno transnacional, la debida diligencia dejó de ser un simple requisito formal para convertirse en un pilar estratégico de gestión del riesgo. Hoy, tanto el GAFI como la normatividad colombiana exigen a las organizaciones conocer de manera real, verificable y continua a sus clientes, contrapartes y terceros.
Sin embargo, una pregunta clave persiste: ¿las empresas están aplicando una debida diligencia efectiva o simplemente están cumpliendo con un checklist documental? Este artículo analiza los fundamentos normativos, los elementos mínimos y los principales retos prácticos de la debida diligencia, integrando el enfoque basado en riesgo y la identificación del beneficiario final, y ofreciendo reflexiones alineadas con servicios especializados en cumplimiento y gestión del riesgo.
La debida diligencia como estándar internacional y obligación legal
Desde el plano internacional, las recomendaciones 10 y 22 del GAFI definen la debida diligencia del cliente (DDC) como el conjunto de medidas preventivas destinadas a identificar, verificar y monitorear al cliente y su relación comercial, con el fin de prevenir el LA/FT. Estas medidas incluyen no solo la identificación formal, sino también la comprensión del propósito de la relación, el perfil transaccional y la fuente de los recursos.
En Colombia, este estándar se consolida normativamente con la Ley 2195 de 2022, que eleva la debida diligencia a una obligación fundamental para entidades públicas, privadas, personas naturales y estructuras sin personería jurídica. Su alcance no se limita al riesgo LA/FT, sino que incorpora el riesgo de corrupción y soborno, y refuerza la obligación de identificar y reportar al Registro Único de Beneficiarios Finales (RUB).
A ello se suman las instrucciones de la Superintendencia de Sociedades, particularmente el Capítulo X (SAGRILAFT) y el Capítulo XIII (PTEE), que establecen lineamientos claros sobre procesos, responsabilidades y documentación.
Elementos mínimos: más allá de la identificación formal
Una debida diligencia efectiva no se agota en recopilar documentos. El GAFI es claro al señalar cuatro elementos mínimos:
- Identificación y verificación del cliente (o contraparte), mediante fuentes confiables e independientes.
- Identificación del beneficiario final, para entender la estructura de propiedad y control.
- Comprensión del propósito y naturaleza de la relación comercial.
- Monitoreo continuo, para verificar que las operaciones sean coherentes con el perfil de riesgo.
En la práctica, uno de los errores más frecuentes es tratar estos elementos como un evento puntual. La normativa colombiana enfatiza que la debida diligencia es un proceso continuo, que debe actualizarse como mínimo cada dos años o cuando existan cambios jurídicos, operativos o reputacionales relevantes.
Un caso típico es el de empresas que realizan una correcta vinculación inicial, pero no detectan que, con el tiempo, su cliente o contraparte cambia de accionistas, se expande a jurisdicciones de alto riesgo o modifica sustancialmente su volumen transaccional. Sin monitoreo, el riesgo pasa inadvertido.
El enfoque basado en riesgo: una obligación, no una opción
El Enfoque Basado en Riesgo (EBR), consagrado en la Recomendación 1 del GAFI, es el eje que articula todo el sistema. Este principio implica que no todos los clientes ni contrapartes deben ser tratados de la misma forma. A mayor riesgo, mayores y más profundas deben ser las medidas de debida diligencia.
En Colombia, este enfoque se refleja en la clasificación de contrapartes de mayor riesgo, como por ejemplo:
- Personas Expuestas Políticamente (PEP).
- Contrapartes ubicadas en países no cooperantes o jurisdicciones de alto riesgo.
- Operaciones relacionadas con activos virtuales.
En estos casos, la empresa debe aplicar debida diligencia intensificada, lo que puede incluir una validación reforzada del origen de los recursos, aprobaciones de niveles superiores y un monitoreo transaccional más frecuente.
Es importante resaltar que la normativa es clara: las obligaciones en debida diligencia son de medio y no de resultado. Esto significa que la empresa no garantiza la inexistencia del riesgo, pero sí debe demostrar que aplicó medidas razonables, proporcionales y documentadas, acordes con su actividad, materialidad del riesgo y contexto geográfico.
Beneficiario final: el corazón del conocimiento real de la contraparte
La identificación del beneficiario final es, sin duda, uno de los mayores retos operativos. Según el Estatuto Tributario y la Resolución 164 de 2021, entre otras, de la DIAN, se considera beneficiario final a la persona natural que posea directa o indirectamente el 5% o más del capital, derechos de voto o beneficios, o que ejerza control por cualquier otro medio.
Cuando no es posible identificarlo bajo estos criterios, debe reportarse al representante legal o a quien ejerza mayor autoridad. La normativa exige que esta identificación se realice por todos los medios posibles, en el que se incluya el análisis de la estructura de control y la verificación de la información suministrada.
Aquí, nuevamente, la experiencia demuestra que muchas organizaciones dependen exclusivamente de declaraciones del cliente, sin realizar validaciones cruzadas ni análisis estructurales, lo que debilita significativamente el sistema de prevención.
Conclusiones y perspectivas: de la formalidad a la efectividad
La debida diligencia ya no puede entenderse como un requisito documental ni como una carga regulatoria. Es una herramienta estratégica de protección empresarial que permite gestionar riesgos, proteger la reputación y garantizar la sostenibilidad del negocio.
Las organizaciones que logran madurar sus sistemas son aquellas que:
- Documentan cada etapa del proceso.
- Aplican el enfoque basado en riesgo de manera real.
- Verifican, no solo confían.
- Integran tecnología, análisis y criterio experto.
En este contexto, los servicios especializados en diseño, evaluación y fortalecimiento de modelos de debida diligencia, identificación de beneficiarios finales, monitoreo de contrapartes y acompañamiento normativo, tal como los que ofrece Risk Consulting Global Group, se convierten en aliados clave para pasar del cumplimiento formal a una gestión efectiva del riesgo.
Porque en cumplimiento, la regla es clara: nunca asumir, siempre verificar.
Fuentes:
Congreso de la República de Colombia. Ley 2195 de 2022, “Por medio de la cual se adoptan medidas en materia de transparencia, prevención y lucha contra la corrupción y se dictan otras disposiciones”.
DIAN – Dirección de Impuestos y Aduanas Nacionales. Estatuto Tributario Colombiano, artículo 631-5 Beneficiarios finales. Resolución 000164 de 2021. Resolución 000037 de 2022. Resolución 001240 de 2022. Reglamentación del Registro Único de Beneficiarios Finales (RUB).
GAFI – Grupo de Acción Financiera Internacional (2025). Las 40 Recomendaciones. Recomendación 1 – Enfoque Basado en Riesgos, Recomendación 10 – Debida Diligencia, Recomendación 22 – APNFD y Debida Diligencia. Disponible en www.fatf-gafi-org
SFC – Superintendencia Financiera de Colombia (2026). Circular Básica Jurídica. Parte I, Título IV, Capítulo IV, Sistema de Administración del Riesgo de Lavado de Activos y de la Financiación del Terrorismo – SARLAFT.
Superintendencia de Sociedades. Oficios relacionados con debida diligencia, beneficiario final y obligaciones de medio, entre ellos: Oficio 220-146026 de 2021. Oficio 220-057402 de 2022. Oficio 220-158863 de 2022 (Utilizados como referencia interpretativa para la aplicación práctica del enfoque basado en riesgo y la debida diligencia).
UIAF – Unidad de Información y Análisis Financiero. Lineamientos para el reporte de operaciones sospechosas (ROS) y obligaciones de las entidades vigiladas.
