La debida diligencia empresarial en Colombia acaba de recibir una actualización importante.
Mediante la Circular Externa 100-000020 del 2 de julio de 2026, la Superintendencia de Sociedades expidió una nueva Circular Básica Jurídica y reorganizó las disposiciones relacionadas con la gestión de riesgos de lavado de activos, financiación del terrorismo, proliferación de armas, corrupción y soborno transnacional.
Entre los cambios aparece un principio especialmente relevante para las empresas: conocer mejor a una contraparte no significa necesariamente aplicar el mismo procedimiento a todas.
La intensidad depende del riesgo:
La nueva regulación establece que no todos los negocios, transacciones, relaciones comerciales y contrapartes exigen el mismo nivel de debida diligencia.
Las medidas deben ser proporcionales al riesgo identificado.
Esto permite diferenciar situaciones que por su naturaleza, volumen, complejidad o exposición presentan riesgos distintos. Una relación de bajo riesgo no necesariamente requiere la misma profundidad de análisis que una estructura empresarial compleja, una persona expuesta políticamente o una operación que presenta señales de alerta.
La Superintendencia también advierte sobre la necesidad de evitar excesos de debida diligencia que puedan afectar innecesariamente la operación.
El principio no disminuye la responsabilidad de conocer a la contraparte. Busca que los controles respondan al riesgo real.
Conocer es más que identificar:
La debida diligencia tampoco termina cuando una persona o empresa entrega sus documentos para iniciar una relación comercial.
El nuevo marco fortalece el conocimiento de las contrapartes, la identificación de beneficiarios finales y de las estructuras de propiedad y control, así como la consulta de información relevante sobre antecedentes comerciales, reputacionales y sancionatorios.
En determinadas situaciones de mayor riesgo pueden requerirse medidas adicionales, entre ellas un conocimiento más profundo del origen de los recursos, aprobación de niveles superiores dentro de la organización y monitoreo intensificado.
La lógica comienza a desplazarse así desde una fotografía inicial de la contraparte hacia una relación que debe poder observarse durante el tiempo.
Del conocimiento al monitoreo:
Una de las consecuencias de este enfoque es que la debida diligencia adquiere una dimensión continua.
Las empresas deben analizar sus relaciones comerciales y transacciones, conservar información y disponer de mecanismos que permitan identificar cambios en el perfil de riesgo o posibles señales de alerta.
La actualización también depende del riesgo. Las contrapartes clasificadas en niveles superiores requieren revisiones más frecuentes y cualquier cambio significativo puede justificar una nueva evaluación sin esperar al siguiente período programado.
La información deja entonces de cumplir únicamente una función documental.
También sirve para comparar el comportamiento de una operación con lo que se conoce previamente de quien la realiza.
Beneficiario final y control efectivo:
La nueva circular también profundiza el conocimiento de las personas que finalmente poseen o controlan una organización.
No basta necesariamente con identificar al representante legal o revisar formalmente la composición accionaria.
Las empresas deben adoptar medidas razonables para identificar y verificar a los beneficiarios finales y comprender las estructuras mediante las cuales puede ejercerse propiedad o control efectivo.
Nuevamente aparece el principio de proporcionalidad: la profundidad del análisis debe guardar relación con el riesgo y con la complejidad de la estructura examinada.
El efectivo también modifica el riesgo:
La regulación reconoce expresamente las operaciones en efectivo como un factor que debe considerarse dentro de la evaluación de riesgos.
Esto no significa que una operación en efectivo sea por sí misma ilícita.
Significa que la forma de pago constituye información relevante para comprender una transacción y determinar qué controles resultan apropiados.
En sectores con fuerte presencia territorial y diferentes niveles de acceso al sistema financiero, esta distinción resulta particularmente importante.
Tecnología sin una fórmula única:
La regulación establece qué debe poder conocer, verificar, documentar y monitorear una empresa, pero no impone una única tecnología para hacerlo.
Durante la discusión previa de la circular incluso se planteó la necesidad de precisar herramientas como la biometría para procesos digitales. La Superintendencia optó por mantener un esquema flexible y basado en riesgo, en lugar de establecer una tecnología obligatoria para todas las situaciones.
Esto abre espacio para combinar diferentes mecanismos de identificación, fuentes de información y herramientas tecnológicas de acuerdo con las características de cada operación.
Lo importante será poder demostrar que los mecanismos utilizados fueron razonables frente al riesgo identificado.
Una debida diligencia más dinámica:
El cambio refleja una evolución importante en la manera de entender el cumplimiento empresarial.
La pregunta deja de ser únicamente cuántos documentos se solicitaron.
También importa qué riesgo se intentaba comprender, qué información era necesaria para hacerlo, cómo fue verificada y qué ocurrió posteriormente durante la relación comercial.
La debida diligencia comienza así a parecerse menos a una lista uniforme de requisitos y más a un proceso continuo de conocimiento y gestión del riesgo.
Conocer mejor no necesariamente significa pedirle más información a todo el mundo. También significa saber qué información resulta necesaria en cada caso y por qué.
Fuentes:
Superintendencia de Sociedades — Circular Externa 100-000020 del 2 de julio de 2026, nueva Circular Básica Jurídica; Superintendencia de Sociedades — informe de observaciones al proyecto de Circular Básica Jurídica.
