KYC en Colombia dejó de ser jerga de bancos. Es el proceso con el que una empresa confirma quién es su cliente antes de vincularlo, y desde 2026 tiene un peso legal que muchas compañías todavía no han medido. Esta guía explica qué es, quién está obligado, en qué niveles opera y qué fuentes espera ver consultadas un supervisor colombiano.
KYC es la sigla de Know Your Customer, en español conocimiento del cliente. Es el proceso mediante el cual una empresa verifica la identidad de una contraparte, entiende su actividad económica y evalúa el riesgo que representa antes de iniciar o continuar una relación comercial. Es el primer paso de la debida diligencia, no un sustituto de ella.
KYC y debida diligencia no son sinónimos
La confusión entre ambos términos es la causa más común de procesos incompletos. El KYC responde una pregunta puntual: ¿quién es esta persona o esta empresa y representa un riesgo aceptable? La debida diligencia responde una pregunta continua: ¿sigue siendo aceptable ese riesgo a lo largo de la relación?
En términos operativos, el KYC es la puerta de entrada y la debida diligencia es todo el recorrido. Una empresa que hace KYC pero no monitorea tiene un control de un solo día. Los tres niveles de intensidad, básico, ampliado e intensificado, aplican a ambos y los explicamos con detalle en la guía sobre debida diligencia en Colombia.
Qué empresas están obligadas a implementar KYC en Colombia
La obligación no viene de una norma llamada KYC, sino de los sistemas que lo exigen como componente. En Colombia son tres frentes principales.
Sector financiero. Las entidades vigiladas por la Superintendencia Financiera deben aplicar el SARLAFT, cuyo marco está en el Capítulo IV, Título IV, Parte I de la Circular Básica Jurídica, modificado por la Circular Externa 027 de 2020. Cubre bancos, aseguradoras, fiduciarias, comisionistas de bolsa, casas de cambio y fintech con productos de crédito, ahorro o inversión.
Sector real. La Circular Externa 100-000020 del 2 de julio de 2026 de la Superintendencia de Sociedades reemplazó el esquema anterior y fijó umbrales expresados en Unidades de Valor Básico (UVB). Según el análisis del texto publicado por Holland & Knight, el sistema completo aplica desde 4.929.017 UVB en ingresos totales o activos totales al cierre del año anterior, cifra que sustituye el antiguo umbral de 40.000 salarios mínimos, y el Régimen de Medidas Mínimas aplica desde 369.676 UVB en ingresos o 616.127 UVB en activos, según el sector.
Sector transporte. Los sujetos vigilados por la Superintendencia de Transporte quedaron obligados con la Resolución 2328 de 2025, ajustada por la Resolución 4607 del 9 de abril de 2026, que introdujo un Régimen de Medidas Simplificadas para quienes no superan el umbral de ingresos. El plazo máximo de implementación fue el 6 de mayo de 2026.
Si su empresa opera en alguno de estos frentes y nunca ha corrido el diagnóstico contra los umbrales nuevos, el análisis es urgente: el plazo para ajustarse al marco del sector real vence el 31 de mayo de 2027.
La Ley 2573 de 2026 y por qué cambió el estándar de verificación
El 19 de mayo de 2026 se promulgó la Ley Estatutaria 2573 de 2026, que establece medidas para proteger a las personas frente a reportes negativos y cobros de obligaciones derivados de suplantación de identidad. Aplica a operadores de telecomunicaciones, entidades financieras y crediticias y establecimientos comerciales que otorgan bienes o servicios financiados o asociados a obligaciones de crédito.
Según el análisis de Brigard Urrutia, la ley impone a esas entidades adoptar medidas de seguridad digital suficientes y razonables para verificar la identidad de las personas, y suspender el cobro de bienes y servicios adquiridos de forma fraudulenta. El cambio de fondo es probatorio: le quita la carga a la víctima y la traslada a la empresa, que debe poder demostrar cómo validó la identidad en el momento de la vinculación.
Ese giro convierte al KYC en un asunto de evidencia. No basta con haber verificado: hay que poder acreditarlo con soporte y fecha. Conviene revisar el texto vigente, porque la ley contempla reglas escalonadas de entrada en vigencia.
Los tres niveles de KYC
El estándar internacional y la regulación colombiana coinciden en que la intensidad debe ser proporcional al riesgo.
- KYC básico. Clientes de riesgo bajo o estándar. Verificación de identidad contra Registraduría, declaración y contraste de la actividad económica, origen de los recursos, antecedentes judiciales y penales, y listas restrictivas base.
- KYC ampliado. Riesgo medio o inconsistencias en la información inicial. Añade verificación más profunda del origen de ingresos, consulta extendida de listas internacionales, revisión en Procuraduría y Contraloría y, para personas jurídicas, verificación de existencia real en RUES y Cámara de Comercio.
- KYC intensificado. Personas Expuestas Políticamente, jurisdicciones de alto riesgo, volúmenes inusuales o señales de alerta. Exige verificar la fuente de los fondos, aprobación de la alta dirección para la vinculación, monitoreo reforzado y, en personas jurídicas, identificación del beneficiario final.
Las fuentes que un proceso KYC debe consultar
Pedir la cédula y archivar una fotocopia no es KYC. Estas son las categorías de fuentes que un supervisor colombiano espera ver documentadas.
Conoce el riesgo real antes de decidir
HunterX rastrea más de 20 fuentes oficiales y arma un reporte navegable con el nivel de riesgo de la persona. Tú solo lees y decides con respaldo.
- Antecedentes judiciales
- Listas internacionales
- Medidas correctivas
Para personas naturales: identidad en Registraduría; antecedentes judiciales y penales en Policía Nacional, Fiscalía, Rama Judicial e INPEC; sanciones disciplinarias en Procuraduría; sanciones fiscales en Contraloría; deudas con el Estado en el Boletín de Deudores Morosos; historial de afiliación en RUAF; inhabilidades para contratar con el Estado en SECOP; registros de PEP; y listas internacionales como OFAC, ONU, Interpol y las de la Unión Europea.
Para personas jurídicas: Cámara de Comercio y RUES para existencia y representación legal, Superintendencia de Sociedades, procesos en Rama Judicial, contratación pública y listas internacionales sobre la sociedad y sobre su representante legal. Ampliamos el mapa en la guía de fuentes oficiales antes de contratar.
Qué pasa cuando el KYC falla
Las consecuencias son acumulativas y rara vez llegan de una sola vez.
- Sanciones del supervisor. La Superintendencia Financiera y la Superintendencia de Sociedades pueden sancionar a la entidad y, según el caso, a sus administradores y al oficial de cumplimiento.
- Exposición patrimonial por fraude de identidad. Bajo la Ley 2573 de 2026, una verificación deficiente puede dejar a la empresa asumiendo la pérdida de una obligación que resultó fraudulenta.
- Riesgo de involucramiento en procesos de extinción de dominio cuando la contraparte vinculada resulta relacionada con activos de origen ilícito. La verificación documentada es la principal defensa disponible.
- Cierre de cupos bancarios y pérdida de clientes corporativos que exigen estándares de cumplimiento a su cadena de valor.
El KYC que sirve es el que deja evidencia
Un proceso KYC no se juzga por lo que dice el manual sino por lo que puede probar el expediente. La pregunta que llega siempre, del regulador o del abogado, es la misma: ¿verificaron a este cliente antes de vincularlo, contra qué fuentes y en qué fecha?
HunterX permite ejecutar ese proceso sobre personas y empresas consultando fuentes nacionales e internacionales en un solo reporte, con marca de tiempo, resultado individual por fuente y exportación para el expediente del cliente. Solicite una demostración y vea cómo quedaría su próximo onboarding documentado.
Preguntas frecuentes sobre KYC en Colombia
¿Qué significa KYC?
KYC significa Know Your Customer, o conocimiento del cliente. Es el proceso de verificar la identidad de una contraparte, entender su actividad económica y evaluar su nivel de riesgo antes de establecer una relación comercial.
¿KYC y debida diligencia son lo mismo?
No. El KYC es la verificación inicial que confirma quién es la contraparte. La debida diligencia incluye ese paso pero abarca además el monitoreo continuo, la reevaluación del riesgo y la actualización de la información durante toda la relación.
¿Qué empresas están obligadas a hacer KYC en Colombia?
Las entidades vigiladas por la Superintendencia Financiera bajo el SARLAFT, las empresas del sector real que cumplen los umbrales de la Circular Externa 100-000020 de 2026 de la Superintendencia de Sociedades, y los sujetos vigilados por la Superintendencia de Transporte. Otros sectores lo aplican por exigencia contractual de sus clientes.
¿Cuál es el umbral actual para el sector real?
Según el análisis del texto de la Circular Externa 100-000020 de 2026, el sistema completo aplica desde 4.929.017 UVB en ingresos totales o activos totales al 31 de diciembre del año anterior, y el Régimen de Medidas Mínimas desde 369.676 UVB en ingresos o 616.127 UVB en activos, según el sector. Confirme el numeral aplicable en el texto oficial.
¿Qué documentos se piden en un proceso KYC?
Como mínimo el documento de identidad, la declaración de actividad económica y la declaración del origen de los recursos. Para personas jurídicas se suman el certificado de existencia y representación legal, la composición societaria y la identificación del beneficiario final. Los documentos son el insumo; la verificación contra fuentes oficiales es lo que constituye el KYC.
¿Qué es el beneficiario final y por qué importa en KYC?
Es la persona natural que en última instancia controla o se beneficia de una sociedad, incluso a través de varias capas societarias. Importa porque verificar solo al representante legal deja fuera a quien realmente decide, que es justamente el punto donde se esconde el riesgo en estructuras opacas.
¿Cuánto tiempo debo conservar la evidencia del KYC?
La conservación se rige por los plazos que fija cada normativa aplicable a su entidad y suele contarse en años, no en meses. Lo importante en la práctica es que la evidencia sea recuperable y legible, y que muestre con claridad qué se consultó y en qué fecha.
¿Sirve un KYC hecho una sola vez al inicio?
No para efectos de cumplimiento. El KYC inicial debe complementarse con actualización periódica según el nivel de riesgo del cliente. Un expediente que no se ha tocado en años es, para un supervisor, un expediente desactualizado.
¿Se escribe KYC o kyc, y qué es el proceso kyc?
La sigla se escribe en mayúsculas, KYC. La expresión proceso KYC se refiere al conjunto de pasos de verificación de identidad, evaluación de actividad económica, consulta de listas y clasificación de riesgo que la empresa ejecuta antes de vincular a un cliente.
¿Puedo implementar KYC sin un área de cumplimiento?
Sí, siempre que el proceso esté documentado, se aplique de forma uniforme y deje evidencia. Muchas empresas medianas lo resuelven con un procedimiento escrito, un responsable designado y una herramienta que centralice las consultas. Lo que no funciona es dejarlo al criterio de quien atienda cada vinculación.
Fuentes consultadas
- Superintendencia de Sociedades: Comunicado sobre las Circulares Externas 100-000019 y 100-000020 de 2026
- Holland & Knight: Cambios en SAGRILAFT y PTEE por la Circular Externa 100-000020
- Brigard Urrutia: Ley 2573, protección frente a la suplantación de identidad
- Unidad de Información y Análisis Financiero: Circular Externa 027 de 2020 de la Superintendencia Financiera
- Superintendencia de Transporte: Normativa SARLAFT del sector transporte
Este contenido tiene fines informativos y no constituye asesoría jurídica. Las obligaciones de verificación de identidad, los umbrales y los plazos dependen de la situación particular de cada entidad y del texto normativo vigente. Consulte a su asesor legal o al oficial de cumplimiento antes de tomar decisiones.
Verifica antecedentes en minutos con HunterX
Comenzar ahora
