La debida diligencia es el proceso de verificación que una empresa hace sobre una persona o una entidad antes de vincularla, y en Colombia dejó de ser una buena práctica opcional para volverse, en muchos casos, una obligación con nombre propio. El problema es que la mayoría de las empresas no sabe con precisión cuándo está obligada ni qué significa aplicarla bien.
Debida diligencia es el proceso sistemático mediante el cual una empresa conoce y verifica a una contraparte antes de establecer una relación comercial, contractual o laboral, y la monitorea mientras esa relación dure. En Colombia es obligatoria bajo el SARLAFT, bajo el nuevo sistema de la Superintendencia de Sociedades y en varios supuestos laborales.
Los tres momentos que componen el proceso
Una verificación aislada no es debida diligencia. El proceso completo tiene tres momentos y omitir cualquiera de ellos deja el control incompleto.
- Antes de la relación. Confirmar identidad, revisar antecedentes en fuentes oficiales, consultar listas restrictivas y asignar un perfil de riesgo. Es la fase que determina si la relación se inicia o no.
- Durante la relación. Monitoreo periódico. Una contraparte que hoy está limpia puede aparecer mañana en una lista restrictiva o cambiar su situación judicial.
- Ante cualquier cambio relevante. Nuevo representante legal, nueva línea de negocio, cambio de socios, expansión a otra jurisdicción. Cada cambio reabre la evaluación.
Los tres niveles de debida diligencia y cuándo aplica cada uno
El marco colombiano, alineado con las recomendaciones del Grupo de Acción Financiera Internacional (GAFI), exige que la intensidad de la verificación sea proporcional al riesgo detectado. De ahí salen tres niveles.
Debida diligencia básica. Para contrapartes de riesgo bajo o estándar. Cubre verificación de identidad, consulta de antecedentes judiciales, disciplinarios y fiscales, revisión de listas restrictivas nacionales e internacionales, y registro de la actividad económica declarada. Es el piso que cualquier empresa debería aplicar, esté o no obligada.
Debida diligencia ampliada. Para riesgo medio o cuando aparecen inconsistencias en la información básica. Agrega el análisis del origen de los recursos, la identificación del beneficiario final en personas jurídicas y la verificación registral en Cámara de Comercio, RUES y Superintendencia de Sociedades.
Debida diligencia intensificada. Se activa ante señales concretas: contrapartes que son o están vinculadas a una Persona Expuesta Políticamente (PEP), operaciones en jurisdicciones de alto riesgo, estructuras societarias que impiden identificar con claridad quién controla la empresa, o transacciones que no encajan con el perfil declarado. En este nivel suele exigirse aprobación de la alta dirección y documentación reforzada de cada paso.
Cuándo es legalmente obligatoria en Colombia
La obligación llega por tres vías distintas y conviene no mezclarlas, porque cada una tiene su propio supervisor.
Por el marco financiero. El SARLAFT, exigido por la Superintendencia Financiera a sus entidades vigiladas, contiene la debida diligencia como requisito de funcionamiento. Su marco está en el Capítulo IV, Título IV, Parte I de la Circular Básica Jurídica, modificado por la Circular Externa 027 del 2 de septiembre de 2020, conocida como SARLAFT 4.0, que reforzó la debida diligencia sobre el beneficiario final y sobre las personas expuestas políticamente.
Por el marco del sector real. La Superintendencia de Sociedades expidió el 2 de julio de 2026 la Circular Externa 100-000020, que unificó el SAGRILAFT y el Programa de Transparencia y Ética Empresarial en un solo Sistema de Autocontrol y Gestión de Riesgos. Los sujetos ya obligados tienen plazo hasta el 31 de mayo de 2027 para ajustarse. Revisamos el detalle en la guía sobre empresas obligadas a implementar SAGRILAFT.
Por el sector transporte. La Superintendencia de Transporte creó su propio SARLAFT con la Resolución 2328 del 6 de marzo de 2025 y lo ajustó con la Resolución 4607 del 9 de abril de 2026, que introdujo un Régimen de Medidas Simplificadas según los ingresos totales medidos en Unidades de Valor Básico. El plazo máximo de implementación se mantuvo en el 6 de mayo de 2026, de modo que hoy es una obligación vencida, no futura. Ampliamos el punto en el análisis de la Resolución 2328 y el cumplimiento en transporte.
La obligación laboral que aplica aunque no esté en ningún sistema
Existe un frente que muchas empresas pasan por alto porque no está en el SARLAFT ni en el SAGRILAFT: la verificación en el contexto de contratación de personal.
La Ley 1918 de 2018 creó el registro de inhabilidades de quienes han sido condenados por delitos sexuales contra menores y obliga a consultarlo antes de vincular a cualquier persona en cargos que impliquen contacto habitual con niños, niñas y adolescentes. Aplica a colegios, jardines, instituciones de salud pediátrica, transporte escolar y clubes deportivos, entre otros.
Conoce el riesgo real antes de decidir
HunterX rastrea más de 20 fuentes oficiales y arma un reporte navegable con el nivel de riesgo de la persona. Tú solo lees y decides con respaldo.
- Antecedentes judiciales
- Listas internacionales
- Medidas correctivas
En el frente de contratistas, el artículo 44 de la Ley 2466 de 2025, la reforma laboral, amplió el alcance de la responsabilidad solidaria del artículo 34 del Código Sustantivo del Trabajo frente a contratistas y subcontratistas. Y el Decreto 0581 del 5 de junio de 2026 adicionó al Decreto 1072 de 2015 un capítulo con criterios de inspección y sanción de la tercerización e intermediación laboral ilegal, con consecuencias que incluyen la formalización ordenada de oficio y la responsabilidad solidaria de la empresa beneficiaria.
La lectura práctica es simple: quien contrata responde por a quién contrata, incluso cuando lo hace a través de un tercero.
Por qué aplicarla aunque la ley no se lo exija
Esta es la pregunta de las empresas que no están sujetas a ningún sistema de autocontrol. Hay cuatro razones que no dependen de la obligación regulatoria.
- La responsabilidad solidaria existe igual. Si el contratista incumple sus obligaciones laborales, el riesgo recae sobre quien lo contrató, sin exención por no estar obligado al SARLAFT.
- El riesgo reputacional no distingue entre empresas obligadas y no obligadas. El mercado distingue entre empresas que verificaron y empresas que no.
- La exigencia llega por vía contractual. Los clientes corporativos y las entidades financieras trasladan sus propios estándares de cumplimiento a su cadena de valor. Muchas empresas descubren la debida diligencia cuando un cliente grande se la pide como condición del contrato.
- El costo de verificar es marginal frente al costo de no hacerlo. Una consulta cuesta minutos; una investigación regulatoria, un contrato perdido o un proceso judicial cuestan órdenes de magnitud más.
Las fuentes que una debida diligencia completa debe consultar
El proceso no se agota en un portal. Para personas naturales, la base son las fuentes de identidad (Registraduría), las judiciales y penales (Policía Nacional, Fiscalía, Rama Judicial, INPEC), las disciplinarias y fiscales (Procuraduría, Contraloría, Registro Nacional de Medidas Correctivas), las listas restrictivas nacionales e internacionales, y los registros de PEP e inhabilidades especiales. Según el sector, se suman movilidad y transporte (RUNT, SIMIT), seguridad social (ADRES, RUAF), formación (SENA) y contratación pública (SECOP).
Para personas jurídicas, la base es registral y societaria (Cámara de Comercio, RUES, representación legal, Superintendencia de Sociedades), más procesos judiciales, sanciones disciplinarias y fiscales, listas restrictivas sobre la empresa y sobre su representante legal, y contratación pública. Puede ver el mapa completo en nuestro listado de fuentes oficiales antes de contratar y en la guía de Lista Clinton, OFAC, ONU y PEP.
Lo que separa un proceso real de un trámite
La diferencia entre una empresa que aplica debida diligencia como requisito y una que la aplica como control operativo aparece el día en que el riesgo se materializa. En ese momento la pregunta del regulador, del juez o del cliente es siempre la misma: ¿verificaron antes de vincular, y pueden demostrarlo?
Responder que sí exige tres cosas: cubrir las fuentes correctas, dejar evidencia con fecha de cada consulta y aplicar un criterio uniforme al interpretar los hallazgos. Ninguna de las tres se sostiene cuando el proceso depende de abrir portales uno por uno.
HunterX ejecuta ese proceso completo sobre personas y empresas, con fuentes nacionales e internacionales en un solo reporte con marca de tiempo, evidencia por fuente y trazabilidad. Solicite una demostración y revise cómo quedaría el expediente de su próxima contraparte.
Preguntas frecuentes sobre debida diligencia
¿Qué es la debida diligencia en términos simples?
Es asegurarse de saber con quién está haciendo negocios antes de firmar. Incluye confirmar la identidad de la contraparte, revisar sus antecedentes en fuentes oficiales, verificar si aparece en listas restrictivas y dejar registro de todo el proceso.
¿Es lo mismo debida diligencia que KYC?
No exactamente. El KYC, o conocimiento del cliente, es la verificación inicial que confirma quién es la contraparte. La debida diligencia es más amplia: incluye ese KYC pero también el monitoreo continuo, la reevaluación periódica del riesgo y la actualización de la información.
¿Mi empresa está obligada a aplicar debida diligencia?
Depende de su supervisor y de su sector. Está obligada si es entidad vigilada por la Superintendencia Financiera, si cumple los criterios del sistema de la Superintendencia de Sociedades, si es sujeto vigilado por la Superintendencia de Transporte, o si contrata personal para cargos con contacto habitual con menores de edad.
¿Cuántos niveles de debida diligencia existen?
Tres: básica, ampliada e intensificada. El nivel se asigna según el riesgo de la contraparte, no según su tamaño. Una empresa pequeña vinculada a una Persona Expuesta Políticamente puede requerir debida diligencia intensificada.
¿Qué es la debida diligencia intensificada?
Es el nivel más exigente y se activa ante señales de alerta concretas, como vínculos con Personas Expuestas Políticamente, jurisdicciones de alto riesgo o estructuras societarias opacas. Requiere verificar el origen de los fondos, identificar al beneficiario final y documentar cada decisión con más detalle.
¿Debo aplicar debida diligencia a proveedores o solo a clientes?
A ambos, y también a empleados y aliados. El riesgo entra por cualquier punto de la cadena. Un proveedor con acceso a instalaciones o a información sensible representa una exposición equivalente a la de un empleado, con frecuencia sin los mismos controles.
¿Cada cuánto debe repetirse?
Según el nivel de riesgo asignado a la contraparte. Las de alto riesgo exigen actualización más frecuente, y el nuevo marco de la Superintendencia de Sociedades estableció la actualización anual para ese grupo. Además, cualquier cambio relevante en la contraparte reabre la revisión.
¿Qué pasa si no aplico debida diligencia y una contraparte resulta sancionada?
La ausencia de verificación documentada debilita la posición de la empresa frente al regulador, frente a la banca y en cualquier proceso judicial. La debida diligencia con evidencia trazable es la principal defensa disponible para demostrar que la vinculación se hizo de buena fe.
¿Se escribe debida diligencia o due diligence?
Las dos formas se usan. Due diligence es el término anglosajón que circula en las áreas de cumplimiento; debida diligencia es la expresión que emplea la normativa colombiana. En documentos dirigidos a un supervisor local conviene usar la forma en español.
¿La debida diligencia elimina el riesgo?
No. Lo gestiona y lo documenta. Ninguna verificación garantiza que una contraparte no cometa un ilícito después de vinculada. Lo que sí hace es filtrar el riesgo conocido en el momento de la decisión y dejar constancia de que la empresa actuó con la información disponible.
Fuentes consultadas
- Unidad de Información y Análisis Financiero: Circular Externa 027 de 2020 de la Superintendencia Financiera
- Superintendencia de Sociedades: Comunicado sobre las Circulares Externas 100-000019 y 100-000020 de 2026
- Superintendencia de Transporte: Normativa SARLAFT del sector transporte
- Función Pública: Ley 2466 de 2025, reforma laboral
- Policía Nacional de Colombia: Consulta de antecedentes judiciales
Este contenido tiene fines informativos y no constituye asesoría jurídica. La obligatoriedad de la debida diligencia, sus niveles y sus plazos dependen de la situación particular de cada empresa y del texto normativo vigente. Consulte a su asesor legal o al oficial de cumplimiento antes de tomar decisiones.
Verifica antecedentes en minutos con HunterX
Comenzar ahora
