Debida diligencia de proveedores: OFAC y PEP.

Conoce al tercero

1. Identifica al proveedor y a las personas relevantes

No hagas la revisión únicamente con el nombre comercial que aparece en una cotización. Parte de documentos vigentes y contrasta los datos con registros o fuentes confiables.

• Entidad: razón social completa, NIT o identificador equivalente, país, domicilio y actividad.
• Representación: representante legal y personas autorizadas para negociar, contratar o recibir instrucciones de pago.
• Propiedad y control: socios o accionistas, controlantes y beneficiario final cuando el riesgo y las obligaciones aplicables requieran conocerlos. Un accionista no es necesariamente el beneficiario final.
• Operación: objeto del contrato, origen de la relación, jurisdicciones, cuenta de pago y coherencia con la actividad declarada.

Un cambio de cuenta bancaria, representante o estructura de propiedad es una razón para volver a validar datos antes de liberar fondos.

Señales distintas

2. Separa sanciones, PEP y otras alertas

Cada señal requiere una interpretación propia. Mezclarlas produce falsos bloqueos o una falsa sensación de seguridad.

• OFAC y otras listas de sanciones: compara identidad y determina, con apoyo especializado cuando corresponda, el alcance de la medida para tu operación.
• PEP: ser una persona expuesta políticamente no es una sanción ni prueba una conducta indebida. Puede activar debida diligencia intensificada según el riesgo y la norma aplicable.
• Medios adversos: una noticia es una señal contextual que debe contrastarse por fuente, fecha, identidad y relevancia; no equivale a una decisión judicial.
• Falso positivo: un nombre parecido debe descartarse con identificadores, no por intuición.

La inclusión en una lista extranjera no debe resumirse como una regla universal para toda empresa colombiana. Define qué fuentes y consecuencias corresponden a tu sector, jurisdicción, contrato y exposición.

Para los Sujetos Obligados bajo el Capítulo IX de la Circular citada más adelante, la sección 9.17 exige debida diligencia intensificada cuando una contraparte o su beneficiario final sea PEP. Otras organizaciones deben determinar las reglas que les resulten aplicables.

Cinco momentos de control

3. Controla antes de vincular y antes de pagar

1. Antes del alta.Valida existencia, identidad, representación, propiedad relevante, actividad y datos de contacto del proveedor.
2. Antes de contratar.Documenta fuentes consultadas, posibles coincidencias, conflictos y condiciones que deban quedar en el contrato.
3. Antes del primer pago.Confirma beneficiario de la cuenta, país, instrucciones de pago y coherencia con el proveedor aprobado.
4. Durante la relación.Revisa de nuevo por periodicidad basada en riesgo y ante cambios de propiedad, representación, cuenta, jurisdicción o alertas.
5. Antes de una excepción.Exige evidencia, responsable y aprobación independiente; no borres la alerta para acelerar el proceso.

Escalamiento

4. Cuándo pausar la vinculación o el pago

• La identidad del proveedor o de su representante no puede confirmarse.
• Una coincidencia conserva datos compatibles después de comparar país, fecha, dirección, documentos y alias.
• La estructura de propiedad o el beneficiario final no se entiende pese a ser relevante para el riesgo.
• Las instrucciones de pago cambian sin una validación independiente o apuntan a una persona, entidad o país inesperado.
• La evidencia se contradice, está vencida o no permite a otra persona reproducir la conclusión.

Pausar no significa declarar culpable al tercero. Significa no ejecutar una decisión sensible hasta resolver la identidad, la alerta y las obligaciones aplicables.

Contexto colombiano vigente

5. Ajusta el control al riesgo y a tu obligación

Supersociedades publicó la Circular Externa 100-000020 del 2 de julio de 2026. Su Capítulo IX desarrolla el sistema de autocontrol y gestión de riesgos LA/FT/FP y C/ST, define sujetos obligados y establece un enfoque basado en riesgo. No todas las empresas tienen el mismo alcance ni los mismos deberes.

Si tu organización está sujeta a ese marco o a otra regulación sectorial, revisa el texto vigente y valida su aplicación con el responsable de cumplimiento o asesor jurídico. Esta guía organiza un control operativo, pero no determina por sí sola si una empresa está obligada.

Evidencia y decisión

Convierte el control en un expediente breve

Guarda la identificación revisada, fuentes, fecha, términos de búsqueda, resultados, resolución de homónimos y responsable de la decisión. Usa solo los datos necesarios, controla el acceso y aplica la retención definida por tu organización.

Para el método de consulta, empieza por cómo buscar una persona o empresa en OFAC y ONU. Para estructurar la trazabilidad, usa el checklist de listas restrictivas y evidencia.

Cuando el riesgo o una posible coincidencia lo justifiquen, solicita un reporte documentado por analista. No emite un certificado oficial, no reemplaza asesoría jurídica y debe contrastarse con las fuentes oficiales.

La tarifa cubre una contraparte. En la solicitud inicial escribe solo el nombre público; no envíes cédulas, pasaportes, datos bancarios ni documentos.