Toda empresa necesita proveedores en los que pueda confiar: que entreguen a tiempo, que el producto o el servicio tenga la calidad pactada y que cumplan lo que prometieron. Pero hay otra condición que cada vez pesa más: que sea un proveedor íntegro, es decir, que sea quien dice ser, que su actividad sea legal y que no ponga en riesgo a quien le compra.
Y eso no se logra con una buena recomendación ni con un apretón de manos. Antes de firmar, necesitamos estar seguros de que la empresa existe, de que quienes la manejan son quienes dicen ser y de que su actividad y sus recursos tienen un origen claro.
Un proveedor que entra a la operación sin haber sido verificado puede afectar la seguridad en el transporte y la logística, generar riesgos laborales en la contratación de personal o poner en peligro la continuidad del negocio. Además, desde el Compliance, puede ser la puerta por la que entra el lavado de activos o la corrupción.
Por eso, una de las preguntas que más se hacen los equipos de cumplimiento es: ¿Qué información debo verificar de un proveedor? En este artículo le contamos qué suele pedirse y qué conviene verificar de cada documento.
¿Por qué la debida diligencia de proveedores es crítica en el marco regulatorio?
Con la Circular Externa 100-000020 del 2 de julio de 2026, la Superintendencia de Sociedades unificó el SAGRILAFT y el PTEE en un solo sistema de autocontrol y gestión de riesgos (el nuevo Capítulo IX). Esto cambia la forma de mirar a un proveedor: ya no basta con preguntarse si podría ser un vehículo para el lavado de activos, también hay que preguntarse si podría ser una vía para la corrupción y/o el soborno.
Si su empresa es sujeto obligado, la debida diligencia hace parte de las obligaciones del sistema, y los proveedores y contratistas están dentro de lo que la norma llama “contrapartes”. Conocer bien a quien le vende es una de las mejores maneras de protegerse.
La solicitud de documentos anexos, es de acuerdo con el nivel del riesgo
No se le pide lo mismo a quien vende papelería que a un intermediario que maneja montos altos o trabaja con entidades públicas. Algunos factores que ayudan a decidir cuánta información necesita de cada proveedor:
El valor y la frecuencia de lo que se le va a pagar.
El tipo de bien o servicio que presta.
El país o la zona donde opera.
Si actúa como intermediario o trabaja con entidades públicas.
Qué tan nueva es la empresa y qué tan clara es su actividad.
Matriz de verificación: qué pedir y qué analizar en cada documento
La siguiente lista es una referencia, no una obligación para todos los casos. Cada empresa debe ajustarla a su propio sistema y a cada proveedor.
Principios fundamentales para una verificación efectiva
Verificar es cruzar, no coleccionar. Un expediente completo no es lo mismo que un proveedor confiable. Lo que realmente ayuda es comparar lo que dicen los documentos entre sí: si la actividad registrada coincide con lo que factura, si su capacidad operativa corresponde con lo que promete entregar, si comparte direcciones, teléfonos o representantes con otras empresas investigadas. Un documento por sí solo no siempre revela un problema; las inconsistencias entre documentos sí pueden hacerlo.
El beneficiario final puede ser una de las partes más delicadas de revisar. Suele no aparecer a simple vista: se pide, se contrasta con el certificado de Cámara de Comercio y se revisa si la estructura tiene sentido. Si el proveedor no logra explicar quién está detrás, o la estructura cambia constantemente, puede ser una señal de alerta.
Con el sistema unificado, no basta con consultar listas. También conviene preguntar por conflictos de interés, relaciones con servidores públicos y uso de intermediarios. Son preguntas que muchas veces se omiten, y es un terreno donde pueden aparecer alertas importantes.
Los documentos se vencen. Una póliza, un certificado de seguridad social o una consulta de listas son una foto de un momento. Si nadie vuelve a mirarlos, el expediente queda desactualizado. Por eso la verificación no es un trámite que se hace una vez, sino un proceso que se repite con la frecuencia que cada empresa defina en su sistema.
¿Qué hacer cuando la información tiene inconsistencias?
Encontrar una alerta no significa necesariamente rechazar al proveedor, pero sí exige actuar:
No aprobar “para resolver después”. Una alerta pendiente que se deja pasar por urgencia puede ser justamente la grieta por la que falla el control.
Documentar la alerta y quién la revisó.
Escalar al Oficial de Cumplimiento, que puede ampliar la información (lo que la norma conoce como debida diligencia intensificada) y emitir su concepto.
Decidir y dejar evidencia: aprobar con condiciones, pedir más información o no vincular, siempre con el soporte de la decisión.
Monitorear al proveedor mientras dure la relación, no solo cuando se vincula.
Verificar a un proveedor no es pedir más papeles. Es entender con quién se hacen negocios y qué tan preparada está la empresa para decidir con criterio. Cuando la información se mantiene organizada, vigente y cruzada, la debida diligencia deja de ser una carpeta para convertirse en una verdadera herramienta de decisión.
Una plataforma de homologación no reemplaza el análisis del Oficial de Cumplimiento, pero sí resuelve la parte que más tiempo consume: recopilar los documentos, controlar las vigencias y dejar todo en un solo lugar. La homologación existe para decidir con criterio a quién se le abre la puerta.
En RISKS INTERNATIONAL acompañamos a las empresas en este proceso. Con SIGPRO, nuestra plataforma de homologación de proveedores, el proveedor se inscribe en línea y carga sus propios documentos, cada uno con fecha de vencimiento y aviso antes de que caduque. La consulta de listas restrictivas y PEP queda incluida en el mismo proceso, se pueden incorporar los requisitos de BASC y OEA, y un panel muestra cuántos proveedores están homologados, cuántos tienen documentos por vencer y cuántos están bloqueados. Conozca SIGPRO.
¿Busca optimizar la debida diligencia de sus proveedores y automatizar su proceso de homologación?
Gestione las verificaciones de sus contrapartes con criterios de cumplimiento normativo (Capítulo IX, SAGRILAFT, PTEE) y mitigue los riesgos de su cadena de suministro.
Conozca la Plataforma SIGPRO de Risks International
Por: Luisa Caicedo
Únase al canal de InfoCompliance para recibir cada semana lo que cambia en regulación, tipologías y supervisión, directo en su WhatsApp.