---
title: Debida diligencia de proveedores en Colombia 2026
description: Aprende a estructurar la debida diligencia de proveedores en Colombia con enfoque basado en riesgo, trazabilidad y controles digitales.
image: https://blog.legopstech.com/hubfs/Banner%20principal%20BLOGS%20(3).png
---

[Artículo](https://blog.legopstech.com/conoc-e/tag/artículo)

# Debida diligencia de proveedores en Colombia 2026

[By- Conoc-e,](https://blog.legopstech.com/conoc-e/author/conoc-e)  11 noviembre 2026

![](https://blog.legopstech.com/hubfs/Banner%20principal%20BLOGS%20(3).png)

### Debida diligencia de proveedores en Colombia: cómo reducir procesos manuales en 2026

Para hacer debida diligencia de proveedores sin depender de correos y archivos dispersos, la empresa necesita un flujo digital para recopilar y verificar información, clasificar el riesgo, documentar la decisión, mantener actualizados los datos y no menos importante registrar evidencia para demostrar cómo se hizo.

La tecnología reduce tareas manuales, pero no reemplaza la política de cumplimiento ni el criterio de quienes analizan las alertas.

### ¿Qué exige la debida diligencia de proveedores en Colombia?

La debida diligencia permite conocer y evaluar al proveedor antes de contratarlo y durante la relación comercial. No consiste únicamente en pedir el RUT o el certificado de existencia: también busca establecer quién controla a la empresa, cuál es el propósito de la relación y qué riesgos deben gestionarse.

La Circular (N 100-000020) Básica Jurídica expedida por la Superintendencia de Sociedades el 2 de julio de 2026 unificó el SAGRILAFT y el PTEE en su Capítulo IX: Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST. Para las sociedades vigiladas o controladas por esa Superintendencia que cumplan los criterios de sector y umbral, el proceso debe seguir un enfoque basado en riesgo: no todas las contrapartes requieren la misma intensidad de revisión.

El marco vigente establece, entre otros criterios:

\- Identificar y verificar a la contraparte con información confiable e independiente.  
\- Identificar al beneficiario final y comprender la estructura de propiedad y control.  
\- Entender el propósito y la coherencia de la relación comercial.  
\- Mantener el conocimiento de la contraparte durante la relación.  
\- Documentar y conservar la debida diligencia, con fecha, hora y nombre de quien la verificó, junto con las alertas y decisiones  
\- Respetar las normas sobre protección de datos personales.

La intensidad de estos controles depende de la regulación aplicable, la política de la empresa y el perfil del proveedor. No todas las organizaciones están sometidas a las mismas obligaciones.

![Qué exige la debida diligencia de proveedores en Colombia](https://blog.legopstech.com/hs-fs/hubfs/Qu%C3%A9%20exige%20la%20debida%20diligencia%20de%20proveedores%20en%20Colombia.png?width=860&height=112&name=Qu%C3%A9%20exige%20la%20debida%20diligencia%20de%20proveedores%20en%20Colombia.png)

### ¿Qué riesgos ayuda a reducir la debida diligencia?

Una revisión proporcional no elimina el riesgo, pero permite identificarlo antes de contratar y durante la relación. Entre las principales exposiciones se encuentran:

\- LA/FT, corrupción y soborno transnacional (C/ST): estructuras opacas, beneficiarios finales difíciles de establecer, pagos o intermediarios sin justificación.  
\- Riesgo legal y reputacional: sanciones, antecedentes, noticias adversas o incumplimientos relevantes.  
\- Conflictos de interés: relaciones no declaradas entre el proveedor y quienes intervienen en la contratación.  
\- Protección de datos y continuidad: terceros sin controles suficientes para acceder a información o sostener servicios críticos.  
\- Falta de trazabilidad: ausencia de evidencia sobre las consultas, alertas, aprobaciones y decisiones realizadas.

El objetivo es definir controles proporcionales y conservar información suficiente para explicar por qué el proveedor fue aceptado, condicionado o rechazado.

### ¿Cómo hacer debida diligencia de proveedores paso a paso?

 1. Definir el alcance según el riesgo 

Antes de solicitar documentos, la empresa debe definir qué variables determinan el riesgo y qué controles corresponden a cada categoría. Puede considerar la actividad económica, la jurisdicción, el valor y forma de pago, la contratación estatal, la presencia de personas políticamente expuestas y la complejidad societaria.

El monto no debería ser el único criterio: la naturaleza del servicio y el acceso a información o procesos críticos también importan.

 2. Recopilar y verificar la información

Según el caso, el proveedor puede entregar:

\- Identificación y datos de contacto.  
\- Certificado de existencia y representación legal.  
\- RUT e información tributaria.  
\- Composición accionaria y beneficiarios finales.  
\- Declaraciones firmadas sobre conflictos de interés, origen de los recursos y veracidad de la información entregada  
\- Autorizaciones para el tratamiento y la consulta de datos.

La información debe contrastarse con fuentes independientes. Verificar que una empresa existe no significa que el riesgo sea aceptable. También debe identificarse quién la posee o controla finalmente; las estructuras con varias sociedades o jurisdicciones pueden requerir mayor profundidad.

3\. Consultar listas y fuentes de riesgo 

Las consultas deben incluir, como mínimo, las listas vinculantes para Colombia (las del Consejo de Seguridad de la ONU), y pueden ampliarse a otras listas restrictivas como OFAC, PEP, antecedentes, sanciones y demás fuentes definidas por la política de la empresa

Cada revisión debería permitir responder:

\- ¿Qué nombres e identificaciones se consultaron?  
\- ¿Qué fuentes fueron revisadas?  
\- ¿Cuándo se realizó la consulta?  
\- ¿Qué coincidencias aparecieron?  
\- ¿Quién analizó el resultado?  
\- ¿Cómo se resolvieron posibles homónimos?

Una alerta no implica automáticamente rechazar al proveedor. Debe confirmarse si corresponde a la persona evaluada, cuál es su contexto y qué tratamiento establece la política aplicable.

4\. Entender la relación comercial

La debida diligencia no debe limitarse a acumular documentos. También debe analizar la coherencia entre el proveedor, el servicio, la remuneración y los canales de pago.

Conviene revisar si el proveedor tiene capacidad para prestar el servicio, si el valor guarda relación con el alcance, si la cuenta de pago le pertenece y si existen intermediarios o jurisdicciones sin una justificación clara.

5\. Clasificar el riesgo y documentar la decisión

Con la información recopilada, la empresa debe asignar el nivel de riesgo previsto en su metodología.

| **Nivel** | **Tratamiento posible** |
| --- | --- |
| **Bajo** | **Verificación** básica y aprobación ordinaria. |
| **Medio** | **Validaciones** adicionales o revisión especializada. |
| **Alto** | **Debida diligencia** intensificada, aprobación superior y monitoreo reforzado cuando corresponda. |

La decisión debe registrar quién aprobó, rechazó o condicionó la vinculación, qué información analizó y cuál fue su justificación.

 6. Actualizar la información durante la relación

La debida diligencia no termina al crear al proveedor en el sistema de compras. Pueden cambiar el representante legal, los propietarios, la actividad, la cuenta bancaria o la exposición a riesgos.

Bajo la Circular Básica Jurídica de 2026, los sujetos obligados deben monitorear y actualizar como mínimo una vez al año a las contrapartes de riesgo alto y cada dos años a las de riesgo medio o bajo. La revisión debe adelantarse cuando aparezcan cambios o señales de alerta, sin esperar a que se cumpla el plazo.

### ¿Qué partes pueden digitalizarse?

Un sistema digital puede conectar la información que normalmente queda distribuida en diferentes herramientas.

| **Etapa** | **Apoyo tecnológico** | **Decisión del equipo** |
| --- | --- | --- |
| **Verificación** | Formularios, documentos y autorizaciones. | Resolver inconsistencias relevantes. |
| **Consultas** | Revisión de listas y registro del resultado. | Analizar coincidencias y alertas. |
| **Clasificación** | Organización de criterios dentro del expediente. | Determinar el nivel de riesgo. |
| **Decisión** | Registro de responsables, soportes y estado. | Aprobar, condicionar, rechazar o escalar. |
| **Actualización** | Solicitud y conservación de nueva información. | Determinar si un cambio afecta la relación. |

Digitalizar no significa eliminar la intervención humana. Significa que el análisis puede realizarse sobre información organizada, verificable y disponible para quienes deben decidir.

### ¿Cómo puede apoyar Conoc-e?

Conoc-e apoya el conocimiento y la vinculación de terceros mediante la captura de información, la validación de identidad e información, la consulta de listas de riesgo y la gestión de documentos, autorizaciones y actualizaciones dentro del proceso.

Esto permite organizar el expediente del proveedor y conservar trazabilidad sobre la información disponible para la revisión.

Conoc-e no reemplaza al Oficial de Cumplimiento, al equipo jurídico ni a compras, y tampoco garantiza que un tercero esté libre de riesgos. La plataforma aporta estructura y evidencia para que la empresa aplique su política y tome decisiones informadas.

![Registro auditorias – laptop-v2](https://blog.legopstech.com/hs-fs/hubfs/Registro%20auditorias%20%E2%80%93%20laptop-v2.png?width=611&height=372&name=Registro%20auditorias%20%E2%80%93%20laptop-v2.png)

### Preguntas frecuentes

 ¿La debida diligencia de proveedores es obligatoria para todas las empresas?

No bajo un único régimen. Serán las sociedades del sector real vigiladas o controladas por la Superintendencia de Sociedades lo están si cumplen los criterios del Capítulo IX. Las entidades financieras responden al SARLAFT de la Superintendencia Financiera, y las cooperativas con actividad financiera y los fondos de empleados, al de la Supersolidaria.

Las obligaciones dependen de la actividad, el sector, el supervisor y las condiciones de cada organización. Cada empresa debe confirmar si se encuentra dentro del alcance de la regulación aplicable.

¿Consultar listas es suficiente para aprobar a un proveedor?

No. Las listas son una parte del proceso. También deben analizarse la identidad, la estructura de propiedad, el propósito de la relación, la coherencia del negocio y las señales que aparezcan durante la relación.

¿Cada cuánto debe actualizarse la información? 

Para los sujetos obligados por la Circular Básica Jurídica de 2026, la actualización mínima es anual para riesgo alto y cada dos años para riesgo medio o bajo. Debe realizarse antes cuando existan cambios o alertas. 

¿La debida diligencia puede ser completamente automática? 

No debería serlo cuando existen alertas o decisiones que requieren criterio. La captura, las consultas, el expediente y parte del seguimiento pueden digitalizarse, pero la política, el análisis y la decisión deben conservar responsables claros. 

Conclusión 

La debida diligencia de proveedores no consiste en completar un formulario y archivar documentos. Consiste en poder explicar quién es el tercero, quién lo controla, por qué la relación tiene sentido, qué riesgos se identificaron y cómo se tomó la decisión.

Cuando la información, las consultas y las aprobaciones quedan conectadas, la empresa reduce trabajo manual sin perder control.

Conoce cómo Conoc-e puede apoyar la vinculación, validación y actualización de proveedores dentro de un proceso trazable.<https://conoce.legopstech.com>

[Agendar demo](https://legopstech.com/meetings/fredy-pulido/presentacion-comercial-conoc-e)

![legopstech logo-2](https://blog.legopstech.com/hs-fs/hubfs/legopstech%20logo-2.png?width=300&height=57&name=legopstech%20logo-2.png "legopstech logo-2")

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Conoc-e",
    "url" : "https://blog.legopstech.com/conoc-e/author/conoc-e"
  },
  "dateModified" : "2026-11-11T13:11:41.952Z",
  "datePublished" : "2026-11-11T13:11:41.000Z",
  "headline" : "Debida diligencia de proveedores en Colombia 2026",
  "image" : [ "https://blog.legopstech.com/hubfs/Banner%20principal%20BLOGS%20(3).png" ],
  "mainEntityOfPage" : {
    "@id" : "https://blog.legopstech.com/conoc-e/debida-diligencia-de-proveedores-en-colombia-2026",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "url" : "https://blog.legopstech.com/hubfs/Symbol.svg"
    },
    "name" : "Legopstech SAS"
  }
}
```