Para la Supersociedades, la debida diligencia es el proceso para conocer a la contraparte, sus operaciones, negocios y productos, y el volumen de sus transacciones. La Ley 2195 de 2022 la volvió un principio para quienes deben tener un sistema de prevención, gestión o administración del riesgo de lavado de activos, financiación del terrorismo y proliferación de armas, o reportar al RUB. La Supersociedades define además la intensificada, para contrapartes de alto riesgo.
En esta guía · 8 secciones
- 01Qué es la debida diligencia
- 02Debida diligencia y medidas intensificadas y simplificadas en cada norma
- 03Qué incluye según la Superintendencia de Sociedades
- 04La debida diligencia intensificada
- 05Cada cuánto se actualiza
- 06Cómo se documenta y cuánto se conserva
- 07Base legal y fuentes
- 08Preguntas frecuentes
01Qué es la debida diligencia
La Circular Externa 100-000020 de 2026 de la Superintendencia de Sociedades la define como «el proceso mediante el cual el Sujeto Obligado adopta medidas para el conocimiento de la contraparte, de sus operaciones, negocios jurídicos y productos, así como del volumen de sus transacciones» (numeral 9.2).
La Ley 2195 de 2022 la convirtió en un principio en su artículo 12. Obliga a la entidad del Estado y a la persona natural, jurídica o estructura sin personería jurídica «que tenga la obligación de implementar un sistema de prevención, gestión o administración del riesgo de lavado de activos, financiación del terrorismo y proliferación de armas o que tengan la obligación de entregar información al Registro Único de Beneficiarios Finales (RUB)». Los criterios mínimos son:
- 1Identificar a la persona con la que se celebra el negocio o el contrato.
- 2Identificar a sus beneficiarios finales y la estructura de titularidad y control, y tomar medidas razonables para verificar la información.
- 3Obtener información sobre el objetivo del negocio.
- 4Hacer una debida diligencia continua, examinando que las transacciones sean consistentes con lo que se conoce de la contraparte, su actividad, su perfil de riesgo y la fuente de los fondos.
La ley no define la expresión «debida diligencia»; la trata como principio. Según su parágrafo 1, cada autoridad de inspección, vigilancia y control define las condiciones específicas para sus vigilados.
02Debida diligencia y medidas intensificadas y simplificadas en cada norma
| Supervisor | Medida | Cuándo aplica |
|---|---|---|
| Superintendencia de Sociedades | Debida diligencia | Proporcional al riesgo: «no todos los negocios jurídicos, las transacciones, relaciones comerciales y las contrapartes, exigen el mismo nivel o intensidad de Debida Diligencia» (numeral 9.15) |
| Superintendencia de Sociedades | Debida diligencia intensificada | Contrapartes de mayor riesgo, PEP, países no cooperantes o jurisdicciones de alto riesgo, y operaciones con activos virtuales (numeral 9.17) |
| Superintendencia de Sociedades | Medidas simplificadas | «Se aplican medidas intensificadas en situaciones de alto riesgo y medidas simplificadas en casos de bajo riesgo siempre y cuando no existen sospechas de actividades ilícitas» (nota 52 del numeral 9.15) |
| Superintendencia Financiera | Procedimientos simplificados de conocimiento del cliente | Solo para los trámites y productos que lista el numeral 4.2.2.2.1.4 |
| Superintendencia Financiera | Medidas intensificadas | Clientes de alto riesgo y PEP (numerales 4.2.2.2.1 y 4.2.2.2.1.5.3) |
03Qué incluye según la Superintendencia de Sociedades
- Identificar a la contraparte y verificar su identidad «utilizando documentos, datos o información confiable, de fuentes independientes» (numeral 9.15.1).
- Entender y, cuando corresponda, obtener información sobre el propósito y el carácter del negocio.
- Identificar a los beneficiarios finales y la estructura de titularidad y control.
- Un análisis continuo del negocio jurídico, con una base de datos que contenga como mínimo el nombre de la contraparte, su identificación, domicilio, beneficiario final, representante legal, persona de contacto y su cargo, y la «fecha del proceso de conocimiento o monitoreo».
- Un análisis de las remuneraciones y pagos, incluidos los que se hagan en jurisdicciones de alto riesgo.
Si no es posible identificar a la contraparte o a su beneficiario final, el oficial de cumplimiento debe dejar documentadas las razones jurídicas de esa limitación, sin que eso lo exima de completar la debida diligencia tras la vinculación (numeral 9.15).
04La debida diligencia intensificada
Según el numeral 9.17 de la Circular Externa 100-000020 de 2026, sus medidas son: «(i) obtener la aprobación de la alta gerencia para comenzar o continuar la relación comercial; (ii) adoptar Medidas Razonables para establecer el origen de los recursos; y (iii) realizar un monitoreo continúo e intensificado de la relación contractual».
Con las personas expuestas políticamente se extiende a su cónyuge o compañero permanente; a sus familiares hasta el segundo grado de consanguinidad, primero de afinidad y primero civil; a la declaración de sus cuentas financieras en el exterior sobre las que tenga derecho o poder de firma o de otra índole; a los nombres e identificación de las personas jurídicas o naturales, patrimonios autónomos o fiducias, conforme al artículo 2.1.4.2.3 del Decreto 1081 de 2015, y a sus asociados cercanos.
El Decreto 830 de 2021 dice que la calidad de PEP se mantiene durante el ejercicio del cargo y por dos años más desde la desvinculación.
05Cada cuánto se actualiza
| Norma | Riesgo alto o mayor | Otros casos |
|---|---|---|
| Superintendencia de Sociedades, numeral 9.15.1 | Como mínimo, una vez al año | Como mínimo cada dos años o cada vez que sea necesario |
| Superintendencia Financiera, numeral 4.2.2.2.1.6.1 | Como mínimo, anualmente | Con la periodicidad que defina la entidad según el riesgo, que no puede ser superior a tres años |
Quien ya estaba obligado por las circulares anteriores tiene hasta el 31 de mayo de 2027 para ajustar su sistema a la Circular Externa 100-000020 de 2026, y mientras tanto los sistemas que tiene implementados «se entenderán válidos para efectos del cumplimiento normativo» (numeral 9.29).
La Superintendencia de Sociedades aclara que el plazo de un año no impide actualizar de inmediato: cuando haya cambios, eventos o señales de alerta que modifiquen el perfil de riesgo, «la revisión y actualización deberá realizarse de forma oportuna» (numeral 9.15.1).
06Cómo se documenta y cuánto se conserva
- La información que entrega la contraparte y el nombre de la persona que la verificó «deben quedar debidamente documentadas con fecha y hora» (numeral 9.22 de la Circular Externa 100-000020 de 2026).
- En el Régimen de Medidas Mínimas, las actividades de debida diligencia «deberán constar por escrito» (numeral 9.21.3).
- La Ley 2195 de 2022 pide conservar la información durante el negocio y al menos cinco años, contados desde el 1 de enero del año siguiente a su terminación (parágrafo 3 del artículo 12).
- La Circular Externa 100-000020 de 2026 dice que los soportes se conservan según el artículo 28 de la Ley 962 de 2005, que fija diez años desde el último asiento, documento o comprobante «sin perjuicio de los términos menores consagrados en normas especiales», salvo lo previsto en el parágrafo 3 del artículo 12 de la Ley 2195 de 2022 para la información de debida diligencia (numeral 9.22).
- En el SARLAFT, los libros y papeles de las entidades vigiladas se conservan por un período no menor de cinco años según el artículo 96 del Estatuto Orgánico del Sistema Financiero, y diez años para las entidades a las que no les aplica ese artículo (numeral 4.2.3.1.3).
07Base legal y fuentes
- 18-ene-2022Ley 2195 de 2022, artículo 12Congreso de la República de ColombiaVer fuente oficial
- 02-jul-2026Circular Externa 100-000020 de 2026, capítulo IX, numerales 9.2, 9.15, 9.15.1, 9.17, 9.21.3 y 9.22Superintendencia de SociedadesVer fuente oficial
- 25-jun-2025Circular Básica Jurídica, Parte I, Título IV, Capítulo IV (Circular Externa 006 de 2025)Superintendencia Financiera de ColombiaVer fuente oficial
- 08-jul-2005Ley 962 de 2005, artículo 28: conservación de libros y papeles de comercioCongreso de la República de ColombiaVer fuente oficial
- 26-jul-2021Decreto 1081 de 2015, artículo 2.1.4.2.3, modificado por el Decreto 830 de 2021 (personas expuestas políticamente), en la compilación de la DIANPresidencia de la RepúblicaVer fuente oficial
08Preguntas frecuentes
¿Existe la debida diligencia simplificada?
La expresión no aparece en el capítulo IX de la Circular Externa 100-000020 de 2026. Su nota 52, en el numeral 9.15, dice: «Se aplican medidas intensificadas en situaciones de alto riesgo y medidas simplificadas en casos de bajo riesgo siempre y cuando no existen sospechas de actividades ilícitas». La Superintendencia Financiera tiene «procedimientos simplificados de conocimiento del cliente», que aplican solo a los trámites y productos que lista.
¿La debida diligencia se hace antes o después de firmar?
Según la Superintendencia de Sociedades, se aborda antes del negocio jurídico, la transacción o la relación comercial, y excepcionalmente después, siempre que los riesgos estén bajo control y el proceso quede documentado (numeral 9.15.1). En el SARLAFT, la entidad no puede iniciar la relación sin recolectar y verificar la información y aprobar la vinculación, con excepciones que fija el mismo capítulo, como la fiducia inmobiliaria (a más tardar al tercer día hábil siguiente a la recepción de recursos destinados a negociar unidades inmobiliarias que no superen 3 SMMLV) y los asegurados o beneficiarios de ciertos seguros.
¿Por cuánto tiempo se guardan los soportes?
La Ley 2195 de 2022 pide conservar la información de debida diligencia mientras dure el negocio y al menos cinco años, contados desde el 1 de enero del año siguiente a su terminación (parágrafo 3 del artículo 12). La Circular Externa 100-000020 de 2026 dice que los soportes se conservan según el artículo 28 de la Ley 962 de 2005, que fija diez años desde el último asiento, documento o comprobante, salvo lo previsto en ese parágrafo 3 para la información de debida diligencia.
¿A quién se le aplica la debida diligencia intensificada?
Según el numeral 9.17 de la Circular Externa 100-000020 de 2026, a las contrapartes y beneficiarios finales que representen un mayor riesgo, a las personas expuestas políticamente (PEP) y a quienes se ubiquen en países no cooperantes o jurisdicciones de alto riesgo, además de las operaciones con activos virtuales.
