Agosto 2026
La reciente designación del Primeiro Comando da Capital (PCC) y del Comando Vermelho como organizaciones terroristas extranjeras (Foreign Terrorist Organizations o FTOs) por parte de los Estados Unidos ha reavivado el debate sobre la gestión de riesgos asociados a terceros. Sin embargo, la relevancia de esa discusión trasciende las consecuencias jurídicas de la medida. Más bien, plantea una cuestión de fondo: si los procesos tradicionales de debida diligencia de terceros siguen siendo suficientes para identificar y comprender los riesgos que pueden surgir a través de clientes, proveedores, intermediarios y otras contrapartes con las que las organizaciones desarrollan sus operaciones.
Esta pregunta adquiere especial importancia para las empresas que operan en jurisdicciones como Brasil y Bolivia, donde diversos informes han identificado la presencia o actividad de organizaciones designadas como FTOs, lo que pone de relieve la necesidad de adoptar un enfoque más amplio y dinámico para la evaluación de riesgos de terceros.
La debida diligencia de terceros continúa siendo un componente esencial de cualquier programa de cumplimiento, pero las expectativas sobre su alcance han evolucionado. Ya no basta con demostrar que una organización cuenta con procedimientos de evaluación o que ha realizado determinadas verificaciones documentales. Cada vez cobra mayor importancia acreditar que el nivel de diligencia aplicado fue proporcional a los riesgos involucrados y que la información obtenida proporcionó una base razonable para sustentar las decisiones adoptadas.
Los registros corporativos, las fuentes públicas de información, la identificación de beneficiarios finales y la revisión de listas restrictivas continúan siendo el punto de partida de cualquier evaluación seria de terceros. Sin embargo, estas herramientas no siempre ofrecen una visión completa de los riesgos asociados a una relación comercial. El desafío ya no consiste únicamente en recopilar más información, sino en determinar cuándo la información disponible resulta suficiente para comprender razonablemente el nivel de riesgo que la organización está dispuesta a asumir.
Los principales estándares internacionales en materia de debida diligencia de terceros comparten objetivos comunes, pero deliberadamente evitan imponer una metodología única para alcanzarlos. Para las empresas que operan en Bolivia, ello implica adaptar sus procesos de evaluación a las condiciones del entorno local sin reducir el estándar de diligencia esperado. La eficacia de una metodología no depende de reproducir procedimientos utilizados en otras jurisdicciones, sino de su capacidad para generar información relevante y confiable que permita evaluar adecuadamente los riesgos de cada relación comercial.
La evolución más importante no radica en exigir más controles, sino en comprender mejor la finalidad de la debida diligencia de terceros. Su propósito no consiste en eliminar la posibilidad de adoptar una decisión incorrecta, sino en proporcionar una base razonable para tomar decisiones informadas, proporcionales al riesgo y capaces de resistir un escrutinio posterior. Desde esta perspectiva, la gestión de riesgos de terceros deja de ser una función orientada exclusivamente al cumplimiento normativo para convertirse en una herramienta de gobierno corporativo y de toma de decisiones empresariales.
La evolución descrita en este artículo invita a las organizaciones a revisar cinco aspectos fundamentales de la gestión de riesgos de terceros:
En definitiva, el verdadero valor de la debida diligencia de terceros ya no radica en la cantidad de información que recopila, sino en su capacidad para proporcionar a la organización una base razonable para adoptar decisiones que puedan ser explicadas y defendidas cuando resulte necesario.
Durante años, las empresas han destinado importantes recursos al fortalecimiento de sus programas de cumplimiento. Políticas internas, procesos de debida diligencia de terceros, verificaciones de beneficiarios finales y controles de prevención de lavado de dinero forman hoy parte de las prácticas habituales de gobierno corporativo y gestión de riesgos. Sin embargo, acontecimientos recientes en la región plantean una pregunta que adquiere cada vez mayor relevancia: ¿los mecanismos que utilizan las empresas para evaluar a sus contrapartes les permiten comprender adecuadamente los riesgos asociados a esas relaciones?
La reciente designación del Primeiro Comando da Capital (PCC) y del Comando Vermelho como organizaciones terroristas extranjeras (Foreign Terrorist Organizations o FTOs) por parte de los Estados Unidos ha generado un amplio debate entre empresas, entidades financieras y asesores jurídicos en América Latina. Más allá de las implicaciones específicas de esa medida, la discusión ha puesto de relieve una preocupación más amplia: la creciente dificultad de identificar riesgos que no surgen dentro de la propia organización, sino a través de clientes, proveedores, intermediarios, socios comerciales y otras contrapartes con las que interactúa de manera cotidiana.
La relevancia de este debate no radica únicamente en las consecuencias jurídicas de una designación específica, sino en la pregunta de fondo que plantea para cualquier organización que opera en un entorno de riesgos cada vez más complejo: ¿siguen siendo suficientes los procesos tradicionales de debida diligencia de terceros para identificar y evaluar riesgos cuya complejidad puede exceder la información disponible en registros públicos y otras fuentes documentales convencionales?
Esta cuestión trasciende una jurisdicción o un sector en particular. Refleja una evolución más amplia en las expectativas sobre lo que significa conocer verdaderamente a una contraparte. La revisión de registros corporativos, fuentes públicas de información y demás verificaciones formales continúa siendo un componente esencial de cualquier proceso de debida diligencia. Sin embargo, cada vez con mayor frecuencia las organizaciones se preguntan si esas medidas, por sí solas, proporcionan un conocimiento suficiente de los riesgos que pueden derivarse de una relación comercial.
Esta evolución no disminuye la importancia de la debida diligencia tradicional. Por el contrario, pone de relieve la necesidad de entenderla no como un simple ejercicio de recopilación de información, sino como un proceso basado en riesgos que permita respaldar decisiones empresariales informadas. En un entorno donde los riesgos asociados a terceros son cada vez más complejos e interconectados, la cuestión ya no es únicamente si una organización cuenta con procedimientos de debida diligencia de terceros, sino si esos procedimientos generan la información necesaria para adoptar decisiones proporcionales al riesgo y suficientemente sólidas para resistir un escrutinio posterior.
Durante los últimos años, la gestión de riesgos asociados a terceros ha experimentado una evolución significativa. La identificación de clientes, proveedores, intermediarios y socios comerciales; la verificación de beneficiarios finales; y la revisión de registros públicos y listas restrictivas continúan siendo componentes esenciales de cualquier programa de cumplimiento eficaz. Sin embargo, la conversación internacional sobre compliance ha comenzado a desplazarse hacia una cuestión distinta: ya no basta con demostrar que una organización cuenta con procedimientos de debida diligencia de terceros. Cada vez resulta más importante acreditar que esos procedimientos son adecuados para los riesgos que enfrenta el negocio.
Este cambio no significa que la debida diligencia tradicional haya perdido relevancia, ni implica que todas las organizaciones deban incorporar controles cada vez más complejos. Por el contrario, reafirma uno de los principios fundamentales de los programas modernos de cumplimiento: la gestión de riesgos debe ser proporcional al riesgo.
Los principales estándares internacionales ya no se limitan a verificar la existencia de políticas y procedimientos formales. También analizan si esos procedimientos fueron diseñados considerando el perfil de riesgo específico de la organización, si la información obtenida proporciona una base razonable para la toma de decisiones y si el proceso de debida diligencia de terceros evoluciona conforme cambian las circunstancias del negocio y los factores de riesgo. En otras palabras, el foco ha comenzado a desplazarse desde la mera existencia de controles hacia la eficacia y razonabilidad de su aplicación.
Las discusiones surgidas tras la reciente designación del Primeiro Comando da Capital (PCC) y del Comando Vermelho como organizaciones terroristas extranjeras por parte de los Estados Unidos ilustran claramente esta evolución. Aunque el debate se originó a partir de una medida concreta, rápidamente trascendió sus efectos jurídicos inmediatos. La cuestión de fondo pasó a ser si los procesos tradicionales de debida diligencia de terceros permiten identificar adecuadamente riesgos que pueden surgir a través de estructuras empresariales aparentemente legítimas o de relaciones comerciales que, desde una revisión exclusivamente documental, no presentan señales evidentes de alerta. En otras palabras, el debate puso de manifiesto la necesidad de replantearse si la debida diligencia de terceros, tal como tradicionalmente se ha concebido, continúa siendo suficiente para responder a un entorno de riesgos cada vez más complejo e interconectado.
Este cambio de perspectiva también transforma la forma de entender la debida diligencia de terceros. Durante muchos años, el énfasis estuvo puesto en demostrar que determinadas verificaciones habían sido realizadas: identificar a la contraparte, revisar su documentación societaria, determinar sus beneficiarios finales y consultar fuentes públicas de información. Esas verificaciones siguen siendo indispensables, pero ya no agotan el análisis. Cada vez cobra mayor importancia que la organización pueda explicar por qué aplicó un determinado nivel de revisión, cómo evaluó el perfil de riesgo de la contraparte y por qué consideró que la información obtenida era suficiente para respaldar la decisión de iniciar o mantener la relación comercial.
La diferencia puede parecer sutil, pero representa un cambio profundo en la manera de gestionar el riesgo. El objetivo ya no consiste únicamente en demostrar que se siguió un procedimiento, sino en acreditar que ese procedimiento fue capaz de generar una evaluación razonable e informada de los riesgos involucrados. Esa evolución también cuestiona una premisa que durante años se dio prácticamente por sentada: que la información obtenida mediante un proceso tradicional de debida diligencia siempre sería suficiente para comprender los riesgos asociados a una relación comercial.
Durante décadas, la debida diligencia de terceros ha sido una de las principales herramientas para gestionar los riesgos asociados a clientes, proveedores, socios comerciales y otras contrapartes. La revisión de registros corporativos, la identificación de beneficiarios finales, la consulta de fuentes públicas de información y la verificación de listas restrictivas continúan siendo elementos esenciales para comprender con quién hace negocios una organización.
Sin embargo, la creciente atención que hoy reciben los riesgos asociados a organizaciones criminales transnacionales ha puesto de manifiesto una limitación que con frecuencia pasa inadvertida: la información disponible en registros públicos y otras fuentes documentales no siempre ofrece una visión completa de los riesgos asociados a una relación comercial.
Esta limitación no responde a una deficiencia de los mecanismos tradicionales de gestión de riesgos de terceros. Por el contrario, dichos mecanismos fueron concebidos para identificar información objetiva y verificable sobre una contraparte. El desafío surge cuando determinados riesgos no se reflejan de manera evidente en la documentación societaria, los registros públicos o las demás fuentes de información que habitualmente forman parte de un proceso de evaluación.
Las recientes designaciones de organizaciones criminales transnacionales no han disminuido la utilidad de la gestión de riesgos de terceros. Lo que han puesto de manifiesto es una realidad distinta: algunos de los riesgos que hoy preocupan a las organizaciones simplemente no pueden identificarse mediante una revisión exclusivamente documental.
Como consecuencia, la discusión ha comenzado a desplazarse desde la verificación de información hacia una comprensión más amplia del contexto en el que opera una contraparte. Aspectos como la naturaleza de determinadas relaciones comerciales, la coherencia entre las actividades declaradas y las operaciones efectivamente desarrolladas, el uso de intermediarios, la exposición a determinados mercados o sectores y los riesgos reputacionales asociados a una organización han adquirido una relevancia creciente en los procesos de evaluación de terceros.
Esta evolución resulta especialmente evidente en las discusiones que han seguido a las recientes designaciones de organizaciones criminales en la región. Una de las principales preocupaciones planteadas por especialistas en compliance e investigaciones corporativas no ha sido únicamente la aparición de nuevas restricciones regulatorias o riesgos legales. La verdadera inquietud ha consistido en determinar si las organizaciones cuentan con herramientas suficientes para identificar conexiones, relaciones o circunstancias que difícilmente pueden apreciarse a partir de las fuentes tradicionalmente utilizadas en un proceso de debida diligencia de terceros.
A medida que aumentan las expectativas de reguladores, entidades financieras, inversionistas y socios comerciales, las organizaciones enfrentan una presión creciente para demostrar no solo que han evaluado formalmente a sus terceros, sino que han desarrollado una comprensión razonable de los riesgos que esas relaciones pueden generar.
La ausencia de señales de alerta en registros públicos o en otras fuentes documentales no equivale necesariamente a la ausencia de riesgo. Esta realidad está llevando a muchas organizaciones a replantear la forma en que evalúan a sus terceros. Para las empresas que operan en mercados como Bolivia, donde el acceso a determinadas fuentes de información puede ser más limitado que en otras jurisdicciones, esta evolución plantea un desafío adicional: diseñar procesos de debida diligencia de terceros que satisfagan las expectativas reflejadas en los principales estándares internacionales sin perder de vista las particularidades del entorno local.
Responder a estas nuevas expectativas no implica replicar metodologías de debida diligencia desarrolladas para otras jurisdicciones. Implica comprender con claridad cuál es la finalidad de la debida diligencia de un tercero y cómo alcanzarla de manera consistente con el entorno en el que opera la organización. El desafío no consiste en aplicar procedimientos idénticos, sino en alcanzar el mismo estándar de diligencia mediante procesos adecuados a la realidad local.
Los principales estándares internacionales en materia de debida diligencia de terceros comparten un principio fundamental: el alcance y la profundidad de la evaluación deben ser proporcionales a los riesgos que presenta cada relación comercial. Al mismo tiempo, deliberadamente evitan establecer una metodología única para alcanzar ese objetivo. Esa flexibilidad responde a una realidad práctica: la disponibilidad de información, la estructura de los mercados y las prácticas empresariales difieren significativamente entre jurisdicciones.
Adaptar una metodología de debida diligencia no significa reducir el estándar de diligencia esperado. Significa reconocer que un mismo objetivo puede requerir herramientas distintas según la jurisdicción y las características de la operación. En consecuencia, la eficacia de un proceso de la gestión de riesgos de terceros no debe medirse por el número de verificaciones que incorpora, sino por su capacidad para generar información relevante, confiable y suficientemente sólida para sustentar una evaluación informada de los riesgos asociados a una determinada relación comercial.
Esta diferencia puede apreciarse fácilmente en operaciones habituales. Una empresa que incorpora un nuevo distribuidor, un proveedor estratégico o un intermediario comercial en Bolivia probablemente podrá verificar su existencia legal, su representación y otros aspectos básicos de su estructura corporativa mediante las fuentes de información disponibles. Sin embargo, dependiendo del perfil de riesgo de la operación, esas verificaciones pueden no ser suficientes para responder las preguntas que realmente determinarán si la relación presenta un nivel de riesgo aceptable. La cuestión deja entonces de ser cuántos documentos fueron revisados y pasa a ser si el proceso de debida diligencia de terceros generó información suficiente y pertinente para comprender los riesgos que esa relación comercial efectivamente presenta.
Quizás una de las principales lecciones que deja el debate regional surgido tras la designación del PCC y del Comando Vermelho como organizaciones terroristas extranjeras es precisamente esa. La eficacia de una metodología de debida diligencia de terceros no depende de incorporar un número cada vez mayor de verificaciones, sino de su capacidad para producir la información necesaria para comprender los riesgos de una relación comercial dentro del contexto en el que opera la organización.
Para las empresas que operan en Bolivia, esta evolución representa tanto un desafío como una oportunidad. El desafío consiste en desenvolverse en un entorno donde determinadas fuentes de información pueden ser menos accesibles que en otros mercados. La oportunidad radica en diseñar procesos de debida diligencia de terceros basados en riesgos que respondan a las particularidades del entorno local sin apartarse de los estándares internacionales de cumplimiento. En última instancia, las organizaciones que sean capaces de demostrar un enfoque reflexivo, proporcional y adecuadamente documentado para la evaluación de riesgos de terceros estarán mejor preparadas para responder a las expectativas de reguladores, entidades financieras, inversionistas y socios comerciales.
La evolución descrita hasta este punto tiene implicaciones que trascienden el ámbito del cumplimiento normativo. Si la debida diligencia de terceros ya no se limita a verificar información, sino que busca proporcionar una comprensión razonable de los riesgos asociados a una relación comercial, la responsabilidad de gestionar esos riesgos ya no puede recaer exclusivamente en el área de Compliance.
La incorporación de un proveedor estratégico, la designación de un distribuidor, la contratación de un intermediario o el establecimiento de una alianza comercial son, en esencia, decisiones de negocio. Sin embargo, cuando esas relaciones pueden generar riesgos jurídicos, financieros o reputacionales significativos, dejan de ser decisiones exclusivamente comerciales. Tampoco son decisiones exclusivamente jurídicas. Son decisiones empresariales que exigen equilibrar los objetivos del negocio con una adecuada comprensión de los riesgos involucrados.
Este cambio refleja una de las transformaciones más importantes que ha experimentado la gestión de riesgos de terceros. Durante muchos años, la debida diligencia de terceros fue entendida principalmente como un requisito previo para autorizar una relación comercial. Aunque esa función sigue siendo válida, hoy resulta insuficiente para describir su verdadero propósito. La debida diligencia no pretende eliminar la posibilidad de que una organización adopte una decisión equivocada. Su finalidad es proporcionar una base estructurada, informada y proporcional para la toma de decisiones. Desde esa perspectiva, la información obtenida durante el proceso deja de ser un fin en sí mismo para convertirse en el fundamento sobre el cual la organización determina si una determinada relación comercial es compatible con su apetito de riesgo.
Este cambio también tiene importantes implicaciones para el gobierno corporativo. Cada vez con mayor frecuencia, el desafío no consiste en determinar si una contraparte ha cumplido con una lista predeterminada de requisitos documentales. La verdadera dificultad surge cuando la información disponible permite identificar determinados riesgos, pero no ofrece respuestas concluyentes. En esos escenarios, las preguntas verdaderamente relevantes son otras: ¿quién tiene la autoridad para decidir si esos riesgos son aceptables?, ¿qué criterios deberían orientar esa decisión?, ¿cómo debería documentarse y, cuando corresponda, escalarse?
En la práctica, estas situaciones están lejos de ser excepcionales. Una organización puede necesitar incorporar con rapidez un nuevo proveedor o intermediario para aprovechar una oportunidad comercial, mientras que el proceso de debida diligencia de terceros revela circunstancias que justifican profundizar el análisis, sin que ello implique necesariamente la imposibilidad de avanzar con la contratación. Conciliar las necesidades del negocio con una adecuada gestión del riesgo constituye hoy uno de los principales desafíos de los programas modernos de cumplimiento.
Las discusiones surgidas tras la designación del PCC y del Comando Vermelho ilustran claramente esta evolución. Más que demostrar la necesidad de incorporar controles cada vez más extensos, pusieron de manifiesto una realidad distinta: incluso procesos de debida diligencia de terceros bien diseñados pueden conducir a escenarios en los que la información disponible no permite arribar a conclusiones categóricas. En esos casos, la cuestión central deja de ser si el procedimiento fue completado y pasa a ser si la organización puede demostrar que contó con un proceso razonable, adecuadamente gobernado y suficientemente documentado para adoptar y sustentar la decisión finalmente tomada.
Vista desde esta perspectiva, la debida diligencia de terceros deja de ser únicamente una herramienta de cumplimiento regulatorio y pasa a convertirse en un elemento esencial del gobierno corporativo. Permite distribuir adecuadamente las responsabilidades en la toma de decisiones, definir quién puede aceptar determinados niveles de riesgo, establecer criterios objetivos para el escalamiento de decisiones y asegurar que estas respondan a un análisis consistente y proporcional.
En definitiva, la eficacia de un programa de debida diligencia de terceros no debería medirse únicamente por el número de controles que incorpora ni por el volumen de información que recopila. Su verdadero valor radica en proporcionar a la organización un marco de decisión que le permita adoptar decisiones informadas, basadas en riesgos y capaces de resistir el escrutinio de reguladores, inversionistas, contrapartes y demás grupos de interés.
La evolución descrita a lo largo de este artículo tiene una consecuencia práctica importante: la eficacia de la debida diligencia de terceros ya no depende únicamente de la existencia de políticas, procedimientos o controles. Depende, cada vez más, de la calidad de las decisiones que una organización es capaz de adoptar cuando la información es incompleta, el riesgo no puede eliminarse por completo y las necesidades del negocio exigen actuar.
En este contexto, fortalecer la gestión de riesgos de terceros no necesariamente implica incorporar nuevos controles. Con mayor frecuencia, supone revisar cómo se adoptan determinadas decisiones y si los criterios utilizados para sustentarlas siguen siendo adecuados frente a un entorno de riesgos cada vez más complejo.
Desde esa perspectiva, existen cinco preguntas que merecen una nueva reflexión.
1) ¿Qué información podría cambiar realmente nuestra decisión?
Frente a una operación compleja, una de las reacciones más habituales consiste en solicitar más información. Sin embargo, la experiencia demuestra que acumular documentos no necesariamente reduce la incertidumbre ni mejora la calidad de una decisión. A partir de cierto punto, una organización puede invertir más tiempo en recopilar información y construir expedientes cada vez más completos sin lograr una mejor comprensión de los riesgos asociados a una relación comercial.
Pensemos, por ejemplo, en una empresa que busca incorporar un nuevo distribuidor en un mercado donde aún no opera. Probablemente podrá verificar su existencia legal, identificar a sus administradores y beneficiarios finales y revisar otra información corporativa relevante. Sin embargo, esas verificaciones no necesariamente responderán la pregunta que realmente condiciona la decisión: ¿existe una base razonable para confiar en que esa contraparte desarrollará la relación comercial de manera consistente con los estándares jurídicos, éticos y de cumplimiento de la organización?
La pregunta verdaderamente útil, por tanto, no es qué información adicional puede obtenerse, sino cuál de esa información podría influir realmente en la decisión. Ese cambio de enfoque permite distinguir entre información simplemente disponible e información verdaderamente relevante para la toma de decisiones, evitando que la debida diligencia de terceros se convierta en un ejercicio de recopilación documental en lugar de una herramienta de evaluación de riesgos.
Las organizaciones que desarrollan procesos de gestión de riesgos de terceros más eficaces suelen definir de antemano qué información resulta material según el tipo de operación, la naturaleza de la contraparte y el perfil de riesgo involucrado. De ese modo, la profundidad de la evaluación responde al riesgo y no al volumen de documentación disponible.
En definitiva, la calidad de una evaluación no depende de la cantidad de información recopilada, sino de su capacidad para aportar los elementos que realmente permiten adoptar una decisión informada.
2) ¿Cuándo deja de ser suficiente el procedimiento habitual?
Los procedimientos estandarizados cumplen una función esencial. Aportan consistencia, reducen la discrecionalidad y permiten evaluar un gran número de contrapartes de manera eficiente. Sin embargo, precisamente porque fueron concebidos para situaciones habituales, no siempre ofrecen respuestas suficientes frente a operaciones que presentan riesgos elevados o características particulares.
Pensemos en una empresa que decide contratar a un intermediario para apoyar negociaciones en una jurisdicción donde nunca antes había operado. Aplicar exactamente el mismo proceso de debida diligencia utilizado para incorporar a un proveedor de bajo riesgo puede ser procedimentalmente correcto y, al mismo tiempo, insuficiente para comprender los riesgos específicos de esa operación.
La verdadera cuestión ya no consiste en determinar si el procedimiento fue correctamente aplicado, sino en establecer si era el procedimiento adecuado para los riesgos que planteaba la relación comercial. Esa diferencia suele marcar la distancia entre un programa que simplemente cumple con sus procesos y otro que realmente contribuye a gestionar el riesgo.
Las organizaciones que administran con mayor eficacia los riesgos asociados a terceros no solo diseñan procedimientos estandarizados. También definen con claridad las circunstancias que justifican una revisión más profunda, la aplicación de medidas reforzadas de debida diligencia o el uso de metodologías de evaluación complementarias. La fortaleza de un proceso de debida diligencia de terceros rara vez se pone a prueba en los casos sencillos; se pone a prueba cuando la situación exige ejercer criterio.
3) ¿Quién debe decidir si un riesgo es aceptable?
Todo proceso de debida diligencia de terceros llega, inevitablemente, al momento en que la organización debe tomar una decisión. Ese punto marca el tránsito entre el análisis técnico y el juicio empresarial.
Imaginemos una oportunidad comercial que debe concretarse en un plazo muy breve. El proceso de gestión de riesgos de terceros identifica factores que justifican profundizar el análisis, aunque ninguno constituye, por sí solo, un impedimento para avanzar. El área comercial considera que retrasar la operación puede implicar perder una oportunidad estratégica. Compliance recomienda ampliar la evaluación. El área legal concluye que no existe un impedimento jurídico para continuar.
En escenarios como este, la cuestión rara vez consiste en determinar si existe un riesgo. La verdadera pregunta es quién, dentro de la organización, debe decidir si ese riesgo resulta aceptable.
Las organizaciones que gestionan adecuadamente estas situaciones suelen contar con marcos de gobierno claramente definidos, que establecen quién tiene autoridad para adoptar determinadas decisiones, qué riesgos requieren una revisión o escalamiento adicional y bajo qué criterios pueden ser aceptados. Esos mecanismos no sustituyen el juicio profesional; crean un proceso estructurado dentro del cual ese juicio puede ejercerse de manera consistente.
Después de todo, la finalidad de la debida diligencia de terceros no consiste en reemplazar el criterio empresarial, sino en asegurar que las decisiones se adopten sobre una base razonable, informada y proporcional al riesgo.
4) ¿Seríamos capaces de explicar esta decisión dentro de cinco años?
Una decisión adecuadamente documentada preserva mucho más que evidencia: preserva el razonamiento que permitió adoptarla.
Años después de iniciar una relación comercial, una organización puede verse obligada a explicar esa decisión ante reguladores, auditores, entidades financieras, inversionistas, autoridades o incluso un nuevo equipo directivo que no participó en la evaluación original. En ese contexto, conservar los documentos revisados durante el proceso de debida diligencia de terceros resulta importante, pero rara vez es suficiente.
La pregunta verdaderamente relevante suele ser otra: ¿por qué, con la información disponible en ese momento, era razonable avanzar?
Documentar adecuadamente una decisión implica, por tanto, mucho más que archivar formularios o conservar informes. Significa registrar el contexto en el que fue adoptada, los riesgos identificados, los factores considerados determinantes y el razonamiento que permitió concluir que la relación comercial era compatible con el nivel de riesgo que la organización estaba dispuesta a asumir.
Con el paso del tiempo, la capacidad para explicar por qué una decisión fue considerada razonable suele convertirse en un indicador mucho más útil de la madurez de un programa de cumplimiento que el volumen de documentación contenida en un expediente. Las organizaciones rara vez enfrentan dificultades por no haber conservado un documento adicional; con mucha mayor frecuencia, el desafío consiste en reconstruir el razonamiento que sustentó una decisión años atrás.
5) ¿Qué debería motivar una nueva evaluación?
Existe una tendencia natural a considerar que la debida diligencia de terceros concluye una vez que una contraparte ha sido aprobada. En realidad, toda aprobación descansa sobre determinados supuestos: quién controla la organización, cómo desarrolla sus actividades, en qué mercados opera y cuál es su función dentro de la relación comercial.
Esos supuestos pueden cambiar mucho antes de que cambie la normativa aplicable o de que aparezca un incumplimiento evidente.
Pensemos en una contraparte que fue evaluada hace dos años. Desde entonces, incorporó nuevos accionistas, comenzó a operar en otros mercados o modificó de manera significativa su papel dentro de la cadena de suministro. Ninguno de esos cambios implica, por sí solo, que la relación deba terminar. Sí justifican, en cambio, preguntarse si los supuestos que originalmente respaldaron la decisión continúan siendo válidos.
Por esa razón, las organizaciones que entienden la gestión de riesgos de terceros como un proceso continuo suelen complementar las revisiones periódicas con criterios claros para identificar aquellos acontecimientos que pueden modificar de manera significativa el perfil de riesgo de una contraparte. De ese modo, el seguimiento deja de responder únicamente al paso del tiempo y comienza a responder a la evolución del riesgo.
Ninguna decisión permanece vigente por sí sola. Permanece vigente mientras también lo hagan los supuestos sobre los cuales fue adoptada. La debida diligencia de terceros no concluye con la aprobación de una contraparte; exige revisar periódicamente si las razones que justificaron esa decisión siguen siendo válidas a medida que evolucionan los riesgos.
La evolución de la debida diligencia de terceros refleja un cambio más amplio en la forma en que hoy se espera que las organizaciones gestionen sus riesgos. La cuestión ya no consiste únicamente en demostrar que una empresa cuenta con procedimientos de debida diligencia, sino en acreditar que esos procedimientos proporcionan una base razonable para comprender los riesgos asociados a una relación comercial y sustentar las decisiones que finalmente se adoptan.
Esta evolución no exige que las organizaciones realicen investigaciones cada vez más extensas ni que aspiren a eliminar toda incertidumbre. Exige, más bien, adoptar un enfoque basado en riesgos, proporcional a las circunstancias, sustentado en información confiable y pertinente, y lo suficientemente flexible para adaptarse a la evolución del entorno.
Para las empresas que operan en jurisdicciones como Bolivia, ello implica diseñar procesos de debida diligencia que respondan a las particularidades del contexto local sin apartarse de los estándares internacionales. La eficacia de esos procesos no debería medirse por la cantidad de documentos recopilados o el número de verificaciones realizadas, sino por su capacidad para generar información relevante que permita sustentar decisiones empresariales sólidas.
En definitiva, el verdadero valor de la debida diligencia de terceros no radica en evitar que una organización enfrente cualquier riesgo o adopte una decisión equivocada. Su principal contribución consiste en proporcionar un proceso que permita tomar decisiones informadas, razonadas y defendibles. En un entorno regulatorio y de riesgos cada vez más complejo, esa capacidad constituye uno de los principales indicadores de un programa de cumplimiento verdaderamente eficaz.