PEP en Colombia: identificación y debida diligencia reforzada

Que el nombre de un cliente coincida con una lista PEP no prueba que sea la persona buscada. Y una búsqueda sin resultados tampoco prueba que no lo sea. El cargo puede ser reciente o figurar con otra variante del nombre. También puede que las funciones encajen en la definición aunque el título del puesto no esté en ningún catálogo. La búsqueda automática abre la verificación; no la termina.

En Colombia, el Decreto 830 de 2021 define las categorías nacionales y extranjeras, quiénes son asociados cercanos, qué debe declarar la persona y cuánto tiempo conserva la condición. Las medidas de debida diligencia y monitoreo las fija después el régimen de cada sector. En un eKYC, la verificación de documento, rostro y prueba de vida confirma quién es la persona y que está presente. El estatus PEP se determina aparte. Y ser PEP no equivale a estar sancionado ni a ser culpable: señala una exposición que pide controles proporcionales al riesgo.

En breve

• La condición PEP depende de las funciones y la exposición; el nombre del cargo es apenas un indicio.

• La lista pública de SIGEP es una fuente útil, que hay que completar con la declaración, otras fuentes y el análisis de identidad.

• La calidad se mantiene durante el cargo y dos años después de la desvinculación, tanto para PEP colombianas como extranjeras.

• El Decreto exige a la PEP declarar cargo, fechas, determinados familiares, vínculos, cuentas extranjeras y relaciones jurídicas relevantes.

• Una coincidencia se resuelve con identificadores. Con el nombre solo, puede escalar a la persona equivocada.

• La debida diligencia intensificada consiste en entender a la contraparte, al beneficiario final y el origen de los activos con controles adicionales. Pedir más papeles no la cumple.

La definición colombiana parte de las funciones

El Decreto 830 de 2021 considera PEP a servidores públicos nacionales y territoriales que ejercen funciones como expedir normas, dirigir, formular políticas, manejar bienes o dineros del Estado, administrar justicia o imponer sanciones. También incluye a particulares que dirigen o manejan recursos de movimientos o partidos políticos.

La norma presenta una enumeración amplia: altas autoridades del Ejecutivo, responsables financieros, directivos de entidades estatales, superintendentes, determinados miembros de fuerza pública, gobernadores y alcaldes, congresistas, magistrados, autoridades de control, notarios, curadores urbanos, ordenadores de gasto de universidades públicas y directivos de partidos, entre otros.

La lista es enunciativa. Un concepto de Función Pública de 2025 insiste en que decide la función asignada, aunque el nombre del puesto no figure literalmente en la norma. Si su motor compara solo títulos conocidos, puede pasar por alto a alguien cuyas competencias reales lo convierten en PEP.

PEP nacional, extranjera y exposición relacionada

El Decreto separa varios objetos que el sistema no debería mezclar:

Ninguno de estos casos equivale sin más a “cliente PEP”. Anote en el expediente sobre quién recae la alerta: el cliente, un administrador, el beneficiario final, un asociado o un familiar. Según el régimen sectorial, cambian el fundamento y las acciones.

El periodo poscargo también tiene que estar en el modelo. La condición dura mientras se ejerce el cargo y dos años después de la desvinculación, así que hacen falta fechas confiables y una regla temporal. Borrar a la persona el día que deja el cargo es un error. Cumplido ese mínimo, la organización reevalúa el riesgo según su norma y los hechos. Las demás señales siguen ahí aunque haya pasado la fecha.

Qué debe declarar la PEP y qué debe comprobar la organización

Durante vinculación, monitoreo y actualización, la PEP debe informar cargo y fechas. El Decreto también exige declarar nombres e identificación de cónyuge o pareja, familiares hasta los grados señalados, determinadas cuentas financieras en el extranjero y personas o estructuras jurídicas relacionadas en los términos de la norma.

El portal SIGEP II indica que la declaración debe realizarse en procesos de vinculación, desvinculación, monitoreo y actualización, y actualizarse dentro de los sesenta días calendario siguientes al cambio de las condiciones requeridas.

La declaración la aporta la propia persona y nadie la ha verificado de forma independiente. Contrástela con las fuentes disponibles, resuelva las diferencias y guarde la versión presentada. Si la lista pública y la declaración no coinciden, el caso queda en “requiere análisis”. Quedarse en silencio con la fuente más cómoda deja la decisión sin sustento.

Por qué una consulta de lista no cierra la identificación

Los nombres colombianos pueden contener dos apellidos, tildes, partículas y variantes; una fuente extranjera puede invertirlos o transliterarlos. Además, varias personas pueden compartir nombre. El screening devuelve candidatos, y cada uno necesita revisión.

La resolución de coincidencias debería usar, cuando estén disponibles y sea lícito tratarlos:

• tipo y número de documento;

• fecha o año de nacimiento;

• nacionalidad y país del cargo;

• entidad, puesto y periodo;

• localidades y vínculos conocidos;

• fuente, fecha de actualización y contexto.

Clasifique al menos coincidencia confirmada, descartada, posible e inconclusa. Conserve qué atributos coincidieron, cuáles contradijeron y quién resolvió. Un score de similitud de nombre no es una probabilidad jurídica de que ambas identidades sean la misma persona.

La lista pública puede ir con retraso. El Decreto asigna a Función Pública la consulta pública de las PEP registradas en SIGEP, y a las entidades, la gestión de esos registros. Entre el nombramiento, el reporte y la actualización puede pasar tiempo. Ese hueco se cubre combinando la declaración, la lista oficial, otras fuentes confiables y el monitoreo de cambios.

De la coincidencia a la debida diligencia intensificada

El orden de la figura protege contra dos errores habituales: aplicar controles costosos antes de saber si la alerta es del cliente, o descartarla porque el nombre no coincide al pie de la letra. Primero se resuelven identidad y relación. Luego se aplica el régimen de riesgo que corresponda.

Para las empresas sujetas a SAGRILAFT, la Circular Externa 100-000015 de 2021 describe la debida diligencia intensificada como conocimiento avanzado de contraparte y beneficiario final, así como del origen de los activos recibidos, con actividades adicionales. Incluye a contrapartes o beneficiarios finales PEP entre los supuestos de aplicación.

Para entidades vigiladas por la Superintendencia Financiera, la referencia actual está en el capítulo SARLAFT de la Circular Básica Jurídica que la SFC publica en su marco regulatorio. Si su organización no está en ninguno de esos dos regímenes, identifique su supervisor y su norma. Una obligación de SAGRILAFT no se traslada tal cual a otros sectores.

Cómo diseñar una revisión reforzada útil

Una revisión proporcional puede incluir:

• confirmar cargo, organismo, facultades, fecha de inicio y fin;

• identificar al beneficiario final y verificar si también tiene condición PEP;

• entender el propósito de la relación y el producto solicitado;

• establecer origen de fondos y, cuando corresponda, origen del patrimonio;

• comprobar coherencia entre ingresos, actividad, patrimonio y operación esperada;

• revisar noticias adversas con fuente, fecha y conducta concreta;

• someter la relación a la instancia de aprobación definida;

• aumentar frecuencia o profundidad del monitoreo y de la actualización.

Pida documentos a partir de una hipótesis de riesgo. Si el riesgo es la contratación pública, importa la relación entre cargo, contrapartes y flujos. En una sociedad controlada de forma indirecta, importa la cadena de propiedad. La misma carpeta para cada PEP engorda el expediente y no aclara nada.

Ser PEP tampoco implica rechazo. Según riesgo, tolerancia y norma, se puede aceptar con condiciones, elevar para aprobación, limitar un producto, pedir más evidencia o rechazar. Sea cual sea la decisión, registre sus motivos; la etiqueta sola no es un motivo.

Familiares, asociados y empresas: construir un grafo explicable

Una tabla plana pierde las relaciones. Conviene un modelo de nodos (personas, empresas, fideicomisos, cargos y cuentas) unidos por vínculos con tipo, dirección, fecha y fuente. Con él puede distinguir “hermano de”, “accionista de”, “administrador de” y “beneficiario de” sin marcar a todos como PEP primarios.

Si el cliente es una persona jurídica, revise si una PEP figura como beneficiario final, administrador o controlante. Eso no hace PEP a cada empleado de la empresa. Sí puede obligar, según el régimen aplicable, a procedimientos más estrictos sobre la relación y las personas relevantes.

Los vínculos caducan o cambian, así que guarde inicio, fin y última comprobación. Una relación comercial citada en una fuente antigua necesita revisión antes de darla por actual. Si la borra, en cambio, pierde el historial que explica una alerta pasada.

Monitoreo: eventos, no solo revisiones anuales

La exposición puede aparecer después del alta. Un cliente es nombrado en un cargo, un beneficiario final entra a una junta estatal, una pareja cambia, una sociedad modifica su control o surge información adversa. El sistema necesita re-screening y disparadores por evento además del calendario periódico.

Priorice alertas que conecten el perfil con la operación: pagos de contratistas públicos, jurisdicciones no esperadas, incremento brusco de patrimonio, transferencias con asociados, uso de empresas recién creadas o actividad incompatible. Si mira solo la etiqueta PEP, las alertas lo desbordarán. Si el contexto no se actualiza, se le escapará el cambio que importa.

Mida candidatos generados, falsos positivos confirmados, casos inconclusos, tiempo de resolución, PEP detectadas después del alta, actualizaciones vencidas, overrides y alertas transaccionales confirmadas. Segmente por fuente y causa. Con esos datos sabrá si una lista nueva amplía la cobertura o solo añade trabajo manual.

Automatización y evidencia

AML Screening Biometric.Vision puede apoyar búsquedas de personas y empresas en listas declaradas, re-screening y registro de resultados. En el onboarding, esa capa se vincula a la identidad que ya comprobaron el documento y, cuando proceda, la biometría facial. Un nombre tecleado sin verificar no sirve de base. La organización sigue siendo responsable de seleccionar fuentes, configurar similitud, resolver candidatos, obtener aprobaciones y aplicar su régimen sectorial.

Por cada ejecución conserve consulta normalizada, fuentes y versiones, candidatos devueltos, atributos usados, reglas, decisión humana, fecha y siguiente revisión. Restrinja el acceso a información familiar y financiera; aplique finalidad, minimización, retención y controles de protección de datos.

Mientras el resultado sea una coincidencia posible, no marque a la persona como PEP en todos los sistemas. Propague el estado y el nivel de confianza. De lo contrario, una alerta sin resolver se copia de sistema en sistema hasta parecer un “hecho”, y después cuesta mucho corregirla.

Conclusión

Para gestionar PEP en Colombia hace falta algo más que descargar una lista y bloquear coincidencias. El Decreto 830 obliga a mirar funciones, categorías, vínculos, declaraciones y un periodo poscargo. El régimen sectorial convierte esa identificación en debida diligencia y monitoreo proporcionales.

Un proceso defendible guarda la cadena completa: por qué apareció el candidato, cómo se resolvió su identidad, qué vínculo tiene con la contraparte, qué riesgo se identificó, quién aprobó y qué eventos dispararán la próxima revisión. Con ese registro puede descartar falsos positivos, sin rebajar el control, y explicar cada decisión.