Una empresa puede trabajar con cientos de proveedores y mantener relaciones comerciales muy distintas entre sí. Algunos entregan insumos de bajo impacto, otros participan en procesos esenciales para la operación, administran información sensible, representan a la compañía ante organismos públicos o intervienen en contratos de montos significativos.
Sin embargo, todavía es frecuente encontrar políticas de debida diligencia que aplican prácticamente el mismo procedimiento a todos: solicitar documentos societarios, revisar algunos antecedentes públicos, completar un formulario y aprobar la contratación. Aunque este mecanismo permite establecer un control inicial, puede resultar insuficiente para determinadas relaciones y excesivo para otras.
El problema no está necesariamente en los documentos que se solicitan, sino en la ausencia de un criterio que permita determinar por qué se solicitan, qué profundidad debe alcanzar la revisión y qué riesgos se pretende controlar.
La debida diligencia basada en riesgos parte de una premisa diferente: la intensidad de la revisión debe guardar relación con la exposición que representa cada tercero para la organización. Esto implica que no todos los proveedores requieren el mismo número de verificaciones, las mismas fuentes de información ni la misma frecuencia de actualización.
Esta perspectiva se encuentra desarrollada en la Guía de la OCDE de Debida Diligencia para una Conducta Empresarial Responsable, que plantea identificar y evaluar los impactos adversos, priorizar aquellos más significativos y realizar evaluaciones proporcionales a las circunstancias de la empresa y a la naturaleza de los riesgos (OCDE, 2018). Su actualización y aplicación práctica también se aborda en el informe OECD Responsible Business Outlook 2026 (OCDE, 2026).
En Chile, este enfoque resulta especialmente relevante para las organizaciones que desarrollan modelos de prevención de delitos. La Ley N.º 20.393, modificada por la Ley N°21.595, establece que el modelo de prevención debe considerar, en la medida exigible, el objeto social, giro, tamaño, complejidad, recursos y actividades de la persona jurídica. Entre sus componentes se encuentra la identificación de las actividades o procesos que impliquen riesgos de conducta delictiva y el establecimiento de protocolos para prevenirlos y detectarlos (BCN, 2009; BCN, 2023).
La legislación no establece una matriz universal ni obliga a todas las empresas a clasificar a sus proveedores en tres o cuatro niveles determinados. Lo que exige es que el modelo sea adecuado y esté efectivamente implementado. Por eso, la clasificación que se desarrolla a continuación debe entenderse como una metodología de implementación que permite traducir el enfoque basado en riesgos en decisiones concretas.
La pregunta que debería orientar el proceso no es solamente qué documentos pedirle a un proveedor, sino cuánto necesitamos conocer de él para comprender y gestionar el riesgo de la relación comercial.
1. Los cinco criterios para clasificar el riesgo de un proveedor
Antes de definir niveles de debida diligencia, la empresa necesita establecer qué factores utilizará para evaluar a sus proveedores. Una clasificación basada exclusivamente en el monto del contrato puede dejar fuera riesgos importantes. Un servicio de bajo valor económico podría tener acceso a información estratégica, mientras que un contrato de alto monto podría corresponder a un suministro estandarizado, fácilmente sustituible y sin exposición relevante para la organización.
Por eso, proponemos utilizar cinco criterios complementarios.
1. Criticidad del servicio: ¿qué ocurre si el proveedor falla?
El primer criterio es determinar cuánto depende la organización del servicio contratado.
No todos los proveedores tienen el mismo impacto sobre la operación. Una empresa que entrega materiales de oficina puede ser reemplazada sin mayores consecuencias, mientras que un proveedor que administra infraestructura tecnológica, mantiene sistemas de facturación, presta servicios de seguridad o participa en una operación productiva esencial puede generar una interrupción significativa si incumple sus obligaciones.
La criticidad debe analizarse considerando, entre otros aspectos:
La importancia del servicio para la continuidad operacional.
El impacto económico o productivo de una interrupción.
La posibilidad de afectar a clientes, trabajadores o usuarios.
La dependencia de sistemas, instalaciones o procesos esenciales.
La existencia de obligaciones legales o regulatorias relacionadas con el servicio.
Ejemplo: una empresa minera contrata a un proveedor de artículos de oficina y a otro que mantiene un sistema de control operacional. Aunque ambos sean proveedores habituales, el segundo requiere una evaluación más profunda porque una falla podría afectar directamente la continuidad y seguridad de la operación.
Qué evidencia revisar: descripción del servicio, contrato, alcance de las funciones, procesos involucrados, niveles de servicio, antecedentes de continuidad operacional y evaluación del impacto que tendría una interrupción.
2. Monto y relevancia económica: ¿cuánto representa la relación?
El monto del contrato es un indicador relevante, pero no debería utilizarse de manera aislada.
Una contratación de alto valor puede incrementar la exposición financiera, generar dependencia económica o crear incentivos para prácticas indebidas, especialmente cuando existen intermediarios, comisiones, pagos a terceros o estructuras de contratación poco transparentes.
Sin embargo, una operación de bajo monto también puede presentar riesgos importantes si se repite frecuentemente, se divide en contratos sucesivos o involucra pagos que no guardan relación con el servicio prestado.
Por eso, conviene revisar:
Monto total y duración del contrato.
Frecuencia y recurrencia de los pagos.
Anticipos, comisiones y pagos extraordinarios.
Modificaciones contractuales y ampliaciones de alcance.
Coherencia entre precio, servicio y condiciones comerciales.
Dependencia económica que pueda generarse entre las partes.
Ejemplo: un proveedor que realiza servicios de consultoría por un monto reducido puede requerir una revisión más profunda si recibe pagos por éxito, comisiones variables o remuneraciones vinculadas a la obtención de contratos con terceros.
Qué evidencia revisar: cotizaciones, contrato, órdenes de compra, estructura de pagos, facturas, justificación comercial, antecedentes financieros pertinentes y aprobaciones internas.
3. Interacción con el Estado: ¿el proveedor actúa frente a autoridades públicas?
La relación con organismos públicos constituye un factor relevante para evaluar riesgos de corrupción, conflictos de interés y posibles delitos asociados a la actividad empresarial.
No es lo mismo contratar a una empresa que presta un servicio dentro de las instalaciones de una compañía que incorporar a un intermediario que gestiona permisos, licencias, autorizaciones, fiscalizaciones o procesos de contratación pública en representación de esa organización.
La revisión debería considerar si el tercero:
Actúa como intermediario o representante ante organismos públicos.
Gestiona permisos, concesiones o autorizaciones.
Participa en licitaciones o procesos de contratación pública.
Mantiene relaciones comerciales con empresas estatales.
Realiza gestiones que puedan involucrar a funcionarios públicos.
Recibe pagos o comisiones asociados a decisiones de autoridades.
Este criterio debe analizarse de acuerdo con la actividad y las funciones reales del proveedor. La mera existencia de un contrato con el Estado no constituye una señal de irregularidad, pero sí puede justificar una evaluación más detallada de las personas que intervienen, los servicios prestados y los mecanismos de pago.
La Ley N.º 20.393 incorpora delitos relacionados con la corrupción dentro del régimen de responsabilidad penal de las personas jurídicas, por lo que la identificación de actividades y procesos expuestos a estos riesgos forma parte de la lógica de un modelo de prevención adecuado (BCN, 2009, texto actualizado).
Ejemplo: una empresa contrata a un consultor para gestionar permisos sectoriales. La revisión debería permitir conocer quién prestará efectivamente el servicio, qué gestiones realizará, cómo se calcularán sus honorarios y si existen vínculos relevantes que deban ser declarados.
Qué evidencia revisar: contrato y alcance de representación, identificación de intermediarios, estructura de honorarios y comisiones, declaraciones de conflictos de interés, antecedentes societarios, identificación de representantes y aprobaciones internas.
4. Acceso a datos e información: ¿qué puede conocer o administrar el proveedor?
El acceso a información puede elevar significativamente el riesgo de una relación, incluso cuando el monto contratado sea reducido.
Un proveedor puede acceder a datos personales, información financiera, antecedentes comerciales, bases de clientes, credenciales, sistemas internos, información estratégica o documentación confidencial. En algunos casos, también puede almacenar, procesar o transmitir información por cuenta de la organización.
La revisión debería considerar:
Categorías de información a las que tendrá acceso.
Sensibilidad y volumen de los datos.
Acceso a información personal, financiera o estratégica.
Permisos sobre sistemas y ambientes productivos.
Posibilidad de descargar, modificar o transferir información.
Uso de subcontratistas y servicios tecnológicos externos.
Ubicación del procesamiento y condiciones de conservación.
Medidas de seguridad, confidencialidad y respuesta a incidentes.
Este criterio cobra especial importancia en servicios de tecnología, almacenamiento, procesamiento de datos, desarrollo de software, soporte remoto y servicios de inteligencia artificial.
La Comisión para el Mercado Financiero ha desarrollado exigencias específicas para la gestión de riesgos derivados de la externalización de servicios en entidades bajo su supervisión. Por ejemplo, la Norma de Carácter General N.º 573, publicada en agosto de 2026 para compañías de seguros y reaseguros, aborda la identificación, evaluación, monitoreo y control de los riesgos de externalización, incluyendo aspectos relacionados con proveedores, servicios críticos, ubicación del procesamiento y monitoreo contractual (CMF, 2026).
Es importante precisar que esta normativa tiene un ámbito de aplicación específico y no debe presentarse como una obligación general para todas las empresas. Sin embargo, constituye una referencia sectorial útil para comprender cómo se evalúan los riesgos asociados a proveedores tecnológicos y servicios externalizados.
Ejemplo: una empresa contrata una plataforma que procesa información de clientes. Aunque el contrato tenga un costo mensual bajo, el proveedor puede tener acceso a grandes volúmenes de datos personales y comerciales. Por ello, la evaluación debería incorporar antecedentes técnicos, contractuales y de privacidad.
Qué evidencia revisar: descripción de datos y accesos, contrato de tratamiento o cláusulas de privacidad, políticas de seguridad, controles de acceso, antecedentes de proveedores subcontratados, procedimientos de incidentes, respaldos y condiciones de eliminación o devolución de información.
5. Sustituibilidad: ¿qué tan difícil sería reemplazar al proveedor?
El último criterio busca comprender la dependencia que puede desarrollar la organización respecto de una contraparte.
Un proveedor puede no manejar información especialmente sensible ni participar en procesos de alto riesgo, pero resultar difícil de sustituir por razones técnicas, comerciales o de mercado. Esta dependencia puede afectar la continuidad operacional, reducir la capacidad de negociación y generar riesgos cuando el proveedor incumple sus obligaciones.
La sustituibilidad puede evaluarse considerando:
Cantidad de proveedores alternativos disponibles.
Tiempo necesario para realizar una transición.
Costos de migración o reemplazo.
Dependencia de conocimientos o tecnologías específicas.
Existencia de formatos propietarios o restricciones técnicas.
Disponibilidad de documentación y transferencia de conocimiento.
Condiciones de salida y continuidad del servicio.
Ejemplo: una empresa utiliza un software especializado que concentra información operativa y financiera. Aunque el proveedor no participe directamente en decisiones comerciales, reemplazarlo podría requerir meses de trabajo, migración de datos y capacitación. Esa dependencia justifica revisar con mayor profundidad las condiciones de continuidad, portabilidad y salida.
Qué evidencia revisar: análisis de alternativas, condiciones de término contractual, acuerdos de transición, documentación técnica, mecanismos de exportación de información, planes de continuidad y antecedentes sobre dependencia tecnológica.
2. Cómo convertir los cinco criterios en una clasificación de riesgo
Una vez evaluados los cinco criterios, la organización necesita establecer cómo se traducirán en una clasificación.
La recomendación es utilizar tres niveles de debida diligencia: simplificada, estándar y reforzada. Una cuarta categoría, denominada revisión especial, puede utilizarse para casos que requieren aprobación de una instancia superior o una evaluación específica antes de contratar.
Estos niveles no representan categorías legales obligatorias. Son una herramienta de gestión que permite asignar recursos de acuerdo con la exposición identificada.
Nivel 1. Debida diligencia simplificada
Se aplica a proveedores que presentan una exposición baja para la organización. Generalmente, prestan servicios estandarizados, no participan en procesos críticos, no tienen acceso significativo a información sensible, no representan a la empresa ante autoridades y pueden ser reemplazados sin mayores dificultades.
La revisión busca verificar que el proveedor existe, que está correctamente identificado y que la contratación tiene una justificación comercial coherente.
Qué revisar:
Identidad legal y vigencia de la empresa.
Identificación de representantes.
Giro o actividad económica.
Coherencia entre el servicio ofrecido y la actividad declarada.
Antecedentes públicos básicos relevantes.
Condiciones comerciales y contractuales.
Fuentes que pueden utilizarse:
Registro de Empresas y Sociedades.
Diario Oficial.
Servicio de Impuestos Internos, dentro de las consultas disponibles legítimamente.
Sitio web y antecedentes comerciales del proveedor.
Documentación entregada directamente por la contraparte.
Evidencia que debe quedar guardada:
Ficha de identificación del proveedor.
Documentación societaria o tributaria pertinente.
Resultado de las verificaciones realizadas.
Cotización, orden de compra o contrato.
Justificación de la clasificación asignada.
Fecha y responsable de la revisión.
El objetivo no es realizar una investigación exhaustiva, sino contar con antecedentes suficientes para justificar que la relación presenta una exposición acotada.
Nivel 2. Debida diligencia estándar
Se aplica a proveedores que presentan una exposición moderada. Pueden intervenir en procesos relevantes, manejar información interna, mantener relaciones comerciales recurrentes o representar un monto significativo para la organización, pero sin concentrar por sí solos riesgos críticos.
La revisión incorpora una evaluación más amplia de la contraparte y de las condiciones de la relación.
Qué revisar:
Todos los antecedentes del nivel simplificado.
Estructura societaria y representantes.
Identificación de propietarios y beneficiarios finales cuando resulte pertinente.
Antecedentes judiciales, administrativos y regulatorios relevantes.
Información financiera y tributaria disponible legítimamente.
Antecedentes reputacionales.
Conflictos de interés y vínculos relevantes.
Capacidad de cumplimiento del servicio.
Coherencia de precios, pagos y condiciones contractuales.
Fuentes que pueden utilizarse:
Registro de Empresas y Sociedades y Diario Oficial.
Poder Judicial, para antecedentes judiciales consultables.
Organismos reguladores y fiscalizadores competentes.
SII, Tesorería General de la República y otras fuentes oficiales, según disponibilidad y legitimidad del acceso.
Declaraciones del proveedor y documentación de respaldo.
Medios de comunicación confiables, cuando existan antecedentes que ameriten revisión.
Evidencia que debe quedar guardada:
Ficha ampliada de debida diligencia.
Estructura societaria y antecedentes de control.
Declaraciones de conflictos de interés.
Resultados de consultas y verificaciones.
Análisis de antecedentes relevantes.
Evaluación del riesgo y justificación de la clasificación.
Aprobación interna de la contratación.
Contrato y controles aplicables.
En este nivel, la organización debe poder explicar no solo quién es el proveedor, sino también por qué considera que tiene capacidad para cumplir la relación y qué riesgos fueron identificados durante la revisión.
Nivel 3. Debida diligencia reforzada
Se aplica a proveedores de alta exposición. Pueden intervenir en procesos críticos, administrar información sensible, manejar recursos importantes, actuar como intermediarios ante organismos públicos o presentar una dependencia significativa para la continuidad de la operación.
También corresponde evaluar este nivel cuando aparecen señales relevantes que justifican profundizar el análisis, independientemente del monto del contrato.
Qué revisar:
Todos los antecedentes de los niveles anteriores.
Estructura de propiedad y control indirecto.
Identificación y verificación de beneficiarios finales.
Vínculos con personas expuestas políticamente, cuando corresponda.
Antecedentes judiciales, regulatorios y sancionatorios relevantes.
Relaciones comerciales y societarias que puedan generar conflictos de interés.
Origen y justificación de pagos, comisiones o intermediaciones cuando resulte pertinente.
Capacidad financiera y operacional.
Controles de seguridad de la información y continuidad.
Subcontratistas y proveedores críticos involucrados.
Riesgos asociados a jurisdicciones y operaciones internacionales.
Condiciones de salida y sustitución.
Fuentes que pueden utilizarse:
Registros oficiales societarios y de propiedad disponibles.
Diario Oficial y Registro de Empresas y Sociedades.
Poder Judicial y organismos fiscalizadores.
Fuentes oficiales de sanciones y listas internacionales pertinentes.
Antecedentes tributarios y financieros cuya consulta y utilización sean legítimas.
Declaraciones formales de beneficiario final y conflictos de interés.
Documentación técnica, contractual y de seguridad.
Informes especializados o auditorías, cuando sean pertinentes y estén disponibles.
Evidencia que debe quedar guardada:
Expediente integral del proveedor.
Mapa de propiedad y control.
Declaraciones y verificaciones de beneficiarios finales.
Resultados de consultas PEP y sanciones, cuando corresponda.
Análisis de antecedentes judiciales, administrativos y reputacionales.
Evaluación de riesgos operacionales, financieros y de integridad.
Cuestionarios y evidencias de seguridad.
Informe de hallazgos y medidas de mitigación.
Aprobación de la instancia competente.
Cláusulas contractuales especiales.
Plan de monitoreo y fecha de próxima revisión.
En este nivel, una revisión documental puede no ser suficiente. Dependiendo del servicio, puede ser necesario solicitar entrevistas, demostraciones de controles, auditorías, certificaciones existentes o antecedentes adicionales que permitan verificar la capacidad real del proveedor.
Revisión especial: cuando los antecedentes requieren una decisión superior
No todos los casos de alta exposición pueden resolverse aplicando simplemente una revisión más extensa.
Si aparecen inconsistencias relevantes, estructuras de propiedad que no pueden aclararse, antecedentes graves o señales que no logran explicarse satisfactoriamente, la organización debería detener el proceso ordinario y escalar el caso.
Esta revisión puede concluir en la solicitud de nuevos antecedentes, la imposición de medidas adicionales, la aprobación excepcional por una autoridad interna competente o la decisión de no iniciar o continuar la relación.
La existencia de una alerta no equivale automáticamente a una conducta ilícita. Sin embargo, tampoco debería ignorarse porque el proveedor haya entregado los documentos solicitados.
La decisión debe quedar fundamentada y documentada.
3. Matriz de clasificación: de los criterios al nivel de revisión
Para evitar que la clasificación dependa exclusivamente de una apreciación subjetiva, recomendamos utilizar una matriz común.
Criterio
Exposición baja
Exposición media
Exposición alta
Criticidad del servicio
Servicio auxiliar y fácilmente reemplazable
Incide en procesos relevantes
Esencial para la continuidad operacional
Monto y relevancia económica
Contrato acotado y pagos simples
Contrato recurrente o de monto relevante
Alto impacto económico, intermediación o pagos complejos
Interacción con el Estado
Sin representación ni gestión pública
Contacto ocasional o indirecto
Intermediación, permisos, licitaciones o gestiones relevantes
Acceso a datos
Sin acceso a información sensible
Acceso limitado a información interna
Acceso amplio a datos personales, financieros, estratégicos o sistemas críticos
Sustituibilidad
Alternativas disponibles y cambio sencillo
Reemplazo con costos o plazos moderados
Dependencia elevada y transición compleja
Esta matriz permite establecer una primera clasificación, pero no debería utilizarse como un cálculo automático que determine el resultado sin análisis.
Una forma práctica de implementarla consiste en asignar a cada criterio una valoración de exposición baja, media o alta y utilizar el resultado como referencia para determinar el nivel de debida diligencia.
Sin embargo, conviene incorporar una regla de escalamiento: un solo criterio de exposición alta puede justificar una revisión reforzada, aunque los otros cuatro sean bajos. Por ejemplo, un proveedor de bajo costo que administra credenciales de acceso a sistemas críticos no debería clasificarse como de bajo riesgo solo porque el contrato sea pequeño y existan alternativas comerciales.
También deben considerarse señales de alerta que pueden modificar la clasificación: información contradictoria, negativa injustificada a entregar antecedentes, estructuras de propiedad opacas, vínculos relevantes no declarados o antecedentes adversos directamente relacionados con el servicio.
La matriz debe servir para orientar la decisión, no para reemplazarla.
4. Qué revisar en cada nivel: fuentes y evidencia
La clasificación tiene valor cuando permite traducirse en acciones concretas. La siguiente tabla resume qué fuentes y antecedentes pueden utilizarse de acuerdo con la intensidad de la revisión.
Dimensión
Simplificada
Estándar
Reforzada
Identidad y existencia
Registro societario y tributario disponible
Verificación ampliada de representantes y actividad
Contraste de estructura y control
Propiedad y beneficiario final
Según necesidad y naturaleza del tercero
Identificación de propietarios relevantes
Identificación y verificación de beneficiarios finales y control indirecto
Antecedentes legales
Consultas básicas pertinentes
Revisión judicial, administrativa y regulatoria
Análisis contextual de antecedentes y relaciones relevantes
Integridad y reputación
Revisión básica cuando corresponda
Medios confiables, conflictos de interés y vínculos
Investigación ampliada de señales, relaciones y posibles intermediarios
Capacidad económica
Coherencia comercial básica
Antecedentes financieros pertinentes
Capacidad financiera, estructura de pagos y justificación de operaciones
Seguridad y datos
Identificar si tendrá acceso
Revisar compromisos y controles pertinentes
Evaluación técnica, contractual y de subcontratistas
Aprobación
Área solicitante o responsable definido
Jefatura o responsable de cumplimiento según política
Instancia superior o comité competente
Monitoreo
Ante cambios relevantes
Revisión periódica según política
Seguimiento más frecuente y gatilladores definidos
La selección de fuentes debe responder a la finalidad de la evaluación y a las condiciones legales de acceso y utilización de la información. No toda información disponible públicamente es necesariamente pertinente para cualquier decisión comercial, ni todos los antecedentes pueden tratarse sin considerar las normas de protección de datos.
Asimismo, la profundidad de una evaluación no debe medirse únicamente por la cantidad de fuentes consultadas. Una revisión puede utilizar muchas bases de datos y, aun así, no explicar adecuadamente el riesgo. Lo importante es que cada consulta tenga una finalidad, que la información sea contrastada y que los hallazgos relevantes queden contextualizados.
5. Qué decidir, qué criterio utilizar y qué evidencia guardar
Una política de debida diligencia debe establecer una secuencia de decisiones que permita reconstruir el proceso. La siguiente guía puede utilizarse como base para implementar el procedimiento.
Decisión
Criterio para resolver
Evidencia que debe quedar
¿El tercero está dentro del alcance de la política?
Naturaleza de la relación, servicio y exposición
Ficha de alta y justificación de inclusión
¿Qué nivel de revisión corresponde?
Cinco criterios de clasificación y señales de alerta
Matriz de riesgo y fundamento del nivel asignado
¿Qué antecedentes deben solicitarse?
Riesgos identificados y profundidad requerida
Lista de antecedentes y solicitudes realizadas
¿La información es suficiente y consistente?
Verificación de identidad, fuentes y coherencia
Resultados de consultas y análisis de hallazgos
¿Se puede aprobar la relación?
Riesgo residual, medidas de mitigación y atribuciones internas
Informe de evaluación y aprobación
¿Qué condiciones deben incorporarse al contrato?
Riesgos específicos del servicio y responsabilidades
Contrato, anexos y cláusulas de control
¿Cuándo debe revisarse nuevamente?
Nivel de riesgo, duración y eventos que modifican la exposición
Fecha de revisión y gatilladores de monitoreo
Esta secuencia evita que la debida diligencia termine siendo un trámite administrativo. Cada etapa debe generar un resultado verificable y permitir que la siguiente decisión se adopte con información suficiente.
6. La clasificación no termina cuando se firma el contrato
Uno de los errores más comunes es considerar que la evaluación de un proveedor queda cerrada una vez que se aprueba su contratación.
La relación comercial puede cambiar y, con ella, el nivel de exposición. Un proveedor inicialmente clasificado como de riesgo bajo puede comenzar a administrar información sensible, incorporar subcontratistas, asumir funciones críticas o participar en procesos que involucran a organismos públicos.
Por eso, la clasificación debería actualizarse cuando cambien las condiciones que justificaron el nivel asignado.
Una política puede establecer revisiones periódicas diferenciadas, por ejemplo:
Riesgo bajo: revisión cada 24 meses como referencia interna, o ante cambios relevantes.
Riesgo medio: revisión anual como referencia interna, o ante eventos que modifiquen la exposición.
Riesgo alto: seguimiento continuo de eventos relevantes y revisión formal al menos anual, con una frecuencia mayor cuando el servicio lo justifique.
Estos períodos son ejemplos de diseño de política, no plazos establecidos por la Ley N.º 20.393 ni por una regla general aplicable a todos los proveedores. Cada organización debe definirlos considerando su actividad, recursos, riesgos y obligaciones sectoriales.
Entre los eventos que pueden activar una revisión extraordinaria se encuentran:
Cambio de propietarios, representantes o beneficiarios finales.
Incorporación de nuevos intermediarios o subcontratistas.
Aparición de sanciones o antecedentes judiciales relevantes.
Cambios en la naturaleza o alcance del servicio.
Incidentes de seguridad o interrupciones importantes.
Deterioro de la situación financiera.
Modificaciones en las condiciones de pago.
Nuevas relaciones con organismos públicos.
Cambios en la jurisdicción donde se presta o procesa el servicio.
La revisión continua no significa investigar permanentemente a todos los proveedores con la misma intensidad. Significa mantener mecanismos para detectar cambios que puedan modificar el riesgo y activar una nueva evaluación cuando corresponda.
7. Un ejemplo práctico: tres proveedores, tres niveles de revisión
Para entender cómo funciona esta metodología, imaginemos una empresa que necesita contratar tres servicios distintos.
Proveedor A: suministro de artículos de oficina
La empresa entrega materiales estandarizados, no accede a información interna, no participa en procesos críticos y puede ser reemplazada por otros proveedores del mercado.
Criticidad: baja.
Monto: bajo.
Interacción con el Estado: inexistente.
Acceso a datos: inexistente.
Sustituibilidad: alta.
Resultado: debida diligencia simplificada. Se verifica identidad, existencia, representantes, actividad y coherencia comercial. Se conserva la ficha del proveedor, la documentación básica y la aprobación de contratación.
Proveedor B: consultora que presta servicios de gestión de permisos
La empresa realiza gestiones ante organismos públicos, mantiene una relación contractual recurrente y recibe honorarios asociados a determinados resultados.
Criticidad: media.
Monto: medio.
Interacción con el Estado: alta.
Acceso a datos: limitado.
Sustituibilidad: media.
Resultado: debida diligencia reforzada, principalmente por su interacción con autoridades y la estructura de sus pagos. Se revisan representantes, propietarios, beneficiarios finales, conflictos de interés, intermediarios, honorarios, antecedentes relevantes y alcance de las facultades de representación.
Proveedor C: plataforma tecnológica que administra información de clientes
La empresa presta un servicio de alto impacto, procesa información sensible, tiene acceso a sistemas internos y sería difícil de reemplazar sin afectar la operación.
Criticidad: alta.
Monto: medio.
Interacción con el Estado: inexistente.
Acceso a datos: alto.
Sustituibilidad: baja.
Resultado: debida diligencia reforzada. Se revisan antecedentes societarios, estructura de control, seguridad de la información, privacidad, subcontratación, continuidad operacional, ubicación del procesamiento, condiciones de salida y mecanismos de recuperación.
Los ejemplos muestran por qué una clasificación basada exclusivamente en el monto del contrato sería insuficiente. Los proveedores B y C presentan riesgos relevantes por razones distintas, aunque ninguno tenga necesariamente el mayor valor económico.
8. Cómo implementar la metodología en la empresa
Para llevar esta propuesta a la práctica, recomendamos incorporarla en una política o procedimiento de debida diligencia que defina, al menos, los siguientes elementos:
Primero, establecer el universo de terceros. Identificar qué relaciones comerciales deben pasar por evaluación y qué áreas son responsables de iniciar el proceso.
Segundo, definir los cinco criterios. Adaptar la matriz a la realidad de la organización, considerando su actividad, tamaño, complejidad y principales riesgos.
Tercero, establecer los niveles de revisión. Determinar qué antecedentes, fuentes, verificaciones y aprobaciones corresponden a cada nivel.
Cuarto, documentar las decisiones. Mantener una ficha de evaluación que permita conocer el nivel asignado, su fundamento, los hallazgos y las medidas adoptadas.
Quinto, definir el monitoreo. Establecer períodos de revisión y eventos que puedan activar una nueva evaluación.
Esta estructura permite que las áreas de compras, operaciones, finanzas, tecnología y cumplimiento trabajen bajo criterios comunes. También facilita que la organización explique por qué un proveedor recibió una revisión simplificada y otro necesitó una evaluación reforzada.
La metodología debe revisarse periódicamente y actualizarse cuando cambien los riesgos, los servicios contratados o el marco normativo aplicable.
De la cantidad de antecedentes a la profundidad del análisis
Una política de debida diligencia proporcional al riesgo no busca investigar exhaustivamente a todos los proveedores. Busca determinar qué información necesita la organización para comprender cada relación comercial y qué medidas debe adoptar frente a los riesgos identificados.
Los cinco criterios propuestos permiten mirar más allá del monto de una contratación. La criticidad del servicio muestra cuánto puede afectar una falla a la operación; la relevancia económica permite comprender la exposición financiera; la interacción con el Estado ayuda a identificar riesgos de integridad; el acceso a datos incorpora las dimensiones de privacidad y seguridad; y la sustituibilidad permite reconocer dependencias que podrían comprometer la continuidad del negocio.
La clasificación, sin embargo, no debería convertirse en una etiqueta permanente ni en una decisión automática. Un proveedor puede cambiar de nivel cuando se modifica el servicio, aparecen nuevos antecedentes o aumenta la exposición de la organización. Por eso, la evaluación inicial debe conectarse con mecanismos de actualización y monitoreo.
La tecnología puede facilitar este trabajo al integrar información societaria, financiera, judicial, tributaria y reputacional, identificar cambios y organizar evidencia. Pero su aporte no consiste simplemente en generar más consultas o alertas. Su valor está en permitir que los antecedentes puedan contrastarse, relacionarse y contextualizarse para orientar una decisión proporcional.
La pregunta no es cuánto investigar a todos los proveedores, sino qué necesitamos saber de cada uno para decidir responsablemente cuánto riesgo estamos dispuestos a asumir. Esa es la diferencia entre una política que acumula documentos y un sistema de debida diligencia que realmente ayuda a gestionar las relaciones comerciales.
Referencias
Biblioteca del Congreso Nacional de Chile. (2009). Ley N.º 20.393, establece la responsabilidad penal de las personas jurídicas en los delitos que indica. Texto actualizado. Ley Chile. https://www.bcn.cl/leychile/navegar?idNorma=1008668
Biblioteca del Congreso Nacional de Chile. (2023). Ley N.º 21.595, sobre delitos económicos. Ley Chile. https://www.bcn.cl/leychile/
Comisión para el Mercado Financiero. (2026, 12 de agosto). CMF publica normativa sobre externalización de servicios para compañías de seguros y reaseguros. https://www.cmfchile.cl/portal/prensa/625/w4-article-112580.html
Comisión para el Mercado Financiero. (2026). Norma de Carácter General N.º 573: Instrucciones sobre externalización de servicios por parte de las compañías de seguros y reaseguros. https://www.cmfchile.cl/
Organización para la Cooperación y el Desarrollo Económicos. (2018). Guía de la OCDE de debida diligencia para una conducta empresarial responsable. OECD Publishing. https://doi.org/10.1787/14922561-es
Organización para la Cooperación y el Desarrollo Económicos. (2026). OECD Responsible Business Outlook 2026. OECD Publishing. https://www.oecd.org/en/publications/oecd-responsible-business-outlook-2026_2b15370f-en.html
Lecturas relacionadas de Check Auditor
Cómo implementar una política de debida diligencia de terceros en 5 pasos. Lectura previa: presenta el proceso completo y sus cinco etapas.
5 elementos clave para realizar una buena debida diligencia de proveedores y terceros. Complementa los criterios de identificación, antecedentes, situación financiera, integridad y monitoreo.
Debida diligencia de proveedores: qué revisar antes de contratar a un tercero. Profundiza en los antecedentes que pueden revisarse antes de iniciar una relación comercial.
