Aplicar el mismo cuestionario a todos tus socios comerciales parece ordenado, pero puede dejarte expuesto donde más importa. Un proveedor local de bajo importe no exige la misma revisión que un agente que vende en tu nombre, un intermediario que cobra comisiones o un colaborador situado en un país de mayor riesgo. Ajustar el control evita tanto la burocracia inútil como las sorpresas reputacionales.
Clasifica al tercero antes de aprobarlo
Clasifica al tercero antes del alta para determinar qué revisión necesita.
Separa el tipo de relación
La clasificación de terceros debe partir también del papel que desempeñan. Un proveedor que entrega material de oficina no se evalúa igual que un distribuidor que usa tu marca, un agente que negocia con clientes, un intermediario remunerado por comisión, un cliente con pagos complejos o un socio de joint venture que comparte decisiones y recursos. Para una evaluación de socios comerciales consistente, utiliza una matriz que puntúe de 0 a 2 el riesgo país, el riesgo reputacional, la exposición legal y financiera, la posibilidad de corrupción, la revisión de sanciones, el impacto ESG, el acceso a datos personales y la capacidad de representar a la empresa.
Puntúa cinco hechos visibles
Da 0, 1 o 2 puntos a cada factor:
- país, sector, importe, acceso a información o fondos y capacidad de representar a la empresa. Entre 0 y 3 puntos aplica revisión básica
- entre 4 y 6, revisión media
- entre 7 y 10, diligencia debida reforzada
Un tercero de riesgo alto no es necesariamente un tercero prohibido. Significa que la empresa necesita pruebas adicionales, condiciones contractuales y una decisión aprobada por el administrador o responsable designado.
Así, la clasificación de terceros determina controles proporcionales y evita aplicar la misma diligencia debida a relaciones con exposiciones muy distintas.
Pide pruebas según el nivel de riesgo
Pide documentos concretos y contrástalos con fuentes independientes.
Usa esta matriz de revisión
| Nivel | Caso habitual | Pruebas mínimas | Nueva revisión |
|---|
| Bajo | Proveedor local puntual | NIF, titular y datos bancarios | Cada 24 meses |
| Medio | Proveedor crítico o acceso a datos | Sociedad, poderes, titular real y prensa adversa | Cada 12 meses |
| Alto | Agente, PEP o intermediario exterior | Todo lo anterior, sanciones, origen de pagos y aprobación doble | Cada 3 a 6 meses |
Contrasta identidad y conducta
Pide NIF, razón social, domicilio, escritura o poderes, estructura de propiedad y declaración del beneficiario efectivo, la persona que posee o controla realmente la entidad. Contrasta la empresa en el Registro Mercantil y, si procede, la titularidad real mediante los canales habilitados para ello.
1. Ficha
País, función, importe y accesos.
2. Pruebas
Identidad, titular real y fuentes públicas.
4. Seguimiento
Responsable, alertas y próxima fecha.
Trata cada alerta sin decidir por intuición
Registra las alertas, pide explicación y decide por escrito.
Distingue alerta de bloqueo
Conviene definir por adelantado qué señales obligan a detener o escalar la revisión. Son alertas habituales una estructura de titularidad real difícil de explicar, cambios repetidos de cuenta bancaria, comisiones fuera de mercado, negativas a identificar al beneficiario efectivo, peticiones de pago a terceros, vínculos con funcionarios, sanciones, litigios graves o prensa adversa creíble. Ante un hallazgo, registra la fuente y la fecha, conserva la evidencia, solicita una explicación por escrito y contrástala con registros oficiales u otras fuentes independientes.
Deja tres salidas posibles
Aprueba si no hay alertas relevantes o quedan resueltas con evidencia. Aprueba con condiciones si exige formación, cambio de proceso, contrato reforzado o revisión anticipada. Rechaza cuando no se identifica al titular real, aparecen sanciones aplicables o el tercero se niega a colaborar.
Mientras se investiga, limita el alta, el pago o la ampliación del contrato. El responsable de compliance debe documentar si el riesgo se cierra, requiere remediación o exige rechazar la relación.
Firma controles y vigila después del alta
Incluye obligaciones claras y revisa los cambios.
Añade cláusulas que se puedan exigir
El contrato debe convertir la prevención de riesgos de compliance en obligaciones verificables. Además de las declaraciones de cumplimiento, incluye el derecho de auditoría, la obligación de comunicar cambios de propiedad, sanciones, investigaciones o subcontratación, el acceso a evidencias y la posibilidad de suspender pagos o resolver el contrato ante un incumplimiento grave. El seguimiento de terceros debe tener un responsable por relación, alertas automatizadas cuando sea posible y un registro de decisiones.
⚠️ Firmar cláusulas no sustituye la vigilancia: si nadie revisa alertas y vencimientos, el contrato queda como un extintor sin revisar.
Mantén un registro sencillo
Crea una hoja con tercero, nivel, decisión, documentos, incidencias, responsable y fecha de próxima revisión. Activa alertas de prensa y sanciones para los casos altos, y revisa de inmediato si cambia el país, el titular real o el tipo de servicio.
Mide, por ejemplo, el porcentaje de revisiones realizadas en plazo, las alertas abiertas, el tiempo medio de resolución y los terceros con documentación vencida. Estos indicadores permiten demostrar que la gestión de riesgos de terceros continúa después de la firma.
Preguntas y respuestas
¿Qué es la due diligence de un proveedor?
La due diligence de un proveedor es una revisión de identidad, riesgos y evidencias antes de contratarlo. Su profundidad depende de país, importe, acceso a datos, fondos y capacidad de representar a tu empresa.
¿Cuándo debo hacer una revisión reforzada?
Debes hacerla si el tercero maneja dinero, datos sensibles, autoridades o ventas en tu nombre. También procede ante sanciones, PEP, países de riesgo o estructuras de propiedad poco claras.
¿Una búsqueda en Google es suficiente?
No, una búsqueda en Google solo ayuda a localizar posibles alertas públicas. Debes contrastar identidad, titular real, listas restrictivas y documentos con fuentes independientes.
Pide NIF, poderes, titular real, cuenta bancaria, referencias y declaración anticorrupción. Si cobra comisiones, solicita también el criterio de cálculo y la aprobación previa de gastos.
¿Qué hago si aparece una noticia negativa?
Registra la noticia, pide una explicación documentada y contrástala antes de decidir. Pausa la relación si la respuesta es incompleta, contradice registros o afecta a sanciones aplicables.
¿Cada cuánto debo revisar a un tercero?
Revisa los casos altos cada 3 a 6 meses y los medios cada 12 meses. Revisa antes si cambian propiedad, país, servicio, datos bancarios o aparecen alertas.
¿Qué cláusulas de compliance debe tener el contrato?
El contrato debe incluir declaraciones de cumplimiento, aviso de incidencias, derecho de auditoría y resolución por incumplimiento grave. Añade protección de datos y límites de subcontratación cuando el tercero acceda a información personal.
¿Quién debe aprobar a un socio de riesgo alto?
Un socio de riesgo alto debe tener una segunda aprobación de dirección o del responsable de cumplimiento. La decisión debe indicar qué pruebas se revisaron, qué condiciones se impusieron y cuándo se revisará de nuevo.
Lo esencial:- Clasifica por relación y exposición, no por simpatía o antigüedad.
- Contrasta los documentos con registros, sanciones y fuentes adversas.
- Una alerta requiere evidencia, responsable y decisión escrita.
- El contrato y las revisiones periódicas mantienen el control tras el alta.
