Compliance de terceros que se puede demostrar
Verdana Compliance es el módulo que permite evaluar, clasificar y monitorear de forma continua a los terceros con los que una organización hace negocios, y dejar constancia auditable de cada decisión. Cubre el ciclo completo: cuestionario de alta, verificación contra listas restrictivas y fuentes públicas, identificación de beneficiarios finales y personas expuestas políticamente, clasificación de riesgo, y remediación de hallazgos.
La clasificación no es una etiqueta manual. Se definen perfiles de análisis —por ejemplo, un tercero que factura menos de cierto monto y no accede a instalaciones sigue un camino corto; uno que participa de un proceso de licitación pública, opera con datos personales o tiene socios en jurisdicciones sensibles pasa a debida diligencia reforzada— y la plataforma asigna cada nuevo tercero al perfil que corresponde según lo que respondió y lo que se encontró en la verificación. El resultado es que el equipo de compliance dedica su tiempo al 5% de casos que lo requieren, en lugar de repartirlo parejo entre todos.
El monitoreo es lo que separa una debida diligencia de un archivo muerto. Verdana revalida periódicamente a los terceros ya aprobados, vuelve a consultar las fuentes según la frecuencia que se haya definido para cada perfil, y alerta cuando aparece un cambio relevante: una nueva incorporación a una lista, un cambio de composición societaria, una sanción, un vencimiento de póliza. Sobre esa base se completa el círculo con capacitaciones y evaluaciones asignadas al tercero, controles periódicos con evidencia adjunta, y una recomendación formal del equipo —trabajar, trabajar con condiciones, o no trabajar— que queda firmada y fechada.
Todo lo anterior vive dentro de un registro de auditoría que no se puede alterar: los efectos, revalidaciones y correcciones se guardan como registros nuevos, nunca sobrescribiendo el original. Si dentro de tres años hay que explicar por qué se aprobó a un proveedor determinado, la respuesta está completa, con el estado de conocimiento que existía en ese momento.
Preguntas frecuentes
¿Qué incluye una debida diligencia de terceros completa?
Identificación de la persona jurídica y sus representantes, reconstrucción de la estructura societaria hasta el beneficiario final, cribado contra listas de sanciones y listas restrictivas, detección de personas expuestas políticamente, revisión de antecedentes judiciales y regulatorios accesibles, y búsqueda en fuentes abiertas. Lo que la vuelve defendible es el registro de qué se consultó, cuándo y con qué resultado.
¿Cada cuánto hay que actualizar la debida diligencia de un proveedor?
La frecuencia debe seguir a la clasificación de riesgo, no ser uniforme: los terceros de mayor riesgo se revalidan con más frecuencia que los de riesgo bajo. Lo que no funciona es la revisión anual pareja para todo el padrón, porque llega tarde para lo crítico y sobra para lo irrelevante.
¿Qué diferencia hay entre debida diligencia simplificada, estándar y reforzada?
Son niveles de profundidad asignados según el perfil de riesgo del tercero. La reforzada agrega verificaciones que no se piden al resto —búsqueda ampliada en medios, análisis de razonabilidad comercial, entrevistas o visitas, aprobación de un nivel jerárquico superior— y se activa por factores como jurisdicción, contacto con la administración pública, opacidad societaria o antecedentes adversos.
¿Cómo se demuestra ante un auditor que el programa de terceros se aplicó?
Con evidencia verificable sin depender del testimonio de quien la produjo: documentos con fecha y aprobador, registros de consulta a fuentes, constancias de capacitación con versión aceptada, controles ejecutados con evidencia adjunta, y un historial que no pueda modificarse retroactivamente.