Verificación de titulares reales (UBO): por qué el screening a nivel de entidad no es suficiente
Un tercero puede superar el screening inicial y aun así dejar sin responder cuestiones importantes sobre su propiedad.
Screening de sanciones limpio. Adverse media sin resultados. Cuestionario completado. Según todas las comprobaciones que ejecuta el proceso, la relación está lista para ser aprobada.
Ninguna de esas comprobaciones pregunta quién está detrás de la entidad una vez firmada la aprobación. No la razón social registrada, sino la persona o las personas que la poseen, la controlan y se benefician de ella. Los equipos de compliance consideran que esta es la parte más difícil de la due diligence, y los datos lo respaldan: en un análisis de 25 conversaciones con responsables de compliance sobre riesgo de terceros, 15 señalaron la visibilidad de la propiedad y las afiliaciones como una laguna operativa significativa; 10 calificaron la identificación de los UBO como el elemento más difícil de todo el proceso, por delante del estado sancionador, los adverse media y la revisión de cuestionarios.
Esto se observa en todos los sectores y en empresas de cualquier tamaño, tanto en equipos con programas maduros como en equipos que empiezan desde cero. El screening a nivel de entidad confirma la entidad que el equipo de compliance tiene delante. Sin embargo, no rastrea lo que hay detrás de esa entidad, y ahí es donde el proceso se agota.
Qué significa una investigación de UBO
La investigación de la titularidad real (Ultimate Beneficial Ownership, UBO) es el proceso de identificar a la persona o personas que en última instancia poseen o controlan una entidad tercera. El nombre que figura en un documento de registro es solo el punto de partida. En la práctica, esto puede implicar rastrear la cadena de propiedad a través de sociedades holding, estructuras fiduciarias (nominee) y estructuras multijurisdiccionales hasta identificar a una persona responsable, ya que el propietario legal registrado y la parte que ejerce el control efectivo son con frecuencia distintos.
La inteligencia sobre relaciones puede apoyar una investigación de UBO al hacer aflorar señales de propiedad, afiliaciones, entidades vinculadas y relaciones documentadas públicamente para su posterior revisión. No confirma de forma independiente la titularidad real ni sustituye la verificación formal de la propiedad.
Esto es relevante porque 10 de las 25 conversaciones analizadas mencionaron específicamente la identificación de los UBO como la información más difícil de obtener, por delante del estado sancionador, los adverse media y las respuestas a los cuestionarios. Los datos registrales son un punto de partida importante, pero su cobertura depende de la jurisdicción y de las normas de divulgación aplicables.
Qué comprueba realmente la due diligence a nivel de entidad
La due diligence de terceros suele ejecutar un conjunto fijo de comprobaciones sobre la propia entidad: listas de sanciones, registros de PEP, adverse media y, en algunos casos, una búsqueda de propiedad basada en registros. Esta es la base de la mayoría de los programas de third-party risk management (TPRM), y con buenas razones: se ejecuta con rapidez, se automatiza bien y detecta las señales de riesgo más evidentes. Para una visión más amplia de dónde esta base suele encontrar dificultades, véase *Third-Party Risk Management: Challenges and Best Practice*.
Las comprobaciones a nivel de entidad tienen un alcance definido. Evalúan la entidad jurídica declarada y ahí se detienen. Quedan abiertas las cuestiones de quién controla esa entidad, qué otras empresas comparten sus administradores o propietarios, o si forma parte de un grupo mayor con su propio perfil de riesgo. Los datos de propiedad procedentes de registros ayudan en este punto, pero la cobertura varía notablemente según la jurisdicción. En las llamadas analizadas, la jurisdicción fue la línea de fractura recurrente.
Un responsable de compliance describió el límite de forma directa: en determinados mercados «no se puede saber quiénes son los accionistas… la única manera de encontrarlos es preguntar al tercero quiénes son sus accionistas». Otro, que trabaja en varias jurisdicciones, lo expresó de forma más contundente: la propiedad a veces está «oculta en algún tipo de entidad fiduciaria» en jurisdicciones con poca divulgación. Doce de las 25 conversaciones describieron su proceso actual de investigación de la propiedad como autodeclaración mediante cuestionario o investigación manual, sin ninguna comprobación gestionada por sistema.
Dónde aparecen realmente las lagunas
En las llamadas analizadas se repitieron tres patrones, cada uno de ellos apuntando a un modo de fallo distinto del screening limitado a la entidad.
**Las empresas más pequeñas suelen generar pocas señales públicas.** Las comprobaciones de adverse media y de registros dependen de que una empresa tenga huella pública. Un compliance officer relató no haber obtenido ningún resultado sobre un tercero simplemente demasiado pequeño o demasiado reciente para aparecer en ninguna parte: sin perfil en medios, sin presencia web, nada contra lo que hacer screening. Un resultado en blanco se lee como «no se ha detectado riesgo». A menudo significa «no existían datos que buscar».
**La información en idioma local y de mercados locales no aparece en las bases de datos globales.** En un caso, una herramienta de screening global no devolvió nada sobre un proveedor; una búsqueda de diez minutos en el idioma local realizada por el propio compliance officer sacó a la luz hallazgos sustanciales que la herramienta había pasado completamente por alto. El idioma y la geografía surgieron como barrera en varias conversaciones, en particular en mercados de alto riesgo como China, Europa del Este y parte de África.
**Las estructuras de propiedad se extienden entre jurisdicciones de formas que las comprobaciones sobre una sola entidad no llegan a seguir.** Las cadenas de propiedad multijurisdiccionales son habituales en las relaciones transfronterizas con terceros, y cada jurisdicción de la cadena puede aplicar estándares de divulgación diferentes. Seguir esa cadena hoy implica cruzar manualmente registros separados y conciliar nombres a mano. Suele tratarse del mismo proceso de correos electrónicos y hojas de cálculo descrito en *How to Digitize Your Third-Party Risk Management Program*.
Cuándo merece la pena escalar la laguna
Los equipos de compliance no investigan a todos los terceros con la misma profundidad, ni deberían hacerlo. En las llamadas analizadas, la escalada a enhanced due diligence (EDD) seguía un conjunto coherente de desencadenantes: jurisdicciones de alto riesgo, red flags detectadas durante el screening inicial, valor elevado del contrato, relaciones con contrapartes gubernamentales o próximas a ellas, y proveedores estratégicamente importantes u objetivos de M&A.
El patrón que merece destacarse: los desencadenantes de EDD suelen ser risk-based y proporcionales, pero la información que justifica la escalada —por ejemplo, una conexión de propiedad inesperada o una filial en una jurisdicción sancionada— es precisamente el tipo de señal que el screening limitado a la entidad tiene menos probabilidades de hacer aflorar por sí solo. Los equipos acaban escalando en función de lo que encuentran de forma casual mediante búsquedas manuales, sin una visión coherente de la propiedad en todo su portfolio. Formalizar esto, definiendo los niveles de riesgo de antemano, antes de que surja cualquier caso concreto, es precisamente lo que pretende abordar un enfoque estructurado y risk-based.
Cómo integrar esto en un flujo de trabajo de due diligence
El screening a nivel de entidad se mantiene. Las comprobaciones de propiedad y afiliaciones pasan a ser un paso diferenciado del flujo de trabajo, con su propio lugar en el proceso. En la práctica, esto significa:
– Ejecutar las comprobaciones de propiedad y afiliaciones como paso estándar para los terceros que superen un umbral definido de riesgo o de valor, incluidos aquellos que parecen rutinarios.
– Registrar las fuentes consultadas, los hallazgos considerados y el motivo de la decisión final. Esto favorece la coherencia en los traspasos, las reevaluaciones posteriores, la supervisión por parte de la dirección y cualquier revisión interna o externa ulterior.
– Tratar un resultado de «sin coincidencias» procedente de una única fuente de datos como no concluyente en el caso de entidades pequeñas o con perfil público limitado, ya que un resultado en blanco puede significar simplemente que esos datos nunca estuvieron disponibles para su búsqueda.
EQS Third Parties da soporte a este enfoque como parte de un flujo de trabajo más amplio de third-party risk management, incluido el Network Mapping, que hace aflorar señales de propiedad y afiliaciones directamente dentro del perfil de un tercero. El Network Mapping muestra señales de relación para apoyar la investigación; no confirma de forma independiente la titularidad real.