Un software de due diligence con IA ayuda a verificar la reputación, las sanciones, los procesos judiciales y la salud financiera de un tercero en mucho menos tiempo que la revisión manual, y entrega al analista un panorama de riesgo priorizado. Si estás eligiendo una herramienta ahora, lo que separa una buena plataforma de una vitrina de dashboards es la trazabilidad: cada hallazgo debe apuntar a su fuente, y la decisión de aprobar o rechazar al proveedor debe seguir en manos de una persona.
La presión por acertar en esta verificación no deja de crecer. En el Verizon 2026 Data Breach Investigations Report, publicado en mayo de 2026, las brechas con participación de terceros llegaron al 48% del total, un 60% más que en la edición anterior, que ya había registrado una duplicación hasta el 30% (Verizon DBIR 2025). Cada nuevo proveedor es una puerta a tu entorno, y la planilla de onboarding que tardaba semanas en cerrarse se convirtió en un cuello de botella de riesgo.
Qué es la due diligence y cuándo aplicarla a socios y proveedores
La due diligence de terceros es la investigación estructurada de un socio antes de firmar el contrato y a lo largo de toda la relación. Responde a tres preguntas prácticas: si ese tercero es quien dice ser, si representa un riesgo legal o reputacional, y si su postura de seguridad compromete la tuya.
En la práctica, la verificación abarca:
- Identidad y estructura societaria: quiénes son los socios, controladores y beneficiarios finales.
- Listas de sanciones y PEP: exposición a programas de sanciones y a personas expuestas políticamente.
- Reputación y medios adversos: procesos, condenas, noticias negativas e historial regulatorio.
- Salud financiera: riesgo de discontinuidad del proveedor e impacto en tu operación.
- Postura de seguridad y privacidad: certificaciones, controles y adecuación a la LGPD, la Ley General de Protección de Datos de Brasil.
El disparador más obvio es el onboarding de un nuevo proveedor. Pero la due diligence también se aplica en fusiones y adquisiciones, en la incorporación de distribuidores y representantes, en la renovación de contratos críticos y siempre que un tercero empiece a tratar datos personales o a acceder a sistemas sensibles. La profundidad debe variar según el riesgo: un proveedor de material de oficina no exige el mismo escrutinio que un procesador de pagos.
En Brasil, esta lógica también aparece en la regulación. El Decreto n.º 11.129/2022, que reglamenta la Ley Anticorrupción (Ley n.º 12.846/2013), incluye entre los parámetros de evaluación del programa de integridad “diligencias apropiadas, basadas en riesgo” para la contratación y, según el caso, la supervisión de terceros y de personas expuestas políticamente (art. 57, XIII), además de la verificación de irregularidades y vulnerabilidades en fusiones, adquisiciones y reestructuraciones societarias (art. 57, XIV). En las instituciones financieras, la Resolución CMN n.º 4.893/2021, del Consejo Monetario Nacional de Brasil, exige procedimientos proporcionales a la relevancia del servicio al contratar procesamiento de datos y nube, tema de nuestro artículo sobre riesgo de terceros y la Resolución CMN 4.893.
Cómo la IA agiliza la verificación de reputación, sanciones y riesgos legales
La verificación manual es lenta porque el analista tiene que consultar, una por una, decenas de fuentes dispersas: diarios oficiales, listas de sanciones, tribunales, registros societarios y medios. Para cada tercero, eso significa horas de búsqueda y el riesgo permanente de pasar algo por alto.
La IA cambia el ritmo porque ejecuta esas consultas en paralelo. En una sola pasada, cruza el nombre del tercero y de sus socios con bases de sanciones, como la lista SDN de la OFAC, la oficina de control de activos extranjeros del Tesoro de Estados Unidos, revisa medios adversos en varios idiomas y agrupa los procesos judiciales por relevancia. El resultado llega como un resumen priorizado en lugar de una pila de enlaces: lo que exige atención inmediata aparece arriba, con el fragmento de origen adjunto.
Esa ganancia pesa en el bolsillo cuando la verificación falla. La aplicación de sanciones en Estados Unidos se disparó en 2025: las sanciones y acuerdos de la OFAC sumaron cerca de US$ 265,7 millones en 14 casos, frente a US$ 48,8 millones en 12 casos en 2024 (OFAC, 2025; OFAC, 2024). Buena parte del salto viene de un único acuerdo, de cerca de US$ 216 millones. Automatizar la revisión no elimina el juicio humano, pero reduce la probabilidad de que una fuente crítica quede sin consultar por falta de tiempo.
El punto de equilibrio es el modelo human-in-the-loop. La IA ayuda a reducir el falso negativo (el riesgo que nadie vio) y a ordenar el falso positivo (la alerta que parece grave pero no lo es), mientras el analista decide. Conviene recordar que la adopción aún está madurando: en la KPMG Global Third-Party Risk Management Survey 2026, con 851 participantes, entre el 50% y el 58% de las empresas dicen usar IA en procesos de riesgo de terceros, pero solo el 22% califica ese uso como “muy eficaz”. El resultado depende tanto de cómo se implanta la herramienta como de la tecnología en sí.
Automatización de la recopilación y el análisis de documentos
La parte más ingrata de la due diligence es el ir y venir de documentos. El tercero envía el contrato social, certificados, políticas de seguridad, el informe SOC 2 y el cuestionario de seguridad, y alguien tiene que leerlo todo, extraer los datos y cargarlos en el sistema.
La IA puede automatizar buena parte de esa cadena en tres etapas:
- Recopilación: el proveedor recibe una lista de documentos ajustada al nivel de riesgo asignado, con recordatorios automáticos y validación de formato al subir cada archivo.
- Extracción: modelos de lectura identifican campos relevantes en cada documento, como fechas de vencimiento de certificados, el alcance de una certificación ISO/IEC 27001 o excepciones en un informe de auditoría.
- Análisis: la plataforma compara lo enviado con lo exigido, señala brechas y apunta inconsistencias, por ejemplo un certificado vencido o un cuestionario que contradice una política adjunta.
La mejora en la calidad de los datos es lo que sostiene todo lo demás. En la misma encuesta de KPMG, solo el 17% de los participantes dice tener datos totalmente confiables, consistentes e integrados en la gestión de riesgo de terceros. Cuando la recopilación es manual, la información se pierde entre correos y planillas. Cuando la evidencia se captura, se versiona y se vincula al control correspondiente, la auditoría deja de ser una búsqueda de documentos. Aquí entra una plataforma como Eagle, de Futture: su módulo de riesgo de terceros reúne el registro de proveedores, assessments con clasificación de criticidad, contratos, revisiones periódicas y señales de riesgo, y la IA sugiere prioridades y señala inconsistencias, con revisión humana de cada resultado relevante.
Due diligence continua frente a puntual
La due diligence puntual es una fotografía tomada en el momento de la contratación. El problema es que el riesgo no se congela después de la firma. Un proveedor aprobado en enero puede entrar en una lista de sanciones en marzo, sufrir una brecha de datos en junio o perder una certificación en septiembre, y la foto antigua no dirá nada al respecto.
La due diligence continua cambia la foto por un monitoreo permanente. La plataforma observa, en segundo plano, cambios en sanciones, nuevos procesos, noticias adversas y variaciones en la postura de seguridad del tercero, y dispara una alerta cuando algo cambia de nivel.
| Dimensión | Due diligence puntual | Due diligence continua |
|---|---|---|
| Momento | En la contratación o renovación | Durante toda la relación |
| Visión del riesgo | Estática | Dinámica, actualizada por eventos |
| Esfuerzo | Concentrado y manual | Distribuido y automatizado |
| Respuesta a eventos | Reactiva, en el próximo ciclo | Proactiva, por alerta |
Monitorear a todos los terceros al mismo nivel, todo el tiempo, sería inviable sin automatización. La salida práctica es segmentar: los proveedores críticos reciben monitoreo continuo y reevaluación frecuente, mientras que los de bajo riesgo entran en ciclos más espaciados. La IA puede apoyar la clasificación que define esa cadencia, pero los criterios de criticidad son del equipo. Es el mismo principio de proporcionalidad que la Resolución CMN 4.893 aplica a los servicios de procesamiento y nube: lo que define el rigor es lo que se rompe si el proveedor se detiene.
Cómo integrar la due diligence con IA al onboarding de terceros
La verificación solo aporta valor si ocurre antes de que el tercero entre en la operación, no después. Cuando la due diligence es un paso paralelo, hecho por correo en una planilla aparte, los proveedores de alto riesgo terminan contratados mientras el análisis sigue en curso. Integrar la IA al onboarding cierra esa brecha.
Un flujo integrado funciona así:
- Registro inicial: el tercero completa un formulario, y la revisión de sanciones y reputación se ejecuta enseguida.
- Clasificación de riesgo: con base en los hallazgos y en el tipo de servicio, la plataforma sugiere un nivel de riesgo que define la profundidad de la verificación.
- Recopilación orientada: la lista de documentos y cuestionarios se ajusta al riesgo, sin pedir al proveedor más de lo necesario.
- Revisión humana: el analista recibe el expediente priorizado y decide aprobar, rechazar o condicionar la contratación.
- Monitoreo: los terceros aprobados entran en el ciclo de due diligence continua acorde con su criticidad.
El detalle que marca la diferencia es la puerta de aprobación. Ningún proveedor por encima de un umbral de riesgo avanza en el onboarding sin una decisión humana registrada, junto con la evidencia que la respaldó. Eso convierte la due diligence de un documento archivado en un control vivo, con pista de auditoría de punta a punta. En sectores regulados, esa trazabilidad es lo que distingue una plataforma de GRC madura de una colección de herramientas desconectadas.
Próximo paso
Antes de comparar proveedores de software, mapea dónde se traba hoy tu due diligence: en el tiempo de recopilación de documentos, en la profundidad de la revisión de sanciones o en la falta de monitoreo después de la firma. Elige uno de tus diez proveedores más críticos, haz una verificación completa como la haces hoy y cronométrala. Ese número es tu línea de base. Una herramienta de due diligence con IA solo vale la inversión si reduce ese tiempo de forma medible y, al mismo tiempo, deja la decisión final, y la evidencia que la sostiene, en manos de tu equipo.
Fuentes consultadas el 28/10/2026: Verizon DBIR 2025 y 2026 (comunicados), KPMG Global Third-Party Risk Management Survey 2026, OFAC (lista SDN y sanciones civiles de 2024 y 2025), Decreto n.º 11.129/2022 y Resolución CMN n.º 4.893/2021. Este artículo tiene fines informativos y no constituye asesoramiento jurídico.
Para profundizar: Gestión de riesgo de proveedores: buenas prácticas.
Preguntas frecuentes
¿Qué es la due diligence de terceros?
Es el proceso de investigar a un socio, proveedor o distribuidor antes y durante la relación comercial, verificando reputación, situación legal, listas de sanciones, salud financiera y postura de seguridad para dimensionar el riesgo que aporta al negocio.
¿Cómo agiliza la IA la due diligence?
La IA consulta en paralelo fuentes de reputación, sanciones y procesos, extrae datos de documentos automáticamente y prioriza los hallazgos más críticos, dejando al analista la validación y la decisión final.
¿La due diligence con IA reemplaza al analista humano?
No. En un modelo human-in-the-loop, la IA se encarga de la recopilación y la clasificación, pero la aprobación o el rechazo del tercero y la interpretación del contexto siguen siendo responsabilidad de una persona, con pista de auditoría completa.
¿Cuál es la diferencia entre la due diligence puntual y la continua?
La puntual es una foto del tercero en el momento de la contratación. La continua monitorea cambios en sanciones, litigios y seguridad a lo largo de toda la relación y alerta cuando el riesgo cambia.
Referencias oficiales
- Verizon — 2026 Data Breach Investigations Report (comunicado, mayo de 2026)
- Verizon — 2025 Data Breach Investigations Report (comunicado, abril de 2025)
- KPMG — Global Third-Party Risk Management Survey 2026
- OFAC (Tesoro de EE. UU.) — Specially Designated Nationals and Blocked Persons List (SDN)
- OFAC — Sanciones civiles e información de enforcement, 2025
- OFAC — Sanciones civiles e información de enforcement, 2024
- Decreto n.º 11.129/2022 — reglamenta la Ley Anticorrupción de Brasil (art. 57)
- Ley n.º 12.846/2013 — Ley Anticorrupción de Brasil
- Resolución CMN n.º 4.893/2021 — Banco Central de Brasil
- Ley n.º 13.709/2018 — Ley General de Protección de Datos Personales de Brasil (LGPD)
- ISO/IEC 27001:2022 — ISO
- AICPA & CIMA — SOC 2