Información requerida
Actividad, perímetro, responsables, políticas, procesos y registros de control disponibles.
SERVICIO PRODUCTIZADO
Compliance Gap Assessment
Una evaluación acotada para saber qué se espera de un control, qué evidencia existe y qué decisión falta. El entregable prioriza brechas; no certifica cumplimiento ni sustituye a la autoridad.
01
La decisión que habilita esta evaluación
Distinguir obligaciones por validar de controles y evidencia que faltan.
La evaluación acota incertidumbre para decidir; no sustituye la decisión del cliente ni equivale a implementar la solución.
Entregables a pactar
Matriz de brechas, prioridades y plan de validación o remediación.
Fuera del alcance base
No es certificación de cumplimiento, investigación ni plataforma automatizada de KYC.
02
Alcance, plazo y presupuesto antes de comenzar
Se acuerdan por escrito el perímetro, documentos y versiones, responsables, entregables, formato y criterios de aceptación. Un hallazgo señala su evidencia, sus supuestos y lo que todavía no pudo verificarse.
El plazo se confirma según alcance, cantidad y calidad de la información, acceso a responsables y dependencias de terceros. Empieza con el encargo aceptado y los insumos suficientes; no existe una duración universal ni una promesa de aprobación o resultado.
Presupuesto individual en USD antes de contratar. Se distinguen honorarios, impuestos aplicables, gastos autorizados y trabajos posteriores. El componente jurídico se valora conforme al marco profesional aplicable; esta ficha no crea una tarifa horaria ni un precio nuevo.
Siguiente paso: una evaluación preliminar gratuita de 15 minutos permite calificar encaje; no entrega el assessment ni incluye revisión documental. Tras conflicto y aceptación se acuerda un canal seguro para los insumos. El diagnóstico puede cerrar con una decisión, un proyecto separado o una conversación sobre continuidad.
03
Definir la pregunta evita una revisión ilimitada
Para Gerencia, Legal, Compliance u Operaciones ante controles dispersos, una revisión interna o una necesidad de ordenar terceros. El mandato puede cubrir un proceso, una unidad o un programa delimitado. Debe identificar qué decisión se busca y qué criterios se contrastarán antes de solicitar un expediente.
Este assessment no es una auditoría forense ni una investigación penal. Tampoco reemplaza un Privacy Program Assessment cuando el problema principal atraviesa todo el tratamiento de datos personales. Si la situación exige otra especialidad, actuación urgente o representación, el alcance se detiene o deriva responsablemente.
04
Primero actividad, rol y régimen
La Ley 23 de 2015 y sus modificaciones no convierten a todas las empresas ni a todas las actuaciones profesionales en sujetos obligados de la misma forma. Se contrasta actividad efectiva, rol, productos, operaciones y supervisor. Después se identifica qué deber es legal, cuál deriva de un contrato y cuál es una política interna de gestión de riesgo.
El Decreto Ejecutivo 35 de 2022 reglamenta la Ley 23 y subroga el Decreto Ejecutivo 363 de 2015. Su lectura no elimina la necesidad de comprobar reglas y criterios del sector. Una exigencia documental de un banco a su cliente tampoco convierte automáticamente a ese cliente en sujeto del régimen bancario.
05
Un método que deja claras sus limitaciones
- 01
Alcance y criterios
Fuentes, actividades, unidades, período de evidencia y responsables. Registrar exclusiones y requisitos cuya aplicabilidad debe confirmarse.
- 02
Contraste de evidencia
Inventario, entrevistas y muestras proporcionales autorizadas. Distinguir control diseñado, control ejecutado y efectividad demostrable.
- 03
Brechas y decisiones
Para cada observación: criterio, respaldo, exposición, prioridad razonada, responsable y acción por validar. No dar por cierta una causa no investigada.
- 04
Roadmap y cierre
Secuencia de remediación, dependencias y evidencia de cierre. Presentación al dueño competente; la aceptación del riesgo no la hace la herramienta.
06
Entregables e insumos
La propuesta puede incluir mapa de aplicabilidad, matriz de brechas, registro de decisiones y plan de remediación. Se identifican documentos revisados y límites de muestreo para que el informe no se lea como una garantía universal. La ausencia de una alerta observada no prueba ausencia de riesgo.
Tras aceptación: políticas pertinentes, roles, inventario de controles y muestras mínimas por canal seguro. No se requiere la copia íntegra de todos los expedientes para comenzar. Redacción de manuales, ejecución de cambios, capacitación o revisión recurrente se cotizan sólo si están incluidos expresamente.
07
Ejemplo ilustrativo: políticas sin una ruta de escalamiento
Una organización detecta coincidencias de nombres, pero no tiene autoridad clara para validarlas o descartarlas. El assessment no declara que exista una relación prohibida: documenta cómo se resuelven las coincidencias, qué evidencia falta y quién debe decidir conforme al régimen. El cambio puede requerir procedimiento, rol y registro, no sólo otra licencia de software.
08
Expedientes, autoridad y privacidad
La evaluación preliminar sólo clasifica el asunto. No envíe pasaportes, expedientes KYC, nombres de PEP, estructuras de propiedad o alertas por esta página. Tras conflicto y aceptación se acuerdan evidencia mínima, acceso, conservación y canal seguro. Ninguno de esos datos pertenece a URLs o analytics.
El alcance consultivo no incluye emitir certificados de cumplimiento, reportar en nombre del cliente, administrar accesos al registro ni representar ante autoridades. Una alerta, coincidencia de nombre o relación sensible exige validación competente; no se automatiza una conclusión sobre delito, elegibilidad o terminación de una relación.
09
Alcance, tiempo y costos acordados
La propuesta identifica procesos o unidades incluidos, evidencia disponible, participantes, entregables y criterios de cierre. El calendario se confirma según complejidad y acceso autorizado; depende de que la organización pueda validar decisiones y ejecutar acciones. No se ofrece una duración uniforme ni un resultado garantizado.
El precio se define por proyecto, sin tarifa horaria automática, considerando el marco profesional aplicable al trabajo jurídico. Licencias, organismos certificadores, implementación adicional, capacitación o especialistas externos no se presumen incluidos. Cualquier ampliación se acuerda por separado antes de ejecutarla.
10
Ampliar el contexto
Servicios financieros y fintech
Revisar obligaciones sectoriales sin trasladarlas automáticamente a otros negocios.
ExplorarControl editorial
Revisión y fuentes oficiales
Última revisión de fuentes: .
Borrador local. Revisión jurídica y técnica humana y aprobación de publicación pendientes. Métodos y ejemplos ilustrativos propios; no describen clientes, certificaciones o resultados acreditados.
Próxima revisión de fuentes a más tardar: , o antes si cambia una fuente o se prepara una publicación.
Este contenido ofrece información general. La norma, los criterios administrativos, los documentos y los términos aplicables deben revalidarse para el procedimiento concreto y la fecha de actuación.
Procuraduría · Ley 23 de 2015 y afectaciones
Ficha oficial con modificaciones posteriores, incluida Ley 254 de 2021. Contrastar actividad, rol y supervisor antes de determinar obligaciones.
Consultar fuente oficialProcuraduría · Decreto Ejecutivo 35 de 2022
Reglamento de la Ley 23; subroga el Decreto Ejecutivo 363 de 2015. Contrastar régimen, modificaciones y supervisor competente.
Consultar fuente oficialProcuraduría · Ley 129 de 2020 y afectaciones
Registro privado de beneficiarios finales; consultar también Ley 254 de 2021 y reglamentación aplicable, no sólo la versión original.
Consultar fuente oficialANTAI · Legislación de datos personales
Ley 81 y su reglamento: revisar finalidad, acceso, conservación y canales al tratar expedientes o evidencia.
Consultar fuente oficialPreguntas frecuentes
Antes de comenzar.
¿El informe sirve como certificado de cumplimiento?
No. Es una evaluación de alcance y evidencia definidos a una fecha de corte; no garantiza ausencia de incumplimientos.
¿Incluye reportes o trámites ante autoridades?
No. Esos trabajos no forman parte del alcance consultivo descrito ni se ejecutan por completar una evaluación preliminar.
¿Qué pasa si faltan documentos?
Se registra la limitación, su impacto en las conclusiones y la evidencia necesaria. No se rellena el vacío con una aprobación ficticia.
Evaluación preliminar
Convertir una preocupación en un alcance verificable
Evaluación Preliminar de 15 minutos, sin costo, para entender la categoría de situación y valorar encaje. No incluye asesoría, auditoría ni revisión documental.
Sujeto a conflicto, capacidad y aceptación escrita. No envíe documentos ni datos confidenciales antes de recibir instrucciones seguras. No incluye urgencias, litigios, audiencias o representación ante entidades; reservar no acepta el asunto ni suspende términos.