Análisis de la Circular Externa 100-000020 del 2 de julio de 2026 y del nuevo Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades
I. Introducción: una reforma de arquitectura, no de cosmética
El 2 de julio de 2026, la Superintendencia de Sociedades expidió la Circular Externa 100-000020, la norma que consuma la unificación SAGRILAFT y PTEE y el acto administrativo de mayor calado para el cumplimiento empresarial colombiano desde la creación misma del SAGRILAFT. El propio texto describe su alcance sin eufemismos: «se adopta una modificación integral de la Circular Externa No. 100-000008 del 12 de julio de 2022».
Se trata, esto es, de una reexpedición completa de la Circular Básica Jurídica, que en su nuevo Capítulo IX fusiona el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (SAGRILAFT) y el Programa de Transparencia y Ética Empresarial (PTEE) en un único cuerpo regulatorio, el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST, que incorpora expresamente la corrupción local como categoría autónoma de riesgo.
No se trata de una operación de técnica normativa ni de una compilación de textos dispersos, se trata de un rediseño del modo en que el Estado colombiano concibe la relación entre la empresa, el riesgo penal-económico y el gobierno corporativo.
Una ficción regulatoria que se corrige
Durante más de un lustro, los sujetos obligados administraron dos sistemas paralelos, con dos manuales, dos matrices de riesgo, dos universos de señales de alerta y dos lógicas de supervisión, como si el lavado de activos y la corrupción habitaran realidades separadas. La evidencia criminológica y la práctica de la debida diligencia demuestran lo contrario, la contraparte que soborna suele necesitar lavar, y la estructura que lava suele estar disponible para corromper. La unificación es, en ese sentido, la corrección de una ficción regulatoria.
Pero toda corrección de esta magnitud genera efectos secundarios, y el propósito de este artículo es explicarlos, criticarlos y anticiparlos con el texto definitivo en la mano, ¿qué se unificó?, ¿por qué se unificó?, ¿qué cambia en concreto?, ¿a partir de cuándo rige el nuevo régimen? — con fechas ciertas, no con conjeturas — y ¿qué decisiones deben adoptar desde ahora los oficiales de cumplimiento, los administradores y los máximos órganos sociales?
- II. La era dual: SAGRILAFT y PTEE antes de la unificación
La arquitectura que ahora se clausura descansaba sobre dos pilares normativos. El primero era el Capítulo X de la Circular Básica Jurídica, introducido por la Circular Externa 100-000016 del 24 de diciembre de 2020 y modificado por las Circulares Externas 100-000004 y 100-000015 de 2021, que ordenaba a determinadas empresas del sector real implementar el SAGRILAFT para gestionar los riesgos de LA/FT/FPADM, con un Régimen de Medidas Mínimas (RMM) para ciertos sujetos y sectores.
El segundo era el Capítulo XIII, incorporado por la Circular Externa 100-000011 del 9 de agosto de 2021, que ordenaba adoptar el PTEE para gestionar los riesgos de corrupción y soborno transnacional (C/ST), con fundamento en la Ley 1778 de 2016 y, posteriormente, en la Ley 2195 de 2022. Ambos capítulos fueron después extendidos a cámaras de comercio y a entidades sin ánimo de lucro extranjeras mediante la Circular Externa 100-000004 de 2023, con ajustes de plazos y de alcance en las Circulares Externas 100-000003 de 2024 y 100-300000 de 2024.
Una fragmentación costosa
El resultado operativo de esa dualidad fue una fragmentación costosa. Los detonantes de obligatoriedad diferían, el SAGRILAFT giraba alrededor de umbrales de ingresos y activos expresados en salarios mínimos legales mensuales vigentes (SMLMV) con reglas sectoriales especiales, mientras el PTEE añadía criterios casuísticos como la realización de negocios o transacciones internacionales o la contratación con entidades estatales por determinadas cuantías. Ello produjo empresas obligadas a un sistema y no al otro, matrices que valoraban a la misma contraparte con metodologías incomunicadas, oficiales de cumplimiento con doble investidura, pero reporte fraccionado, y duplicidad documental que consumía recursos sin producir mejor gestión del riesgo. El primer síntoma institucional de agotamiento del modelo fue la convergencia del reporte, la Circular Externa 100-000002 del 14 de marzo de 2025 creó el Informe 75 — SAGRILAFT, RMM y PTEE, que integró los antiguos informes 50 y 52 en un único instrumento anual.
Cuando el supervisor unifica primero la rendición de cuentas, la unificación sustantiva del sistema es solo cuestión de tiempo. Ese tiempo llegó, tras dos rondas de publicidad y comentarios — la primera entre el 19 de diciembre de 2025 y el 4 de enero de 2026, la segunda entre el 27 de marzo y el 8 de abril de 2026 —, con la expedición de la Circular Externa 100-000020 del 2 de julio de 2026.
- III. El nuevo Capítulo IX: anatomía de la unificación SAGRILAFT y PTEE
El encabezado del Capítulo IX condensa el objeto y el nombre oficial del nuevo régimen. Dispone la Circular:
«El presente Capítulo contiene las órdenes administrativas encaminadas a poner en marcha un Sistema de Autocontrol y Gestión de Riesgos de Lavado de Activos, Financiamiento del Terrorismo, Financiamiento de la Proliferación de Armas de Destrucción Masiva y Corrupción Local y Soborno Transnacional, (en adelante Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST) para los Sujetos Obligados que gestionen y administren los riesgos de lavado de activos, financiamiento al terrorismo, financiamiento a la proliferación de armas destrucción masiva, corrupción local y soborno transnacional.»
Cinco familias de riesgo bajo un solo marco
La primera transformación es material, cinco familias de riesgo — lavado de activos, financiamiento del terrorismo, financiamiento de la proliferación de armas de destrucción masiva, corrupción local y soborno transnacional — quedan bajo un solo marco metodológico. La incorporación de la corrupción local como categoría expresa es la ampliación sustantiva más notable del objeto de gestión.
La definición adoptada en el numeral 9.2. es deliberadamente expansiva: comprende las conductas de tipo penal encaminadas a que el sujeto obligado se beneficie, busque un beneficio o interés, o sea usado como medio en «la comisión de delitos contra la administración pública, el medio ambiente, el orden económico y social, la financiación del terrorismo y de grupos de delincuencia organizada, la administración de recursos relacionados con actividades terroristas y de la delincuencia organizada, los consagrados en la Ley 1474 de 2011, los delitos electorales o cualquier conducta punible relacionada con el patrimonio público». La consecuencia práctica es directa, las matrices de riesgo y los catálogos de conductas relevantes deben expandirse mucho más allá del binomio soborno-cohecho, hasta cubrir la criminalidad ambiental, la electoral y la asociada al patrimonio público.
Un ámbito de aplicación racionalizado
La segunda transformación es subjetiva. El numeral 9.4. racionaliza el ámbito de aplicación general y elimina la casuística de detonantes propia del PTEE — las operaciones internacionales y la contratación estatal dejan de operar como criterios de obligatoriedad —, adoptando un criterio patrimonial y de ingresos unificado y expresado en la nueva unidad de medida:
«Las sociedades, empresas unipersonales y sucursales de sociedades extranjeras sujetas a la vigilancia o al control que ejerce la Superintendencia de Sociedades (siempre y cuando no estén vigiladas por otra entidad y tengan un régimen de vigilancia especial en razón de su actividad), que hubieren obtenido ingresos totales o presenten activos totales iguales o superiores a cuatro millones novecientos veintinueve mil diecisiete (4.929.017) unidades de valor básico – UVB, con corte al 31 de diciembre del año inmediatamente anterior.»
A ese ámbito general se suman los regímenes sectoriales del numeral 9.5. para el sistema pleno — agentes inmobiliarios, comercialización de metales y piedras preciosas, servicios jurídicos y contables, construcción de edificios y obras de ingeniería civil, comercio de vehículos, activos virtuales, regímenes especiales y cámaras de comercio con su confederación — y, novedad de primer orden, la expansión sectorial del Régimen de Medidas Mínimas en el numeral 9.6., que incorpora por primera vez, con umbrales de 369.676 UVB en ingresos o 616.127 UVB en activos, a los sectores farmacéutico, de infraestructura y construcción, manufacturero y minero-energético, identificados por códigos CIIU. Sectores tradicionalmente situados en la periferia del régimen ingresan así, de manera formal y verificable, al perímetro del cumplimiento, y el RMM deja de ser un dispositivo exclusivamente LA/FT para extenderse a la gestión del riesgo de corrupción.
Del SMLMV a la UVB: el cambio métrico
La tercera transformación es métrica y merece atención especial. La Circular consuma la sustitución del SMLMV por la Unidad de Valor Básico (UVB) como unidad de medida tanto de los umbrales de obligatoriedad como de la tasación sancionatoria, en aplicación del artículo 313 de la Ley 2294 de 2023. El cambio parece contable, pero es político-regulatorio, desvincula el perímetro del cumplimiento de la negociación anual del salario mínimo — variable sujeta a presiones distributivas ajenas al riesgo — y lo ancla a un indicador técnico de inflación. La consecuencia práctica es que los sujetos deberán monitorear anualmente su posición frente al umbral con la nueva unidad, y que el ingreso al sistema gana previsibilidad, pero pierde el rezago que históricamente ofrecía el SMLMV.
- IV. El oficial de cumplimiento profesionalizado y el gobierno del sistema
El numeral 9.9. redefine el estatuto del Oficial de Cumplimiento en clave de profesionalización y consagra la obligatoriedad del Oficial de Cumplimiento Suplente, sometido a los mismos requisitos del principal. El numeral 9.9.2. exige contar con título profesional y dispone que el oficial «deberá acreditar y actualizar sus conocimientos en la gestión de riesgos LA/FT/FP y C/ST como mínimo cada tres (3) años», además de acreditar «experiencia profesional mínima de un (1) año en el desempeño de cargos relacionados en cumplimiento normativo en actividades de gestión de riesgos de LA/FT/FP y C/ST». La formación se acredita mediante programas de educación formal — especializaciones o maestrías — o mediante programas de educación informal, esto es, «diplomados siempre que tengan una intensidad mínima de noventa (90) horas» con relación directa y específica con la materia.
Conviene advertir un ajuste relevante frente a las versiones en proyecto: para los títulos obtenidos en el exterior, el texto definitivo exige que «deberá acreditarse su correspondiente homologación, cuando haya lugar a ello». Se añaden la exigencia de estar domiciliado en Colombia, la posibilidad de un oficial único para todos los sujetos obligados de un mismo grupo empresarial o situación de control declarada y, en el numeral 9.9.3., una prohibición con efectos inmediatos sobre el mercado de servicios de cumplimiento tercerizados: «No fungir como Oficial de Cumplimiento en más de diez (10) Sujetos Obligados».
Una exposición sancionatoria distribuida
Correlativamente se refuerza la responsabilidad del gobierno corporativo. El régimen sancionatorio del numeral 9.27. lo dice con todas las letras, el incumplimiento de las órdenes e instrucciones del Capítulo dará lugar a las investigaciones administrativas del caso y «a la imposición de las sanciones administrativas pertinentes al Sujeto Obligado, sus Administradores, el Oficial de Cumplimiento y Revisor Fiscal, de conformidad con lo establecido en el numeral 3° del artículo 86 de la Ley 222 de 1995», con tasación de las multas en UVB conforme al artículo 313 de la Ley 2294 de 2023. La exposición sancionatoria queda así distribuida nominalmente entre los cuatro vértices del sistema — la persona jurídica, sus administradores, su oficial de cumplimiento y su revisor fiscal —, lo que convierte la desatención presupuestal o funcional del sistema en un riesgo personal y no solo institucional.
La práctica sancionatoria reciente de la Delegatura de Asuntos Económicos y Societarios ya venía demostrando que la inexistencia, la inoperancia o el carácter meramente formal del sistema se sanciona con severidad; con el nuevo marco, esa exposición se consolida y se distribuye hacia arriba y hacia los órganos de control. La lectura crítica es doble, la profesionalización eleva el estándar y dignifica la función, pero presiona un mercado de talento todavía escaso — ahora con tope legal de diez encargos por oficial — y encarece el cumplimiento para la mediana empresa; y el credencialismo, el diploma como sustituto de la competencia demostrada, es un riesgo real si la supervisión se concentra en verificar títulos en lugar de verificar desempeño.
- V. Debida diligencia, contratación estatal y el giro (moderado) hacia la efectividad
Debida diligencia basada en riesgo
En materia de debida diligencia, los numerales 9.15. a 9.17. consolidan el enfoque basado en riesgo como principio articulador y elevan el estándar del conocimiento de la contraparte: identificación y verificación de la identidad de clientes y beneficiarios finales, comprensión del propósito y de la naturaleza de la relación de negocios y monitoreo continuo de las operaciones, con consideraciones especiales para operaciones en efectivo, ventas masivas, transacciones con activos virtuales y actos registrales, y con un régimen de debida diligencia intensificada para los escenarios de mayor exposición. Todo ello en coherencia con la Ley 2195 de 2022, con el Registro Único de Beneficiarios Finales (RUB) y con las Recomendaciones 10, 24 y 25 del GAFI.
El sistema se completa con el fortalecimiento de los canales de denuncia y su articulación con mecanismos de investigación interna (numeral 9.18.), la preservación del Reporte de Operaciones Sospechosas ante la UIAF (numeral 9.19.) y un catálogo ampliado -sugerido- de señales de alerta (numeral 9.20.) que ahora debe leerse en clave dual: transaccional para LA/FT/FP y conductual para C/ST.
Contratación estatal: una política obligatoria
Novedad de primer orden es la política específica en materia de contratación estatal, exigida en el numeral 9.7.2. como componente obligatorio del sistema y concebida como instrumento directo de mitigación del riesgo de corrupción local. El texto no deja margen interpretativo:
«El Sujeto Obligado deberá adoptar e implementar una política de contratación estatal en la que se establezcan de manera expresa las directrices que orientan el relacionamiento con las entidades públicas durante las etapas precontractual, contractual y poscontractual. Dicha política tendrá que garantizar que este relacionamiento se desarrolle bajo principios de transparencia, integridad y legalidad, e incluir de forma explícita la prohibición de ofrecer incentivos indebidos para la obtención de contratos, falsificar documentos, suministrar información inexacta o incompleta, así como de atender o aceptar pretensiones ilegales por parte de la entidad contratante.»
La decisión regulatoria es coherente, el punto de contacto entre la empresa privada y el recurso público es, estadísticamente, el escenario de mayor materialización del riesgo de corrupción, y su tratamiento no puede quedar diluido en políticas generales de ética. Obsérvese, además, la última prohibición transcrita — atender o aceptar pretensiones ilegales de la entidad contratante —: la norma reconoce que la corrupción en la contratación pública también se origina del lado estatal, y traslada al contratista privado el deber de resistirla y documentarla.
El giro hacia la efectividad, rebajado a recomendación
En cambio, el giro hacia la medición de la efectividad llegó al texto definitivo con un voltaje menor al anunciado: el numeral 9.26.2. dispone que el sujeto obligado «podrá considerar como recomendación la determinación de un sistema de métricas» — total de incidentes, tiempos de identificación y resolución, indicadores clave de riesgo, costos de cumplimiento, predicciones de ocurrencia — y reconoce que «no resulta adecuado establecer una fórmula única o rígida para evaluar su efectividad mediante una métrica específica». La innovación más disruptiva del proceso normativo quedó, así, en el terreno del derecho blando, una recomendación, no una orden. Sobre esta decisión volveremos en la lectura crítica, porque sus consecuencias son mayores de lo que aparenta.
- VI. Vigencia y transición: ¿a partir de cuándo debe quedar así?
Cuatro reglas con fechas ciertas
La pregunta más urgente para los sujetos obligados tiene ahora respuesta con fechas ciertas, y conviene desagregarla en cuatro reglas. La primera es la regla de vigencia y derogatoria, contenida en la parte final del acto:
«Esta Circular Externa rige a partir de la fecha de su publicación y deroga las siguientes circulares: 100-000016 de 2020, 100-000004 de 2021, 100-000011 de 2021, 100-000015 de 2021, 100-000008 de 2022, 100-000009 de 2022, 100-000004 de 2023, 100-000010 de 2023, 100-000001 de 2024, 100-000003 de 2024 y 100-300000 de 2024, y las demás que las modifiquen, adicionen o les sean contrarias.»
La derogatoria alcanza, pues, a las normas fuente del SAGRILAFT y del PTEE y a toda su cadena de modificaciones: desde el 2 de julio de 2026 el marco jurídico del cumplimiento del sector real es el Capítulo IX de la nueva Circular Básica Jurídica.
La segunda regla es el período de transición para quienes ya eran sujetos obligados, previsto en el numeral 9.29.:
«El Sujeto Obligado que, a la fecha de expedición de la presente Circular, se encuentre obligado al cumplimiento de lo dispuesto en las Circulares Externas Nos. 100-000016 de 2020, 100-000011 de 2021 y 100-300000 de 2024, deberá ajustar su Sistema de cumplimiento para la gestión de los riesgos (LA/FT/FPADM y C/ST) conforme a lo establecido en el presente Capítulo, a más tardar el treinta y uno (31) de mayo del año siguiente al de la expedición de esta Circular.»
Expedida la Circular el 2 de julio de 2026, la fecha límite de adecuación es, sin ambigüedad, el 31 de mayo de 2027. El mismo numeral añade la cláusula que da seguridad jurídica al tránsito: «Durante el término señalado, los sistemas y programas actualmente implementados se entenderán válidos para efectos del cumplimiento normativo».
Reglas de ingreso y de estabilidad en el régimen
La tercera regla, contenida en el numeral 9.28., gobierna a quienes adquieran por primera vez la calidad de sujeto obligado a partir del corte del 31 de diciembre del año de expedición, deberán poner en marcha el Sistema «a más tardar el 31 de mayo del año siguiente al que adquirieron la calidad de Sujeto Obligado», regla de ciclo anual que sincroniza el ingreso al régimen con el cierre de los estados financieros.
Y la cuarta regla es la de estabilidad del numeral 9.30.: el sujeto que al 31 de diciembre de cualquier año deje de cumplir los requisitos del ámbito de aplicación permanecerá obligado por un período mínimo adicional de «dos (2) años a partir de dicha fecha, para el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST» y de «un (1) año a partir de dicha fecha, para el Régimen de Medidas Mínimas», lo que impide desmontes oportunistas ante fluctuaciones coyunturales de ingresos.
La transición no es amnistía
Dos advertencias completan el cuadro. La primera: la transición no es amnistía. El numeral 9.31. preserva expresamente la potestad supervisora sobre el pasado, al disponer que la Superintendencia «podrá supervisar, después de la entrada en vigencia del presente Capítulo, la aplicación de un SAGRILAFT y/o un PTEE conforme a las Circulares Externas 100-000016 de 2020, 100-000004 del 9 de abril de 2021, 100-000015 del 24 de septiembre de 2021, 100-300000 del 6 de diciembre de 2024 y Circular Externa No.100-000011 de 2021». Los hechos ocurridos bajo el régimen anterior seguirán juzgándose conforme a él, de modo que la exposición sancionatoria acumulada no se extingue con la reforma.
La segunda advertencia es aritmética: entre la expedición y el 31 de mayo de 2027 median menos de once meses, dentro de los cuales la organización deberá surtir diagnóstico, rediseño metodológico, aprobación por el máximo órgano social, designación de oficiales que satisfagan los nuevos requisitos, capacitación y despliegue. Quien lea el plazo como holgado no ha dimensionado el rediseño que el Capítulo IX exige.
- VII. Las tensiones que la unificación no resuelve
Tensión metodológica: lo transaccional frente a lo conductual
La primera tensión es metodológica y constituye el núcleo del debate. La gestión del riesgo LA/FT/FP opera con una lógica preventiva de naturaleza transaccional: tipologías, segmentación de factores de riesgo, señales de alerta, operaciones inusuales y reporte de operaciones sospechosas a la UIAF. La gestión del riesgo de corrupción y soborno, en cambio, opera con una lógica conductual y de integridad: conflictos de interés, regalos y hospitalidades, intermediarios, donaciones, relacionamiento con servidores públicos. Fusionar ambas en una sola matriz sin diferenciación metodológica produce el peor de los mundos: una matriz que aplana especificidades y que mide el soborno con termómetro de lavado.
En el proceso de comentarios esta objeción quedó documentada con claridad — la integración fue calificada como conceptualmente válida pero operativamente riesgosa, y se advirtió sobre el peligro de un cumplimiento meramente documental —, y la respuesta institucional consistió en subrayar la flexibilidad del sistema y el carácter mínimo de sus parámetros. La respuesta es jurídicamente correcta pero técnicamente insuficiente, la carga de construir metodologías diferenciadas dentro del marco único — etapas de identificación, medición, control y monitoreo del numeral 9.14. aplicadas con rigor distinto a cada familia de riesgo — se traslada íntegramente al sujeto obligado, y ese será el terreno donde se separen los sistemas serios de las simulaciones. La expansividad de la definición de corrupción local, que abarca desde la criminalidad ambiental hasta los delitos electorales, agrava la exigencia, una matriz que pretenda cubrir ese espectro con los controles diseñados para el cohecho será, sencillamente, ficción documental.
La paradoja de la efectividad
La segunda tensión es la paradoja de la efectividad. El proceso normativo anunció el tránsito del cumplimiento formal al cumplimiento medible, en sintonía con la ISO 37301, la ISO 37001 y los criterios de evaluación de programas corporativos del Departamento de Justicia de los Estados Unidos; pero el texto definitivo degradó el sistema de métricas a mera recomendación en el numeral 9.26.2. La decisión es comprensible desde la proporcionalidad — imponer métricas obligatorias a un universo tan heterogéneo habría sido desmesurado —, pero produce una asimetría estratégica que los sujetos obligados deben comprender: aquello que la norma recomienda hoy es, con alta probabilidad, lo que el supervisor exigirá mañana como estándar de diligencia en sede sancionatoria. Quien pueda demostrar con indicadores que su sistema funciona tendrá una defensa; quien solo pueda exhibir manuales, no.
Asimetría regulatoria y de capacidad de supervisión
La tercera tensión es de asimetría regulatoria: mientras el sector real converge hacia un sistema integral, el sector financiero conserva, bajo la Superintendencia Financiera, arquitecturas separadas para la administración del riesgo LA/FT y para los regímenes de conducta, de modo que los conglomerados con entidades bajo múltiples supervisores deberán mantener taxonomías paralelas, con el consiguiente costo de traducción interna y el riesgo de incoherencias de apetito de riesgo entre vehículos del mismo grupo.
La cuarta tensión es de capacidad de supervisión y costo regulatorio. El perímetro se amplía — cuatro sectores nuevos ingresan al Régimen de Medidas Mínimas — y el objeto de supervisión se hace más complejo, con una estructura estatal esencialmente constante; el interrogante formulado en los comentarios sobre la capacidad de supervisión efectiva del sistema resultante no es trivial. Simultáneamente, el oficial suplente obligatorio, la formación certificable con actualización trienal, el tope de diez (10) encargos por oficial y la exigencia tecnológica implícita en el monitoreo continuo elevan el costo fijo del cumplimiento, y sin una aplicación seria del principio de proporcionalidad el régimen puede castigar a la mediana empresa cumplidora y premiar, paradójicamente, la simulación documental de quien solo aparenta.
Coherencia sancionatoria
La quinta tensión, finalmente, es de coherencia sistémica con el régimen sancionatorio, la unificación del sistema unifica también la exposición — un solo sistema deficiente comprometerá simultáneamente los frentes LA/FT/FP y C/ST — y el numeral 9.27. la distribuye nominalmente entre la sociedad, sus administradores, su oficial de cumplimiento y su revisor fiscal, lo que exige de los sujetos obligados una gestión probatoria impecable de la implementación, pues la evidencia de funcionamiento será, en sede administrativa, la diferencia entre la absolución y la sanción.
- VIII. Hoja de ruta para la unificación SAGRILAFT y PTEE hacia el 31 de mayo de 2027
Diagnóstico y matriz de riesgos
La primera decisión racional es un diagnóstico de brechas riguroso que compare el estado actual del SAGRILAFT y del PTEE de la organización contra el estándar del Capítulo IX. Debe prestarse especial atención a los componentes que hoy no existen en ninguno de los dos sistemas: la política de contratación estatal del numeral 9.7.2., la cobertura del riesgo de corrupción local conforme a la definición expansiva del numeral 9.2. — que exige mapear conductas ambientales, electorales y contra el patrimonio público —, la articulación entre canal de denuncias e investigación interna, la verificación del umbral general de 4.929.017 UVB y de los umbrales sectoriales del RMM, y la conformidad del oficial de cumplimiento con los nuevos requisitos de formación, experiencia, actualización trienal y domicilio.
La segunda decisión es la construcción de la matriz integrada de riesgos con metodologías diferenciadas por familia: segmentación y señales de alerta transaccionales para LA/FT/FP, y factores conductuales, de relacionamiento con el Estado y de terceros intermediarios para C/ST y corrupción local, unificando el apetito de riesgo, la escala de calificación y el tratamiento, pero preservando la especificidad analítica de cada frente. En esa recalibración deberá revisarse el aparato de consulta de listas y de calificación de coincidencias, incluyendo el tratamiento riguroso de la homonimia como hipótesis que solo se confirma con número de identificación, pues la ampliación del catálogo de conductas relevantes multiplica los falsos positivos si la metodología no se ajusta.
Gobierno corporativo, contratos y evidencia
La tercera decisión pertenece al gobierno corporativo: someter al máximo órgano social, con la debida anticipación y nunca contra el vencimiento del plazo, la aprobación de la política integrada, la designación del Oficial de Cumplimiento principal y suplente que satisfagan los requisitos del numeral 9.9.2. — verificando además que el oficial externo no supere el tope de diez (10) sujetos obligados —, la asignación presupuestal suficiente, incluida la inversión tecnológica de monitoreo, y el plan de capacitación diferenciado por audiencias, dejando constancia documental de cada decisión, porque en el nuevo régimen la evidencia de gobierno es evidencia de diligencia.
La cuarta decisión es contractual y de debida diligencia: actualizar los formularios de conocimiento, incorporar la verificación reforzada de beneficiario final, ajustar las cláusulas de cumplimiento en contratos con contrapartes y, para quien participe en compras públicas, diseñar la política de contratación estatal con controles verificables en las etapas precontractual, contractual y poscontractual que la norma enuncia.
La quinta decisión es probatoria y estratégica: implementar desde ya, aunque el numeral 9.26.2. lo formule como recomendación, un sistema de métricas de efectividad — incidentes, tiempos, indicadores clave de riesgo, costos —, porque la recomendación de hoy es el estándar probatorio de mañana.
Y la sexta decisión es de prudencia normativa: apoyarse en la validez transitoria que el numeral 9.29. reconoce a los sistemas actuales, sin olvidar que el numeral 9.31. mantiene viva la supervisión del pasado bajo las circulares derogadas, de modo que la transición debe documentarse como demostración de buena fe y diligencia frente a cualquier contingencia sancionatoria durante el tránsito.
- IX. La unificación SAGRILAFT y PTEE: del cumplimiento documental a la gestión integral del riesgo
La unificación del SAGRILAFT y del PTEE no es una simplificación: es una elevación del estándar disfrazada de reorganización. El mensaje regulatorio subyacente de la Circular Externa 100-000020 de 2026 es que el cumplimiento deja de ser un anexo documental de la operación y pasa a ser una función de gobierno corporativo, con un responsable profesionalizado y con actualización obligatoria, un órgano de administración comprometido patrimonial y funcionalmente, un revisor fiscal expresamente incluido en el perímetro sancionatorio y un supervisor que conserva la potestad de juzgar el pasado mientras exige rediseñar el futuro.
Quien lea la reforma como una fusión de manuales — dos documentos que se pegan bajo una carátula nueva — fracasará en la adecuación y quedará expuesto en el frente sancionatorio más amplio que haya conocido el sector real colombiano. Quien la lea como lo que es — un rediseño del gobierno del riesgo empresarial frente al lavado de activos, la financiación del terrorismo, la proliferación, la corrupción local y el soborno transnacional — encontrará en ella la oportunidad de convertir el cumplimiento en ventaja competitiva verificable ante clientes, financiadores y contratantes públicos.
La pregunta relevante ya no es si la empresa tendrá que unificar sus sistemas, porque la respuesta normativa está escrita, publicada y vigente desde el 2 de julio de 2026. La pregunta relevante es si la organización llegará al 31 de mayo de 2027 con el sistema unificado funcionando, o descubriendo — demasiado tarde — que once (11) meses nunca fueron suficientes para un rediseño que debió comenzar el día de la publicación.
- Referencias:
Normativa colombiana
Congreso de la República de Colombia. (1995). Ley 222 de 1995, por la cual se modifica el Libro II del Código de Comercio y se expide un nuevo régimen de procesos concursales. Diario Oficial No. 42.156.
Congreso de la República de Colombia. (2011). Ley 1474 de 2011, por la cual se dictan normas orientadas a fortalecer los mecanismos de prevención, investigación y sanción de actos de corrupción. Diario Oficial No. 48.128.
Congreso de la República de Colombia. (2016). Ley 1778 de 2016, por la cual se dictan normas sobre la responsabilidad de las personas jurídicas por actos de corrupción transnacional. Diario Oficial No. 49.774.
Congreso de la República de Colombia. (2022). Ley 2195 de 2022, por medio de la cual se adoptan medidas en materia de transparencia, prevención y lucha contra la corrupción. Diario Oficial No. 51.921.
Congreso de la República de Colombia. (2023). Ley 2294 de 2023, por la cual se expide el Plan Nacional de Desarrollo 2022-2026 «Colombia Potencia Mundial de la Vida». Diario Oficial No. 52.400.
Grupo de Acción Financiera Internacional. (2012, actualización vigente). Estándares internacionales sobre la lucha contra el lavado de activos, el financiamiento del terrorismo y de la proliferación: las Recomendaciones del GAFI. GAFI/OCDE.
Organización Internacional de Normalización. (2021). ISO 37301: Sistemas de gestión de compliance — Requisitos con orientación para su uso. ISO.
Presidencia de la República de Colombia. (2020). Decreto 1736 de 2020, por el cual se modifica la estructura de la Superintendencia de Sociedades.
Superintendencia de Sociedades. (2020). Circular Externa 100-000016 del 24 de diciembre de 2020, por la cual se modifica integralmente el Capítulo X de la Circular Básica Jurídica (SAGRILAFT).
Superintendencia de Sociedades. (2021). Circular Externa 100-000011 del 9 de agosto de 2021, por la cual se incorpora el Capítulo XIII de la Circular Básica Jurídica (Programas de Transparencia y Ética Empresarial).
Superintendencia de Sociedades. (2022). Circular Externa 100-000008 del 12 de julio de 2022, Circular Básica Jurídica.
Superintendencia de Sociedades. (2023). Circular Externa 100-000004 del 4 de octubre de 2023, por la cual se incluyen las cámaras de comercio y las entidades sin ánimo de lucro extranjeras como sujetos obligados.
Superintendencia de Sociedades. (2024). Circular Externa 100-000003 del 23 de abril de 2024, por la cual se establecen plazos de transición para cámaras de comercio y ESAL extranjeras.
Superintendencia de Sociedades. (2024). Circular Externa 100-300000 del 6 de diciembre de 2024, por la cual se establece el régimen diferencial para cámaras de comercio y ESAL extranjeras.
Superintendencia de Sociedades. (2025). Circular Externa 100-000002 del 14 de marzo de 2025, por la cual se crea el Informe 75 — SAGRILAFT, RMM y PTEE y se fijan parámetros de presentación de informes.
Superintendencia de Sociedades. (2025-2026). Proyectos de nueva Circular Básica Jurídica, versiones publicadas para comentarios el 19 de diciembre de 2025 y el 27 de marzo de 2026, y matriz de respuesta a los comentarios compilados. Oficina Asesora Jurídica.
Superintendencia de Sociedades. (2026). Circular Externa 100-000020 del 2 de julio de 2026, por la cual se emite la Circular Básica Jurídica, Capítulo IX: Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.
U.S. Department of Justice, Criminal Division. (2024). Evaluation of Corporate Compliance Programs. DOJ.
