1. ¿POR QUÉ LAS EMPRESAS DEBEN GESTIONAR ESTOS RIESGOS?
Las empresas no solo enfrentan riesgos comerciales, financieros o laborales. En el desarrollo de sus negocios también pueden ser utilizadas, incluso sin conocimiento de sus administradores, para dar apariencia de legalidad a recursos ilícitos, canalizar recursos hacia actividades terroristas, facilitar operaciones relacionadas con la proliferación de armas de destrucción masiva o materializar prácticas de corrupción y soborno.
Por esta razón, el cumplimiento empresarial moderno exige conocer con quién se hacen negocios, identificar el origen y destino de los recursos, comprender quién controla realmente una contraparte, detectar señales de alerta y establecer reglas claras para prevenir conductas indebidas.
En Colombia, la Superintendencia de Sociedades establece instrucciones para determinados sujetos obligados mediante el Capítulo IX de la Circular Básica Jurídica, denominado Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST. Este modelo integra la prevención del lavado de activos, financiación del terrorismo, financiación de la proliferación, corrupción local y soborno transnacional.
EL CUMPLIMIENTO NO ES SOLO TENER DOCUMENTOS: ES CONOCER LOS RIESGOS, PREVENIRLOS Y PODER DEMOSTRAR QUE LOS CONTROLES FUNCIONAN.
2. CONCEPTOS BÁSICOS QUE TODA EMPRESA DEBE CONOCER
Lavado de Activos
– LA Proceso mediante el cual se busca dar apariencia de legalidad a bienes o recursos provenientes de actividades ilícitas.
Una empresa puede verse involucrada a través de clientes, proveedores, socios, pagos de terceros, operaciones inusuales o estructuras societarias utilizadas para ocultar el verdadero origen de los recursos. Financiación del Terrorismo.
– FT Riesgo de que recursos, bienes o servicios sean destinados directa o indirectamente a financiar actividades terroristas. Los recursos utilizados pueden tener origen lícito o ilícito. Financiación de la Proliferación.
– FP Riesgo relacionado con la provisión de fondos o servicios financieros que puedan contribuir a la proliferación de armas de destrucción masiva y actividades asociadas.
Corrupción – C Uso indebido de una posición, función o relación empresarial para obtener un beneficio particular o favorecer indebidamente a un tercero. Puede presentarse mediante pagos indebidos, conflictos de interés no gestionados, favorecimientos, manipulación de procesos, regalos o comisiones injustificadas.
Soborno Transnacional – ST Conducta asociada con ofrecer, prometer o entregar dinero u otros beneficios a un servidor público extranjero, directa o indirectamente, para que realice, omita o retarde actos relacionados con sus funciones y con un negocio o transacción internacional.
3. ¿QUÉ ES EL SISTEMA DE AUTOCONTROL Y GESTIÓN DE RIESGOS LA/FT/FP Y C/ST?
Es un sistema de cumplimiento mediante el cual la organización identifica, evalúa, controla y monitorea su exposición a los riesgos de LA/FT/FP y C/ST. Debe estar diseñado de acuerdo con la actividad económica, tamaño, estructura, jurisdicciones, contrapartes, canales, productos, servicios y demás características particulares de la empresa. El Capítulo IX exige que el sistema comprenda una política y un manual de procedimientos, y que se convierta en una verdadera regla de conducta para empleados, asociados, administradores y demás vinculados o partes interesadas. Aunque durante años el mercado colombiano identificó estas obligaciones principalmente bajo los nombres SAGRILAFT y PTEE, actualmente la regulación de la Superintendencia de Sociedades articula ambas materias dentro de un solo Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.
LA/FT/FP + CORRUPCIÓN Y SOBORNO TRANSNACIONAL = UNA GESTIÓN INTEGRAL DEL RIESGO
4. ¿QUÉ SIGNIFICA AUTOCONTROL?
Significa que cada organización debe conocer sus propios riesgos y establecer controles proporcionales a ellos. La Superintendencia advierte expresamente sobre el denominado “paper compliance”: sistemas que existen únicamente en documentos o que son copias de modelos ajenos a la realidad de la empresa.
Por ello, un sistema efectivo debe verse reflejado en los procesos cotidianos: vinculación de clientes y proveedores, compras, ventas, pagos, contratación, selección de personal, relaciones con funcionarios públicos, intermediarios, donaciones, regalos, viajes, operaciones internacionales y demás actividades expuestas.
5. MARCO NORMATIVO PRINCIPAL
• Ley 222 de 1995 – facultades de inspección, vigilancia, control y sanción de la Superintendencia de Sociedades.
• Ley 526 de 1999 – marco relacionado con la UIAF.
• Ley 1778 de 2016 – responsabilidad administrativa por soborno transnacional.
• Ley 2195 de 2022 – transparencia, prevención y lucha contra la corrupción; incorpora, entre otros aspectos, el principio de Debida Diligencia.
• Decreto 1736 de 2020, modificado por el Decreto 1380 de 2021 – funciones de la Superintendencia de Sociedades.
• Circular Externa 100-000020 del 2 de julio de 2026 – modifica integralmente la Circular Básica Jurídica.
• Capítulo IX de la Circular Básica Jurídica 2026 – Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.
6. ¿QUIÉNES ESTÁN OBLIGADOS A IMPLEMENTAR EL SISTEMA?
La obligación no depende de un único criterio. Para determinarla se deben revisar la condición de supervisión de la empresa, sus ingresos o activos, su actividad económica, el sector al que pertenece y algunos supuestos especiales.
6.1. Regla general Están obligadas las sociedades, empresas unipersonales y sucursales de sociedades extranjeras sujetas a vigilancia o control de la Superintendencia de Sociedades —con la salvedad prevista para quienes tengan vigilancia especial por otra entidad en razón de su actividad— que, al 31 de diciembre del año inmediatamente anterior, hayan obtenido ingresos totales o presenten activos totales iguales o superiores a 4.929.017 UVB. Referencia normativa: CBJ 2026, numeral 9.4.
6.2. Obligación por sectores También existe un ámbito de aplicación sectorial. En varios de estos sectores, además de estar sujetos a vigilancia o control de la Superintendencia de Sociedades y cumplir el CIIU correspondiente, el umbral es de ingresos totales o activos totales iguales o superiores a 3.696.762 UVB.
7. ¿Y SI NO ALCANZO LOS TOPES DEL SISTEMA COMPLETO?
No alcanzar los topes del Sistema completo no significa automáticamente que la organización quede sin obligaciones. El Capítulo IX también establece un Régimen de Medidas Mínimas para determinados sectores y actividades. Entre los sectores contemplados se encuentran agentes inmobiliarios, comercialización de metales y piedras preciosas, servicios jurídicos, servicios contables, comercio de vehículos, farmacéutico, infraestructura y construcción, manufactura y minero-energético, además de reglas particulares para cámaras de comercio. Para varios de estos sectores, el Régimen de Medidas Mínimas aplica desde ingresos totales de 369.676 UVB o activos totales de 616.127 UVB, siempre que se cumplan los demás requisitos previstos para cada sector.
NO CONCLUYA QUE SU EMPRESA 'NO ESTÁ OBLIGADA' SOLO POR REVISAR UN TOPE. DEBE VALIDARSE SUPERVISIÓN + SECTOR + CIIU + INGRESOS + ACTIVOS + SUPUESTOS ESPECIALES.
8. ¿CÓMO SABER SI MI EMPRESA ESTÁ OBLIGADA?
• 1. Identifique quién supervisa a la organización y si está sometida a vigilancia o control de la Superintendencia de Sociedades.
• 2. Revise los ingresos totales y activos totales con corte al 31 de diciembre del año inmediatamente anterior.
• 3. Identifique la actividad económica y los códigos CIIU inscritos en el registro mercantil.
• 4. Determine si pertenece a un sector con reglas especiales.
• 5. Verifique si realiza operaciones con activos virtuales o pertenece a un régimen de supervisión especial.
• 6. Evalúe si cumple los criterios del Sistema completo o del Régimen de Medidas Mínimas.
• 7. Documente la conclusión jurídica y financiera de aplicabilidad
La Superintendencia puede, además, impartir una instrucción específica a una persona jurídica sometida a su supervisión para que implemente el Sistema aun cuando inicialmente no reúna los criterios generales. Para sujetos no obligados, la entidad recomienda estudiar su exposición y considerar la adopción voluntaria de medidas de prevención
9. ¿QUÉ DEBE CONTENER EL SISTEMA?
• Política integral de prevención y gestión de riesgos LA/FT/FP y C/ST.
• Manual de procedimientos.
• Matriz de riesgos y metodología de identificación, evaluación, control y monitoreo.
• Procedimientos de Debida Diligencia y Debida Diligencia Intensificada.
• Identificación y verificación de beneficiarios finales.
• Identificación y tratamiento de Personas Expuestas Políticamente – PEP.
.
• Consulta y análisis de listas vinculantes, restrictivas y otras fuentes pertinentes.
• Señales de alerta y mecanismos para analizar operaciones inusuales.
• Procedimientos para reporte de operaciones sospechosas cuando corresponda.
• Políticas sobre regalos y beneficios a terceros.
• Políticas sobre gastos de alimentación, hospedaje, viajes y hospitalidades.
• Gestión de conflictos de interés, donaciones, contribuciones, intermediarios y relaciones de mayor exposición.
• Designación, independencia, recursos y funciones del Oficial de Cumplimiento.
• Capacitación y divulgación.
• Canales de comunicación y denuncia.
• Auditoría, monitoreo, indicadores, documentación y mejora continua.
10. DEBIDA DILIGENCIA: CONOCER ANTES DE VINCULAR
La Debida Diligencia es uno de los pilares del sistema. Su propósito es obtener información suficiente para conocer a la contraparte, comprender la naturaleza de la relación, identificar al beneficiario final y determinar si existen factores que incrementen el riesgo.
No se trata únicamente de pedir Cámara de Comercio, RUT o documento de identidad.
Ejemplo práctico
Una empresa recibe una solicitud para que el pago de una factura sea realizado por un tercero que no aparece en el contrato. El control adecuado no consiste simplemente en aceptar el pago: debe determinarse quién es el tercero, por qué paga, cuál es su relación con el cliente, cuál es el origen de los recursos y si la operación es coherente con la actividad económica y el perfil conocido.
11. OFICIAL DE CUMPLIMIENTO
El Oficial de Cumplimiento es una pieza central del modelo. Debe contar con condiciones que le permitan desarrollar sus funciones con independencia, acceso a información, capacidad de comunicación con los órganos de dirección y recursos suficientes para administrar el sistema.
El Capítulo IX prevé Oficial de Cumplimiento principal y suplente y establece obligaciones de comunicación de su designación o desvinculación ante la Superintendencia. La designación debe entenderse como una función de gestión real y no como un nombramiento meramente formal.
12. RESPONSABILIDAD DE LA ALTA DIRECCIÓN
El cumplimiento no es responsabilidad exclusiva del Oficial de Cumplimiento. La alta dirección debe promover la cultura de legalidad, aprobar y respaldar el sistema según las competencias definidas, asignar recursos y asegurar que las áreas operativas ejecuten los controles.
EL OFICIAL DE CUMPLIMIENTO ADMINISTRA Y ARTICULA EL SISTEMA; LA ORGANIZACIÓN ENTERA DEBE CUMPLIRLO.
13. SEÑALES DE ALERTA: ¿QUÉ DEBE LLAMAR LA ATENCIÓN?
• Pagos realizados por terceros sin justificación clara.
• Clientes o proveedores que se niegan a identificar su beneficiario final. • Operaciones que no guardan relación con la actividad económica declarada.
• Cambios frecuentes e injustificados en cuentas bancarias o formas de pago.
• Contrapartes ubicadas en jurisdicciones de mayor riesgo sin justificación comercial suficiente.
• Comisiones, honorarios o intermediaciones desproporcionadas.
• Solicitud de pagos en efectivo o fraccionamiento de operaciones sin explicación razonable.
• Regalos, viajes, hospitalidades o beneficios que puedan influir indebidamente en una decisión.
• Conflictos de interés no revelados.
• Participación de PEP sin aplicación de las medidas reforzadas que correspondan.
14. SANCIONES POR INCUMPLIMIENTO
El incumplimiento de las órdenes e instrucciones del Capítulo IX puede dar lugar a investigaciones administrativas y a la imposición de sanciones al Sujeto Obligado, sus administradores, el Oficial de Cumplimiento y el Revisor Fiscal, sin perjuicio de las actuaciones que puedan corresponder a otras autoridades. La Ley 222 de 1995 faculta a la Superintendencia de Sociedades para imponer multas, sucesivas o no, hasta por el equivalente de doscientos (200) salarios mínimos legales mensuales vigentes a quienes incumplan sus órdenes, la ley o los estatutos. El propio Capítulo IX aclara que, conforme al artículo 313 de la Ley 2294 de 2023, la tasación de las sanciones de la Superintendencia se efectúa en UVB, tomando el valor vigente al momento de imponer la medida. Importante: no debe presentarse la sanción como una multa automática de un valor fijo. La existencia, cuantía y destinatario de una sanción dependen del procedimiento administrativo, los hechos, la responsabilidad determinada y las normas aplicables. Consecuencias adicionales
• Riesgo reputacional y pérdida de confianza de clientes, bancos, inversionistas y aliados.
• Dificultades para participar en procesos de contratación o vincularse con organizaciones que exigen estándares de cumplimiento.
• Mayor exposición a fraude, corrupción y operaciones ilícitas.
• Investigaciones o actuaciones de otras autoridades cuando los hechos puedan tener relevancia penal, fiscal, disciplinaria u otra naturaleza.
• Responsabilidad individual de administradores u otros responsables cuando jurídicamente corresponda. Referencia normativa: CBJ 2026, numeral 9.27; Ley 222 de 1995, artículo 86 numeral 3; Ley 2294 de 2023, artículo 313.
15. PLAZOS Y PERMANENCIA
Quienes adquieran por primera vez la calidad de Sujeto Obligado a partir del 31 de diciembre del año correspondiente deberán poner en marcha el Sistema, a más tardar el 31 de mayo del año siguiente a aquel en que adquirieron dicha calidad. Para los sujetos que ya estaban obligados bajo las anteriores instrucciones de SAGRILAFT y/o PTEE al momento de expedirse la Circular de 2026, se estableció un período de transición para ajustar el sistema integral a más tardar el 31 de mayo de 2027; durante ese período, los sistemas y programas implementados conforme al régimen anterior se entienden válidos para efectos de cumplimiento. Si un Sujeto Obligado deja posteriormente de cumplir los requisitos del ámbito de aplicación, debe mantener el Sistema durante dos años adicionales; para el Régimen de Medidas Mínimas, la permanencia adicional es de un año.
16. EJEMPLOS EMPRESARIALES
Cliente con estructura societaria compleja: Una compañía desea comprar bienes de alto valor, pero sus accionistas son varias sociedades extranjeras. La Debida Diligencia debe avanzar hasta identificar a las personas naturales que ejercen control o cumplen los criterios de beneficiario final.
Proveedor con PEP: La aparición de una PEP no significa automáticamente rechazo. Exige aplicar las medidas reforzadas que correspondan, comprender la relación, analizar riesgos y obtener las aprobaciones requeridas.
Intermediario que solicita una comisión inusual: Una comisión sin soporte, desproporcionada o vinculada con la obtención de una decisión pública puede constituir una señal de alerta de corrupción o soborno.
Pago desde una cuenta de un tercero: Debe determinarse la relación entre pagador y cliente y documentar la justificación antes de aceptar una operación que se aparte del comportamiento esperado.
17. BENEFICIOS DE IMPLEMENTAR UN SISTEMA EFECTIVO
• Fortalece la reputación y confianza de la organización.
• Reduce riesgos legales, administrativos y operacionales.
• Mejora la toma de decisiones y la trazabilidad.
• Facilita relaciones con clientes, proveedores, entidades financieras e inversionistas que exigen estándares de cumplimiento.
• Permite detectar tempranamente operaciones y conductas de mayor riesgo.
• Fortalece la cultura ética y la sostenibilidad empresarial.
18. SERVICIOS DE LIMS CONSULTORES S.A.S.
• Diagnóstico de aplicabilidad: determinamos si la organización está obligada al Sistema completo, al Régimen de Medidas Mínimas o si resulta conveniente una adopción voluntaria.
• Diseño e implementación del Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.
• Actualización e integración de sistemas SAGRILAFT y PTEE existentes.
• Elaboración y actualización de manuales, políticas, procedimientos y matrices de riesgos.
• Diseño de procesos de Debida Diligencia y Debida Diligencia Intensificada.
• Acompañamiento y outsourcing del Oficial de Cumplimiento cuando jurídicamente resulte procedente.
• Auditorías y diagnósticos de cumplimiento.
• Capacitaciones para trabajadores, alta dirección y áreas críticas.
• Diseño de señales de alerta, indicadores, formatos, canales y mecanismos de monitoreo.
19. PREGUNTAS FRECUENTES
¿Todas las empresas colombianas están obligadas?
No. La obligación depende del ámbito de aplicación definido por la Superintendencia de Sociedades, incluyendo supervisión, topes, sector, CIIU y supuestos especiales. Sin embargo, una empresa no obligada puede adoptar voluntariamente medidas de prevención.
¿SAGRILAFT y PTEE siguen siendo términos útiles?
Sí, especialmente para explicar el origen y evolución de las obligaciones y porque continúan siendo términos ampliamente reconocidos por empresas y usuarios. No obstante, para el régimen vigente de Supersociedades debe explicarse el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST del Capítulo IX.
¿Tener un manual significa que ya cumplo? No. El sistema debe funcionar en la práctica. La regulación advierte contra el “paper compliance” y exige que los controles respondan a la realidad de cada organización.
¿Una empresa puede estar obligada aunque no alcance el tope general?
Sí. Deben revisarse los criterios sectoriales, regímenes especiales, activos virtuales y el Régimen de Medidas Mínimas.
¿Qué pasa si dejo de cumplir los topes?
La obligación no termina inmediatamente. El Capítulo IX establece períodos mínimos de permanencia adicionales.
¿La Superintendencia puede ordenar implementar el Sistema a una empresa que no cumple los criterios generales?
Sí. El Capítulo IX contempla la posibilidad de impartir una instrucción específica a una persona jurídica sometida a su supervisión.
20. CIERRE / LLAMADO A LA ACCIÓN
¿SU EMPRESA ESTÁ OBLIGADA A IMPLEMENTAR EL SISTEMA?
Determinar la obligación requiere analizar más que los ingresos de la compañía. En LIMS CONSULTORES S.A.S. revisamos la naturaleza jurídica, supervisión, actividad económica, CIIU, ingresos, activos y factores especiales para establecer el régimen aplicable y acompañar su implementación.
DIAGNÓSTICO · IMPLEMENTACIÓN · OFICIAL DE CUMPLIMIENTO · DEBIDA DILIGENCIA · AUDITORÍA · CAPACITACIÓN LIMS CONSULTORES S.A.S.
Cumplimiento que protege, previene y genera confianza
21. NOTA EDITORIAL PARA PUBLICACIÓN WEB
¿Una empresa puede estar obligada aunque no alcance el tope general?
Sí. Deben revisarse los criterios sectoriales, regímenes especiales, activos virtuales y el Régimen de Medidas Mínimas.
¿Qué pasa si dejo de cumplir los topes?
La obligación no termina inmediatamente. El Capítulo IX establece períodos mínimos de permanencia adicionales.
¿La Superintendencia puede ordenar implementar el Sistema a una empresa que no cumple los criterios generales?
Sí. El Capítulo IX contempla la posibilidad de impartir una instrucción específica a una persona jurídica sometida a su supervisión.