Las principales claves del nuevo Capítulo IX de la Circular Básica
Jurídica de la Superintendencia de Sociedades
El cumplimiento empresarial en Colombia entra en una nueva etapa.
Con la expedición de la Circular Externa 100-000020 del 2 de julio de 2026, la
Superintendencia de Sociedades actualizó integralmente su Circular Básica
Jurídica e incorporó un nuevo Capítulo IX, dedicado al Sistema de Autocontrol y
Gestión de Riesgos LA/FT/FP y C/ST.
El nuevo marco integra en un mismo sistema la gestión de los riesgos asociados
al Lavado de Activos, la Financiación del Terrorismo, la Financiación de la
Proliferación de Armas de Destrucción Masiva, la Corrupción y el Soborno
Transnacional. Con esta actualización también se derogan, entre otras, las
Circulares Externas 100-000016 de 2020 y 100-000011 de 2021, bajo las cuales se
desarrollaban el SAGRILAFT y el PTEE.
Sin embargo, el cambio no consiste únicamente en reemplazar documentos o
actualizar referencias normativas.
El nuevo Capítulo IX plantea una forma más integrada de entender el
cumplimiento, en la que las medidas adoptadas deben responder a la realidad,
las características y la exposición al riesgo de cada organización, y en la que
resulta cada vez más importante demostrar que el sistema funciona en la
práctica.
Estas son algunas de las principales claves de este nuevo marco.
De SAGRILAFT y PTEE separados a una gestión
integrada del riesgo
Uno de los cambios estructurales es la integración de riesgos que anteriormente
se gestionaban principalmente mediante dos esquemas: el SAGRILAFT, orientado
al Lavado de Activos y la Financiación del Terrorismo, y el Programa de
Transparencia y Ética Empresarial (PTEE), enfocado en la prevención de la
corrupción y el soborno transnacional.
Ahora, estos frentes convergen en el Sistema de Autocontrol y Gestión de
Riesgos LA/FT/FP y C/ST
Pero integrar no significa simplemente reunir dos documentos.
La gestión debe articular políticas, procedimientos, responsabilidades,
controles, debida diligencia, monitoreo y mecanismos de seguimiento, de
manera coherente con la operación de cada organización.
La integración debe ocurrir en la gestión y no solamente en el papel.
Del “paper compliance” a un sistema que
realmente funciona
Uno de los mensajes más importantes de la nueva regulación está relacionado
con el llamado “paper compliance”: sistemas que pueden estar formalmente
documentados, pero que no necesariamente corresponden con la realidad de la
organización o con los riesgos a los que está expuesta.
El nuevo enfoque pone atención en factores como el sector, la actividad
económica, las jurisdicciones, los terceros y contrapartes, los canales, los
intermediarios y las características propias de la operación para determinar
cómo deben estructurarse los controles.
Esto cambia una pregunta fundamental.
Ya no basta con tener el manual. Hay que poder demostrar que lo que está
escrito realmente ocurre.
Por eso cobran especial importancia la ejecución de los controles, la trazabilidad,
las capacitaciones, el monitoreo, los soportes de debida diligencia, la atención de
señales de alerta y todas aquellas evidencias que permitan demostrar que el
sistema está funcionando.
El cumplimiento pasa así de centrarse en la existencia del sistema a prestar
mayor atención a su aplicación y efectividad.
La gestión del riesgo deja de ser responsabilidad
de una sola persona
La nueva regulación asigna funciones expresas a la Junta Directiva o al máximo
órgano social, entre ellas la aprobación del sistema, la designación del Oficial de
Cumplimiento principal y suplente y el estudio y evaluación de los informes
relacionados con su funcionamiento.
A su vez, la Alta Dirección debe proporcionar los recursos necesarios para que el
sistema pueda operar adecuadamente.
El cambio tiene una implicación importante:
la gestión del riesgo no puede quedar exclusivamente en manos del Oficial de
Cumplimiento.
El funcionamiento del sistema requiere participación de los diferentes niveles de
la organización y respaldo suficiente para que los controles puedan
implementarse y mantenerse.
El Oficial de Cumplimiento también cambia
El nuevo marco contempla la figura del Oficial de Cumplimiento principal y
suplente, junto con requisitos relacionados con formación profesional,
experiencia, conocimientos especializados y actualización.
Entre las condiciones señaladas se encuentra acreditar título y experiencia
profesional mínima de un año en actividades relacionadas con cumplimiento
normativo o gestión de estos riesgos, además de conocimientos específicos
mediante las modalidades de formación contempladas en la regulación.
Esto refuerza el carácter técnico de una función que necesita comprender los
riesgos reales de la organización y no limitarse a administrar requisitos
documentales.
Nuevos criterios y umbrales: la UVB entra en
escena
Otro cambio relevante está en la forma de determinar quiénes deben
implementar el sistema.
La nueva regulación adopta la Unidad de Valor Básico (UVB) como referencia
para diferentes umbrales económicos, en sustitución de referencias que
anteriormente se expresaban en salarios mínimos.
Como criterio general, se contempla un umbral de 4.929.017 UVB en ingresos
totales o activos totales al 31 de diciembre del año inmediatamente anterior para
determinados sujetos bajo vigilancia o control de la Superintendencia de
Sociedades.
Además, existen condiciones y umbrales particulares para determinados sectores
y un Régimen de Medidas Mínimas con condiciones diferenciadas.
Por eso, determinar si una empresa está obligada requiere revisar diferentes
variables:
tipo de entidad, autoridad de supervisión, actividad económica, sector,
ingresos, activos y criterios específicos aplicables a determinadas actividades.
En otras palabras, ya no basta con revisar una sola cifra para determinar la
obligación.
Un período de transición para ajustar el sistema
Las organizaciones que ya estaban obligadas bajo los regímenes anteriores
cuentan con un período de transición para ajustar sus sistemas a las nuevas
disposiciones.
La Circular establece como fecha límite el 31 de mayo de 2027. Durante este
período, los sistemas y programas que ya se encontraban implementados se
consideran válidos para efectos del cumplimiento normativo.
Para quienes adquieran por primera vez la calidad de sujetos obligados, la regla
general establece que deberán poner en marcha el sistema, a más tardar, el 31 de
mayo del año siguiente a aquel en que adquirieron dicha condición.
Este período abre un espacio para revisar, ajustar y fortalecer los sistemas
existentes antes de llegar al momento límite.
El verdadero reto está en la práctica
Más allá de la actualización normativa, el nuevo Capítulo IX plantea una
oportunidad para revisar cómo entiende cada organización el cumplimiento.
Una política puede estar aprobada.
Una matriz puede estar construida.
Un procedimiento puede estar documentado.
Una capacitación puede estar programada.
Pero la pregunta fundamental es otra:
¿Todo eso está funcionando en la operación de la empresa?
La nueva regulación fortalece precisamente una visión en la que el cumplimiento
debe relacionarse con los riesgos particulares del negocio, sus controles, sus
procesos y la capacidad de demostrar su funcionamiento. La implementación,
la trazabilidad y la efectividad adquieren así un papel central.
El reto ya no consiste únicamente en tener un sistema de cumplimiento.
Consiste en poder demostrar que ese sistema conoce los riesgos de la
organización, está incorporado en sus procesos y que sus controles funcionan
en la práctica.
¿Su empresa ya identificó cómo le impacta el nuevo Capítulo IX?
El primer paso es determinar si continúa siendo sujeto obligado, qué régimen
le corresponde y qué ajustes deberá realizar antes de que finalice el período
de transición.
