Imagen Infolaft
Viernes 17 de julio de 2026
Circular Externa 100-000020 del 2 de julio de 2026
A pocas semanas de que termine el gobierno de Gustavo Petro, la Superintendencia de Sociedades publicó la esperada Circular Externa 100-000020 del 2 de julio de 2026, que representa un cambio de fondo para los más de 35.000 vigilados por la entidad y, en especial, para el ecosistema de cumplimiento del sector real.
Analizaremos algunos de los nuevos elementos que contiene esta Circular y como estos transformaran, el dia a dia, de la labor de las oficinas de cumplimiento.
- Sistema único — SAGRILAFT y PTEE se unifican en el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.
- Una sola matriz — un sistema, una política, un manual y un archivo documental.
- EBR transversal — el enfoque basado en riesgo deja de ser exclusivo del LA/FT/FP.
- Oficial de cumplimiento — un año de experiencia y actualización cada tres años (capacitación formal e informal).
Plazo — 31 de mayo de 2027 para adecuarse.
1. La unificación de SAGRILAFT y PTEE
El cambio más relevante es la unificación del SAGRILAFT y el PTEE. Pero ¿qué significa esta integración en la práctica? Significa que las empresas deberán identificar, medir, controlar y monitorear el riesgo en una sola matriz, dentro de un sistema unificado denominado "Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST". Una integración de esta envergadura puede generar inquietud al interior de las áreas de cumplimiento.
Sin embargo, es importante resaltar sus beneficios.
La identificación de un beneficiario final o de una Persona Expuesta Políticamente (PEP), por ejemplo, es igual de importante para evitar el riesgo de corrupción como para identificar el riesgo de lavado de activos.
El análisis integral permite identificar y mitigar con mayor precisión riesgos que difícilmente se habrían advertido al examinar cada fenómeno de manera aislada, lo que en última instancia blinda la operación de la empresa, en su conjunto.
Ahora bien, conviene tener presente que este análisis no debe priorizar un riesgo en detrimento del otro —el lavado sobre la corrupción, o viceversa—, sino lograr que ambos convivan de forma armónica dentro del Sistema.
Esta integración llevará también a que las empresas cuenten con una sola política, un solo manual y un único archivo documental. Todo lo anterior pone al sector real en línea con las buenas prácticas internacionales de cumplimiento, donde estos riesgos se manejan de forma articulada desde hace varios años.
Otro elemento para destacar es la articulación de las capacitaciones en LA/FT/FP y C/ST que, según la circular, deben realizarse al menos una vez al año no solo a los empleados, sino también a las contrapartes.
En un país donde estos riesgos convergen de forma tan estrecha, resulta difícil trabajarlos de manera independiente. Ahora bien, ¿una capacitación que enseñe qué reportar y cómo hacerlo cumple ya su propósito?
Creemos que no. Y esto obliga a distinguir dos elementos: la cultura de cumplimiento y la apropiación de los valores éticos.
La cultura de cumplimiento se enseña dentro de la empresa: le indica al empleado qué debe reportar, ante quién y en qué plazo. La circular identificó algunas temáticas a priorizar: operación inusual o sospechosa, señal de alerta, contenido y forma del reporte.
La apropiación de los valores éticos llega antes: en el colegio, en la casa. Sin embargo, sí se puede desarrollar en el lugar de trabajo. Los casos concretos enseñan más que las definiciones y generan más impacto que la presentación del código de ética.
2. La relevancia que otorga la circular al Enfoque Basado en Riesgo
La Circular Externa 100-000020 del 2 de julio de 2026 identifica el Enfoque Basado en Riesgo (EBR) como un elemento transversal y fundamental del Sistema. Con ello deja de ser un asunto exclusivo del riesgo de LA/FT y pasa a ser también un elemento central de la gestión del riesgo de C/ST.
El punto no es menor si se recuerdan los resultados de la Cuarta Ronda de Evaluación Mutua del GAFILAT, en 2018, en la que los evaluadores identificaron que tanto la comprensión del riesgo como la cultura de reporte eran considerablemente más sólidas en el sector financiero que en el de las APNFD.
La Quinta Ronda llega con una metodología distinta. El énfasis ya no está en dar cuenta del cumplimiento de la norma, sino en demostrar, entre otros aspectos, la implementación efectiva del enfoque basado en riesgo.
Aunque la evaluación recae sobre el Estado colombiano, su resultado dependerá en buena medida de que los sujetos obligados se apropien del ciclo del EBR —identificar, medir, controlar y monitorear— y puedan sustentarlo con evidencia.
Sin embargo, aplicar el EBR supone una precisión que rara vez se discute: describir bien el riesgo. En la práctica, muchas matrices reúnen bajo una misma elementos cosas que no son equivalentes —una amenaza, una causa, un factor, una consecuencia— y el resultado son documentos extensos, difíciles de interpretar y de poca utilidad para implementar.
A ese problema responde la propuesta de los 12 Elementos Sintácticos de Riesgo (EXR) que Alberto Lozano Vila, socio fundador de INFOLAFT, desarrolla en el libro PLADIFT Guatemala, bases y fundamentos previos del mismo modo que un idioma necesita reglas de sintaxis para transmitir una idea, el riesgo requiere un lenguaje estructurado en el que cada componente —objetivos, tipologías amenazas, fuentes de riesgo, vulnerabilidades, causas, factores de riesgo, eventos de riesgo, circunstancias, controles y consecuencias— cumple una función propia y no puede sustituir a ninguna otra.
Si se confunde una causa con un evento, los controles se diseñan mal; si se toma una consecuencia por un riesgo, los indicadores pierden sentido. Cuando el lenguaje no es preciso, la gestión del riesgo la pierde también.
3.Nuevos requerimientos para el oficial de cumplimiento
La circular derogada exigía formación general al oficial de cumplimiento: título profesional, seis meses de experiencia y algún curso, diplomado, seminario o congreso sobre riesgo de LA/FT. Era una lista abierta, sin condiciones de duración ni de pertinencia, y no mencionaba tampoco conocimiento al riesgo de corrupción y soborno transnacional, que entonces era materia del PTEE.
La nueva circular aumentó los requisitos. El oficial de cumplimiento debe acreditar ahora y conocimientos en los dos frentes, LA/FT/FP y C/ST; se le exige un año de experiencia profesional en lugar de seis meses; y la formación solo cuenta si proviene de programas de educación formal o de programas de formación informal que cumplan condiciones mínimas de intensidad, pertinencia y certificación. Se agrega, además, un deber que antes no existía: mantener esos conocimientos actualizados al menos cada tres años.
¿Desde cuándo aplica?
¿Debo rehacer mi matriz de riesgo?
¿Sigue vigente mi SAGRILAFT actual?
¿Mi oficial de cumplimiento cumple los nuevos requisitos?
¿Quiénes son los nuevos sujetos obligados?
En conjunto, la idoneidad deja de ser un requisito que se acredita una vez al momento de la designación y pasa a ser una condición que debe sostenerse en el tiempo.
5. Otros elementos a resaltar
Otros elementos importantes para señalar de la circular son: I) la adopción de la Unidad de Valor Básico (UVB) como referente para determinar los umbrales de aplicación del Sistema y para la tasación de sanciones. II) Se incorporan las cámaras de comercio y Confecámaras, y se permite que las entidades sin ánimo de lucro extranjeras con negocios permanentes en Colombia implementen el Sistema de manera voluntaria.
Finalmente. Los sujetos obligados que hoy cuentan con SAGRILAFT, PTEE o Régimen de Medidas Mínimas tendrán plazo hasta el 31 de mayo de 2027 para adecuarse al nuevo marco; entre tanto, los programas ya implementados conservan su validez. Quienes adquieran por primera vez la condición de sujeto obligado deberán implementar el Sistema a más tardar el 31 de mayo del año siguiente a aquel en que la adquieran.
En resumen, la nueva circular apunta a un Sistema unificado que obliga a mirar el lavado de activos y la corrupción como riesgos que se alimentan mutuamente. El enfoque basado en riesgo, ahora transversal, obliga a demostrar que el sistema funciona y no solo que existe. Y un perfil más exigente para el oficial de cumplimiento reconoce que nada de lo anterior es posible sin quien sepa hacerlo.
El plazo de implementación será, como siempre, el primer desafío para los oficiales de cumplimiento. Pero lo que busca la nueva circular es otra cosa: pasar de un cumplimiento que se documenta a uno que sea efectivo y medible. Ya a la vuelta de la esquina de la Quinta Ronda de Evaluación Mutua del GAFILAT, dichas caracteristicas dejarán de ser un asunto interno de las empresas para convertirse en un indicador del país.
