La Superintendencia de Sociedades expidió la Circular Externa 100-000020 de 2026 el 2 de julio de 2026. La norma actualizó integralmente la Circular Básica Jurídica y modificó uno de los componentes más importantes del cumplimiento empresarial en Colombia: la gestión de los riesgos de lavado de activos, financiación del terrorismo, financiación de la proliferación de armas de destrucción masiva, corrupción y soborno transnacional.
El cambio central es la integración de las instrucciones que antes estaban distribuidas principalmente entre SAGRILAFT y PTEE. El nuevo Capítulo IX establece un Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST. No se trata únicamente de unir dos documentos. Para los sujetos obligados implica revisar la gobernanza, las políticas, la debida diligencia, el rol del Oficial de Cumplimiento y la evidencia con la que demuestran que sus controles funcionan.
¿SAGRILAFT y PTEE desaparecen con la nueva circular?
No de manera inmediata. La circular derogó las instrucciones anteriores que regulaban estos programas por separado, pero estableció un periodo de transición. Durante ese plazo, los sistemas y programas actualmente implementados se entienden válidos para efectos del cumplimiento normativo.
La decisión correcta no es eliminar lo construido, sino evaluar qué puede conservarse, qué debe integrarse y qué necesita actualizarse. La empresa debe convertir sus controles existentes en un sistema coherente con el nuevo Capítulo IX y con sus riesgos reales.
Cuatro cambios que debe revisar el Oficial de Cumplimiento
1. De programas separados a una visión integral del riesgo
Antes, las empresas solían gestionar LA/FT/FPADM desde SAGRILAFT y corrupción o soborno transnacional desde el PTEE. El nuevo marco reúne ambos frentes dentro de un mismo sistema. Esto exige conectar matrices, responsables, políticas, metodologías y reportes, evitando controles duplicados o contradictorios.
2. Mayor protagonismo del enfoque basado en riesgo
La debida diligencia no debe aplicarse con la misma intensidad a todas las contrapartes. La circular exige medidas proporcionales al nivel de riesgo y advierte que los controles excesivos también pueden afectar la operación. La empresa debe justificar por qué una contraparte recibe una validación simplificada, estándar o intensificada.
3. Debida diligencia para riesgos LA/FT/FP y C/ST
El conocimiento de clientes, proveedores, contratistas, empleados, beneficiarios finales y demás terceros debe servir para identificar tanto riesgos de lavado de activos como riesgos de corrupción y soborno. La norma contempla la revisión de identidad, estructura de titularidad, antecedentes, reputación, sanciones, propósito de la relación, pagos, jurisdicciones y coherencia de las transacciones.
4. Más responsabilidad y evidencia verificable
El Oficial de Cumplimiento debe monitorear el sistema, proponer actualizaciones y mantener comunicación directa con la junta directiva o el máximo órgano social. A su vez, la organización debe contar con recursos humanos y tecnológicos adecuados. No basta con tener políticas aprobadas: es necesario conservar evidencia accesible de las validaciones, análisis, decisiones, actualizaciones y controles aplicados.
¿Cuál es el plazo para ajustar el sistema?
Los sujetos que ya estaban obligados bajo las circulares anteriores deben ajustar su sistema a más tardar el 31 de mayo de 2027. Hasta entonces, sus sistemas actuales continúan siendo válidos.
Las empresas que adquieran por primera vez la calidad de sujeto obligado a partir del cierre del año de expedición deberán poner en marcha el sistema, como regla general, antes del 31 de mayo del año siguiente a aquel en que adquirieron esa condición. Cada organización debe confirmar si está dentro del ámbito de aplicación y revisar las reglas particulares del Capítulo IX.
Checklist de preparación para Oficiales de Cumplimiento
Un proceso de transición ordenado debería comenzar con estas acciones:
- Revisar el ámbito de aplicación y documentar por qué la empresa es o no sujeto obligado.
- Comparar las políticas y controles actuales con los requerimientos del nuevo Capítulo IX.
- Integrar los riesgos LA/FT/FP y C/ST sin perder la trazabilidad histórica de SAGRILAFT y PTEE.
- Actualizar la matriz de riesgo, los factores de riesgo y los criterios para clasificar contrapartes.
- Revisar los procedimientos de debida diligencia simplificada, estándar e intensificada.
- Definir qué información, fuentes y evidencias deben conservarse en cada validación.
- Evaluar si el Oficial de Cumplimiento cuenta con acceso, independencia, equipo y tecnología suficientes.
- Presentar a la junta directiva un plan de transición con responsables, recursos, brechas y fechas de ejecución.
La debida diligencia se convierte en el punto de unión
La debida diligencia es uno de los procesos fundamentales del nuevo sistema porque conecta el conocimiento de la contraparte con la evaluación de riesgos. Según la circular, debe apoyarse en información confiable y fuentes independientes, aplicarse de manera proporcional y mantenerse durante la relación comercial.
Para las contrapartes de riesgo alto, la actualización debe realizarse como mínimo una vez al año, sin que esto impida adoptar una frecuencia mayor cuando el riesgo lo justifique. También debe existir monitoreo continuo para detectar cambios en el comportamiento, los antecedentes o las condiciones de la relación.
Cuando la información se consulta manualmente en portales separados, correos y hojas de cálculo, aumenta la probabilidad de perder evidencia, aplicar criterios inconsistentes o no detectar cambios relevantes. La automatización no reemplaza el análisis del Oficial de Cumplimiento, pero puede hacer que la información sea más oportuna, trazable y útil para decidir.
¿Cómo puede apoyar Validiti este proceso?
Validiti es una plataforma colombiana de verificación, conocimiento de terceros, cumplimiento y gestión de riesgo basada en información confiable. Permite apoyar la validación de personas, empresas, proveedores, contratistas, empleados y vehículos, consultar fuentes nacionales e internacionales y conservar reportes e histórico de las consultas.
En la transición hacia el nuevo sistema, Validiti puede contribuir a organizar validaciones según el tipo de contraparte y su nivel de riesgo, documentar evidencias y reducir tareas manuales. La plataforma no sustituye el sistema de cumplimiento ni el criterio del Oficial de Cumplimiento; entrega información y trazabilidad para fortalecer su análisis.
La Circular 100-000020 de 2026 exige pasar de programas fragmentados a una gestión integral y demostrable. El plazo de transición permite hacerlo de forma ordenada, pero requiere comenzar ahora: diagnosticar brechas, actualizar políticas, integrar riesgos y asegurar que cada decisión pueda sustentarse con evidencia.
Conoce cómo Validiti puede apoyar la verificación de terceros y la trazabilidad de tu proceso de debida diligencia.
Preguntas frecuentes
No. Aplica a los sujetos incluidos en el ámbito del Capítulo IX. Cada organización debe revisar su actividad, sector, ingresos, activos y demás criterios aplicables antes de concluir que está obligada.
No. Durante el periodo de transición continúan siendo válidos. Deben utilizarse como punto de partida para construir el sistema integral exigido por el nuevo marco.
No. Validiti entrega información, reportes y trazabilidad para apoyar la debida diligencia. La evaluación del riesgo y las decisiones corresponden al Oficial de Cumplimiento y a los órganos responsables de la empresa.
