Compliance sin apellidos

SIPLAFT, SAGRILAFT, SARLAFT, SARLAFT 2.0 o 4.0 y PTEE son nombres que responden a regímenes y supervisores concretos. La empresa, sin embargo, se relaciona con una misma contraparte y una sola realidad de riesgos. Ha llegado la hora de diseñar el cumplimiento desde esa realidad, sin perder ninguna obligación legal.

En Colombia nos acostumbramos a enseñar y administrar el compliance por sus apellidos. Cada regulador dio nombre a un sistema, redactó un manual y definió un reporte. La especialidad jurídica es indispensable; la fragmentación operativa no siempre lo es. Cuando la misma empresa abre expedientes separados para conocer al proveedor, evaluar al intermediario y revisar al beneficiario final, puede multiplicar documentos y, paradójicamente, dejar sin conectar señales que describen una sola exposición. Mi propuesta es sencilla: una arquitectura de integridad corporativa, con controles compartidos y obligaciones sectoriales trazables.

No planteo borrar SIPLAFT, SAGRILAFT, SARLAFT, sus variantes sectoriales ni PTEE de los mapas normativos. Son denominaciones que identifican ámbitos de supervisión, sujetos, deberes y consecuencias diferentes. “Sin apellidos” significa dejar de tratarlos como islas académicas y tecnológicas: integrar la comprensión del riesgo y la evidencia, y conservar la especificidad legal que cada autoridad exige.

Una tesis anterior a la reforma

En nuestro trabajo de grado de maestría, Sandy Milena Ramírez Serna y yo examinamos las percepciones de cuatro oficiales de cumplimiento senior sobre el PTEE en empresas vigiladas por la Superintendencia de Sociedades. Las entrevistas identificaron dificultades recurrentes en ese grupo: apoyo insuficiente de la alta dirección, recursos escasos, resistencia cultural y desconfianza en los canales de denuncia. Propusimos ampliar el PTEE hacia un programa de integridad, articulado con SAGRILAFT, normas técnicas, capacitación, monitoreo y tecnología. Es una investigación cualitativa y exploratoria: permite comprender tensiones y formular una propuesta, no estimar su frecuencia en todas las organizaciones. [1]

En ese momento insistimos en que un programa no se vuelve eficaz por existir en una carpeta. La cultura, las decisiones del gobierno corporativo, la confianza para informar irregularidades y la comprobación de los controles determinan si cambia conductas. La nueva pregunta es cómo traducir esa conclusión en una estructura común que permita mirar una contraparte de forma completa, desde su vinculación hasta la terminación de la relación. [1]

La arquitectura técnica: una sola conversación entre estándares

ISO 37301:2021 ofrece requisitos y orientación para establecer, operar, evaluar y mejorar un sistema de gestión de cumplimiento. Es una referencia de arquitectura, no un reemplazo de la ley colombiana. ISO 37001:2025 profundiza en antisoborno; ISO 37002:2021 orienta la recepción y gestión confiable de denuncias; ISO 37003:2025 aporta directrices frente al fraude. Esta última es una guía, no una obligación legal general ni una certificación que por sí sola pruebe ausencia de fraude. [2][3][4][5]

ISO 31000:2018 ayuda a estructurar contexto, valoración, tratamiento, comunicación y seguimiento del riesgo. COSO ERM conecta esa gestión con estrategia y desempeño. Las Recomendaciones del GAFI sustentan un enfoque basado en riesgo para LA/FT y controles como la debida diligencia y la identificación de beneficiarios finales. Son instrumentos con alcances distintos: deben dialogar entre sí, sin presentarlos como una norma única ni atribuir al GAFI la regulación general del soborno o del fraude. [6][7][8]

El expediente único de la contraparte no es una matriz única de peligros

Un proveedor puede ofrecer un precio competitivo y, al mismo tiempo, ocultar al verdadero beneficiario final; un intermediario puede tener vínculos con funcionarios; una factura puede presentar incoherencias económicas y una denuncia puede señalar pagos indebidos. Si cada señal queda atrapada en un “apellido”, nadie observa el patrón. Por eso propongo un expediente compartido de contraparte y un flujo común de decisiones, junto a evaluaciones diferenciadas por riesgo y por obligación jurídica.

1. Conocer la estructura de la contraparte: identidad, actividad, administradores, representantes, beneficiarios finales, jurisdicciones, relación comercial y propósito económico. La profundidad de la verificación se ajusta a la exposición y al régimen aplicable.
2. Consolidar señales de alerta: listas relevantes, personas expuestas políticamente, cambios societarios, pagos atípicos, intermediación opaca, denuncias, conflictos de interés y anomalías transaccionales; distinguir una coincidencia preliminar de un hallazgo confirmado.
3. Valorar por separado los eventos de LA/FT/FP, corrupción, soborno y fraude. Estimar probabilidad e impacto con criterios documentados para obtener riesgo inherente; diseñar controles, probar su efectividad y estimar el riesgo residual.
4. Contrastar el riesgo residual con el apetito y los límites aprobados por el gobierno corporativo. Escalar, rechazar, suspender o tratar la relación según la gravedad, la obligación legal y la competencia de quien decide.
5. Mantener rutas especializadas: análisis de operación inusual o sospechosa y ROS cuando proceda, investigación de denuncias, preservación de evidencia, acciones disciplinarias y reportes a cada autoridad competente.
6. Monitorear cambios de perfil, transacciones, controles y nuevas señales; conservar una bitácora de la decisión, sus fuentes, el responsable, la fecha y la revisión posterior.

Un expediente compartido no autoriza a mezclar indiscriminadamente información confidencial. Los permisos, las finalidades, la protección del denunciante y las restricciones de acceso deben diseñarse desde el inicio. El análisis experto interpreta señales y contextos: un puntaje automático puede priorizar casos, pero no sustituye una decisión motivada.

Un ejemplo: el mismo intermediario, tres alertas

Supongamos que una empresa en Colombia contrata a un intermediario para expandirse. Durante la vinculación identifica una cadena societaria difícil de explicar; después aparecen pagos a un tercero sin justificación comercial y llega una denuncia por una comisión ofrecida a un funcionario. No son tres historias independientes. El equipo verifica la titularidad real y la racionalidad de la operación, preserva documentos, evalúa de forma separada el riesgo de LA/FT y el de corrupción o soborno, aplica controles reforzados y decide si la relación debe continuar. Si se configura el presupuesto de un reporte, activa el canal y plazo que corresponden al régimen aplicable. La decisión se documenta; una alerta por sí sola no equivale a delito ni a una operación sospechosa.

La Circular 100-000020 de 2026 merece reconocimiento

Felicito a la Superintendencia de Sociedades por la Circular Externa 100-000020 del 2 de julio de 2026. Su nueva Circular Básica Jurídica unifica en el capítulo IX las obligaciones que antes se desarrollaban en los capítulos X y XIII, y configura un Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST. La propia entidad lo presenta como integración de SAGRILAFT y PTEE; un oficio posterior explica que estos riesgos se administran dentro de un único sistema y una sola estructura documental de cumplimiento para los sujetos a quienes aplica. Es un avance real hacia la coherencia regulatoria. [9][10][11]

Conviene describir el alcance con precisión. La circular integra lavado de activos, financiación del terrorismo, financiamiento de la proliferación, corrupción local y soborno transnacional bajo el régimen de Supersociedades; no elimina todas las denominaciones de los demás supervisores ni incorpora por sí misma cada riesgo de fraude, protección de datos o ciberseguridad. Integrarlos en un programa corporativo más amplio es una decisión de diseño y una propuesta de integridad, que debe coexistir con las obligaciones concretas de cada sector. [9][11]

La reforma también permite traducir la integración a operaciones: exige identificar factores, medir probabilidad e impacto, establecer controles y riesgo residual, monitorear, practicar debida diligencia y detectar operaciones inusuales o sospechosas. En su apartado sobre ROS exige herramientas tecnológicas que consoliden información y generen indicadores y alertas. De ahí se deriva una oportunidad para el análisis financiero avanzado: perfiles transaccionales, cambios de comportamiento, trazabilidad de pagos y vínculos entre personas y entidades, siempre con calidad de datos, validación humana y evidencia revisable. La expresión “análisis financiero avanzado” describe nuestra propuesta de implementación; no es una cita literal ni una exigencia tecnológica universal de la circular. [9]

La coincidencia entre este avance y las conclusiones de nuestro trabajo de grado es motivo de satisfacción. Ambos apuntan a superar la separación formal entre programas y a dar más peso al gobierno, la cultura y la efectividad. No afirmamos que la circular haya sido causada por nuestra investigación; reconocemos una convergencia entre una propuesta académica previa y una reforma oficial posterior. [1][9]

El transporte: una prueba de planeación estratégica

El sector transporte muestra el costo de expedir obligaciones antes de comprobar su encaje operativo. El SARLAFT fue regulado mediante la Resolución 2328 del 6 de marzo de 2025 y modificado por las resoluciones 16615 del 5 de noviembre de 2025 y 4607 del 9 de abril de 2026: una regulación inicial y dos reformas en poco más de trece meses. El PTEE llegó con la Resolución 14673 del 18 de septiembre de 2025 y fue modificado por la 7038 del 15 de mayo de 2026, que amplió el periodo de transición y aclaró disposiciones tras recibir observaciones de los vigilados. No toda modificación prueba improvisación; esta secuencia, sin embargo, obliga a preguntar si el diseño inicial evaluó suficientemente la diversidad de empresas, la capacidad de implementación y la relación entre ambos programas. [12][13]

La herramienta de supervisión ofrece una señal más concreta. La Circular 20265330000164 del 7 de octubre de 2026 reconoce dificultades de registro y cargue en el módulo SARLAFT–RMS comunicadas por sujetos obligados en agosto y aún persistentes en octubre, aunque algunas habían sido atendidas. Tras una primera ampliación en agosto, la Superintendencia trasladó el plazo del primer reporte al 10 de abril de 2027. La propia circular aclara que el aplazamiento del reporte no suspende las obligaciones sustanciales de prevención y control vigentes desde el 6 de mayo de 2026. La crítica no es a la corrección del plazo: es que una obligación de reporte necesita una plataforma probada, soporte y contingencias antes de hacerse exigible. [14]

El punto más delicado es la certificación de personas. La Resolución 4607 exige al oficial de cumplimiento principal y al suplente una certificación de competencia expedida por un organismo acreditado por ONAC bajo ISO/IEC 17024, renovable al menos cada dos años. Su parágrafo transitorio concedió seis meses desde la publicación de la resolución para acreditarla. ISO/IEC 17024 establece requisitos para organismos que certifican personas; la competencia concreta depende del alcance del esquema de certificación. Por eso no basta con invocar la norma: hay que verificar qué perfil se evalúa, contra cuál versión regulatoria, con qué pruebas, oferta, costos y transición. [15]

Al expedirse la exigencia en abril, según el estudio experto que desarrollé con alumnos de distintas Master Class y mi seguimiento del sector, el organismo identificado con el código 19-OCP-004 se encontraba en suspensión voluntaria y su trámite de reactivación tomó varios meses. Los primeros centros de evaluación con oferta operativa para esta exigencia aparecieron aproximadamente tres meses después. El certificado y la ficha que ONAC publica hoy muestran el estado acreditado y una actualización de junio de 2026; no permiten reconstruir por sí solos el estado exacto que tenía el organismo en abril ni la fecha de levantamiento de la suspensión. Un estado vigente consultado meses después no equivale a capacidad disponible desde el primer día del plazo. [15][16][18]

El portal SARLAFT/RMS de la Superintendencia mostraba, al consultarlo el 23 de octubre de 2026, 2.302 oficiales reportados y 1.007 con certificado vigente registrado por un organismo acreditado: el 43,7 % de los reportados. No son cifras de inscritos a exámenes ni una tasa de aprobación; tampoco permiten atribuir toda la diferencia a falta de cupos. Sí muestran la magnitud de la acreditación pendiente frente al universo registrado después de vencer el plazo transitorio. [15][17]

Existe, además, una cuestión de alineación técnica. El certificado público actual 19-OCP-004 de ONAC incluye un esquema de Oficial de Cumplimiento y menciona la Resolución 2328 de 2025, ISO 37301 y recomendaciones del GAFI; el alcance publicado no menciona la reforma 4607 de abril de 2026. Esa diferencia no invalida automáticamente las certificaciones, pero exige explicar cómo se incorporan las funciones sectoriales vigentes en la evaluación. También debe distinguirse entre acreditación, disponibilidad efectiva de evaluadores, cupos y decisiones de certificación dentro del plazo exigido. [15][16][18]

Pese a las solicitudes de ampliación que he conocido, al cierre de este artículo, el 23 de octubre de 2026, no he identificado un acto oficial que prorrogue específicamente los seis meses para acreditar la certificación. La Circular 20265330000164 sí aplazó el primer reporte SARLAFT–RMS al 10 de abril de 2027, pero aclara que ello no suspende las obligaciones sustanciales; no modifica expresamente el plazo de la credencial. Confundir ambos plazos deja a las empresas y a los oficiales ante una incertidumbre evitable: deben sostener la prevención y documentar sus gestiones mientras solicitan a la autoridad una respuesta clara sobre la acreditación pendiente. [14][15]

A partir de ese estudio experto sostengo que el tiempo empleado en reactivar la acreditación y poner en operación los centros de evaluación debió sumarse, como mínimo, al plazo inicial de seis meses. Es una propuesta de proporcionalidad regulatoria, no una prórroga vigente: la autoridad tendría que formalizarla mediante el acto correspondiente. Una planeación responsable debería publicar el historial de disponibilidad, la matriz entre norma y competencias, la capacidad real de certificación y un cronograma transitorio viable; también probar el módulo de reportes con usuarios y armonizar SARLAFT y PTEE sin borrar sus diferencias. [12][13][14][15][16][18]

Cumplir las recomendaciones del GAFI y los compromisos internacionales es valioso; la evaluación mutua examina la efectividad del país, no sustituye la eficacia del sistema en cada empresa. El propósito de la regulación no puede agotarse en mostrar una buena imagen ante evaluadores internacionales. Si la regla cambia repetidamente, la plataforma falla al recibir evidencia o una competencia se exige sin demostrar la adecuación del esquema, el costo se traslada a quienes deben prevenir riesgos. El compliance exige planeación estratégica, diálogo técnico y capacidad real de ejecución: se mide por decisiones y controles que funcionan, no por el número de siglas, certificados o formularios expedidos. [8][12][13][14][15][16]

La enseñanza también necesita dejar atrás las islas

Formar profesionales únicamente en cada sigla puede enseñar a llenar formatos sin comprender el sistema. Un currículo sólido debe comenzar por gobierno corporativo, ética, obligaciones de cumplimiento, diseño de controles, debida diligencia, análisis financiero, investigación, reporte y auditoría de efectividad. Después se estudia cómo cada regulador concreta sujetos, umbrales, autoridades, canales y plazos. Esa secuencia permite transferir competencias entre sectores sin confundirlos.

La misma lógica sirve al control interno: una sola taxonomía de contrapartes y eventos, responsables inequívocos, criterios de riesgo aprobados, evidencia trazable y tableros que muestran resultados, excepciones y acciones correctivas. La auditoría no debe contar manuales como sustituto de eficacia; debe comprobar si las alertas se revisaron, si los permisos se escalaron, si una denuncia recibió protección y si un control disminuyó la exposición que prometía tratar.

Un programa, obligaciones visibles

Compliance sin apellidos no es una consigna contra la regulación especializada. Es una invitación a construir un programa de integridad capaz de entender a la organización como un todo y, precisamente por ello, cumplir mejor cada deber particular. La norma jurídica define obligaciones y consecuencias; los marcos técnicos ayudan a diseñar procesos verificables; la dirección fija límites y recursos; las personas ejercen criterio; la tecnología conecta evidencias. Si esa arquitectura logra detectar antes, decidir mejor y demostrar por qué decidió, habrá dejado de administrar siglas para gestionar integridad.