Nuevos retos del cumplimiento empresarial: Circular Externa 100-000020 de 2026 de la Superintendencia de Sociedades
La gestión del cumplimiento empresarial continúa evolucionando como un elemento fundamental para la protección y sostenibilidad de las organizaciones. Con la expedición de la Circular Externa 100-000020 de 2026 de la Superintendencia de Sociedades, se introducen cambios relevantes en materia de prevención y gestión de riesgos asociados al lavado de activos (LA), financiación del terrorismo (FT), financiación de la proliferación de armas de destrucción masiva (FP), corrupción local (C) y soborno transnacional (ST).
En este artículo se abordarán los principales cambios introducidos por esta nueva regulación y su impacto en el modelo de cumplimiento empresarial. La Circular plantea una evolución en la manera en que las organizaciones deben gestionar estos riesgos, fortaleciendo el enfoque basado en riesgos y promoviendo sistemas de cumplimiento ajustados a las características propias de cada compañía.
A lo largo del artículo se analizarán los principales ajustes incorporados por la nueva regulación, los sectores económicos sujetos a estas obligaciones y los códigos CIIU relacionados, las modificaciones frente a los sistemas de cumplimiento, los nuevos retos para administradores y oficiales de cumplimiento, así como las acciones que deberán implementar las empresas para fortalecer sus modelos de prevención.
1. Sujetos obligados
Respecto de los sujetos obligados, la Circular establece que deberán implementar el Sistema Integral de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST las sociedades comerciales y sucursales de sociedades extranjeras sometidas a vigilancia o control de la Superintendencia de Sociedades, siempre que no se encuentren vigiladas por otra entidad y cumplan con los criterios establecidos en la regulación, ya sea por sus niveles de ingresos o activos, o por pertenecer a determinados sectores económicos.
Para el régimen general, la obligación aplica cuando los ingresos totales o activos totales sean iguales o superiores a 4.929.017 UVB, equivalente aproximadamente a $59.690 millones para 2026. Adicionalmente, la Circular establece obligaciones específicas para empresas de determinados sectores que, por la naturaleza de sus actividades, presentan una exposición particular a estos riesgos. Entre ellos están:
- Actividades inmobiliarias — CIIU 6810 y 6820
- Comercialización de metales y piedras preciosas — CIIU 4662, 0722, 3211 y 2421
- Servicios jurídicos — CIIU 6910
- Servicios contables — CIIU 6920
- Comercio de vehículos — CIIU 4511, 4512 y G4541
- Aportes en activos virtuales — cuando sean iguales o superiores, individualmente o en conjunto, a 12.323 UVB
- Sectores de supervisión especial:
- Sociedades Administradoras de Planes de Autofinanciamiento Comercial
- Sociedades Operadoras de Libranza
- Sociedades que lleven a cabo Actividades de Mercadeo Multinivel
- Fondos ganaderos
- Sociedades que realizan actividades de factoring
Por otra parte, la Circular mantiene un Régimen de Medidas Mínimas aplicable a determinados sectores con un nivel de exposición diferente. Este régimen aplica, entre otros, a actividades como inmobiliarias, servicios jurídicos, servicios contables, comercio de vehículos, farmacéutico, construcción, manufactura y minero energético, cuando cumplan requisitos económicos inferiores: ingresos iguales o superiores a 369.676 UVB (aproximadamente $4.475 millones) o activos iguales o superiores a 616.127 UVB (aproximadamente $7.460 millones).
La diferencia entre estos dos regímenes radica en que el Sistema de Autocontrol y Gestión de Riesgos exige una estructura más robusta de gestión del riesgo, mientras que el Régimen de Medidas Mínimas permite controles simplificados, pero igualmente exige medidas de conocimiento de contrapartes, identificación de beneficiarios finales, capacitación y mecanismos de prevención.
2. Nuevos retos para las empresas frente al fortalecimiento de los sistemas de cumplimiento
La nueva regulación parte de una premisa fundamental: el cumplimiento empresarial no puede limitarse al denominado “paper compliance”, entendido como la existencia formal de manuales, matrices de riesgo o políticas internas, sino que debe consolidarse como un sistema activo de identificación, evaluación, control y monitoreo permanente de los riesgos a los que se encuentra expuesta cada organización.
Bajo este nuevo enfoque, la Superintendencia de Sociedades exige que los sistemas de cumplimiento respondan a la realidad específica de cada empresa, considerando factores como la actividad económica desarrollada, el sector al que pertenece, las jurisdicciones donde opera, las características de sus contrapartes, sus productos, servicios y canales de distribución. En consecuencia, uno de los principales retos para las compañías será abandonar modelos estandarizados o documentos genéricos y construir sistemas que realmente estén alineados con sus riesgos particulares y con la forma en que desarrollan sus negocios.
Este cambio representa un desafío transversal para las organizaciones, pues involucra no solo al área jurídica o de cumplimiento, sino también a las áreas financieras, comerciales, de compras, contratación y administración. Los procesos internos deberán ser revisados para garantizar que la identificación y gestión del riesgo esté presente en las decisiones estratégicas y operativas de la compañía.
En este contexto, la debida diligencia adquiere una mayor relevancia. Ya no será suficiente contar con información básica de identificación; será necesario avanzar hacia procesos que permitan verificar la identidad de las contrapartes, conocer su estructura de propiedad, identificar beneficiarios finales y comprender el propósito de la relación comercial.
Las empresas deberán fortalecer sus procesos de conocimiento de clientes, proveedores, contratistas, asociados y demás terceros con quienes mantengan relaciones comerciales o jurídicas, especialmente cuando existan factores que puedan incrementar la exposición al riesgo.
De igual manera, se fortalece la independencia y relevancia del Oficial de Cumplimiento dentro de la estructura corporativa. La nueva regulación exige que los sujetos obligados cuenten con un Oficial de Cumplimiento principal y un suplente, quienes deberán contar con las condiciones de idoneidad, autonomía, acceso suficiente a la información y capacidades necesarias para desarrollar sus funciones de manera efectiva.
Este cambio representa un reto para las organizaciones, pues implica garantizar una estructura adecuada de cumplimiento, con responsables claramente definidos y con la capacidad real de supervisar, implementar y fortalecer los controles establecidos. De esta manera, la gestión del riesgo deja de ser una responsabilidad exclusiva de un área específica y pasa a convertirse en un componente esencial del gobierno corporativo, donde la alta dirección debe participar activamente en la construcción de una cultura de cumplimiento.
La Circular también establece mayores exigencias frente a las políticas internas relacionadas con transparencia y ética empresarial. Las compañías deberán revisar y fortalecer sus lineamientos frente a situaciones como:
- Entrega de regalos y beneficios a terceros.
- Gastos relacionados con alimentación, hospedaje y viajes.
- Contribuciones políticas y donaciones.
- Actividades de lobby o cabildeo.
- Prevención de riesgos asociados a la financiación de la proliferación de armas de destrucción masiva.
Otro aspecto fundamental será la capacidad de demostrar la aplicación real de los controles implementados. La trazabilidad documental adquiere una importancia mayor, pues las empresas deberán conservar evidencia suficiente que permita acreditar la ejecución de sus procesos de debida diligencia, las verificaciones realizadas, las decisiones adoptadas y los responsables involucrados.
En una eventual revisión por parte de la Superintendencia de Sociedades, no será suficiente demostrar la existencia de una política escrita; será necesario evidenciar que dicha política fue aplicada y que los riesgos identificados fueron efectivamente gestionados.
En ese sentido, la Circular Externa 100-000020 de 2026 representa un cambio en la forma en que las organizaciones deben abordar el cumplimiento empresarial. El reto principal no será únicamente implementar nuevos documentos o procedimientos, sino desarrollar una verdadera cultura de prevención, donde la gestión del riesgo haga parte de la estrategia empresarial y contribuya a proteger a las compañías frente a contingencias legales, reputacionales y operativas.
