La Circular Externa 100-000020 del 2 de julio de 2026 de la Superintendencia de Sociedades introduce cambios SAGRILAFT estructurales en el modelo de cumplimiento empresarial en Colombia. Los más relevantes son:
Integración de sistemas: el SAGRILAFT y el Programa de Transparencia y Ética Empresarial (PTEE) se integran en un sistema de gestión de riesgos más amplio.
Nuevos umbrales: se incorporan las Unidades de Valor Básico (UVB) para determinar las obligaciones aplicables y calcular sanciones.
Mayores exigencias para el oficial de cumplimiento: se refuerzan los requisitos de formación, experiencia y residencia, y se establece la designación de un suplente.
Revisión de los controles internos: las empresas deben evaluar sus políticas, matrices de riesgo, procedimientos y mecanismos de seguimiento.
Plazo de adaptación: las empresas que ya estaban obligadas bajo el régimen anterior deben revisar el periodo de transición, cuyo plazo general se extiende hasta el 31 de mayo de 2027.
La prioridad no es cambiar documentos por cumplir un requisito formal, sino verificar cómo estas modificaciones afectan la estructura de prevención y gestión de riesgos de cada organización.
El cambio principal es la adopción de una nueva Circular Básica Jurídica mediante la Circular Externa 100-000020 de 2026. Esta reorganiza el marco de cumplimiento y reúne en un mismo sistema la gestión de riesgos relacionados con el lavado de activos, la financiación del terrorismo y de la proliferación, así como la corrupción y el soborno transnacional.
Anteriormente, las empresas gestionaban el SAGRILAFT y el PTEE bajo capítulos separados de la Circular Básica Jurídica. Aunque ambos programas comparten objetivos de prevención, podían implicar procesos, documentos y controles que se administraban por separado.
Con el nuevo marco, la gestión se orienta hacia una visión integral de los riesgos. Esto exige revisar no solo los manuales, sino también la forma en que se identifican las amenazas, se evalúan las contrapartes y se toman decisiones de control.
Importante: la denominación SAGRILAFT sigue utilizándose habitualmente para referirse al componente de prevención del lavado de activos, pero el marco regulatorio de 2026 contempla un sistema integral de mayor alcance.
5 cambios SAGRILAFT que las empresas deben revisar
1. Integración del SAGRILAFT y el PTEE
La nueva regulación integra ambos programas en un sistema que contempla los riesgos de lavado de activos, financiación del terrorismo y de la proliferación, corrupción local y soborno transnacional.
¿Qué implica para las empresas?
Es necesario revisar cómo se articulan las políticas, los procedimientos, las matrices de riesgo y los mecanismos de denuncia. El objetivo es evitar que cada riesgo se gestione de forma aislada y lograr una visión más completa de las amenazas que pueden afectar a la organización.
La integración no significa que los riesgos sean iguales ni que todos deban controlarse de la misma manera. Cada uno requiere medidas acordes con su naturaleza y nivel de exposición.
2. Nuevos criterios para determinar quién está obligado
Uno de los cambios con mayor impacto práctico es la incorporación de las Unidades de Valor Básico (UVB) como unidad de referencia para establecer los umbrales de obligación y la tasación de sanciones.
Esto obliga a las empresas a revisar si continúan dentro del grupo de sujetos obligados bajo los criterios actualizados.
¿Qué debe hacer una empresa?
- Revisar sus ingresos y activos totales con corte al 31 de diciembre del año anterior.
- Revisar sus ingresos y activos totales con corte al 31 de diciembre del año anterior.
- Verificar su actividad económica y si pertenece a un sector con requisitos específicos.
- Contrastar sus cifras con los umbrales aplicables en UVB.
- Confirmar si debe implementar el sistema integral o si le corresponde otro régimen, como el de medidas mínimas, cuando aplique.
Previene riesgos de lavado, fraude y sanciones regulatorias.
No es recomendable asumir que la obligación permanece igual solo porque la empresa ya cumplía bajo el régimen anterior. La evaluación debe realizarse con los criterios vigentes y teniendo en cuenta las particularidades de cada sector.
3. Requisitos más exigentes para el oficial de cumplimiento
La regulación fortalece las condiciones aplicables a quienes lideran la gestión del sistema. Entre los aspectos que deben revisarse están la formación, la experiencia profesional, la residencia en Colombia y la designación de un oficial suplente.
El oficial de cumplimiento tiene un papel central en la implementación, el seguimiento y la mejora del sistema. Por eso, su perfil debe corresponder a las responsabilidades que asume y contar con condiciones que favorezcan su independencia.
¿Qué conviene revisar?
- Que el responsable cumpla los requisitos establecidos en la nueva regulación.
- Que exista un suplente que también reúna las condiciones exigidas.
- Que las funciones, responsabilidades y líneas de reporte estén claramente definidas.
- Que el oficial de cumplimiento tenga acceso a la alta dirección y pueda actuar con autonomía.
- Que la formación y los conocimientos se mantengan actualizados.
La designación formal no es suficiente: el responsable debe contar con las condiciones necesarias para ejercer sus funciones de manera efectiva.
4. Revisión de matrices, políticas y procedimientos
La actualización normativa exige revisar los instrumentos con los que la empresa identifica, mide, controla y monitorea sus riesgos.
Una matriz que solo enumera riesgos, sin relacionarlos con las operaciones reales de la organización, difícilmente permitirá anticipar situaciones que requieran atención.
Por eso, la revisión debe considerar las características de la empresa, sus contrapartes, los productos y servicios que ofrece, los canales que utiliza y las jurisdicciones en las que opera.
Entre los elementos que conviene evaluar están:
- La política y el manual del sistema integral.
- La metodología para identificar y evaluar riesgos.
- Los procedimientos de debida diligencia de clientes, proveedores, socios y otras contrapartes.
- Los controles reforzados para personas expuestas políticamente (PEP), beneficiarios finales y contrapartes de mayor riesgo.
- Los mecanismos para detectar y reportar operaciones sospechosas.
- Los canales de denuncia, la capacitación y las actividades de seguimiento.
La prioridad es comprobar que los controles respondan a los riesgos actuales del negocio y que exista evidencia de su aplicación.
5. Nuevas responsabilidades y necesidad de seguimiento
El nuevo marco también refuerza la importancia de la participación de los administradores en la implementación y el funcionamiento de los sistemas de cumplimiento.
Esto hace necesario revisar cómo se toman las decisiones, quién supervisa los controles y qué información recibe la alta dirección para conocer la exposición de la empresa.
El cumplimiento no debería depender exclusivamente del oficial de cumplimiento. Requiere responsabilidades claras, colaboración entre áreas y mecanismos para identificar desviaciones y corregirlas oportunamente.
Además, las empresas deben mantener presentes sus obligaciones de reporte ante la Superintendencia de Sociedades y los demás deberes que les resulten aplicables.
¿Hasta cuándo tienen plazo las empresas?
Para las empresas obligadas bajo el régimen anterior, el plazo general de transición para ajustar sus sistemas al nuevo Capítulo IX es el 31 de mayo de 2027, conforme a la guía regulatoria consultada.
Este periodo debe aprovecharse para realizar un diagnóstico de brechas, priorizar ajustes y comprobar que el sistema funcione de acuerdo con las nuevas disposiciones.
La transición no significa que las empresas puedan suspender sus controles actuales. Mientras realizan los ajustes, deben continuar aplicando las políticas y los procedimientos que les correspondan.
También es importante distinguir entre las empresas que ya estaban obligadas y aquellas que adquieren esa condición bajo los nuevos criterios, pues los plazos de implementación pueden variar según su situación.
Cómo preparar tu empresa para los cambios SAGRILAFT
La adaptación puede organizarse en siete pasos:
1. Confirma si tu empresa está obligada. Revisa los umbrales en UVB, la actividad económica, los activos, los ingresos y las condiciones sectoriales aplicables.
2. Realiza un diagnóstico normativo. Compara el sistema actual con los requisitos del nuevo Capítulo IX e identifica los aspectos que requieren ajustes.
3. Evalúa los responsables. Verifica el perfil del oficial de cumplimiento, la designación del suplente y las condiciones para ejercer sus funciones.
4. Integra la gestión de riesgos. Revisa cómo se relacionan los riesgos de LA/FT/FP con los de corrupción y soborno transnacional, según las obligaciones aplicables.
5. Actualiza la documentación y los controles. Ajusta las políticas, los manuales, las matrices y los procedimientos necesarios.
6. Fortalece la debida diligencia y la capacitación. Comprueba que las áreas involucradas conozcan sus responsabilidades y apliquen los controles correspondientes.
7. Documenta el seguimiento. Define responsables, fechas, evidencias e indicadores para verificar el avance y la efectividad de las medidas adoptadas.
La revisión debe quedar respaldada con evidencias que permitan demostrar qué se evaluó, qué decisiones se tomaron y qué acciones siguen pendientes.
El cumplimiento debe responder a los riesgos reales del negocio
Los cambios SAGRILAFT en 2026 representan una oportunidad para revisar la manera en que las empresas administran sus riesgos y articulan sus controles.
Una gestión efectiva requiere más que documentos actualizados: necesita información confiable sobre las contrapartes, criterios claros para tomar decisiones, responsabilidades definidas y seguimiento continuo.
La mejor forma de prepararse es anticipar los ajustes, asignar responsables y comprobar que los procedimientos se apliquen en la operación diaria. Así, el cumplimiento deja de ser una actividad aislada y se convierte en parte de la gestión empresarial.
Antes de implementar cambios, es recomendable consultar el texto oficial de la Circular Externa 100-000020 de 2026 y validar las disposiciones específicas que aplican a cada empresa.
Preguntas frecuentes sobre los cambios SAGRILAFT en 2026
¿Qué norma modificó el SAGRILAFT en Colombia en 2026?
La Circular Externa 100-000020 del 2 de julio de 2026, expedida por la Superintendencia de Sociedades, adoptó una nueva Circular Básica Jurídica e incorporó el sistema integral de gestión de riesgos en el Capítulo IX.
¿El SAGRILAFT y el PTEE siguen siendo programas independientes?
La nueva regulación integra su gestión en un sistema más amplio que contempla los riesgos de LA/FT/FP y de corrupción y soborno transnacional. Las empresas deben revisar cómo adaptar sus políticas, procedimientos y controles al nuevo marco.
¿Qué cambia en los requisitos del oficial de cumplimiento?
Se refuerzan las exigencias relacionadas con formación, experiencia y residencia en Colombia, y se establece la designación de un suplente. La empresa debe verificar los requisitos específicos del nuevo marco antes de confirmar la idoneidad de sus responsables.
¿Cómo sé si mi empresa está obligada a implementar el sistema integral?
Debes revisar los criterios de la nueva Circular Básica Jurídica, incluidos los umbrales en UVB, los ingresos y activos de la empresa y las condiciones particulares de su actividad económica o sector. No basta con consultar los criterios del régimen anterior.
¿Cuál es el plazo para adaptar el sistema al nuevo Capítulo IX?
El plazo general de transición para las empresas que ya estaban obligadas bajo el régimen anterior es el 31 de mayo de 2027. Las empresas que adquieren la condición de obligadas deben revisar el plazo que corresponda a su situación.
¿Qué pasa si la empresa no actualiza su sistema?
El incumplimiento de las obligaciones aplicables puede dar lugar a multas y otras medidas administrativas por parte de la Superintendencia de Sociedades. La responsabilidad concreta depende de las circunstancias y de las disposiciones incumplidas.
¿Qué documentos deben revisarse frente a la nueva regulación?
Entre los principales están la política y el manual del sistema, las matrices de riesgo, los procedimientos de debida diligencia, los mecanismos de reporte y denuncia, los planes de capacitación y las evidencias de seguimiento. La revisión debe ajustarse a las obligaciones específicas de la empresa.
¿Dónde consultar la regulación oficial del SAGRILAFT?
En el portal de la Superintendencia de Sociedades, sección SAGRILAFT y Régimen de Medidas Mínimas, donde se publica la Circular Externa 100-000020 de 2026 y la información normativa relacionada.
