En Colombia, el compliance no es uno: el SAGRILAFT obliga a las empresas vigiladas por la Supersociedades con ingresos o activos de 40.000 SMLMV o más; el PTEE, a las que superan 30.000 SMMLV y tienen negocios internacionales o contratos con el Estado; y la protección de datos, a todas. Lo primero es saber cuál le aplica y cuál no.
Compliance o programa de cumplimiento es la forma ordenada en que una empresa previene, detecta y responde al incumplimiento de las normas que le aplican. Es el frente de riesgo legal dentro de los sistemas de gestión, y se apoya en el mismo método de gestión del riesgo que describe la ISO 31000.
El error más caro es generalizar. No toda empresa tiene que tener SAGRILAFT ni PTEE: la Superintendencia de Sociedades fija umbrales y sectores, y una pyme que no los alcanza no está obligada, salvo que la Superintendencia se lo ordene expresamente. Al revés también pasa: empresas medianas que superan los 40.000 SMLMV sin haberlo calculado y no saben que debían tener el sistema desde el 31 de mayo siguiente.
Umbrales tomados de los capítulos X y XIII de la Circular Básica Jurídica de la Superintendencia de Sociedades y de la Ley 1581 de 2012. Se calculan con corte al 31 de diciembre del año anterior.
| Sistema | Obligadas | No obligadas (salvo orden de la Superintendencia) | Fuente |
|---|---|---|---|
| SAGRILAFT (lavado de activos y financiación del terrorismo) | Vigiladas o controladas por Supersociedades con ingresos totales o activos ≥ 40.000 SMLMV; sectores del num. 4.2 con ingresos ≥ 30.000 SMLMV y requisitos propios | Empresas por debajo de los umbrales y fuera de los sectores; las vigiladas por otra entidad con régimen especial por su actividad | Cap. X, nums. 4.1 y 4.2 (Circular 100-000016 de 2020) |
| Régimen de Medidas Mínimas | Ciertas APNFD (inmobiliarias, metales y piedras preciosas, servicios jurídicos y contables) con ingresos ≥ 3.000 SMLMV o activos ≥ 5.000 SMLMV | Las mismas actividades por debajo de esos umbrales | Cap. X, num. 4.3 |
| PTEE (transparencia y ética empresarial) | Vigiladas con transacciones internacionales ≥ 100 SMMLV e ingresos o activos ≥ 30.000 SMMLV; empresas con contratos estatales ≥ 500 SMMLV e ingresos o activos ≥ 30.000 SMMLV; sectores del num. 4.3 con umbrales menores | Empresas sin negocios internacionales ni contratos estatales por encima de los umbrales | Cap. XIII, nums. 4.1 a 4.3 (Circular 100-000011 de 2021) |
| Protección de datos personales | Todo responsable del tratamiento | Nadie que trate datos personales; el RNBD sí tiene umbral (activos > 100.000 UVT) | Ley 1581 de 2012; Dec. 1074 de 2015 |
El SAGRILAFT es el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiación de la Proliferación de Armas de Destrucción Masiva. Lo regula el Capítulo X de la Circular Básica Jurídica, en el texto de la Circular Externa 100-000016 de 2020 con sus modificaciones. Debe tener, entre otros elementos:
El plazo: la empresa que adquiere la calidad de obligada con corte al 31 de diciembre debe poner en marcha el SAGRILAFT a más tardar el 31 de mayo del año siguiente. Y si deja de cumplir los umbrales, sigue obligada tres años más (numeral 7.1).
El Programa de Transparencia y Ética Empresarial está en el Capítulo XIII de la Circular Básica Jurídica (Circular Externa 100-000011 de 2021). Su base legal se reforzó con el artículo 9 de la Ley 2195 de 2022, que adicionó el artículo 34-7 a la Ley 1474 de 2011: las personas jurídicas sujetas a inspección, vigilancia o control «adoptaran programas de transparencia y ética empresarial que incluyan mecanismos y normas internas de auditoria».
El PTEE se diseña a partir de una evaluación de los riesgos de corrupción y soborno transnacional de la empresa, con políticas de cumplimiento aprobadas por la junta directiva o el máximo órgano social, un oficial de cumplimiento, procedimientos de debida diligencia, canales de denuncia y divulgación. Las empresas que cumplen los criterios al 31 de diciembre tienen hasta el 31 de mayo del año siguiente para adoptarlo, y deben informar a la Superintendencia su calidad de obligadas dentro de los quince días hábiles siguientes (numeral 9).
Para las no obligadas, el numeral 8 del mismo capítulo «recomienda la adopción voluntaria» del PTEE como buena práctica empresarial y de gobierno corporativo. Es una recomendación, no una obligación.
El gobierno corporativo es la forma en que se toman las decisiones y se controla a quienes las toman. Los capítulos X y XIII lo hacen explícito: la política y la designación del oficial de cumplimiento son de la junta directiva o del máximo órgano social, no de un área. Las señales de que el programa no tiene respaldo:
A diferencia del SAGRILAFT y del PTEE, la protección de datos personales no tiene umbral de obligatoriedad: toda empresa que trata datos personales es responsable del tratamiento y debe cumplir la Ley 1581 de 2012. Lo que sí tiene umbral es la inscripción en el Registro Nacional de Bases de Datos. El detalle está en habeas data en la empresa.
Tagline calcula, con los estados financieros y la actividad registrada, a qué sistemas está obligada la empresa y a cuáles no; y si lo está, diseña la matriz de riesgos, las políticas y los procedimientos con la junta. No somos oficiales de cumplimiento externos, no hacemos reportes a la UIAF ni emitimos conceptos jurídicos: esas funciones las ejerce la empresa o su asesor legal.
Es el conjunto de políticas, procedimientos y controles con los que una empresa previene, detecta y responde al incumplimiento de normas que le aplican: lavado de activos, corrupción y soborno, protección de datos personales, y los demás riesgos legales de su actividad. En Colombia varias de esas piezas son obligatorias según el tamaño y el sector de la empresa; otras son voluntarias.
Las vigiladas o controladas por la Superintendencia de Sociedades que a 31 de diciembre del año anterior tuvieron ingresos totales o activos iguales o superiores a 40.000 SMLMV (numeral 4.1 del Capítulo X de la Circular Básica Jurídica). También, con ingresos de 30.000 SMLMV o más, las de sectores como agentes inmobiliarios, comercialización de metales y piedras preciosas, servicios jurídicos y contables, y construcción, con los requisitos de cada sector (numeral 4.2), y otras actividades con régimen especial.
Según el Capítulo XIII de la Circular Básica Jurídica: las sociedades vigiladas que en el año anterior hicieron negocios o transacciones internacionales por 100 SMMLV o más y tuvieron ingresos o activos de 30.000 SMMLV o más; las empresas que contrataron con entidades estatales por 500 SMMLV o más y tuvieron ingresos o activos de 30.000 SMMLV o más; y, con umbrales menores, las de ciertos sectores que contratan con el Estado (farmacéutico, infraestructura y construcción, manufacturero, minero-energético y TIC, entre otros).
Si no supera los umbrales ni pertenece a los sectores especiales, no está obligada al SAGRILAFT ni al PTEE, aunque la Superintendencia de Sociedades puede ordenar a cualquier empresa supervisada que los implemente. Lo que sí le aplica a toda empresa es la protección de datos personales de la Ley 1581 de 2012. La Supersociedades recomienda la adopción voluntaria del PTEE como buena práctica.
Es la persona designada por la junta directiva —o por el máximo órgano social si no hay junta— para verificar el cumplimiento del SAGRILAFT o del PTEE. En el SAGRILAFT debe tener título profesional, al menos seis meses de experiencia en cargos de gestión de riesgos LA/FT y formación acreditada en la materia, y la empresa debe informar su designación a la Superintendencia dentro de los quince días hábiles siguientes.
Es el conjunto de reglas con que una empresa organiza cómo se toman las decisiones y se controla a quienes las toman: asamblea, junta directiva, representantes legales, revisoría, conflictos de interés y relación con los accionistas. Un programa de cumplimiento funciona solo si el gobierno corporativo le da autoridad: los capítulos X y XIII ponen en la junta directiva o el máximo órgano social la aprobación de la política y la designación del oficial de cumplimiento.
Lo calculamos con sus estados financieros y su actividad, y le decimos qué aplica y qué no.
Conversemos su casoO escríbanos directo por WhatsApp +57 312 831 2502