Las organizaciones que deben implementar o actualizar un Sistema SAGR suelen enfrentar una misma dificultad: traducir los requerimientos regulatorios en decisiones prácticas dentro de la operación del negocio.
Con la entrada en vigencia de la nueva Circular Básica Jurídica de la Superintendencia de Sociedades, muchas compañías están evaluando cómo adaptar sus procesos de gestión de riesgos LA/FT/FP y C/ST a un modelo integrado, basado en riesgo y ajustado a su realidad empresarial.
En este artículo, Marcela Arias, Gerente de Consultoría de Lemaitre Consultores, comparte una guía práctica para comprender por dónde comenzar, cómo identificar brechas y qué elementos permiten construir un Sistema SAGR que vaya más allá del cumplimiento documental y aporte valor a la gestión empresarial.
De la obligación a la operación
Una serie sobre cómo construir un Sistema de Autocontrol que realmente funcione.
Por Marcela Arias – Gerente de Consultoría / Lemaitre Consultores.
Hay al menos dos momentos en los que una empresa suele hacerse la misma pregunta: ¿por dónde empezamos?
El primero ocurre cuando descubre que debe implementar por primera vez un sistema para gestionar los riesgos de lavado de activos, financiación del terrorismo, financiación de la proliferación de armas de destrucción masiva, corrupción local y soborno transnacional.
El segundo parece diferente: la empresa ya tiene procedimientos, matrices, políticas, un Oficial de Cumplimiento y varios años de experiencia. Pero aparece un cambio regulatorio y debe preguntarse qué conserva, qué modifica y qué necesita construir nuevamente.
Los puntos de partida son distintos. El error puede ser el mismo: comenzar por los documentos.
Actualizar el manual. Cambiar los formatos. Modificar la matriz. Preparar una política nueva.
Todo eso probablemente será necesario. Pero no debería ser el comienzo.
En Colombia, este tema cobra especial relevancia con la nueva Circular Básica Jurídica expedida por la Superintendencia de Sociedades en julio de 2026. Su Capítulo IX reúne en un solo sistema la gestión de los riesgos de LA/FT/FP y C/ST y parte de una idea sencilla: el modelo debe construirse a la medida de cada empresa. La regulación busca evitar el llamado paper compliance, es decir, sistemas que se ven completos en el papel, pero que no reflejan cómo funciona realmente la organización ni se aplican en el día a día.
Entonces, si el objetivo es implementar —o transformar— un sistema que realmente funcione, conviene cambiar la pregunta.
En lugar de comenzar con “¿qué documentos tenemos que elaborar?”, empezar por:
“¿Qué necesita saber, prevenir, detectar y decidir nuestra empresa frente a estos riesgos?”
A partir de ahí, la implementación empieza a tener sentido.
Capítulo 1. ¿Por dónde empezar? Primero entienda qué tiene y qué le falta
No todas las empresas necesitan hacer el mismo recorrido.
Una organización que adquiere por primera vez la calidad de sujeto obligado deberá construir su sistema. Otra que venía aplicando SAGRILAFT y PTEE deberá hacer un ejercicio diferente: revisar lo existente frente al nuevo marco, identificar brechas y definir una ruta de transición.
Para las empresas previamente obligadas, la nueva Circular estableció un período para ajustar el sistema hasta el 31 de mayo de 2027 y dispuso que, durante ese término, los sistemas y programas actualmente implementados continúan siendo válidos para efectos de cumplimiento normativo. Para quienes adquieran por primera vez la condición de sujetos obligados, el plazo general de puesta en marcha será hasta el 31 de mayo del año siguiente a aquel en que adquirieron esa calidad.
Por eso, antes de redactar nada, hay que hacer un diagnóstico.
Si la empresa empieza desde cero, el diagnóstico busca entender qué debe construir.
Si ya tiene un sistema, busca establecer qué funciona, qué debe ajustarse y qué nuevos requerimientos todavía no están cubiertos.
Ese inventario evita dos extremos frecuentes: comenzar sin una ruta clara o reemplazar procesos útiles simplemente porque cambió la norma.
Capítulo 2. El riesgo no empieza en la matriz: empieza en cómo funciona la empresa
Imagine una compañía que vende el 90 % de sus productos en Colombia, trabaja con veinte proveedores recurrentes, realiza pocas operaciones en efectivo y no tiene intermediarios.
Ahora piense en otra que exporta, contrata agentes comerciales, participa en procesos con entidades públicas, compra insumos en varias jurisdicciones y utiliza distribuidores en distintos países.
Podrían tener ingresos similares. Incluso podrían pertenecer al mismo sector.
Pero sus riesgos no son los mismos.
Por eso, una implementación seria comienza entendiendo cómo funciona el negocio.
¿Quiénes son sus clientes? ¿Quiénes proveen bienes y servicios? ¿Existen intermediarios? ¿En qué países opera? ¿Cómo recibe y realiza pagos? ¿Tiene relación con servidores públicos? ¿Participa en licitaciones? ¿Utiliza efectivo? ¿Hay operaciones internacionales? ¿Qué terceros pueden actuar en nombre de la compañía? ¿Qué información conserva de sus contrapartes?
La nueva regulación parte precisamente de una evaluación de las condiciones particulares de cada empresa que debe implementar el sistema y exige considerar su contexto estratégico, organizacional, sectorial y regulatorio.
Este paso parece preliminar, pero en realidad condiciona todo lo demás.
Sin entender el negocio, la matriz termina describiendo riesgos genéricos y los controles comienzan a parecerse demasiado a los de cualquier otra empresa.
Capítulo 3. ¿Dónde puede ocurrir realmente el riesgo?
Una vez entendida la operación, podemos empezar a formular preguntas más concretas.
¿Podríamos iniciar una relación comercial con una empresa sin saber realmente quiénes están detrás de ella?
¿Podrían recibirse recursos provenientes de una persona diferente al cliente?
¿Puede un intermediario realizar un pago indebido para favorecer una negociación?
¿Existen proveedores que interactúan con funcionarios públicos en representación de la compañía?
¿Una operación podría ser utilizada para introducir o movilizar recursos de origen ilícito?
¿La empresa podría estar operando en una jurisdicción con una exposición significativamente mayor?
Eso es identificar riesgo.
No se trata de copiar frases como “posibilidad de ser utilizada para actividades de lavado de activos”. El riesgo debe conectarse con situaciones que puedan ocurrir dentro de la operación concreta de la organización.
La regulación actual exige identificar, clasificar, segmentar e individualizar los factores y riesgos relevantes, y posteriormente evaluar su probabilidad e impacto.
La matriz debería empezar a contar una historia: qué puede ocurrir, por qué puede ocurrir y dónde podría ocurrir.
Capítulo 4. No todos los riesgos se controlan igual
No todos los riesgos requieren la misma intensidad de respuesta.
Una contraparte ubicada en una jurisdicción de mayor riesgo, con una estructura corporativa compleja y participación de una PEP, no debería necesariamente recibir el mismo tratamiento que un proveedor local de bajo riesgo y comportamiento estable.
Aquí aparece uno de los principios más útiles de cualquier sistema basado en riesgos: el esfuerzo de control debe guardar relación con la exposición.
La metodología puede ser cualitativa, cuantitativa o combinar ambas. Lo verdaderamente importante es que permita diferenciar niveles de riesgo y explicar por qué una situación recibe un tratamiento diferente de otra.
La Circular propone una lógica sencilla: primero se mide qué tan expuesta está la empresa antes de aplicar controles y luego se analiza cuánto disminuye esa exposición cuando los controles entran en acción. También establece una lógica muy concreta: a mayor riesgo, mayor control.
Eso transforma la matriz de un requisito documental en una herramienta para priorizar recursos.
Capítulo 5. Un control que nadie puede ejecutar no es un control
Supongamos que la matriz identifica un riesgo importante relacionado con pagos realizados por terceros.
El control no puede quedarse en una frase como:
“Validar los pagos de clientes.”
Faltan demasiadas respuestas.
¿Quién valida? ¿En qué momento? ¿Contra qué información? ¿Qué sucede si el pagador es diferente? ¿Qué soportes se solicitan? ¿Quién puede aprobar una excepción? ¿Dónde queda registrada la decisión?
Un control funciona cuando puede ejecutarse y probarse.
Por eso debería tener, como mínimo, responsable, momento de aplicación, criterio, evidencia y tratamiento cuando se detecta una desviación.
Este ejercicio también permite descubrir algo frecuente: controles que aparecen en la matriz pero que ningún proceso reconoce como propios.
Ahí existe una brecha importante entre tener un control diseñado y tener un control implementado.
Capítulo 6. Debida diligencia: conocer no es pedir documentos
Uno de los errores más comunes es convertir la debida diligencia en una colección de documentos.
Cámara de Comercio. RUT. Cédula. Certificación bancaria. Formulario.
Todo eso puede formar parte del proceso. Pero reunir documentos no equivale necesariamente a conocer a una contraparte.
La pregunta debería ser otra:
¿Tenemos información suficiente para entender con quién estamos haciendo negocios y si esa relación es coherente con nuestro nivel de riesgo aceptable?
La debida diligencia incluye identificación y verificación de la contraparte, conocimiento del beneficiario final, análisis de antecedentes y comprensión de la relación comercial. La regulación actual incorpora además el análisis de negocios, transacciones, remuneraciones, jurisdicciones y pagos, aplicando un enfoque basado en riesgo.
Y eso conduce a una consecuencia práctica: no todos los terceros tienen que recibir exactamente el mismo nivel de análisis.
Habrá situaciones que requieran debida diligencia intensificada, por ejemplo ante perfiles de mayor riesgo, determinadas PEP o contrapartes vinculadas con países considerados de mayor riesgo. En esos eventos pueden requerirse medidas adicionales, como aprobación de la alta gerencia, análisis del origen de los recursos y monitoreo intensificado.
La sofisticación del proceso no debería medirse por la cantidad de documentos solicitados, sino por la calidad de las preguntas que permite responder.
Capítulo 7. Conocer hoy no basta: el tercero puede cambiar mañana
Una empresa aprueba un cliente hoy.
Seis meses después, ese cliente cambia de accionistas.
Al año siguiente incrementa significativamente sus operaciones.
Después solicita que un tercero pague algunas facturas.
¿Seguimos evaluando a la misma contraparte que conocimos al principio?
Probablemente no.
Por eso, conocer a un tercero no puede ser únicamente un evento de vinculación.
La nueva regulación exige monitoreo y actualización de la debida diligencia con periodicidades asociadas al riesgo y prevé actualizaciones más oportunas cuando aparecen cambios, eventos o señales de alerta que modifican el perfil de una contraparte, beneficiario final u operación.
Aquí empieza una parte fundamental del sistema: observar comportamiento.
Capítulo 8. Una alerta no es una conclusión: es una situación que exige análisis
Volvamos ahora a una escena cotidiana.
Es viernes. Comercial está esperando el pago de una factura importante. Finanzas informa que el dinero llegó desde una empresa diferente al cliente.
La primera reacción puede ser:
“¿Está en listas?”
Pero la consulta de listas apenas responde una pequeña parte del problema.
Hay otras preguntas.
¿Quién es el tercero? ¿Qué relación tiene con el cliente? ¿Por qué realizará el pago? ¿La operación tiene justificación económica? ¿La política permite recibir pagos de terceros? ¿Se requiere una debida diligencia adicional? ¿Quién debe aprobar la operación?
Eso es exactamente lo que un sistema debería ayudar a resolver.
Una señal de alerta no significa automáticamente que exista una operación ilícita. Significa que apareció una situación que merece análisis.
Por eso la empresa necesita definir cómo detectar, analizar, escalar, documentar y cerrar una alerta.
En materia de LA/FT/FP, cuando del análisis se determine que una operación tiene la condición de sospechosa, deben aplicarse las obligaciones de reporte correspondientes ante la UIAF. La regulación actual exige además herramientas que permitan identificar operaciones inusuales y sospechosas.
Para C/ST, la lógica de detección también debe conectarse con los mecanismos internos de reporte, investigación, escalamiento y, cuando corresponda, con los canales externos establecidos por las autoridades.
Capítulo 9. Compliance no puede hacerlo solo
Si cada situación termina con la frase:
“Preguntémosle al Oficial de Cumplimiento”, probablemente el sistema todavía no está completamente incorporado en la operación.
Cumplimiento tiene un papel central, pero Comercial conoce al cliente. Compras entiende al proveedor. Finanzas observa los pagos. Talento Humano conoce a los empleados. Jurídica analiza contratos. La administración toma decisiones y asigna recursos.
La nueva regulación distribuye responsabilidades entre junta directiva o máximo órgano social, representante legal, Oficial de Cumplimiento y demás instancias, y exige evidencia de decisiones, seguimiento y funcionamiento del sistema.
La implementación ocurre cuando cada proceso entiende qué debe observar, qué puede decidir y cuándo debe escalar.
Capítulo 10. Capacitar no es explicar conceptos: es enseñar a decidir
Una capacitación puede explicar durante una hora qué significa lavado de activos.
Y aun así un ejecutivo de ventas puede terminar sin saber qué hacer cuando un cliente se niega a informar su beneficiario final.
El aprendizaje efectivo debería acercarse a las situaciones que cada área puede enfrentar.
- A Compras: proveedores, intermediarios, regalos, conflictos y excepciones.
- A Comercial: clientes, beneficiarios finales, pagos de terceros y alertas.
- A Finanzas: comportamiento transaccional y movimientos atípicos.
- A la administración: apetito de riesgo, excepciones, recursos y decisiones críticas.
Capítulo 11. Un sistema nunca se termina: se monitorea y mejora
Implementar no significa llegar a una fecha y declarar el proyecto terminado.
Los clientes cambian. Los proveedores cambian. Aparecen nuevos productos, mercados y jurisdicciones. Cambia la regulación. Cambia la tecnología. Cambian las formas utilizadas para ocultar operaciones.
La regulación reconoce expresamente esa naturaleza dinámica y exige monitorear periódicamente la evolución de los riesgos y la efectividad de los controles.
Por eso, la última etapa nos devuelve al comienzo.
- Revisar el contexto.
- Actualizar riesgos.
- Reevaluar controles.
- Analizar alertas.
- Revisar terceros.
- Capacitar.
- Medir.
- Mejorar.
Y aquí aparece una diferencia importante entre tener un sistema y gestionar un sistema.
La primera puede demostrarse con documentos.
La segunda se demuestra en las decisiones.
Volvamos, entonces, a aquel viernes y al pago que quería realizar un tercero.
En una empresa con un sistema puramente documental, la situación genera correos, dudas, búsquedas improvisadas y presión para aprobar rápidamente la operación.
En una organización con un sistema implementado, probablemente tampoco exista una respuesta automática. Pero sí existe algo mucho más valioso: información, criterios, responsables, niveles de aprobación, controles y evidencia para tomar una decisión razonable.
Ese es el objetivo.
La madurez de un sistema de Compliance no debería medirse por la cantidad de documentos que produce, sino por la calidad de las decisiones que permite tomar.
Sobre la autora
Marcela Arias es Gerente de Consultoría en Lemaitre Consultores, firma especializada en Compliance, gestión de riesgos, gobierno e investigaciones corporativos. A lo largo de su trayectoria ha acompañado a organizaciones de distintos sectores en procesos de diagnóstico, implementación y fortalecimiento de sistemas de gestión de riesgos asociados a LA/FT/FP, corrupción y soborno transnacional.
¿Su organización está preparada para implementar o adaptar su Sistema SAGR?
La implementación de un Sistema SAGR no consiste únicamente en actualizar documentos o cumplir con una obligación regulatoria. Requiere comprender el negocio, identificar riesgos relevantes, evaluar brechas y diseñar controles proporcionales al nivel de exposición de la organización.
En Lemaitre Consultores acompañamos proyectos de diagnóstico de brechas, implementación y actualización de Sistemas SAGR, debida diligencia, tercerización de funciones de Compliance y fortalecimiento de programas de gestión de riesgos corporativos.