Compliance empresarial: más allá del cumplimiento legal

El compliance dejó de ser un documento para convertirse en una defensa jurídica

Durante años, en buena parte del empresariado colombiano el cumplimiento normativo se entendió como un archivo: un código de ética firmado, un manual guardado en la intranet y un acta de junta que dejara constancia de haberlo aprobado. Esa concepción quedó desbordada. Hoy, la existencia y —sobre todo— la efectividad de un programa de cumplimiento es un elemento que las autoridades valoran al graduar una sanción, y su ausencia es un factor de exposición patrimonial directa para la sociedad y personal para sus administradores.

El punto de inflexión no fue una sola norma sino una acumulación: la Ley 1778 de 2016 trasladó a las personas jurídicas la responsabilidad por soborno transnacional; la Ley 2195 de 2022 amplió esa lógica a un catálogo mucho más extenso de delitos y elevó el techo sancionatorio hasta cifras que pueden liquidar una compañía; y la Superintendencia de Sociedades, en julio de 2026, reescribió por completo el marco de los programas de cumplimiento al fusionar el SAGRILAFT y el PTEE en un único sistema. Una empresa que hoy revise su matriz de riesgos con los criterios de 2022 está trabajando sobre un mapa desactualizado.

Este análisis recorre las obligaciones vigentes, sus umbrales y sus sanciones, y distingue explícitamente lo que sigue rigiendo de lo que fue derogado. Los bloques de valoración crítica reflejan el criterio técnico del Equipo Legal y de Cumplimiento de WYSLES Colombia. No constituyen asesoría jurídica individualizada.

Ley 1778 de 2016: el soborno transnacional y el nacimiento de la responsabilidad corporativa

La Ley 1778 del 2 de febrero de 2016 fue la primera norma colombiana que estableció, de forma autónoma, un régimen de responsabilidad administrativa para las personas jurídicas por actos de corrupción transnacional. Su expedición respondió al compromiso adquirido por Colombia en el marco de la Convención Anticohecho de la OCDE, y con ella la Superintendencia de Sociedades adquirió facultades investigativas y sancionatorias sobre las sociedades, no solo sobre las personas naturales que ejecutan la conducta.

Ley 2195 de 2022: la ampliación que cambió la escala del riesgo

Si la Ley 1778 abrió la puerta, la Ley 2195 del 18 de enero de 2022 la ensanchó de manera decisiva. Su artículo 2 modificó el artículo 34 de la Ley 1474 de 2011 —el Estatuto Anticorrupción— y configuró un régimen de responsabilidad administrativa sancionatoria que ya no se limita al soborno transnacional, sino que abarca un catálogo amplio de conductas punibles.

Los tres presupuestos que activan la responsabilidad

El régimen no opera de manera automática. Requiere la concurrencia de tres condiciones, y entender cada una es esencial para dimensionar la exposición real:

Las sanciones: el techo de 200.000 SMMLV

Conviene detenerse en la mecánica de la multa, porque su redacción es más severa de lo que aparenta. El tope de 200.000 SMMLV no es el límite total: la ley ordena sumar a la multa el mayor valor entre el beneficio obtenido y el pretendido. Es decir, el componente de decomiso del provecho se acumula al componente punitivo. Para una operación de gran envergadura, la cifra resultante puede exceder ampliamente el patrimonio de la sociedad.

Las circunstancias de atenuación: el programa que sí sirve

La Circular 100-000020 de 2026: SAGRILAFT y PTEE dejan de ser dos programas

Este es el cambio más relevante del año en materia de cumplimiento empresarial colombiano, y todavía no ha permeado a buena parte del tejido empresarial. Durante cinco años, las sociedades vigiladas por la Superintendencia de Sociedades gestionaron dos programas en paralelo, con manuales separados, matrices distintas y —en muchos casos— responsables diferentes:

• El SAGRILAFT — Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva, regulado en el Capítulo X de la Circular Básica Jurídica.
• El PTEE — Programa de Transparencia y Ética Empresarial, orientado a la prevención del soborno transnacional y la corrupción, regulado en el Capítulo XIII e instruido por la Circular Externa 100-000011 del 9 de agosto de 2021.

Esa arquitectura dual terminó. El 2 de julio de 2026, la Superintendencia de Sociedades expidió la Circular Externa 100-000020 de 2026, que adopta una nueva Circular Básica Jurídica y fusiona ambos programas en un único sistema.

Del SMMLV a la UVB: el cambio de unidad de medida

La nueva circular abandona el salario mínimo mensual legal vigente como unidad para fijar los umbrales de obligatoriedad y adopta la Unidad de Valor Básico (UVB). El cambio no es cosmético: desvincula las obligaciones de cumplimiento de la negociación anual de salario mínimo, que en Colombia responde a variables de política laboral y no a criterios de riesgo. Para 2026, el valor de la UVB fue fijado en $12.110.

El oficial de cumplimiento: de figura nominal a cargo profesionalizado

Uno de los ajustes más exigentes de la nueva circular recae sobre la persona que responde por el sistema. La práctica extendida de designar al gerente administrativo, al contador o a un miembro de la junta como oficial de cumplimiento «adicional a sus funciones» encuentra ahora límites normativos explícitos.

Protección de datos personales: la obligación de cumplimiento que casi nadie mapea

En la mayoría de las matrices de riesgo que revisamos, el tratamiento de datos personales aparece —cuando aparece— como un asunto del área de tecnología. Es un error de clasificación: la Ley 1581 de 2012 impone obligaciones de cumplimiento con autoridad supervisora propia, régimen sancionatorio autónomo y una exposición que puede materializarse por una brecha de seguridad o por una simple campaña comercial mal ejecutada.

Del papel a la cultura: qué distingue un programa efectivo

Todas las normas anteriores convergen en una misma exigencia implícita: que el programa funcione. Ninguna autoridad sanciona por no tener un manual bonito; sancionan cuando el control falló y no hay evidencia de que existiera. La diferencia entre un programa que atenúa y uno que agrava se juega en seis elementos observables.

1. Matriz de riesgos propia, no plantilla

El riesgo de una empresa exportadora de flores no es el de un contratista de obra pública ni el de una fintech. La matriz debe partir de los procesos reales de la compañía, sus contrapartes, sus jurisdicciones y sus canales. Una matriz genérica es la prueba documental de que nadie analizó el negocio.

2. Debida diligencia sobre contrapartes, con información suficiente

Conocer al cliente, al proveedor, al distribuidor y al agente. La nueva circular es explícita en que la debida diligencia debe estar respaldada por información suficiente y actualizada, no por un formulario firmado una vez al inicio de la relación.

3. Participación real de la alta dirección

La junta directiva o el máximo órgano social debe aprobar las políticas, conocer los informes del oficial de cumplimiento y dejar constancia en actas. El tone at the top no es retórica de gobierno corporativo: es material probatorio.

4. Evidencia documental de capacitación, monitoreo y mejora

Listas de asistencia, evaluaciones, reportes periódicos, hallazgos y planes de acción con seguimiento. Un programa sin rastro documental de su operación es, a efectos probatorios, un programa inexistente.

5. Canal de denuncias operativo y con protección al denunciante

Un canal que nadie usa suele indicar que nadie confía en él. La confidencialidad, la ausencia de represalias y la trazabilidad del trámite de cada reporte son los indicadores de que el canal está vivo.

6. Revisión periódica de la efectividad de los controles

Los controles se degradan: cambian los procesos, rota el personal, se abren nuevas líneas de negocio. La evaluación periódica de la efectividad —no solo de la existencia— de los controles es lo que mantiene el sistema alineado con el riesgo real.

Las personas jurídicas sujetas a su inspección, vigilancia o control adoptarán programas de transparencia y ética empresarial que incluyan mecanismos y normas internas de auditoría.

Ley 2195 de 2022, art. 9

Ese artículo 9 remite además a las respectivas superintendencias para determinar el contenido de los programas, atendiendo a criterios como el sector, sus riesgos, el monto de los activos, los ingresos y el número de empleados. Es la habilitación legal sobre la cual la Superintendencia de Sociedades construyó primero el PTEE y ahora el sistema unificado del Capítulo IX.

Cronología normativa del compliance empresarial colombiano

La secuencia de normas que configuró el marco vigente, desde el Estatuto Anticorrupción hasta la unificación de 2026:

Qué debe hacer su empresa antes del 31 de mayo de 2027

1. Calcule si está dentro del perímetro, con la UVB y no con el salario mínimo Tome ingresos y activos al 31 de diciembre del año anterior y compárelos con los dos umbrales: 4.929.017 UVB para el régimen general y 369.676 UVB en ingresos o 616.127 UVB en activos para el régimen de medidas mínimas. Con la UVB de 2026 ($12.110), son aproximadamente $59.690 millones y $4.477 / $7.461 millones respectivamente. Si opera en farmacéutica, infraestructura, manufactura o minero-energético, revise el segundo umbral con especial cuidado: es el que incorpora nuevos obligados.
2. Audite las referencias normativas de sus manuales vigentes Todo manual que invoque la Circular Externa 100-000011 de 2021, la 100-000004 de 2021, la 100-000016 de 2020, la 100-000015 de 2021 o la 100-300000 de 2024 está citando normas derogadas por la Circular 100-000020 de 2026. Es la corrección más rápida y la más visible para un supervisor.
3. Unifique SAGRILAFT y PTEE en un solo sistema documental No se trata de grapar dos manuales. El Capítulo IX exige una matriz de riesgos integrada que incorpore la corrupción local como categoría autónoma, con controles específicos para ese riesgo. Si su PTEE solo contemplaba soborno transnacional, tiene un vacío que cerrar.
4. Verifique que su oficial de cumplimiento reúne los nuevos requisitos y designe suplente Título profesional universitario, mínimo un año de experiencia en gestión de riesgos LA/FT/FP y C/ST, y actualización de conocimientos cada tres años. La designación de un suplente con idénticos requisitos es obligatoria. Si contrata un oficial externo, confirme que no supera el límite de diez sujetos obligados.
5. Redacte la política de contratación estatal si tiene exposición al mercado público Es el componente nuevo de la circular y el que exige mayor diseño: debe cubrir las fases precontractual, contractual y poscontractual, con reglas concretas sobre interacción con funcionarios, gestión de adiciones y liquidaciones. Una declaración genérica de integridad no satisface la exigencia.
6. Incorpore el tratamiento de datos personales a la matriz de cumplimiento Verifique autorizaciones, política de tratamiento, procedimiento de consultas y reclamos, inscripción en el Registro Nacional de Bases de Datos y contratos de transmisión con Encargados. La exposición es de hasta 2.000 SMMLV y no depende del tamaño de la empresa, sino del volumen de titulares.
7. Construya el expediente probatorio del programa Actas de aprobación por junta, informes periódicos del oficial de cumplimiento, listas de capacitación, hallazgos y planes de acción con seguimiento. Ese expediente es el que activa el atenuante del artículo 5 de la Ley 2195 de 2022 en un eventual procedimiento sancionatorio. Sin él, el programa no defiende.
8. Extienda la debida diligencia a contratistas e intermediarios en el exterior La Ley 1778 de 2016 hace responsable a la sociedad por conductas de sus contratistas, y la matriz responde por su subordinada cuando media consentimiento o tolerancia. Los agentes comerciales y distribuidores en jurisdicciones de mayor riesgo son el eslabón que con más frecuencia queda fuera del programa.