SAGRILAFT y PTEE: qué era cada programa y cómo quedaron unificados

Qué era el SAGRILAFT y qué era el PTEE

Los dos eran instrucciones de la Superintendencia de Sociedades dentro de su Circular Básica Jurídica, y los dos le pedían a la empresa un sistema propio de prevención. La diferencia estaba en el riesgo que atendía cada uno. El SAGRILAFT vivía en el Capítulo X, incorporado por la Circular Externa 100-000016 de 2020, y se ocupaba del lavado de activos, la financiación del terrorismo y la financiación de la proliferación de armas de destrucción masiva. Qué es y qué exige en términos generales está en la guía de SAGRILAFT.

El PTEE vivía en el Capítulo XIII, incorporado por la Circular Externa 100-000011 de 2021. Esa circular lo definía como el documento que recoge la política de cumplimiento y los procedimientos a cargo del oficial de cumplimiento para identificar, detectar, prevenir, gestionar y mitigar los riesgos de corrupción y de soborno transnacional. Su referencia legal principal es la Ley 1778 de 2016, sobre la responsabilidad de las personas jurídicas por actos de corrupción transnacional, cuyo artículo 23, modificado por el artículo 25 de la Ley 2195 de 2022, encarga a la Superintendencia de promover programas de transparencia y ética empresarial.

• LA: lavado de activos El delito del artículo 323 del Código Penal: dar apariencia de legalidad a recursos de origen ilícito
• FT: financiamiento del terrorismo El delito del artículo 345 del Código Penal: destinar recursos a actos u organizaciones terroristas
• FP: financiamiento de la proliferación de armas de destrucción masiva Proveer fondos para fabricar, adquirir, transportar o usar armas nucleares, químicas o biológicas con fines ilegítimos
• C: corrupción local Que la empresa se beneficie o sea usada como medio en delitos contra la administración pública, el patrimonio público y otros que enumera la norma
• ST: soborno transnacional Dar, ofrecer o prometer a un servidor público extranjero dinero o cualquier beneficio a cambio de un acto de sus funciones en un negocio internacional

Con el régimen anterior, una empresa podía estar obligada a uno de los dos programas y no al otro, porque los criterios eran distintos: el PTEE se activaba, entre otras causales, por negocios o transacciones internacionales o por contratos con entidades estatales, además del tamaño de la empresa. Una tercera sigla del sector, el SARLAFT, es otra cosa: la exige la Superintendencia Financiera, como se explica en SAGRILAFT y SARLAFT: en qué se diferencian.

Qué cambió con la Circular Externa 100-000020 de 2026

El 2 de julio de 2026 la Superintendencia de Sociedades expidió la Circular Externa 100-000020, que reexpidió completa la Circular Básica Jurídica. En sus consideraciones dice que advirtió la necesidad de modificar integralmente los Capítulos X y XIII y de unificarlos en un solo cuerpo normativo. Esa circular derogó, entre otras, la 100-000016 de 2020 (SAGRILAFT) y la 100-000011 de 2021 (PTEE).

El resultado es el Capítulo IX, que define un sistema de cumplimiento obligatorio para prevenir, detectar y gestionar en conjunto los cinco riesgos: LA, FT, FP, C y ST. Los cambios de fondo son estos:

• Un solo sistema, con una política y un manual de procedimientos de gestión de LA/FT/FP y C/ST (numeral 9.7).
• Un oficial de cumplimiento principal y un suplente para todo el sistema, con requisitos de formación y experiencia acreditables (numeral 9.9).
• Una matriz de riesgos que cubre las etapas de identificación, medición, control y monitoreo de todos los riesgos (numeral 9.14).
• Una debida diligencia orientada a identificar y evaluar los riesgos LA/FT/FP y C/ST de cada contraparte (numeral 9.15).
• Un canal de denuncias que recibe reportes confidenciales y anónimos sobre cualquiera de las conductas (numeral 9.18.1).
• Umbrales en unidades de valor básico (UVB) y un Régimen de Medidas Mínimas para empresas de ciertos sectores que no alcanzan el régimen general (numerales 9.4 a 9.6).

El Capítulo IX no usa las siglas SAGRILAFT ni PTEE para el sistema vigente. Las menciona en el numeral 9.31, para decir que la Superintendencia puede seguir supervisando los sistemas adoptados bajo las circulares anteriores.

Qué conserva cada riesgo dentro del sistema unificado

Unificar el sistema no borra la diferencia entre los riesgos. El lavado de activos y el soborno se previenen con controles distintos, y el Capítulo IX mantiene políticas y reportes propios para cada bloque.

Hay un punto en que el sistema unificado va más allá de la suma de los dos anteriores: su definición del ROS indica que el reporte debe comprender las conductas relacionadas con LA/FT/FP y también con C/ST. Y el canal de denuncias interno convive con los canales externos que la empresa debe divulgar: el de la Superintendencia de Sociedades para soborno transnacional y el de la Secretaría de Transparencia para corrupción (numeral 9.18.1).

Qué significa para una empresa que tenía SAGRILAFT y PTEE

El numeral 9.29 fija un período de transición. La empresa que, a la fecha de expedición de la circular, estaba obligada por las Circulares Externas 100-000016 de 2020, 100-000011 de 2021 o 100-300000 de 2024 debe ajustar su sistema al Capítulo IX a más tardar el 31 de mayo del año siguiente al de la expedición, es decir, el 31 de mayo de 2027. Mientras corre ese término, los sistemas y programas implementados se entienden válidos.

Para una empresa que tenía los dos programas, el ajuste consiste en integrar lo que antes estaba separado. Estos son los frentes que el Capítulo IX obliga a revisar:

1. Confirmar la calidad de sujeto obligado Los criterios cambiaron y los umbrales se expresan en UVB. Una empresa obligada antes a un solo programa puede quedar en el régimen general, en el de medidas mínimas o por fuera.
2. Integrar política y manual Un solo documento de política y un solo manual para los cinco riesgos, con las políticas específicas del numeral 9.7.2.
3. Unificar la matriz de riesgos Una matriz que cubra LA/FT/FP y C/ST en todas las etapas del sistema.
4. Revisar al oficial de cumplimiento Verificar que la persona designada cumple los requisitos y las prohibiciones de los numerales 9.9.2 y 9.9.3.
5. Ajustar la debida diligencia y el canal de denuncias Un procedimiento de conocimiento de contrapartes y un canal que cubran todos los riesgos.

El orden general en que se montan las piezas de un sistema de este tipo está en cómo implementar SAGRILAFT: etapas y elementos.

Qué no se puede asumir con la unificación

• Que unificar es grapar dos documentos. El numeral 9.7.1 obliga a evitar el llamado paper compliance: procedimientos y políticas que no se ajustan a la realidad de la empresa o que copian los de otra.
• Que el SAGRILAFT cubría la corrupción. Con el régimen anterior, cumplir uno no cumplía el otro. Con el actual, el sistema debe cubrir los dos bloques de riesgo.
• Que la transición es una exención. Los sistemas actuales valen solo durante el término del numeral 9.29, y la Superintendencia puede supervisar su aplicación conforme a las circulares anteriores (numeral 9.31).
• Que estar obligado antes significa estarlo igual ahora. El ámbito de aplicación cambió, y la verificación se hace contra los numerales 9.4 a 9.6.

La debida diligencia como punto de contacto

Con el régimen anterior, el Capítulo XIII aclaraba que su debida diligencia no era la de los sistemas de lavado de activos, que se regía por normas diferentes. El Capítulo IX la convierte en un solo procedimiento para conocer a cada contraparte frente a los cinco riesgos, con enfoque basado en riesgo: no todas las contrapartes exigen la misma intensidad.

La lista de contrapartes es amplia: asociados, empleados, clientes, acreedores, contratistas y proveedores. Qué medidas exige ese conocimiento y cuándo se intensifica está en debida diligencia de contrapartes.

La parte documental se puede operar en un sistema

Dentro del sistema unificado hay una parte que es operación documental: pedir a cada contraparte la información y los soportes que la empresa definió, verificarlos, saber cuándo hay que actualizarlos y conservar la evidencia. El numeral 9.22 exige que la información entregada por la contraparte y el nombre de quien la verificó queden documentados con fecha y hora.

Eso se opera con una matriz de requisitos documentales. En NAVA 360 su empresa define qué documento se exige según el tipo de elemento, el tipo de actividad y el perfil, con qué vigencia, quién lo aprueba y con qué criterios se revisa; el tercero carga sus documentos; su equipo o el back office de NAVA los revisa; y cada aprobación y cada rechazo quedan registrados con responsable y fecha. La misma matriz sirve para los requisitos de seguridad y salud en el trabajo o para las exigencias de un cliente operador.