Centro normativo

¿A quién aplica?

Sociedades comerciales, empresas unipersonales y sucursales de sociedad extranjera vigiladas o controladas por la Superintendencia de Sociedades que superen los umbrales de ingresos o activos que fija la propia circular, y las de sectores señalados expresamente con umbrales más bajos.

Qué exige

• Adoptar un Sistema de Autocontrol y Gestión del Riesgo Integral LA/FT/FPADM, aprobado por el máximo órgano social.
• Designar un oficial de cumplimiento con las calidades e independencia que exige la norma, inscrito ante la Superintendencia.
• Identificar, medir, controlar y monitorear el riesgo con una metodología documentada de factores de riesgo.
• Conocer a las contrapartes —clientes, proveedores, empleados, asociados— y verificarlas contra listas vinculantes y restrictivas.
• Aplicar debida diligencia intensificada a las contrapartes de mayor riesgo, incluidas las PEP.
• Reportar operaciones sospechosas a la UIAF y conservar los soportes por el término legal.

¿A quién aplica?

Las mismas sociedades alcanzadas por el Capítulo X. Ajustó umbrales, plazos y el alcance de varias obligaciones del régimen original de 2020.

Qué exige

• Actualizar el SAGRILAFT ya adoptado a los umbrales y definiciones vigentes.
• Revisar la segmentación de factores de riesgo con la metodología actualizada.
• Ajustar las políticas de debida diligencia y de conocimiento del beneficiario final.

¿A quién aplica?

Sociedades vigiladas que, por sus ingresos o activos y por realizar negocios o transacciones internacionales, quedan obligadas a adoptar un Programa de Transparencia y Ética Empresarial.

Qué exige

• Adoptar un Programa de Transparencia y Ética Empresarial aprobado por el máximo órgano social.
• Designar un oficial de cumplimiento responsable del programa.
• Evaluar el riesgo de corrupción y de soborno transnacional propio del negocio.
• Establecer un canal de denuncias que garantice confidencialidad y no represalia.
• Aplicar debida diligencia anticorrupción a terceros, intermediarios y contratistas.
• Capacitar a administradores y empleados y dejar constancia de la capacitación.

¿A quién aplica?

Entidades vigiladas por la Superintendencia Financiera: establecimientos de crédito, aseguradoras, sociedades comisionistas de bolsa, fiduciarias, administradoras de fondos de pensiones y demás sujetos del régimen.

Qué exige

• Administrar el riesgo por etapas: identificación, medición, control y monitoreo.
• Segmentar los factores de riesgo —clientes, productos, canales y jurisdicciones— y mantener la segmentación actualizada.
• Conocer al cliente y al beneficiario final antes de la vinculación, y actualizar la información periódicamente.
• Monitorear operaciones inusuales y analizarlas para determinar si son sospechosas.
• Reportar a la UIAF: ROS, transacciones en efectivo y los demás reportes del régimen.
• Someter el sistema a auditoría interna y revisoría fiscal con informes al órgano de administración.

¿A quién aplica?

Entidades vigiladas sujetas al SARLAFT, que debieron migrar su sistema al enfoque basado en riesgo dentro de los plazos de transición fijados por la circular.

Qué exige

• Calibrar la intensidad de la debida diligencia según el riesgo real de cada contraparte, y no aplicar el mismo procedimiento a todos.
• Documentar la metodología de segmentación y sustentar técnicamente sus resultados.
• Definir debida diligencia simplificada e intensificada con criterios objetivos y auditables.
• Revisar el sistema cuando cambien el negocio, los productos o los mercados atendidos.

¿A quién aplica?

Entidades vigiladas por la Superintendencia Nacional de Salud: EPS, IPS y demás actores del sistema alcanzados por la circular.

Qué exige

• Adoptar un SARLAFT ajustado a la operación del sistema de salud y a su flujo de recursos.
• Conocer a las contrapartes: prestadores, proveedores, afiliados y empleadores aportantes.
• Vigilar el riesgo asociado al recobro y a la contratación con la red prestadora.
• Reportar a la UIAF conforme al régimen aplicable.

¿A quién aplica?

Cooperativas, fondos de empleados y asociaciones mutuales vigiladas, con exigencias graduadas según el nivel de supervisión en el que esté clasificada la organización.

Qué exige

• Adoptar el sistema de prevención que corresponda al nivel de supervisión de la organización.
• Conocer al asociado y actualizar su información con la periodicidad establecida.
• Verificar asociados y contrapartes contra listas vinculantes y restrictivas.
• Designar oficial de cumplimiento y reportar a la UIAF.

¿A quién aplica?

Empresas que exportan, importan o participan en la cadena logística y que buscan certificarse, o que ya lo están y deben sostener la certificación en la auditoría de seguimiento.

Qué exige

• Conocer y verificar a los asociados de negocio de toda la cadena logística.
• Controlar el acceso físico, la seguridad del contenedor y la trazabilidad de la unidad de carga.
• Aplicar estudios de seguridad y verificación de antecedentes al personal en cargos críticos.
• Mantener un análisis de riesgo documentado de las rutas y de los países de destino.

¿A quién aplica?

Personas jurídicas de derecho privado, entidades públicas y sus contratistas, con obligaciones reforzadas para quienes contratan con el Estado.

Qué exige

• Adoptar programas de transparencia y ética empresarial en los supuestos que la ley señala.
• Fortalecer los canales de denuncia y la protección efectiva del denunciante.
• Responder como persona jurídica por actos de corrupción cometidos en su beneficio.
• Reforzar la debida diligencia en la contratación con el Estado.

¿A quién aplica?

Personas jurídicas domiciliadas en Colombia y sucursales de sociedades extranjeras que realicen negocios en el exterior.

Qué exige

• Responder administrativamente por el soborno a servidores públicos extranjeros cometido en su beneficio.
• Adoptar programas de ética empresarial, que la Superintendencia valora como criterio de graduación de la sanción.
• Aplicar debida diligencia a intermediarios, agentes y socios en el exterior.

¿A quién aplica?

Entidades públicas, contratistas del Estado y particulares que administren recursos públicos.

Qué exige

• Fortalecer los controles en contratación estatal y en la administración de recursos públicos.
• Aplicar el régimen de inhabilidades e incompatibilidades reforzado.
• Verificar antecedentes y conflictos de interés de contratistas y de sus representantes.

¿A quién aplica?

Toda persona natural o jurídica, pública o privada, que trate datos personales en Colombia.

Qué exige

• Contar con autorización previa, expresa e informada del titular, salvo las excepciones legales.
• Adoptar una política de tratamiento de la información y un manual interno de procedimientos.
• Garantizar los derechos del titular: conocer, actualizar, rectificar y suprimir sus datos.
• Atender consultas y reclamos en los términos que fija la ley.
• Aplicar medidas de seguridad proporcionales al riesgo, reforzadas para datos sensibles.

¿A quién aplica?

Responsables y encargados del tratamiento de datos personales. Compiló, entre otros, el Decreto 1377 de 2013.

Qué exige

• Documentar la autorización y conservar la prueba de haberla obtenido.
• Definir por escrito la relación entre responsable y encargado del tratamiento.
• Cumplir las reglas de transferencia y transmisión internacional de datos.

¿A quién aplica?

Responsables del tratamiento que superen los umbrales de activos o de número de trabajadores fijados para la inscripción obligatoria.

Qué exige

• Inscribir cada base de datos con su finalidad, categorías de datos y medidas de seguridad.
• Reportar novedades y actualizar la información inscrita.
• Reportar los incidentes de seguridad que afecten datos personales.

¿A quién aplica?

Fuentes, operadores y usuarios de información financiera, crediticia, comercial y de servicios.

Qué exige

• Respetar los principios de veracidad, finalidad y circulación restringida de la información.
• Cumplir los términos de permanencia del dato negativo.
• Atender peticiones y reclamos del titular en los plazos legales.

¿A quién aplica?

Es el estándar que los países adoptan y que sus supervisores trasladan a la regulación local. Colombia es evaluada a través de GAFILAT.

Qué exige

• Enfoque basado en riesgo en todo el sistema de prevención.
• Identificación del beneficiario final de las personas jurídicas.
• Debida diligencia intensificada para PEP y para jurisdicciones de mayor riesgo.
• Aplicación de sanciones financieras dirigidas del Consejo de Seguridad de la ONU.

¿A quién aplica?

Las listas del Consejo de Seguridad son de aplicación obligatoria e inmediata. Las demás se aplican por exigencia contractual, por exposición al sistema financiero internacional o por política interna de riesgo.

Qué exige

• Verificar contrapartes contra las listas antes de vincularlas y de forma periódica después.
• Actuar de inmediato ante una coincidencia con una lista vinculante.
• Conservar la evidencia de cada consulta, con fecha y resultado.
• Mantener las fuentes actualizadas: una lista desactualizada es un control que no existe.

¿A quién aplica?

Adopción voluntaria. Se vuelve exigible en la práctica cuando un cliente, una casa matriz o un pliego de contratación la pide.

Qué exige

• ISO 37001: sistema de gestión antisoborno, con debida diligencia a terceros y canal de denuncia.
• ISO 37301: sistema de gestión de cumplimiento, con obligaciones identificadas y evaluadas.
• ISO 31000: marco y proceso de gestión del riesgo sobre el que se apoyan los dos anteriores.