Imagen generada con IA
Las etapas del sistema pasan de 13 a 18 elementos con la Circular Externa 100-000020 de 2026 de la Superintendencia de Sociedades.
La estructura de cuatro etapas se mantiene: I) identificación, II) medición, III) control y IV) monitoreo. Lo que cambia es el alcance, el análisis del riesgo y la forma de demostrar que el sistema funciona.
Los 13 elementos del Capítulo X del SAGRILAFT se conservan y ahora se encuentran en el numeral 9.14. del Capítulo IX. A ellos se suman cinco nuevos. Además, como hemos insistido desde Infolaft, todas las etapas cubren ya los riesgos de corrupción (C) y de soborno transnacional (ST), y deben verse reflejadas en una matriz de riesgos que incluya todos los procesos del Sujeto Obligado.
El contexto es importante desde la etapa de identificación
Es la etapa con los cambios más importantes. El primer elemento nuevo obliga a analizar el contexto estratégico, organizacional y regulatorio de la empresa y de su sector antes de clasificar los factores de riesgo (9.14.1.a.). Esto resuelve una debilidad frecuente: matrices construidas sobre listas genéricas de riesgos, sin relación con el modelo de negocio.
La clasificación de factores también se amplía. Antes bastaba con atender la actividad económica; ahora deben considerarse el sector, la jurisdicción, las zonas geográficas, los terceros, contratistas, intermediarios, canales de distribución y contratos estatales, incluidos los celebrados en el extranjero (9.14.1.b.).
15 Claves para consultar listas: 2. Incluir la revisión dentro de la gestión de riesgo | Infolaft
Para los riesgos de C/ST, la circular propone consultar fuentes como los estudios de la OCDE y de Transparencia Internacional (9.14.1.c.). Es una orientación, no una obligación, pero señala un referente a tener en cuenta. La identificación de estos riesgos se beneficia de evidencia externa.
Soborno trasnacional: ¿qué es y cómo se combate? | Infolaft
Medición y control: un sistema que se recalibra
En la medición, la novedad es que el sistema debe reaccionar a los cambios legislativos y regulatorios de las jurisdicciones donde opera la empresa (9.14.2.d.). Además, ante nuevos mercados y productos el verbo rector cambia: la circular anterior exigía medir el riesgo y la nueva exige evaluarlo, una obligación que ahora se extiende también a las nuevas unidades de negocio (9.14.2.c.).
En el control no hay elementos nuevos, pero sí un cambio de fondo. La circular anterior pedía "medidas razonables"; la nueva exige acciones suficientes, apropiadas y medibles, que permitan establecer el riesgo residual según la efectividad real de los controles (9.14. 3.a.). Y deja escrita una regla que antes era implícita: a mayor riesgo, mayor control (9.14.3.c.). Un control que no se puede medir difícilmente podrá justificarse ante el supervisor.
El monitoreo verifica que el sistema funciona
El monitoreo suma dos elementos. El primero son las auditorías periódicas de cumplimiento y de los procedimientos de debida diligencia, según lo disponga el oficial de cumplimiento (9.14.4.e.). Esto le da al oficial una herramienta formal para comprobar que los controles se aplican en la práctica y no solo en el manual.
El segundo es la posibilidad de encuestar a empleados y contratistas para medir la efectividad del sistema (9.14.4.f.). Es facultativo, pero útil: la cultura de cumplimiento también se mide. A esto se suman dos precisiones: la periodicidad del seguimiento debe corresponder al perfil de riesgo residual (9.14.4.b.).
SAGRILAFT y matriz de riesgo: ¿es suficiente presentar un Excel?
Los cambios de fondo
Leídos en conjunto, los cambios profundizan el enfoque basado en riesgo. Se pasa de un sistema que cumple a uno que busca demostrar su efectividad. El contexto define los riesgos, la evidencia los mide, los controles deben ser medibles y el monitoreo verifica que todo funcione.
Para los oficiales de cumplimiento, el reto inmediato es revisar la matriz. No basta con agregar filas de corrupción y soborno transnacional al formato actual. La matriz debe reconstruirse desde el análisis de contexto, con los nuevos factores y con controles que puedan medirse.
Elaborado por Infolaft, corregida con IA
Infolaft empresa líder en la región en prevención de LA/FT/FPADM y C/ST cuenta con KYR, software empresarial (SaaS) que le ayudará a fortalecer el desarrollo de su matriz de riesgo con el respaldo de casi 20 años de experiencia.
