Derecho Penal Corporativo

Compliance y extinción de dominio: cómo el programa de prevención protege su empresa de lavado de activos

El compliance penal no es el mismo ejercicio que ordenar las declaraciones tributarias o cumplir con las obligaciones laborales de fin de año. Cuando el riesgo que se gestiona es el lavado de activos o la posible vinculación de los activos de la empresa a una investigación de extinción de dominio, las consecuencias de no actuar con diligencia son de otra naturaleza: no se trata de multas administrativas, sino de privación de la libertad, de pérdida del patrimonio y de la reputación de la empresa ante bancos, clientes e inversionistas.

El compliance tributario revisa si los impuestos están bien liquidados y pagados. El compliance laboral verifica que los contratos, las prestaciones y las afiliaciones al sistema de seguridad social estén al día. Esos programas importan, pero sus consecuencias cuando fallan son principalmente económicas y sancionatorias. El compliance penal corporativo, en cambio, actúa sobre un terreno distinto: el que define si una persona natural —el representante legal, el gerente, el miembro de junta, el oficial de cumplimiento— puede ser imputada por su participación en una conducta que el Código Penal tipifica como delito. Y actúa también sobre el patrimonio de la empresa como tal, que puede quedar comprometido por una acción de extinción de dominio aunque la persona jurídica misma no responda penalmente.

En Colombia, una empresa puede convertirse en el vehículo de una operación de lavado de activos sin que sus directivos lo hayan sabido con certeza. Puede haber recibido dineros de origen ilícito disfrazados de pagos por servicios, pagos en efectivo de clientes que resultaron ser fachadas, aportaciones de socios cuya procedencia nunca se verificó o inmuebles adquiridos en condiciones que el mercado no explicaba. Cuando eso ocurre, la pregunta que determinará la suerte del directivo y del patrimonio de la empresa no es qué pasó, sino qué hizo usted antes de que pasara.

El riesgo que nadie mide bien

El artículo 323 del Código Penal: por qué la empresa puede ser el vehículo sin haberlo querido

El lavado de activos está tipificado en el artículo 323 del Código Penal. La norma describe una serie de verbos rectores que definen las conductas punibles: adquirir, resguardar, invertir, transportar, transformar, almacenar, conservar, custodiar o administrar bienes que tengan su origen mediato o inmediato en actividades ilícitas, o dar a esos bienes apariencia de legalidad, u ocultarlos o encubrirlos.

Hay tres elementos de esa norma que deben conocerse con precisión porque determinan el riesgo real para una empresa:

Las actividades ilícitas que pueden originar el delito de lavado incluyen, entre otras: tráfico de drogas, extorsión, secuestro extorsivo, trata de personas, tráfico de armas, financiación del terrorismo, delitos contra la administración pública, contrabando, fraude aduanero y concierto para delinquir. Una empresa que opera en sectores de alto riesgo —efectivo intensivo, importaciones, construcción, transporte, activos digitales, inmobiliario— tiene mayor exposición a convertirse en el vehículo sin haberlo buscado.

La obligación que no es opcional

SAGRILAFT: qué es, quiénes deben implementarlo y qué pasa con los directivos que omiten el control

El Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo (SAGRILAFT) es el esquema de cumplimiento obligatorio para las sociedades sometidas a la inspección, vigilancia y control de la Superintendencia de Sociedades que superen los umbrales de activos o ingresos definidos en la normativa de esa entidad. La Superintendencia actualiza periódicamente qué sociedades quedan obligadas, dependiendo del monto de activos, el número de empleados y el sector de actividad.

Estar obligado al SAGRILAFT no es simplemente tener una política escrita. Implica contar con una estructura operativa real: un oficial de cumplimiento con las facultades y los recursos para actuar, una matriz de riesgos actualizada, procedimientos verificables de debida diligencia de clientes y proveedores, capacitación documentada del personal, reportes a la UIAF cuando corresponda, y actas de la junta directiva o del máximo órgano social que evidencien que la administración tomó el sistema en serio.

La pregunta que más se omite es qué pasa cuando el sistema existe en papel pero no en la práctica. El artículo 325 del Código Penal tipifica el delito de omisión de control. La norma sanciona al miembro de junta directiva, representante legal, administrador o empleado de una institución financiera o de cooperativas que ejerzan actividades de ahorro y crédito que, con el fin de ocultar o encubrir el origen ilícito del dinero, omita el cumplimiento de alguno o todos los mecanismos de control establecidos por el ordenamiento jurídico para las transacciones en efectivo. La pena es de treinta y ocho a ciento veintiocho meses de prisión y multa significativa.

Para empresas del sector real que no son instituciones financieras, la omisión de control del artículo 325 puede no aplicar directamente como tipo penal autónomo. Pero la ausencia del SAGRILAFT tiene consecuencias igualmente graves: debilita cualquier argumento de buena fe en una investigación de lavado de activos bajo el artículo 323, y puede resultar en que la empresa quede sin defensa frente a una acción de extinción de dominio sobre sus activos.

Cuando la obligación no existe pero el riesgo sí

SIPLAFT para empresas no vigiladas: por qué la diligencia voluntaria puede ser la diferencia

No todas las empresas están obligadas al SAGRILAFT. Las sociedades que no alcanzan los umbrales de la Superintendencia de Sociedades, las personas naturales empresarias, las entidades del sector real de menor tamaño y muchas empresas de servicios operan sin estar sujetas a ese esquema. Eso no significa que estén fuera del riesgo.

El Sistema de Prevención del Lavado de Activos y Financiación del Terrorismo (SIPLAFT) es el sistema que normas sectoriales imponen con caracter obligatorio a empresas como las de transporte de carga y los operadores de juegos de suerte y azar; su logica pueden adoptarla de manera voluntaria las empresas que, sin estar obligadas a implementar el SAGRILAFT, quieren gestionar su exposición al riesgo de que sus operaciones, sus cuentas o sus activos queden asociados a recursos de origen ilícito.

La lógica del SIPLAFT es la misma que la del SAGRILAFT en cuanto a sus elementos esenciales —conocimiento del cliente, verificación de proveedores, monitoreo de transacciones, reportes internos y documentación de decisiones— pero se adapta al tamaño y al perfil de riesgo de cada empresa. No es un requisito formal, sino una herramienta de gestión que, en caso de investigación, puede marcar una diferencia sustancial.

La implementación de un SIPLAFT proporcional al tamaño y al sector de la empresa no es un ejercicio burocrático. Es la diferencia entre poder demostrar que la dirección evaluó el riesgo antes de cerrar la operación, y tener que explicar por qué no lo hizo cuando ya existe una medida cautelar sobre los activos.

El estándar que más confunde

Buena fe exenta de culpa: no basta con no saber, hay que haber verificado

El concepto de buena fe exenta de culpa es el eje de la defensa del tercero en un proceso de extinción de dominio. Es también el concepto que más frecuentemente se entiende mal, con consecuencias graves para quienes confían en él sin haberlo construido correctamente.

Hay dos niveles de buena fe que el derecho colombiano distingue con claridad:

• Buena fe simple: el tercero no sabía que el bien tenía origen ilícito. Este nivel no es suficiente para proteger el patrimonio en un proceso de extinción de dominio.
• Buena fe exenta de culpa: el tercero no sabía y, además, tomó todas las medidas que la situación exigía para verificar la legalidad de la operación. Este es el estándar que protege.

La Ley 1708 de 2014 desarrolla este concepto con mayor detalle al regular el proceso de extinción de dominio. El estándar exige que el tercero demuestre no solo que ignoraba el origen ilícito de los bienes, sino que realizó de manera activa las diligencias que cualquier persona razonable y prudente habría realizado en circunstancias similares: verificar la identidad y la capacidad económica del vendedor, consultar la tradición del bien, revisar que el precio correspondiera al valor de mercado, asegurarse de que el pago se hiciera por canales bancarios trazables y reaccionar adecuadamente si aparecían señales de alerta.

El error más frecuente es creer que la buena fe es un estado de ánimo. No lo es. Es un estándar de conducta. Y la conducta se demuestra con documentos, no con declaraciones.

El riesgo patrimonial concreto

Extinción de dominio: cómo puede afectar los activos de una empresa legítima

La extinción de dominio es una acción patrimonial, autónoma y de contenido real. Esto significa que puede dirigirse contra un bien específico —un inmueble, un vehículo, una cuenta bancaria, acciones en una sociedad, un establecimiento de comercio— sin necesidad de que exista una condena penal previa contra el propietario o contra quien generó el origen ilícito de ese bien.

Para una empresa legítima, los escenarios de riesgo más frecuentes son los siguientes:

La clave en todos estos casos es la misma: el proceso de extinción de dominio mira la conducta de la empresa, no solo su buena intención. Y esa conducta se evalúa con base en lo que hizo antes de que apareciera el problema, no con lo que pueda reconstruir después.

Dónde se originan la mayoría de los casos

Los cinco riesgos de compliance que más frecuentemente detonan investigaciones de LA/FT en empresas colombianas

No todos los riesgos de compliance tienen la misma probabilidad de generar una investigación penal o de extinción de dominio. La experiencia en casos de lavado de activos y extinción de dominio en Colombia muestra cinco factores que se repiten con mayor frecuencia como detonadores de investigaciones en empresas del sector real:

El primer filtro de la buena fe

Debida diligencia de clientes y proveedores: el checklist mínimo para reducir el riesgo

La debida diligencia no es un formulario. Es un proceso de verificación activa que debe generar evidencia de que la empresa investigó antes de comprometerse con la contraparte. Los elementos mínimos que debe cubrir ese proceso varían según el perfil de riesgo del cliente o proveedor, pero como base deben contemplar los siguientes puntos:

• Identidad del cliente o proveedor. Documento de identidad para personas naturales; certificado de existencia y representación legal actualizado para personas jurídicas. La información debe corresponder a quien firma el contrato y a quien recibe o realiza los pagos.
• Beneficiario final real. Para personas jurídicas, identificar quién o quiénes controlan la entidad. En Colombia, las empresas están obligadas a registrar su beneficiario final ante la DIAN en el Registro Único de Beneficiarios (RUB). Verificar esa información y guardar la consulta.
• Actividad económica y coherencia con la operación. La actividad declarada debe ser coherente con el tipo de operación que se está realizando, con los montos involucrados y con la capacidad económica de la contraparte. Un proveedor de servicios de consultoría que factura cien millones de pesos mensuales sin tener empleados registrados es una señal que debe generar preguntas.
• Consulta de listas de riesgo. Verificar si el nombre del cliente, del proveedor o de su representante legal aparece en listas de restricciones de la OFAC (Oficina de Control de Activos Extranjeros de los Estados Unidos), de la ONU, de la UIAF y de otras fuentes relevantes. Dejar constancia de la fecha y el resultado de la consulta.
• Origen de los fondos. Cuando el monto de la operación lo justifica, preguntar y documentar el origen de los recursos. Para transacciones inmobiliarias, fusiones, adquisiciones y contratos de alto valor, esta verificación es indispensable y debe acompañarse de soporte documental: estados financieros, declaraciones de renta, extractos bancarios o certificaciones de origen.
• Registro de pagos y forma de pago. Todos los pagos deben realizarse por canales bancarios trazables. Los pagos en efectivo por montos significativos deben estar respaldados por declaración de origen de los fondos y autorización previa del oficial de cumplimiento o de la gerencia.
• Actualización periódica. La debida diligencia no es un ejercicio único. Las relaciones comerciales de largo plazo deben revisarse periódicamente para detectar cambios en el perfil del cliente o del proveedor que puedan indicar un incremento del riesgo.

Lo que marca la diferencia en el proceso

Documentación de la debida diligencia: por qué importa conservar la evidencia y qué ocurre si no la tiene

Existe una diferencia fundamental entre haber realizado la debida diligencia y poder demostrar que la realizó. En un proceso de extinción de dominio o en una investigación penal por lavado de activos, la empresa debe poder mostrar, con documentos concretos y fechados, que verificó al cliente o al proveedor antes de comprometerse con la operación, no después de que apareciera la alerta.

La razón es simple: la buena fe exenta de culpa es un estándar probatorio. Quien alega buena fe tiene la carga de demostrarla. Si los documentos no existen, si los registros están incompletos, si las aprobaciones se dieron por mensajes de chat que nadie exportó o si la información está dispersa en correos personales de distintas áreas, la empresa llega al proceso sin las herramientas para construir su defensa.

Cuando la documentación falta, los riesgos concretos son los siguientes:

• La empresa no puede demostrar que realizó la verificación del cliente o del proveedor, lo que debilita el argumento de buena fe exenta de culpa.
• El representante legal o el oficial de cumplimiento puede quedar personalmente expuesto si se argumenta que omitió los controles que tenía a su cargo.
• Los activos de la empresa pueden quedar sujetos a medidas cautelares durante el proceso de extinción de dominio mientras se resuelve si hubo o no debida diligencia.
• Los bancos pueden cerrar cuentas o rechazar operaciones de la empresa si, al revisar su perfil de riesgo, encuentran que no tiene documentación de cumplimiento.

La conservación organizada y accesible de la evidencia de compliance no es un detalle administrativo. Es la base material sobre la que se construye la defensa.

Cuando el programa es la defensa

El compliance como argumento de defensa en un proceso penal: cómo se demuestra la buena fe exenta de culpa

Un programa de compliance que funciona puede ser el argumento central de la defensa cuando se inicia una investigación penal por lavado de activos o cuando se abre un proceso de extinción de dominio sobre los activos de la empresa. Pero para que ese argumento tenga peso probatorio real, el programa debe reunir características que van más allá de la existencia formal de una política de cumplimiento.

En términos prácticos, la defensa del tercero de buena fe exenta de culpa se construye sobre cuatro pilares:

La defensa del tercero de buena fe no es solo un ejercicio legal. Es la historia que la evidencia cuenta sobre la conducta de la empresa. Si esa historia está documentada, puede contarse. Si no lo está, debe construirse sobre declaraciones, que son mucho más débiles que los registros contemporáneos.

El panorama completo

Tipo de empresa, obligación legal, consecuencia de omisión y riesgo penal

La siguiente tabla sintetiza el marco de obligaciones y riesgos según el tipo de empresa y su posición frente al sistema de prevención de lavado de activos y financiación del terrorismo:

Un caso para entender el riesgo

Caso tipo: empresa familiar que recibió pagos en efectivo de clientes que resultaron ser fachadas de lavado de activos

El siguiente caso ilustra un escenario frecuente en investigaciones de lavado de activos en Colombia. No corresponde a un caso real específico, sino a una síntesis de patrones comunes. Su propósito es mostrar cómo se construye y cómo se destruye la defensa del tercero de buena fe.

El escenario. Una empresa familiar dedicada a la venta de materiales de construcción tiene tres socios: los dos hijos y el yerno del fundador. La empresa opera desde hace quince años, tiene buena reputación comercial y no está sujeta al SAGRILAFT porque no supera los umbrales de la Superintendencia de Sociedades. En los últimos dos años, un cliente nuevo —una sociedad constituida hace dieciocho meses con un objeto social amplio y sin empleados visibles— ha pasado a representar el treinta por ciento de las ventas de la empresa. Los pagos son en efectivo, sin excepción, aunque por montos que siempre quedan por debajo de los umbrales de reporte. El cliente nunca ha incumplido un pago.

La alerta. La Fiscalía General de la Nación, en el curso de una investigación de narcotráfico, identifica que la sociedad cliente era una fachada usada para justificar ingresos provenientes de la actividad ilícita. Se solicita medida cautelar sobre las cuentas de la empresa familiar donde ingresaron esos pagos, y sobre el inmueble donde la empresa tiene su sede, adquirido con esos recursos durante el período de la relación comercial.

Las preguntas que determinan la defensa.

• ¿La empresa realizó alguna verificación del cliente antes de aceptar la primera operación? ¿Existe un formulario de vinculación, un certificado de existencia, una consulta a listas de riesgo?
• ¿Hubo alguna política interna sobre el manejo de efectivo y sobre los umbrales que exigían revisión adicional? ¿Estaba documentada y aprobada?
• ¿Se detectó la estructura de pagos fragmentados? ¿Alguien la reportó internamente? ¿Existe un correo, un acta o algún registro de que se revisó esa señal?
• ¿Existe documentación sobre el origen de los recursos usados para adquirir el inmueble? ¿Se puede demostrar que ese bien se pagó con recursos de la actividad comercial lícita de la empresa y no con los pagos en efectivo del cliente fachada?

Cómo se defiende el tercero de buena fe. Si la empresa puede responder afirmativamente a esas preguntas con documentos concretos, la defensa tiene sustento: puede argumentar que actuó con la diligencia que la situación exigía, que no había señales de alerta que hubiera podido detectar con los controles que aplicó y que los recursos usados para adquirir el inmueble tienen origen demostrado en la actividad lícita. La Corte Constitucional, en la sentencia C-374 de 1997, dejó claro que el tercero de buena fe exenta de culpa está protegido en el proceso de extinción de dominio.

Si la empresa no puede responder esas preguntas con documentos, la defensa depende de argumentos verbales que son difíciles de sostener frente a la evidencia de una relación comercial que encaja en los patrones clásicos del lavado de activos.

La lección práctica. En este caso, la empresa familiar no era cómplice del lavado. Sus directivos actuaban de buena fe en el sentido coloquial del término. Pero la ausencia de un programa de compliance mínimo —incluso voluntario— y la ausencia de documentación de la debida diligencia convirtieron esa buena fe en un argumento difícil de sostener en el proceso. El compliance no habría eliminado el riesgo, pero habría construido la evidencia necesaria para defenderlo. Antes de documentar, identifique las alertas de lavado propias de la empresa familiar.

Para revisarlo antes de la próxima operación

Checklist de compliance mínimo para directivos

Use esta lista como punto de partida para evaluar el estado del programa de compliance de su empresa. Cada punto sin marcar representa un vacío que puede debilitar la defensa si en algún momento se cuestiona la buena fe de la empresa frente a una operación o a un activo.

• Política aprobada y fechada. La empresa tiene una política de prevención de lavado de activos aprobada por la junta o la administración, con fecha anterior a las relaciones comerciales que podrían estar en cuestión.
• Matriz de riesgos actualizada. Existe una identificación de los riesgos concretos de la empresa según su sector, sus clientes, sus proveedores, su forma de pago habitual y sus activos.
• Formulario de vinculación de clientes y proveedores. Toda relación comercial de cierto valor o riesgo pasa por un proceso de verificación documentado antes de que se firme el contrato o se reciba el primer pago.
• Consulta a listas de riesgo. Se consultan periódicamente las listas de la OFAC, la ONU y otras fuentes relevantes para los clientes y proveedores activos. Las consultas quedan registradas con fecha y resultado.
• Verificación del beneficiario final. Para clientes y proveedores personas jurídicas, se verifica quién es el beneficiario final real y se conserva esa información.
• Política de manejo de efectivo. Existe una política que define los umbrales a partir de los cuales un pago en efectivo requiere declaración de origen y aprobación adicional, y esa política se aplica de manera consistente.
• Trazabilidad de pagos. Los pagos significativos se realizan por canales bancarios y quedan documentados con su origen y destino.
• Canal de reporte interno. Existe un mecanismo claro para que cualquier empleado o directivo pueda reportar internamente una señal de alerta sin consecuencias para quien reporta.
• Oficial de cumplimiento o responsable designado. Hay una persona con nombre propio que es responsable de gestionar el programa, con las facultades y los recursos para actuar.
• Capacitación documentada. El personal relevante ha recibido capacitación sobre señales de alerta y sobre los procedimientos de reporte. Existen listas de asistencia o certificaciones que lo demuestran.
• Actualización periódica de la debida diligencia. Las relaciones comerciales de largo plazo se revisan periódicamente para detectar cambios en el perfil de riesgo.
• Conservación de documentos. Los documentos de debida diligencia, los registros de transacciones y los reportes internos se conservan de manera organizada y accesible por el período mínimo requerido.

Para que pueda verificarlo usted mismo

Fuentes y lecturas relacionadas

• Código Penal colombiano, artículo 323 — lavado de activos: verbos rectores, actividades ilícitas predicado, penas.
• Código Penal colombiano, artículo 325 — omisión de control: directivos de entidades vigiladas que omiten mecanismos de control.
• Código Penal colombiano, artículo 326 — testaferrato: prestar el nombre para adquirir bienes de origen ilícito.
• Corte Constitucional, Sentencia C-374 de 1997 — M.P. José Gregorio Hernández Galindo, 13 de agosto de 1997: naturaleza patrimonial y autónoma de la extinción de dominio; protección del tercero de buena fe exenta de culpa.
• Ley 1708 de 2014 — Código de Extinción de Dominio: marco normativo de la acción patrimonial, causales, proceso y defensa del tercero.
• Superintendencia de Sociedades — lineamientos y circulares sobre SAGRILAFT para sociedades del sector real.
• Unidad de Información y Análisis Financiero (UIAF) — guías sobre reporte de operaciones sospechosas y señales de alerta por sector.
• Abogado penalista en Bogotá — defensa penal empresarial ante investigaciones de la Fiscalía.
• Derecho penal en Cafore — área de práctica penal corporativa.

Contenido preparado por Cafore Abogados como orientación general para Colombia sobre compliance, lavado de activos y extinción de dominio. No reemplaza la asesoría legal concreta sobre activos, contratos, programas de cumplimiento, investigaciones o medidas cautelares específicas. La estrategia de defensa depende de los hechos, la documentación disponible y la etapa procesal. Revisión editorial: junio de 2026.