Compliance penal: cómo prevenir el riesgo penal en su empresa

La mayoría de las empresas piensan en un abogado penalista cuando ya hay una denuncia, una imputación o un allanamiento. Para entonces, buena parte del daño —patrimonial y reputacional— ya está hecho. El compliance penal, o cumplimiento penal, propone el camino contrario: gestionar el riesgo de delito antes de que ocurra, con controles que reducen la probabilidad de que la empresa o sus directivos terminen en un proceso penal.

Prevenir no es un lujo de las multinacionales. En Colombia, buena parte del tejido empresarial está obligado por ley a implementar sistemas de prevención, y quienes no lo están de todos modos se benefician de hacerlo. Un programa serio protege dos cosas a la vez: el patrimonio y la continuidad de la sociedad, y la libertad de las personas que la dirigen.

En esta guía explicamos, desde la lógica de la prevención, qué es un programa de cumplimiento, cuáles son los dos grandes regímenes obligatorios en Colombia —el SAGRILAFT y el PTEE—, cuáles son los delitos que un programa mitiga, cómo se hace la debida diligencia de terceros y por qué un buen programa reduce la exposición penal de los administradores. Hay un hilo que recorre todo el texto y conviene fijar desde ya: en materia de riesgo penal empresarial coexisten dos responsabilidades distintas, la administrativa de la persona jurídica ante las superintendencias y la penal de la persona natural ante la justicia. No abordamos aquí cómo se defiende a un directivo ya imputado; esa es otra conversación. Aquí explicamos cómo evitar llegar a ese punto.

Lo esencial

Si dispone de dos minutos, estos son los puntos que debe retener antes de entrar en detalle:

• El compliance penal es prevención. Gestiona el riesgo de delito ex ante, con controles que actúan sobre la causa y no sobre las consecuencias.
• En Colombia la responsabilidad penal es, por regla general, individual. Responden las personas naturales —representante legal, administradores, ciertos empleados—, no la sociedad como ente abstracto.
• Pero la empresa no queda indemne. Enfrenta sanciones administrativas, extinción de dominio y, si fue usada para delinquir, la suspensión o cancelación de su personería jurídica (art. 91 de la Ley 906 de 2004).
• Dos regímenes obligatorios que vigila la Superintendencia de Sociedades: el SAGRILAFT, contra el lavado y la financiación del terrorismo, y el PTEE, contra la corrupción y el soborno transnacional.
• Eje transversal: la persona jurídica responde administrativamente y la persona natural responde penalmente, en paralelo, por un mismo hecho. La sanción a la empresa opera "sin perjuicio" de la responsabilidad penal del representante legal (art. 2 de la Ley 1778 de 2016).
• Un programa efectivo baja la probabilidad del delito, ayuda a demostrar diligencia y atenúa la sanción de la empresa (art. 7 de la Ley 1778 de 2016). Un programa "de papel" no protege a nadie.

Del incendio a la prevención: por qué anticiparse protege a la empresa y a sus directivos

La lógica reactiva —esperar a que llegue la Fiscalía— es la más costosa. Cuando el proceso ya empezó, los honorarios de defensa, las medidas cautelares, el bloqueo de cuentas, la pérdida de contratos y el desgaste reputacional se acumulan al mismo tiempo. La prevención invierte esa ecuación: cuesta una fracción y actúa sobre la causa, no sobre las consecuencias. Es la diferencia entre instalar detectores de humo y llamar a los bomberos cuando el edificio ya arde.

Piense en un caso corriente. Su empresa contrata a un intermediario comercial para abrir mercado en otro país; ese intermediario, sin que usted lo sepa, paga una "comisión" a un funcionario extranjero para agilizar un permiso. Meses después, una autoridad detecta el pago. Sin controles previos, usted no tiene cómo demostrar que la compañía verificó al intermediario, fijó reglas claras y vigiló la operación: queda expuesta la empresa y quedan expuestos sus administradores. Con un programa serio, en cambio, existe un rastro documental —debida diligencia, cláusulas anticorrupción, capacitación— que marca la diferencia entre una organización diligente y una negligente.

Conviene aclarar un punto que suele generar confusión. Por regla general, en Colombia la responsabilidad penal es individual: ante un delito responden las personas naturales —el representante legal, los administradores, ciertos empleados—, no la sociedad como ente abstracto. Pero de ahí no se sigue que la empresa quede indemne.

La persona jurídica sufre consecuencias propias y severas: sanciones administrativas de las superintendencias, extinción de dominio sobre bienes de origen o destinación ilícita y —cuando la sociedad se ha usado para delinquir— la suspensión o cancelación de su personería jurídica ordenada por el juez penal. Prevenir, entonces, protege dos frentes al tiempo: a la compañía y a quienes la dirigen.

Este doble efecto es la clave del compliance penal. La responsabilidad penal personal de los administradores —cuándo responden y cómo se defienden— la tratamos en un análisis aparte sobre la responsabilidad penal de los directivos. Aquí nos quedamos en el terreno de la prevención.

Qué es un programa de cumplimiento y qué elementos tiene

Un programa de cumplimiento (compliance) es el conjunto de políticas, procedimientos y controles con los que una organización identifica, previene, detecta y gestiona sus riesgos legales; en materia penal, sobre todo el lavado de activos, la financiación del terrorismo, la corrupción y el soborno. No es un documento que se archiva: es un sistema vivo que se audita y se mejora. Un manual perfecto guardado en un cajón no es un programa; es una coartada que no engaña a nadie.

Aunque cada empresa lo adapta a su tamaño y a su sector, los estándares nacionales e internacionales —las circulares de la Superintendencia de Sociedades y referentes como la norma ISO 37001 antisoborno— coinciden en unos elementos mínimos. Los revisamos uno a uno, con su lógica práctica y el error que se comete con más frecuencia.

• Compromiso de la alta dirección. Sin respaldo real de la junta y la gerencia —presupuesto, autoridad y ejemplo—, el programa es papel. El error típico: aprobar una política en acta y no asignar ni una hora ni un peso a ejecutarla. Si la dirección es la primera en saltarse los controles, ningún empleado los tomará en serio.
• Evaluación de riesgos. Un diagnóstico o matriz que identifica dónde está expuesta la empresa según su actividad, clientes, geografías y contrapartes. No todas las empresas tienen el mismo riesgo: no es igual exportar software que operar con efectivo en zonas de frontera. El error típico: copiar la matriz de otra compañía sin mirar la propia operación.
• Políticas y código de conducta. Reglas claras sobre regalos, atenciones, conflictos de interés, pagos, contratación de terceros y trato con funcionarios. El error típico: redactar un código genérico, ambiguo, que nadie sabe aplicar cuando llega el caso concreto —por ejemplo, si se puede o no aceptar una invitación de un proveedor.
• Oficial de cumplimiento. Un responsable con independencia, presupuesto y acceso directo a la administración. El error típico: nombrar oficial al mismo gerente financiero que aprueba los pagos, de modo que quien controla y quien es controlado son la misma persona.
• Debida diligencia de terceros. Conocer a clientes, proveedores e intermediarios antes de contratar, y no solo al firmar. Es el punto por donde entra la mayoría de los problemas y por eso le dedicamos una sección propia más abajo.
• Capacitación. Que empleados y directivos sepan reconocer una señal de alerta y sepan qué hacer con ella. El error típico: una charla anual que nadie recuerda, sin registro de asistencia ni evaluación.
• Canal de denuncias. Una vía confidencial —y en lo posible anónima— para reportar hechos irregulares. El error típico: un buzón que nadie revisa o, peor, uno que expone al denunciante.
• Monitoreo, auditoría y mejora. Revisar que los controles funcionen y corregir lo que falle. El error típico: no volver a mirar el programa hasta que estalla el problema que debía prevenir.

En Colombia, estos elementos no son solo buenas prácticas: para muchas empresas son una obligación legal, canalizada en dos regímenes que vigila la Superintendencia de Sociedades. El SAGRILAFT, para el riesgo de lavado y terrorismo; el PTEE, para el riesgo de corrupción. Antes de entrar en cada uno, conviene ver con claridad cuáles son los delitos que están detrás.

Los riesgos penales que un buen programa mitiga

Un programa de cumplimiento no persigue un objetivo abstracto: busca mantener a la empresa y a sus directivos lejos de un puñado de delitos concretos, todos con penas severas para las personas naturales involucradas. Conocerlos ayuda a entender por qué los controles valen lo que cuestan. Estos son los cuatro núcleos de riesgo que la prevención empresarial atiende con más frecuencia:

El lavado de activos es el delito central del sistema: dar apariencia de legalidad a bienes provenientes de actividades ilícitas. Un programa reduce el riesgo de que la empresa se convierta —a sabiendas o por descuido— en el vehículo que "limpia" ese dinero. La financiación del terrorismo, en su vertiente penal de administración de recursos ligados a actividades terroristas, comparte la misma lógica de prevención y por eso el SAGRILAFT las trata juntas. El soborno transnacional, por su parte, es el riesgo típico de las empresas que hacen negocios con el sector público extranjero, y es el corazón del PTEE.

Hay un punto que los directivos suelen pasar por alto: cuando el delito lo cometen quienes dirigen la empresa, la pena no es la misma que para un particular cualquiera. La ley agrava el castigo precisamente para los administradores.

El detalle de los distintos delitos financieros y cibernéticos que amenazan a la empresa —desde el fraude interno hasta los ataques informáticos— lo desarrollamos en una guía específica sobre delitos financieros.

SAGRILAFT: prevención de lavado de activos y financiación del terrorismo

O SAGRILAFT (Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva) es el sistema de prevención que la Superintendencia de Sociedades exige a las empresas del sector real. Está regulado en el Capítulo X de la Circular Básica Jurídica, en la versión modificada por la Circular Externa 100-000016 de 2020.

¿A qué empresas aplica?

La obligación depende del tamaño y del sector, medidos a 31 de diciembre del año inmediatamente anterior:

• Régimen general: sociedades vigiladas o controladas por la Superintendencia con ingresos totales o activos iguales o superiores a 40.000 SMMLV.
• Sectores de mayor riesgo: para actividades como agentes inmobiliarios, comercio de metales y piedras preciosas, servicios jurídicos y contables, construcción de edificios y obras civiles o servicios de activos virtuales, el umbral de ingresos baja a 30.000 SMMLV.

Las empresas que no alcanzan esos umbrales pueden quedar sujetas a un régimen de medidas mínimas, más liviano. Verificar en cuál categoría cae su empresa, y hacerlo cada año, es el primer paso: los umbrales se cruzan con el cierre del ejercicio anterior, de modo que una compañía que crece puede volverse sujeto obligado sin darse cuenta.

¿Qué exige?

• Nombrar un oficial de cumplimiento aprobado por la junta directiva.
• Elaborar una matriz de riesgo de LA/FT y aplicar debida diligencia (conocimiento del cliente, de la contraparte y del beneficiario final).
• Definir señales de alerta y procedimientos internos de control.
• Reportar operaciones sospechosas (ROS) y demás reportes a la UIAF (Unidad de Información y Análisis Financiero), la unidad de inteligencia financiera creada por la Ley 526 de 1999.

Un ejemplo concreto. Suponga que su empresa recibe de un cliente nuevo un pago anticipado muy superior al valor del pedido, con instrucción de devolver el excedente a una cuenta de un tercero en otro país. Esa es una señal de alerta de manual. Con un SAGRILAFT en marcha, el oficial de cumplimiento documenta la operación, pide explicaciones y, si el caso lo amerita, presenta un ROS a la UIAF. Sin sistema, el pago entra, se procesa como cualquier otro y la empresa queda enredada en una operación de lavado ajena.

Aquí es esencial no confundir dos planos. El SAGRILAFT es un deber administrativo: no tenerlo, o tenerlo mal, acarrea sanciones de la Superintendencia. Pero las conductas que busca evitar son delitos, con penas de prisión para las personas naturales. Y omitir deliberadamente los controles o los reportes puede constituir, por sí mismo, un delito.

El marco de la financiación del terrorismo se completa con la Ley 1121 de 2006, que estructuró la prevención en el país y reforzó a la UIAF como unidad de inteligencia financiera receptora de los reportes. Nótese la diferencia de planos: la empresa que no reporta responde ante la Superintendencia (plano administrativo); la persona que omite deliberadamente el control o el reporte responde ante la justicia penal (plano individual). El mismo hecho, dos responsabilidades.

PTEE y Ley 1778 de 2016: anticorrupción y soborno transnacional

El segundo gran régimen preventivo apunta a la corrupción. Su base es la Ley 1778 de 2016, reformada en varios puntos por la Ley 2195 de 2022, que introdujo en Colombia una figura decisiva: la responsabilidad administrativa de las personas jurídicas por soborno transnacional; es decir, por sobornar —a través de empleados, contratistas, administradores o asociados— a un servidor público extranjero para obtener o conservar un negocio internacional.

Aquí la distinción entre lo administrativo y lo penal se ve con toda nitidez, y la propia ley la enuncia sin rodeos. La sociedad responde administrativamente ante la Superintendencia de Sociedades, con sanciones que pueden ser demoledoras. La persona natural que paga o promete el soborno responde penalmente por el delito de soborno transnacional. Son dos responsabilidades paralelas por un mismo hecho.

La competencia para investigar y sancionar a la persona jurídica es de la Superintendencia de Sociedades, incluso cuando la conducta se cometió en el exterior, siempre que la sociedad responsable esté domiciliada en Colombia. Y las sanciones no son simbólicas.

El PTEE: el programa que la ley espera de usted

Para prevenir ese riesgo, la Superintendencia exige el Programa de Transparencia y Ética Empresarial (PTEE), regulado en el Capítulo XIII de la Circular Básica Jurídica (Circular Externa 100-000011 de 2021). Es un programa anticorrupción con los elementos ya vistos —evaluación de riesgos, políticas, oficial de cumplimiento, debida diligencia, canal de denuncias y auditoría—, enfocado en la relación con el sector público y con contrapartes internacionales.

Están obligadas, según sus cifras a 31 de diciembre del año anterior, entre otras:

• Las sociedades con negocios o transacciones internacionales iguales o superiores a 100 SMMLV y con ingresos totales o activos iguales o superiores a 30.000 SMMLV (riesgo de soborno transnacional).
• Las que celebraron contratos con entidades estatales por 500 SMMLV o más y tienen ingresos o activos desde 30.000 SMMLV, o pertenecen a ciertos sectores identificados por la Superintendencia (riesgo de corrupción).

Tener un PTEE real no es solo cumplir por cumplir: la existencia de un programa efectivo es un factor que la autoridad valora expresamente al graduar las sanciones. Un programa "de papel", en cambio, no protege a nadie.

Conviene ver los dos regímenes lado a lado, porque comparten estructura pero atienden riesgos distintos:

Responsabilidad administrativa de la empresa frente a la responsabilidad penal de la persona

Este es el eje que conviene tener grabado, porque de él depende entender por qué la prevención protege en dos frentes a la vez. Un mismo hecho —un soborno, una operación de lavado, una omisión de control— puede activar dos maquinarias distintas, con lógicas, autoridades y consecuencias diferentes. No compiten entre sí; funcionan en paralelo.

La consecuencia práctica es sencilla de enunciar y fácil de olvidar: pagar la multa administrativa no borra el proceso penal del directivo, y ganar el proceso penal no cancela la sanción a la empresa. Por eso un programa de cumplimiento se diseña para prevenir el hecho —no para elegir cuál de las dos responsabilidades asumir— y por eso se documenta con cuidado: la evidencia sirve en ambos escenarios.

Debida diligencia de terceros: por dónde entra el riesgo

Si hubiera que señalar un solo punto por donde la mayoría de las empresas se contamina, sería este: los terceros. Proveedores, distribuidores, agentes, intermediarios, socios de negocio y clientes pueden arrastrar a la compañía a un problema penal aunque ella no haya buscado el delito. Por eso la debida diligencia de terceros es el corazón operativo de cualquier programa: la mayoría de los casos de soborno transnacional y de lavado no ocurren por la puerta principal, sino a través de un tercero que la empresa no conocía bien.

Hacerla bien implica, como mínimo:

• Conocer al tercero antes de contratar: identidad, actividad real, propietarios y beneficiario final —la persona de carne y hueso que en últimas se beneficia—.
• Consultar listas restrictivas (como las de la ONU y la OFAC) y verificar antecedentes y reputación.
• Incluir cláusulas contractuales anticorrupción y antilavado, con derecho de auditoría y de terminación si el tercero incumple.
• Vigilar señales de alerta: pagos a terceros países sin razón aparente, comisiones desproporcionadas, exigencia de intermediarios innecesarios, facturas sin soporte o resistencia a entregar información.

Un ejemplo. Su empresa va a contratar a un "consultor" que promete conseguir un contrato estatal a cambio de una comisión del 20 %, muy por encima del mercado, y se niega a explicar en qué se gasta ese dinero. La debida diligencia no consiste en firmar y esperar: consiste en detenerse, documentar la duda y, si no hay explicación razonable, no contratar. El error común es tratar estos controles como un trámite de la firma del contrato y no como una vigilancia que continúa durante toda la relación. Un tercero limpio hoy puede dejar de serlo mañana.

La debida diligencia también es la mejor defensa cuando es la propia empresa la que resulta usada por un tercero como vehículo del delito; ese escenario —la empresa como sujeto pasivo— lo tratamos en un artículo dedicado a la empresa como víctima.

Canales de denuncia y protección del denunciante

Ningún control lo detecta todo. Por eso el canal de denuncias —una línea ética confidencial y, en lo posible, anónima— es una de las herramientas más eficaces: convierte a cada empleado en un sensor temprano de conductas irregulares. Muchos fraudes internos y sobornos se descubren por un reporte, no por una auditoría.

Para que funcione, el canal necesita dos garantías. Primero, Uma vez decidida a dissolução, a sociedade entra em: quien reporta debe confiar en que su identidad se protege. Segundo, ausencia de represalias: la empresa debe comprometerse por escrito a que denunciar de buena fe no traerá consecuencias laborales adversas. Tanto el SAGRILAFT como el PTEE exigen contar con estos mecanismos y darles trámite serio.

Un ejemplo de lo que no debe pasar: un empleado reporta por el canal que un jefe pide "comisiones" a proveedores, y semanas después ese empleado es trasladado o despedido con una excusa cualquiera. El mensaje que recibe toda la organización es inequívoco: denunciar se paga caro. A partir de ahí, el canal muere. Un canal que nadie usa —o que castiga a quien lo usa— es peor que no tenerlo, porque genera una falsa sensación de control y, encima, prueba que la empresa supo y no actuó.

Cómo el programa reduce la exposición penal de los directivos

Este es el punto que más interesa a quien dirige una empresa. Un programa de cumplimiento no es una póliza que "borre" el delito —nada lo hace—, pero sí incide en la exposición penal de los administradores por tres vías concretas:

• Baja la probabilidad. Menos oportunidades de delito significan, sencillamente, menos procesos. La mayoría de los controles operan aquí: impiden que el hecho ocurra.
• Demuestra diligencia. Frente a una investigación, un programa real —con evidencia de que se aplicó— ayuda a mostrar que el directivo actuó con cuidado y no consintió el hecho, lo que resulta relevante al discutir su responsabilidad individual.
• Atenúa la sanción de la empresa. En el plano administrativo, la existencia de un PTEE o un SAGRILAFT efectivo es un factor que la Superintendencia pondera a favor de la sociedad.

La palabra clave es efectivo. Un programa cosmético, sin presupuesto, sin capacitación y sin auditoría, no engaña a nadie y puede incluso agravar la percepción de negligencia. La diligencia se prueba con hechos documentados —matrices actualizadas, registros de capacitación, reportes tramitados, decisiones de no contratar—, no con manuales guardados en un cajón. En un proceso, la pregunta no será "¿tenían un manual?", sino "¿qué hicieron el día que apareció la señal de alerta?".

Primeros pasos para implementar un programa mínimo

No hace falta empezar por un sistema perfecto; hace falta empezar bien. Una empresa mediana puede montar un programa mínimo viable con una ruta ordenada:

1. Diagnóstico. Establezca si su empresa es sujeto obligado del SAGRILAFT o del PTEE y evalúe sus riesgos reales según sector, clientes, geografías y operaciones.
2. Respaldo de la dirección. Lleve el tema a la junta y asigne presupuesto y autoridad; sin esto, lo demás no se sostiene.
3. Oficial de cumplimiento. Designe a un responsable con independencia y sin conflicto de interés con las áreas que debe controlar.
4. Políticas y código de conducta. Redáctelos a la medida de la empresa, no copiados de un formato, con reglas concretas sobre regalos, pagos y terceros.
5. Debida diligencia y canal de denuncias. Póngalos en marcha con procedimientos claros y responsables definidos.
6. Capacitación. Forme a empleados y directivos, adaptada a cada rol, y deje registro de asistencia y evaluación.
7. Auditoría y mejora. Revise periódicamente que los controles funcionen, corrija lo que falle y documente todo lo que hace.

La documentación no es burocracia: es la prueba de que el programa existe y funciona el día en que alguien —una autoridad, un juez, un cliente exigente— pregunte. Un programa proporcional al tamaño y al riesgo de la empresa vale mucho más que uno ambicioso que nadie ejecuta.

Qué NO hacer

Tan importante como saber qué construir es saber qué evitar. Estos son los errores que, una y otra vez, convierten un programa en una fachada inútil:

• No copie el manual de otra empresa y lo firme como propio. Un programa que no refleja su operación real no previene nada y, ante la autoridad, delata que nunca se hizo una evaluación de riesgos seria.
• No nombre oficial de cumplimiento a quien tiene conflicto de interés —por ejemplo, al mismo que aprueba los pagos o cierra los negocios—. La independencia es la esencia del cargo.
• No trate la debida diligencia como un trámite de una sola vez. Conocer al tercero al firmar y no volver a mirarlo es dejar la puerta abierta durante toda la relación.
• No monte un canal de denuncias sin protección real al denunciante. Si hay represalias, el canal se vuelve en contra de la empresa: prueba que supo y no protegió.
• No ignore las señales de alerta por no perder un negocio. El contrato que se salva hoy saltándose un control es el proceso penal de mañana.
• No deje el programa sin presupuesto ni auditoría. Un programa que no se ejecuta ni se revisa es, a los ojos de un juez, la confirmación de la negligencia, no su excusa.
• No use el programa como escudo público mientras por dentro se toleran las mismas conductas. La contradicción entre el discurso y la práctica agrava, no atenúa.

Mitos frecuentes

Alrededor del compliance penal circulan ideas equivocadas que llevan a las empresas a no actuar o a actuar mal. Vale la pena desmontarlas:

Mito: "El compliance es solo para grandes multinacionales". Realidad: los umbrales del SAGRILAFT y del PTEE alcanzan a muchas empresas medianas colombianas, y las contrapartes serias exigen controles a sus proveedores sin importar su tamaño. La prevención no depende de ser grande, sino de estar expuesto.

Mito: "Como la empresa no va a la cárcel, el riesgo es menor". Realidad: la sociedad enfrenta multas, inhabilidad para contratar, extinción de dominio y hasta la suspensión de su personería. Y sus administradores —personas de carne y hueso— sí responden penalmente.

Mito: "Con tener el manual basta". Realidad: un manual sin ejecución, presupuesto ni auditoría no protege; incluso puede agravar la percepción de negligencia. Lo que cuenta es el programa efectivo, no el documento.

Mito: "Si el delito lo cometió un empleado o un intermediario, la empresa no responde". Realidad: la Ley 1778 de 2016 responsabiliza a la persona jurídica precisamente por los actos de sus empleados, contratistas, administradores o asociados. Delegar no traslada el riesgo.

Mito: "El compliance frena el negocio". Realidad: un programa bien diseñado agiliza decisiones —define de antemano qué se puede y qué no— y abre puertas, porque cada vez más clientes y aliados exigen contrapartes con controles. Prevenir es también un argumento comercial.

Mito: "Un programa me exime de responsabilidad". Realidad: no exime de forma automática. Reduce la probabilidad del delito y, si algo ocurre, ayuda a demostrar diligencia y atenúa la sanción administrativa. No es una póliza, es una barrera.

Checklist de un programa de cumplimiento mínimo viable

Use esta lista como autodiagnóstico rápido. Si responde "no" o "no lo sé" a varias casillas, su empresa tiene trabajo por delante:

• ¿Verificó este año si su empresa es sujeto obligado del SAGRILAFT o del PTEE, con las cifras a 31 de diciembre anterior?
• ¿Tiene una matriz de riesgos hecha sobre su propia operación, y no copiada?
• ¿La junta o la gerencia respaldó el programa con presupuesto y autoridad, y quedó en acta?
• ¿Designó un oficial de cumplimiento con independencia y sin conflicto de interés?
• ¿Tiene un código de conducta con reglas concretas sobre regalos, pagos, conflictos de interés y terceros?
• ¿Hace debida diligencia de clientes, proveedores e intermediarios antes de contratar, incluido el beneficiario final?
• ¿Sus contratos incluyen cláusulas anticorrupción y antilavado con derecho de auditoría y terminación?
• ¿Consulta listas restrictivas y tiene definidas señales de alerta?
• ¿Cuenta con un canal de denuncias confidencial y con protección efectiva al denunciante?
• ¿Capacita a empleados y directivos y deja registro de asistencia?
• ¿Reporta a la UIAF las operaciones sospechosas cuando corresponde?
• ¿Audita el programa periódicamente y documenta cada control, decisión y reporte?

En resumen

Prevenir el riesgo penal es, a la larga, más barato y más digno que defenderse de él. Un programa de cumplimiento bien diseñado protege el patrimonio de la empresa, su reputación y la tranquilidad de quienes la dirigen; y mantiene a la vista la distinción que recorre toda esta guía: la responsabilidad administrativa de la sociedad y la responsabilidad penal de la persona natural corren en paralelo, y solo la prevención actúa sobre las dos a la vez. En Cafore Abogados acompañamos el diseño y la implementación de programas de compliance penal ajustados a su sector y a su tamaño, y evaluamos si su empresa está o no obligada por el SAGRILAFT o el PTEE. Si desea revisar su exposición, puede escribirnos o llamarnos al 313 8411825.

Normas e jurisprudência citadas

• Art. 323 del Código Penal (Ley 599 de 2000) — tipifica el lavado de activos; prisión de 10 a 30 años y multa de 1.000 a 50.000 SMMLV. Fuente
• Art. 324 del Código Penal (Ley 599 de 2000) — agrava el lavado de activos cuando lo cometen jefes, administradores o encargados de la persona jurídica. Fuente
• Art. 325 del Código Penal (Ley 599 de 2000) — tipifica la omisión de control por directivos y empleados de entidades financieras y cooperativas de ahorro y crédito. Fuente
• Art. 325A del Código Penal (Ley 599 de 2000) — tipifica la omisión de reportes a la UIAF sobre transacciones en efectivo. Fuente
• Art. 345 del Código Penal (Ley 599 de 2000) — administración de recursos relacionados con actividades terroristas; prisión de 6 a 12 años y multa de 200 a 10.000 SMMLV. Fuente
• Art. 433 del Código Penal (Ley 599 de 2000) — tipifica el soborno transnacional en cabeza de la persona natural; prisión de 9 a 15 años y multa de 650 a 50.000 SMMLV. Fuente
• Art. 91 de la Ley 906 de 2004 — permite suspender o cancelar la personería jurídica usada para delinquir. Fuente
• Ley 1778 de 2016 (arts. 2, 3, 5, 7 y 23), modificada por la Ley 2195 de 2022 — responsabilidad administrativa de las personas jurídicas por soborno transnacional; competencia de la Superintendencia de Sociedades; sanciones; criterios de graduación; y programas de transparencia y ética empresarial (PTEE). Fuente
• Ley 2195 de 2022 — reforma el régimen sancionatorio de la Ley 1778 de 2016 (arts. 19 a 25). Fuente
• Ley 526 de 1999 — crea la Unidad de Información y Análisis Financiero (UIAF), receptora y analista de los reportes de operaciones sospechosas. Fuente
• Ley 1121 de 2006 — marco de prevención de la financiación del terrorismo y fortalecimiento de la UIAF. Fuente
• Circular Externa 100-000016 de 2020 — Capítulo X, Superintendencia de Sociedades — regula el SAGRILAFT y los umbrales de las empresas obligadas. Fuente
• Circular Externa 100-000011 de 2021 — Capítulo XIII, Superintendencia de Sociedades — regula el PTEE (Programa de Transparencia y Ética Empresarial). Fuente
• Corte Constitucional, Sentencia SU-1184 de 2001 — posición de garante y deber de vigilancia (Código Penal, art. 25). Texto oficial.
• Corte Constitucional, Sentencia C-320 de 1998 — límites a la responsabilidad de la persona jurídica; no responsabilidad objetiva. Texto oficial.
• Corte Constitucional, Sentencia C-843 de 1999 — inexequibilidad de penas a personas jurídicas sin determinación legal. Texto oficial.
• Corte Constitucional, Sentencia C-603 de 2016 — medidas sobre la persona jurídica usada para delinquir (art. 91 Ley 906; art. 34 Ley 1474). Texto oficial.
• Corte Constitucional, Sentencia C-165 de 2019 — régimen administrativo del soborno transnacional (Ley 1778 de 2016). Texto oficial.