La gestión de denuncias empresariales en Colombia entra en una nueva etapa. Con la expedición de la Circular Externa 100-000020 del 2 de julio de 2026, la Superintendencia de Sociedades actualizó integralmente su Circular Básica Jurídica e introdujo un enfoque unificado para la prevención y gestión de riesgos de lavado de activos, financiación del terrorismo, corrupción y soborno transnacional.
Entre los aspectos que requieren atención se encuentran las disposiciones sobre los canales de denuncia, ahora contempladas en el numeral 9.18 del nuevo Capítulo IX.
Para las empresas obligadas, el cumplimiento no consiste únicamente en habilitar un medio para recibir reportes. La nueva regulación establece condiciones relacionadas con el anonimato, la confidencialidad, la protección frente a represalias y el seguimiento de las denuncias.
¿Qué deben revisar las organizaciones y cuánto tiempo tienen para adaptarse?
¿Qué cambió con la Circular Externa 100-000020 de 2026?
La nueva Circular Básica Jurídica reorganiza las instrucciones de la Superintendencia de Sociedades y reúne en su Capítulo IX la gestión de los riesgos asociados al lavado de activos, la financiación del terrorismo, la financiación de la proliferación de armas de destrucción masiva, la corrupción y el soborno transnacional.
Esta actualización integra materias que anteriormente se encontraban desarrolladas en las disposiciones sobre el SAGRILAFT y el Programa de Transparencia y Ética Empresarial (PTEE). El propósito es establecer un marco de gestión que permita abordar estos riesgos de manera articulada.
Para las áreas de cumplimiento, esto implica revisar la coherencia entre los procedimientos existentes, las políticas internas, los mecanismos de detección y el tratamiento de las denuncias.
El canal de denuncias adquiere especial relevancia dentro de esa estructura, pues permite recibir información sobre posibles conductas irregulares y deficiencias en la aplicación del propio sistema de gestión de riesgos.
¿Qué exige la nueva regulación a los canales de denuncia?
El numeral 9.18.1 del Capítulo IX establece obligaciones específicas para los sujetos obligados. Estas disposiciones abarcan tanto las características del canal como las medidas organizacionales necesarias para que las denuncias puedan recibirse y gestionarse de forma segura.
1. Permitir denuncias anónimas y confidenciales
El canal debe ofrecer la posibilidad de comunicar posibles conductas relacionadas con los riesgos contemplados en la regulación de manera anónima y confidencial.
Aunque ambos conceptos están relacionados, no son equivalentes.
El anonimato permite presentar una denuncia sin revelar la identidad de quien la realiza. La confidencialidad, por su parte, implica restringir el acceso a la identidad del denunciante cuando esta se conoce, así como proteger la información relacionada con el caso.
La Circular también dispone la incorporación de componentes tecnológicos que permitan preservar la reserva de los datos del denunciante y de los hechos denunciados.
Por esta razón, las organizaciones deben evaluar si sus herramientas actuales ofrecen garantías suficientes, especialmente cuando utilizan correos electrónicos compartidos o formularios que no fueron diseñados específicamente para recibir información sensible.
2. Facilitar el acceso a empleados, contratistas y terceros
El alcance del canal no debe limitarse al personal vinculado directamente con la empresa.
La nueva regulación contempla que empleados, administradores, asociados, contratistas, personas vinculadas a ellos y cualquier persona que tenga conocimiento de posibles conductas relacionadas con la organización o sus contrapartes puedan presentar denuncias.
Esto resulta relevante en las relaciones con proveedores, intermediarios y otros terceros, en las que pueden surgir señales de corrupción, soborno transnacional u otras irregularidades.
En términos operativos, la empresa debe revisar si el canal es suficientemente accesible para los públicos que necesitan utilizarlo y si su existencia se comunica más allá de los equipos internos.
3. Establecer medidas de protección frente a represalias
La posibilidad de denunciar pierde efectividad cuando las personas consideran que hacerlo puede poner en riesgo su trabajo, su integridad o sus relaciones profesionales.
Por ello, el nuevo Capítulo IX exige que los sujetos obligados adopten medidas adecuadas para evitar represalias contra quienes comuniquen posibles infracciones. La Circular hace referencia expresa a situaciones que puedan afectar la integridad física de las personas y al acoso laboral.
La protección debe reflejarse en procedimientos concretos. Por ejemplo, es necesario definir quién puede conocer la identidad del denunciante, cómo se gestionan los conflictos de intereses y qué medidas se aplican cuando la persona denunciada ocupa una posición jerárquica dentro de la organización.
Estas medidas requieren la participación coordinada de las áreas de Cumplimiento, Jurídica y, cuando corresponda, Gestión Humana.
4. Contar con un procedimiento para recibir y gestionar los casos
Disponer de un canal no es suficiente si las denuncias recibidas no tienen un tratamiento definido.
La Circular exige un procedimiento expedito para la recepción, atención y seguimiento de los casos. También establece la necesidad de adelantar las acciones necesarias para corroborar los hechos denunciados y contar con un protocolo que incentive la presentación de reportes mediante condiciones de confianza y confidencialidad.
En la práctica, esto requiere establecer responsabilidades, criterios de clasificación, mecanismos de investigación y procedimientos para documentar las decisiones adoptadas.
Una gestión estructurada también facilita la identificación de situaciones recurrentes que pueden indicar fallas en los controles internos.
5. Supervisar periódicamente el funcionamiento del canal
La ausencia de denuncias no demuestra, por sí sola, que una empresa esté libre de irregularidades.
El numeral 9.18.1 exige verificar de forma constante y periódica el funcionamiento del canal, identificar posibles deficiencias e implementar los correctivos necesarios.
La regulación también contempla la promoción de su uso y la divulgación de los canales externos establecidos por las autoridades competentes para denunciar hechos de corrupción y soborno transnacional.
Este punto introduce una consideración para las organizaciones: la evaluación del canal debe contemplar su accesibilidad, el conocimiento que tienen las personas sobre su funcionamiento y la capacidad de la empresa para gestionar los reportes recibidos.
¿Qué empresas deben cumplir con estas disposiciones?
Las exigencias del Capítulo IX no se aplican automáticamente a todas las empresas constituidas en Colombia.
La Circular establece distintos criterios para determinar qué organizaciones están obligadas a implementar el sistema de autocontrol y gestión de riesgos, incluidos requisitos relacionados con la supervisión de la Superintendencia de Sociedades, los activos o ingresos y determinadas actividades económicas.
El ámbito de aplicación general se encuentra en el numeral 9.4, mientras que los numerales 9.5 y 9.6 desarrollan condiciones sectoriales y un régimen de medidas mínimas para los casos correspondientes.
Por lo tanto, antes de iniciar un proceso de adecuación, cada organización debe verificar su clasificación regulatoria y las obligaciones que le corresponden.
¿Cuál es el plazo para adaptarse a la Circular Básica Jurídica 2026?
Plazo de transición: 31 de mayo de 2027
Fecha límite para que los sujetos que ya estaban obligados bajo las circulares anteriores ajusten su sistema a las disposiciones del nuevo Capítulo IX.
El numeral 9.29 establece este período de transición para las organizaciones que, al momento de la expedición de la nueva Circular, ya estaban sujetas a las Circulares Externas 100-000016 de 2020, 100-000011 de 2021 y 100-300000 de 2024.
Durante el período previsto, los sistemas y programas que ya se encuentran implementados mantienen su validez para efectos del cumplimiento normativo.
Para las entidades que adquieran por primera vez la condición de sujeto obligado, el numeral 9.28 contempla reglas específicas de implementación, por lo que es necesario determinar el plazo según el momento en que se configure dicha condición.
El período de transición ofrece una oportunidad para revisar anticipadamente los procedimientos existentes, identificar las brechas frente a la nueva regulación y planificar los ajustes técnicos y organizacionales necesarios.
Cómo preparar su canal de denuncias para las nuevas exigencias
Antes de implementar una nueva solución o modificar la actual, las empresas pueden realizar una evaluación centrada en cinco aspectos:
1. Accesibilidad y alcance. Verificar que el canal pueda ser utilizado por los públicos contemplados en la regulación, incluidos terceros, y que las instrucciones para presentar una denuncia sean claras.
2. Anonimato y confidencialidad. Revisar los mecanismos utilizados para proteger la identidad de los denunciantes, restringir el acceso a los casos y preservar la información sensible.
3. Protección frente a represalias. Establecer medidas preventivas, procedimientos de actuación y responsabilidades para gestionar posibles situaciones de retaliación.
4. Tratamiento y seguimiento. Definir cómo se reciben, clasifican, investigan y documentan las denuncias, así como los criterios para escalar los casos que requieran atención especializada.
5. Evaluación del funcionamiento. Establecer indicadores que permitan identificar deficiencias, revisar los tiempos de atención y comprobar si las medidas correctivas adoptadas están produciendo los resultados esperados.
Estas acciones constituyen recomendaciones de implementación para desarrollar las obligaciones previstas en la Circular. Su alcance concreto debe ajustarse a la estructura, los riesgos y el régimen aplicable a cada organización.
El canal interno no reemplaza las obligaciones de reporte ante las autoridades
La existencia de un canal corporativo no sustituye los deberes de comunicación que puedan corresponder ante las autoridades competentes.
El numeral 9.18.2 de la nueva Circular contempla el reporte ante la Superintendencia de Sociedades de hechos que puedan constituir soborno transnacional, en los términos previstos para el revisor fiscal y el oficial de cumplimiento. La regulación también desarrolla las obligaciones relacionadas con el reporte de operaciones sospechosas ante la Unidad de Información y Análisis Financiero (UIAF).
En consecuencia, los procedimientos internos deben permitir identificar los casos que requieren una evaluación adicional y determinar cuándo corresponde activar los mecanismos externos de reporte.
¿Cómo puede apoyar WhistleOn a las empresas colombianas?
La adaptación a las nuevas disposiciones requiere combinar procedimientos internos con herramientas que faciliten la recepción segura y la gestión de las denuncias.
WhistleOn ofrece una plataforma de canales de denuncia que permite recibir reportes anónimos a través de una página web disponible las 24 horas, incorporar relatos de voz y mantener una comunicación segura con los denunciantes. También dispone de herramientas de gestión, alertas y paneles para apoyar el seguimiento de los casos.
Estas funcionalidades pueden ayudar a las organizaciones a estructurar la recepción de información, restringir su tratamiento a los responsables autorizados y disponer de registros para el seguimiento de las actuaciones realizadas.
La conformidad normativa, sin embargo, depende tanto de la solución tecnológica como de su configuración, de las políticas adoptadas y de la gestión que realice cada organización.
¿Su empresa necesita revisar su canal de denuncias ante la nueva Circular Básica Jurídica?
Conozca el canal de denuncias de WhistleOn y solicite una demostración.
