Régimen de Medidas Mínimas en 2026: qué exige y cómo implementarlo en una pyme

El Régimen de Medidas Mínimas (RMM) es la versión simplificada del sistema de prevención de lavado de activos, financiación del terrorismo, financiamiento de la proliferación, corrupción y soborno transnacional que la Superintendencia de Sociedades exige a empresas de ciertos sectores que no alcanzan el umbral del sistema completo. Con la Circular Externa 100-000020 de 2026 la lista creció a diez supuestos y hoy alcanza a constructoras, farmacéuticas, manufactureras, concesionarios y empresas minero-energéticas medianas. Esta guía explica qué le exige la norma, quién responde y en qué orden conviene implementarlo antes del 31 de mayo de 2027.

Qué es el Régimen de Medidas Mínimas y en qué se diferencia del sistema completo

El numeral 9.2 de la Circular Externa 100-000020 de 2026 lo define como las obligaciones "que permiten adoptar medidas simplificadas y menos robustas en aquellos sujetos obligados cuyos ingresos o activos son inferiores a los descritos en el ámbito de aplicación del régimen general". Es una obligación propia, no una exención ni un sistema voluntario.

La circular unificó el SAGRILAFT y el PTEE en un solo Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST, que hoy es el Capítulo IX de la Circular Básica Jurídica. El RMM es el nivel inferior de ese sistema unificado. Si quiere ubicar primero a su empresa entre los tres niveles, revise nuestra guía sobre quién está obligado al SAGRILAFT en 2026.

Quién está obligado al Régimen de Medidas Mínimas

El numeral 9.6 exige dos condiciones a la vez: que la actividad económica inscrita en el registro mercantil corresponda a uno de los códigos CIIU listados, y que a 31 de diciembre del año anterior la empresa tenga ingresos totales iguales o superiores a 369.676 UVB o activos totales iguales o superiores a 616.127 UVB. Con la UVB de 2026 ($12.110, Resolución 3488 de 2025 del Ministerio de Hacienda), eso equivale a unos $4.477 millones en ingresos o $7.461 millones en activos.

Tres detalles de redacción que conviene conocer antes de concluir algo. Primero, el código 4662 (comercio al por mayor de metales y productos metalíferos) aparece tanto en el sector de metales preciosos como en el minero-energético; el resultado práctico es el mismo, porque ambos tienen el mismo umbral. Segundo, el numeral 9.6.5 escribe el último código de vehículos como "G4541", mezclando la letra de la sección con el código; debe leerse como la clase 4541 (comercio de motocicletas). Tercero, las notas al pie 41 y 42 del numeral 9.6 excluyen a quienes estén vigilados por otra entidad con régimen especial, pero la nota 42 está redactada al revés ("y tengan un régimen de vigilancia especial"). Si su empresa tiene un supervisor sectorial, por ejemplo la Superintendencia de Salud o la de Vigilancia y Seguridad Privada, confirme con ese supervisor cuál régimen le aplica en lugar de resolverlo solo con el texto de la nota.

Un error frecuente: revisar solo el CIIU principal. El numeral 9.6 habla de la "actividad económica inscrita en el registro mercantil" sin limitarla a la principal. Mientras Supersociedades no lo aclare, la lectura prudente es revisar también las actividades secundarias del certificado de existencia y representación legal.

Las cuatro obligaciones del Régimen de Medidas Mínimas

El numeral 9.21 agrupa lo que la empresa debe hacer en cuatro bloques. Antes de ellos fija una regla de fondo: el RMM debe considerar "la materialidad del riesgo, el tipo de negocio, la operación, el tamaño, las Áreas Geográficas y países donde opera" y el perfil de las contrapartes. Un documento copiado de otra empresa no cumple esa regla, aunque tenga todos los títulos.

1. Diseño y aprobación (numeral 9.21.1)

El representante legal diseña e implementa el RMM y presenta el proyecto. Lo aprueba la junta directiva o, si no existe, el máximo órgano social, y la aprobación "deberá constar en el acta". Además, la junta o el máximo órgano y el representante legal deben disponer de los recursos operativos, económicos, físicos y tecnológicos necesarios para ejecutarlo.

En una revisión, lo primero que se pide es el acta. Un RMM firmado solo por el gerente, sin acta de aprobación, se trata como un sistema no aprobado. Para una SAS sin junta directiva, la aprobación corresponde a la asamblea de accionistas o al accionista único, y también debe quedar en acta.

2. Divulgación y capacitación (numeral 9.21.2)

El representante legal debe instruir a empleados y asociados (socios o accionistas) sobre los riesgos LA/FT/FP y C/ST "por lo menos una (1) vez a al año", y comunicar las medidas que adoptó la sociedad. La norma no fija duración ni formato. Como buena práctica, guarde la lista de asistencia, el material usado y una evaluación corta: es la forma de probar que la capacitación ocurrió y que se entendió.

3. Debida diligencia de contrapartes (numeral 9.21.3)

La debida diligencia es el proceso para conocer a cada contraparte, es decir, a cualquier persona con la que la empresa tenga vínculos comerciales o contractuales: clientes, proveedores, contratistas, empleados y socios (numeral 9.2). En el RMM incluye, como mínimo:

• Identificar a la contraparte y verificar su identidad con documentos o datos de fuentes confiables e independientes.
• Identificar al beneficiario final, la persona natural que en último término es dueña o controla a la contraparte, y tomar medidas razonables para verificar su identidad. La circular remite a la definición del Estatuto Tributario.
• Conocer la estructura de propiedad para obtener nombre e identificación de los beneficiarios finales.
• Entender el propósito de la relación comercial.
• Hacer debida diligencia continua y revisar que las transacciones sean coherentes con el perfil de la contraparte, incluido el origen de los fondos cuando sea necesario.
• Tener elementos para descartar que una remuneración muy elevada a un contratista oculte sobornos a servidores públicos.
• Dejar todo por escrito, de forma que el representante legal o su delegado pueda consultarlo con facilidad.

El numeral 9.22 añade que la información de la contraparte y el nombre de quien la verificó deben quedar documentados "con fecha y hora". En la práctica, un formulario de vinculación sin fecha, sin firma de quien revisó y sin la consulta de listas adjunta no prueba nada. Si su empresa pasa al sistema completo, los requisitos son más exigentes: los explicamos en la guía de debida diligencia de contrapartes.

Advertencia sobre una inconsistencia del texto: el literal h del numeral 9.21.3 dice que, cuando no sea posible identificar a la contraparte o a su beneficiario final, "el Oficial de cumplimiento deberá dejar documentadas las razones". El RMM no exige Oficial de Cumplimiento. Mientras no haya aclaración, asigne esa tarea al representante legal o a quien él delegue por escrito, y documente que la obligación de completar la debida diligencia sigue abierta después de la vinculación.

4. Listas, reportes y canales de denuncia (numeral 9.21.4)

Este es el bloque que más se incumple, porque tiene obligaciones periódicas:

• Listas vinculantes. Consultar "permanentemente" las listas vinculantes para Colombia, como las del Consejo de Seguridad de la ONU (numeral 9.2). Si aparece un bien o fondo de una persona listada, el representante legal debe reportarlo a la UIAF y ponerlo en conocimiento de la Fiscalía General de la Nación.
• Operaciones inusuales y sospechosas. Definir acciones y herramientas para detectarlas y reportarlas a la UIAF. Una operación inusual es la que no guarda relación con la actividad normal de la contraparte; una sospechosa es la que, además, no ha podido justificarse razonablemente (numeral 9.2).
• SIREL, ROS y AROS. El representante legal se registra en el SIREL de la UIAF como único responsable de los Reportes de Operación Sospechosa (ROS) y del reporte de ausencia (AROS) cada trimestre en que no haya ROS. El numeral 9.19, al que remite el RMM, fija para el AROS un plazo de diez días calendario después del vencimiento del trimestre.
• Canales de denuncia. Promover el Canal de Denuncias por Soborno Transnacional de Supersociedades y el canal de denuncias de corrupción de la Secretaría de Transparencia de la Presidencia.

El AROS es la obligación que más se olvida en las pymes, porque no genera ningún aviso: si en el trimestre no hubo ROS, el reporte de ausencia igual debe presentarse. Programe en el calendario de la empresa los cuatro vencimientos: 10 de enero, 10 de abril, 10 de julio y 10 de octubre.

Plazos para implementar el Régimen de Medidas Mínimas

Advertencia: el numeral 9.28 se refiere a quienes quedan obligados "al Sistema de cumplimiento y gestión de riesgos LA/FT/FP y C/ST" y no menciona expresamente el RMM. La lectura razonable, y la más prudente, es aplicarle el mismo plazo. Para los sectores nuevos (farmacéutico, manufacturero, minero-energético, vehículos y construcción por debajo del umbral sectorial), eso significa que una empresa que cumpla los requisitos con el cierre de 2026 debe tener el RMM aprobado y funcionando el 31 de mayo de 2027.

Cómo implementarlo en seis pasos

Este es el orden que mejor funciona en empresas medianas, porque cada paso produce el insumo del siguiente:

1. Confirme que está obligado. Cruce los CIIU del certificado de cámara de comercio con la tabla del numeral 9.6 y los ingresos y activos del cierre anterior con los umbrales en UVB. Deje la conclusión por escrito.
2. Haga un diagnóstico de riesgos sencillo. Liste sus tipos de contraparte, productos, canales de pago y zonas donde opera, y marque dónde está la exposición. Para un concesionario, por ejemplo, los pagos en efectivo y las compras a nombre de terceros; para una constructora, los anticipos y los subcontratistas. Puede apoyarse en las tipologías que publican la UIAF, el GAFILAT y Supersociedades, como sugiere el numeral 9.21.
3. Redacte el documento del RMM. Debe cubrir los cuatro bloques del numeral 9.21: responsables, capacitación, debida diligencia, listas y reportes. Defina quién hace qué si el representante legal delega tareas.
4. Llévelo a aprobación. Presentación por el representante legal y aprobación de la junta o del máximo órgano social, con acta. Si la asamblea ordinaria es en marzo, inclúyalo en el orden del día.
5. Registre al representante legal en el SIREL. Sin usuario no puede presentar ROS ni AROS. Hágalo antes de que venza el primer trimestre en que esté obligado.
6. Ponga a andar la operación. Formato de vinculación con beneficiario final, consulta de listas antes de cada vinculación y en cada actualización, primera capacitación con soportes y calendario de AROS.

Qué documentos conservar y por cuánto tiempo

El numeral 9.22 exige que todas las actividades del RMM "deben reposar en documentos y registros" que garanticen integridad, confiabilidad, reserva y disponibilidad, y remite al artículo 28 de la Ley 962 de 2005, que fija en diez años la conservación de libros y papeles del comerciante. El mismo numeral recuerda que el tratamiento de esos datos debe respetar la Ley 1581 de 2012 de protección de datos personales: el formulario de vinculación necesita su autorización de tratamiento.

El paquete mínimo que pediría cualquier revisor es: el documento del RMM, el acta de aprobación, los soportes de capacitación del año, los expedientes de debida diligencia con fecha y responsable, las consultas de listas y las constancias de los ROS y AROS presentados en el SIREL.

Qué pasa si no lo implementa

El numeral 9.27 prevé investigaciones y sanciones administrativas al sujeto obligado y a sus administradores con base en el numeral 3 del artículo 86 de la Ley 222 de 1995, tasadas en UVB según el artículo 313 de la Ley 2294 de 2023. En el RMM el representante legal es administrador y, a la vez, el responsable directo del régimen, de modo que una falla en los reportes o en la debida diligencia recae sobre él de forma personal.

Preguntas frecuentes