Reporte de operaciones sospechosas (ROS) en 2026: señales de alerta, SIREL y AROS

El reporte de operaciones sospechosas (ROS) es la comunicación que una empresa obligada al sistema unificado de prevención LA/FT/FP y C/ST le envía a la UIAF cuando detecta una operación que no puede justificar razonablemente. La Circular Externa 100-000020 de 2026 de la Superintendencia de Sociedades lo regula en el numeral 9.19 y trae en el numeral 9.20 una lista de 24 señales de alerta agrupadas en cuatro frentes. El reporte se hace de manera inmediata a través del SIREL, no exige certeza sobre el delito y, si pasa un trimestre sin ningún ROS, hay que presentar el reporte de ausencia (AROS) dentro de los diez días calendario siguientes. Esta guía explica cómo pasar de una alerta a un reporte bien hecho y qué debe quedar documentado.

Qué es un ROS y quién lo presenta

El numeral 9.19 obliga a reportar a la UIAF "todas las Operaciones Sospechosas que detecten en el giro ordinario de sus negocios o actividades", de manera inmediata y a través del SIREL, el sistema de reporte en línea que administra la UIAF (numeral 9.2). Quién lo presenta depende del régimen al que esté sometida la empresa:

Un punto que se pasa por alto: el usuario del SIREL se pide antes de necesitarlo. Una empresa que detecta su primera operación sospechosa y apenas entonces solicita el registro pierde días en un reporte que debía ser inmediato.

Operación inusual y operación sospechosa: la diferencia que define el reporte

No toda operación rara se reporta. El numeral 9.2 distingue dos categorías, y el ROS solo procede en la segunda:

La palabra que separa una de otra es "justificada". Un cliente que este mes compra el triple de lo habitual genera una operación inusual. Si explica que ganó una licitación y entrega el contrato, la alerta se cierra con ese soporte. Si no da explicación, la que da no cuadra con su actividad o pide pagar a través de un tercero, la operación pasa a ser sospechosa.

El numeral 9.19 exige conservar "los soportes que dieron lugar a calificarla en una u otra categoría". Eso incluye las inusuales que se descartaron: en una revisión, la pregunta no es solo cuántos ROS hizo la empresa, sino qué hizo con las alertas que no terminaron en reporte.

Las 24 señales de alerta del numeral 9.20

Una señal de alerta es un hecho o comportamiento que, sin probar nada, indica que una operación merece revisión. El numeral 9.20 aclara que su lista no es taxativa: cada empresa debe identificar sus factores de riesgo y "elaborar sus propias señales de alerta". La lista de la circular es el punto de partida, no el manual completo.

a. Señales en las contrapartes

1. Elude entregar información sobre el origen o destino de los fondos o el propósito de la operación.
2. Es PEP (persona expuesta políticamente) y trata de evitar el diligenciamiento completo de los documentos de debida diligencia o no justifica el origen de los recursos.
3. Hay información pública sobre su presunta relación con lavado de activos, narcotráfico, terrorismo, corrupción, fraude u otros delitos conexos.
4. Presenta documentos de identificación inusuales, adulterados o ilegibles.
5. Su actividad económica no concuerda con su perfil financiero.
6. La operación se inicia a nombre de una persona y se formaliza a nombre de un tercero no identificable.

b. Señales en los medios de pago

1. Entregas de efectivo o instrumentos negociables sin constancia de quién paga realmente, por un monto significativo frente al total de la operación.
2. Solicitud de fraccionar el pago en periodos muy cortos.
3. Insistencia en pagar por una cuenta intermedia o "cuenta puente" que impide identificar al destinatario final.
4. Pagos con giros internacionales de varios remitentes a un mismo beneficiario, o de un remitente a varios destinatarios, sin relación aparente.
5. Una misma transacción con diferentes medios de pago.

c. Señales en los registros contables y estados financieros

1. Facturas que parecen falsas, no reflejan la transacción real o están infladas, con exceso de descuentos o reembolsos.
2. Crecimiento inusual o inexplicable de ingresos.
3. Transferencias a países considerados paraísos fiscales.
4. Operaciones fuera del giro ordinario del negocio.
5. Activos registrados sin valor real o que no existen físicamente.
6. Transferencias desde el exterior de elevado monto o alta periodicidad, sin justificación aparente.
7. Ingresos no operacionales superiores a los operacionales.

d. Señales en la estructura societaria o el objeto social

1. Estructuras jurídicas complejas o internacionales sin beneficio comercial, legal o fiscal aparente.
2. Estructuras con fiducias nacionales, trusts extranjeros o fundaciones sin ánimo de lucro.
3. Estructuras con entidades o cuentas bancarias off shore.
4. Sociedades no operativas en los términos de la Ley 1955 de 2019 o "de papel", sin propósito comercial razonable.
5. Sociedades constituidas con capital bajo que pronto reciben altas sumas de inversión extranjera.
6. Personas jurídicas en las que no se identifica el beneficiario final.

Varias de estas señales solo se ven si la empresa cruza información de áreas distintas. El fraccionamiento de pagos lo ve tesorería; el crecimiento inexplicable de ingresos de un cliente, el área comercial; el beneficiario final que no aparece, quien hace la debida diligencia de contrapartes. Si cada área ve su pedazo y nadie consolida, la alerta no llega al Oficial de Cumplimiento.

Para construir señales propias, el numeral 9.20 recomienda consultar los catálogos ejemplificativos de operaciones de riesgo que Supersociedades publicó para las actividades y profesiones no financieras designadas (APNFD). Una regla útil: por cada factor de riesgo de su matriz, escriba al menos una señal concreta con un umbral. "Pagos en efectivo altos" no sirve; "pagos en efectivo que superen el 30 % del valor de una venta" sí se puede monitorear.

Del aviso al reporte: el flujo en cinco pasos

La circular no trae un procedimiento paso a paso, pero sí sus piezas: herramientas que generen alertas (9.19), análisis y conservación de soportes (9.19 y 9.22), reporte inmediato (9.19) y personal capacitado para reconocer una operación inusual (9.8). Ordenadas, quedan así:

1. Detección. El numeral 9.19 exige "herramientas tecnológicas" que, consolidando información, generen indicadores y alertas sobre situaciones que no se ajusten a la normalidad de un sector, una industria o una clase de contraparte. A esto se suma lo que reportan los empleados capacitados y lo que llega por el canal de denuncias.
2. Escalamiento. Quien ve la alerta la envía al Oficial de Cumplimiento (o al representante legal en el RMM) por un canal definido, sin comentarla con la contraparte.
3. Análisis. Se revisa el expediente de la contraparte, su historial de operaciones y, si hace falta, se le pide información o soportes. Se compara la operación con su perfil y con lo normal en el sector.
4. Decisión documentada. El responsable concluye si la operación quedó justificada (inusual cerrada) o no (sospechosa), y deja escrito por qué, con fecha y soportes.
5. Reporte. Si es sospechosa, se presenta el ROS en el SIREL de inmediato y se evalúa qué hacer con la relación comercial según la política de la empresa.

Advertencia sobre las herramientas tecnológicas: el numeral 9.19 no dice qué herramienta basta. Para una empresa con pocas contrapartes, una hoja de cálculo con reglas automáticas sobre los pagos puede ser proporcional; para una con miles de transacciones al mes, difícilmente. Lo que se puede defender ante Supersociedades es la coherencia entre el volumen de operaciones, la matriz de riesgo y la herramienta elegida, explicada por escrito en el manual.

Cómo se presenta el ROS en el SIREL

El reporte se hace "de manera inmediata y con naturaleza de ROS, a través del SIREL, conforme a las instrucciones señaladas por la UIAF en el 'Manual de Usuario SIREL'", que se consulta en www.uiaf.gov.co (numeral 9.19). Tres reglas de la circular cambian la forma de decidir:

• No es una denuncia penal. No hace falta tener certeza de que se trata de una actividad delictiva, identificar el tipo penal ni verificar que los recursos tengan origen ilícito. Basta con que la operación encaje en la definición de operación sospechosa.
• No reemplaza la denuncia. Si hay lugar a denunciar, la empresa y sus administradores siguen obligados a hacerlo.
• Es reservado. La empresa y el Oficial de Cumplimiento deben garantizar la reserva del reporte, según la Ley 526 de 1999.

El error más frecuente es esperar a "estar seguros". Una empresa que deja una operación en análisis durante meses porque quiere confirmar el delito confunde el ROS con una investigación. El análisis debe ser suficiente para concluir que la operación no está justificada, no para probar un lavado de activos.

Sobre la redacción, los anexos de ROS que la UIAF publica para el sector real recomiendan una descripción narrativa: un primer párrafo que responda quién, qué, cuándo, dónde y por qué se generó la alerta, y luego los detalles en orden de importancia y cronológico, con los soportes adjuntos. Un ROS que dice solo "cliente con operaciones inusuales" le sirve poco a la UIAF; uno que explica que una sociedad con dos años de constituida y capital mínimo pagó una compra de maquinaria con cinco giros de remitentes distintos en una semana, sí.

Advertencia sobre el plazo y las operaciones intentadas: la circular no define cuántas horas o días caben en "de manera inmediata", ni dice si se reportan las operaciones que no llegaron a hacerse. Los anexos de la UIAF cuentan el plazo desde que la empresa concluye que la operación es sospechosa e incluyen las operaciones intentadas o rechazadas. Lo prudente es seguir ese criterio y fijar en el manual un plazo máximo corto entre la conclusión del análisis y el envío.

La reserva en la práctica

La reserva implica que la contraparte no puede enterarse del reporte. En la operación diaria, eso significa limitar quién sabe que se presentó un ROS, guardar el expediente en una carpeta de acceso restringido y no usar frases como "lo reportamos a la UIAF" en correos con el área comercial. Si la empresa decide terminar la relación, la comunicación a la contraparte debe basarse en su política comercial, sin mencionar el reporte.

AROS: el reporte cuando no hubo operaciones sospechosas

Si transcurre un trimestre sin ningún ROS, el Oficial de Cumplimiento debe presentar un informe de ausencia de reporte de operaciones sospechosas (AROS) en el SIREL "dentro de los diez (10) días calendario siguientes al vencimiento del respectivo trimestre" (numeral 9.19). En el Régimen de Medidas Mínimas lo presenta el representante legal (numeral 9.21.4).

Las fechas suponen trimestres calendario, que es la lectura más común; la circular no define expresamente si el trimestre es calendario o se cuenta desde la fecha en que la empresa quedó obligada. Son días calendario, no hábiles: si el 10 cae en domingo, el plazo no se corre al lunes. El AROS no genera ningún aviso si se omite, y por eso es de las obligaciones que más se incumplen. Un AROS trimestre tras trimestre tampoco es neutral: si la empresa opera en un sector expuesto y nunca ha encontrado una operación sospechosa, el revisor va a preguntar cómo funcionan sus alertas.

Otros reportes que no son un ROS

La circular prevé otros reportes y canales que suelen confundirse con el ROS. Cada uno tiene su destino y su responsable:

Una denuncia que llega por el canal interno puede terminar en un ROS si, tras analizarla, la operación denunciada resulta sospechosa. Por eso el numeral 9.9.5, literal l, pone en cabeza del Oficial de Cumplimiento el canal de denuncias, y conviene que el procedimiento de atención remita al flujo de operaciones inusuales. Cuándo un hecho puede ser soborno transnacional y cómo se reporta a Supersociedades lo explicamos en la guía sobre el PTEE y el soborno transnacional.

El numeral 9.18.1 también pide verificar "de forma constante y periódica" que el canal funcione, y pone como ejemplo detectar "la ausencia de denuncias". Un canal que no ha recibido nada en dos años no prueba que no haya problemas; puede indicar que nadie lo conoce o que nadie confía en él.

Qué debe quedar documentado

Los soportes de cada operación inusual o sospechosa se conservan según el artículo 28 de la Ley 962 de 2005, que fija diez años para los libros y papeles del comerciante (numerales 9.19 y 9.22). Un expediente que resiste una revisión suele tener, como buena práctica:

• la alerta original, con fecha, origen (herramienta, empleado o canal de denuncias) y señal que la activó;
• la información pedida a la contraparte y lo que respondió;
• el análisis, con la conclusión (justificada o sospechosa), la fecha y el nombre de quien la tomó;
• la constancia de radicación del ROS en el SIREL, cuando lo hubo, guardada con acceso restringido;
• las constancias de cada AROS trimestral, y
• la decisión sobre la relación comercial y quién la aprobó.

El numeral 9.8 añade que, como resultado de la capacitación, el personal debe estar en capacidad de identificar una operación inusual o sospechosa, una señal de alerta, y saber cómo se reporta. Guarde las listas de asistencia y una evaluación corta que lo demuestre: es lo primero que se pide cuando una alerta evidente nunca llegó al Oficial de Cumplimiento.

Si su empresa está en el Régimen de Medidas Mínimas, estas mismas obligaciones aplican en versión reducida y con el representante legal como responsable; las explicamos en la guía del Régimen de Medidas Mínimas. Para el sistema completo, las funciones de reporte del Oficial están en la guía sobre los requisitos del Oficial de Cumplimiento, y puede medir el estado de este componente con la matriz de cumplimiento en Excel.

Preguntas frecuentes