Reportes UIAF: ¿estamos seguros de que se están haciendo bien?
Se genera el archivo, se carga en SIREL, se obtiene el comprobante y se da por cumplida la obligación. Pero existe una diferencia importante entre presentar un reporte y poder demostrar que se hizo bien.
UIAF
En muchas organizaciones el proceso parece estar bajo control. Sin embargo, vale la pena hacerse una pregunta incómoda: ¿la información fue correctamente elaborada, validada y soportada?
El problema aparece cuando la organización conserva el archivo final y el comprobante de envío, pero no puede reconstruir con claridad de dónde salió la información, qué validaciones se realizaron, quién intervino en el proceso o qué inconsistencias fueron detectadas y corregidas. Y esa situación puede pasar inadvertida durante meses, hasta que llega una auditoría, una revisión de la Revisoría Fiscal, una visita de supervisión o un requerimiento de una autoridad.
La información reportada sí tiene una utilidad concreta
Las cifras recientes de la UIAF permiten dimensionar la importancia del sistema de reportes.
Fuente: cifras difundidas por la UIAF.
Entre enero y septiembre de 2025, la Unidad difundió 270 productos de inteligencia financiera: 147 fueron de apoyo judicial a la Fiscalía General de la Nación y la Corte Suprema de Justicia, y otros 123 se dirigieron a receptores autorizados. El valor estimado de las operaciones comprendidas en esos análisis fue de aproximadamente $44,53 billones.
Estas cifras no significan que cada reporte presentado genere automáticamente una investigación. Sí muestran, sin embargo, que la información suministrada por los sujetos obligados forma parte de un sistema real de análisis financiero y puede contribuir a procesos de mayor alcance. La calidad de la información importa.
Además, la UIAF informó que entre agosto de 2022 y septiembre de 2025 había difundido 999 productos de inteligencia financiera. A julio de 2025 ya eran 936, frente a 527 producidos entre agosto de 2018 y julio de 2022.
Fuente: cifras difundidas por la UIAF.
El mensaje para las organizaciones es sencillo: reportar no debería convertirse en una actividad mecánica.
En el sector solidario no todos tienen las mismas obligaciones
Las organizaciones vigiladas por la Superintendencia de la Economía Solidaria cuentan con un régimen específico de reportes. Según la actividad que desarrollen, el nivel de supervisión y las características de sus productos y operaciones, la frecuencia de los reportes varía. La UIAF diferencia las obligaciones de las organizaciones que ejercen actividad financiera de aquellas que no la ejercen, con sus periodicidades. Para 2026, mantiene publicados los calendarios y anexos técnicos.
La primera pregunta no debería ser «¿ya presentamos lo mismo que el año pasado?»
¿Tenemos claramente identificado qué nos aplica hoy, con qué periodicidad y bajo qué condiciones?
Presentar no siempre significa presentar bien
Un elemento clave del SARLAFT es la adecuada gestión de sus mecanismos: la forma en que administramos las fuentes de información —documentos físicos, aplicativos, sistemas y bases de datos—. De allí nace la información con la que construimos los instrumentos del sistema y desarrollamos la consolidación de operaciones, la segmentación, la identificación de señales de alerta y el monitoreo.
Probablemente ningún reporte será perfecto, pero sí debemos tener un nivel razonable de seguridad para afirmar que la información fue bien construida, validada y soportada. Si hoy revisáramos a fondo las pruebas, soportes y trazabilidad de los reportes que muchas organizaciones presentan, podríamos encontrar debilidades importantes. Y las implicaciones no serían únicamente frente a la UIAF o la Superintendencia: la información reportada puede convertirse en insumo de inteligencia financiera y, eventualmente, apoyar el trabajo de las autoridades y del sistema judicial colombiano.
El verdadero reto
No es presentar un archivo dentro del plazo. Es poder demostrar que la información es confiable, que fue validada y que existe trazabilidad sobre su elaboración.
¿Qué debería revisar la Gerencia?
Para la Gerencia, los reportes UIAF no deberían verse como una responsabilidad exclusivamente operativa del Oficial de Cumplimiento, ni generar tranquilidad solo por tener el certificado. La información reportada depende de procesos, sistemas, personas y controles que pertenecen a toda la organización. La Gerencia debería poder responder:
¿Contamos con información confiable?
¿Los responsables saben qué deben entregar y cuándo?
¿Existen herramientas suficientes para consolidar y validar los datos?
¿Se corrigen oportunamente las inconsistencias detectadas?
¿Podríamos explicar el proceso ante una revisión?
El verdadero respaldo al Oficial de Cumplimiento no consiste solo en aprobar un manual: también implica asegurar que existan los recursos, la información y los mecanismos para que el sistema funcione.
¿Qué debería poder demostrar el Oficial de Cumplimiento?
El Oficial de Cumplimiento debería poder reconstruir el proceso completo, no solo mostrar el comprobante. La secuencia debería ser clara:
La trazabilidad completa del reporte
Fuente de información
Preparación
Validación
Revisión
Presentación
Evidencia
Y para cada etapa deberían poder responderse preguntas básicas:
¿De dónde salió la información y qué periodo comprende?
¿Qué validaciones se realizaron?
¿Se encontraron diferencias o inconsistencias? ¿Cómo fueron corregidas?
¿Quién elaboró y quién revisó?
¿Cuándo se presentó y qué soporte quedó del envío?
Cuando estas respuestas no existen o dependen únicamente de la memoria de una persona, la trazabilidad es débil.
¿Qué debería revisar la Revisoría Fiscal?
La revisión tampoco debería limitarse a confirmar que existe un comprobante de SIREL. Ese comprobante demuestra que algo fue enviado; no necesariamente que el proceso previo fue adecuado. Una revisión razonable debería considerar, entre otros aspectos:
Si el reporte realmente aplicaba y si se presentó oportunamente.
Si la información utilizada era íntegra y si existieron validaciones.
Si quedaron soportes y puede reconstruirse quién elaboró y revisó.
Si las diferencias detectadas fueron explicadas y corregidas.
La pregunta de fondo para la Revisoría Fiscal
¿Existe evidencia suficiente para concluir razonablemente que el proceso de reporte funciona y que sus resultados son confiables?
Cinco controles que vale la pena revisar hoy
No se necesita esperar una visita para hacer una evaluación sencilla. Toda organización debería verificar al menos estos cinco puntos:
1
Matriz de reportes aplicables
Debe estar claramente definido qué reportes aplican, a quiénes, con qué periodicidad y bajo qué anexo técnico.
2
Cronograma actualizado
Las fechas no deberían depender de recordatorios personales ni de lo que se hizo el año anterior.
3
Checklist previo al envío
Antes de presentar, revisar integridad, duplicidades, consistencia, periodos, valores y concordancia con las fuentes.
4
Evidencia de elaboración y revisión
Identificar quién preparó, quién revisó, qué observaciones surgieron y cómo fueron resueltas.
5
Archivo organizado de soportes
Poder recuperar rápidamente el reporte, sus fuentes, validaciones, documentos de trabajo y la constancia del envío.
Autodiagnóstico
¿Podría su organización demostrar que reporta bien?
Marque los controles que hoy podría demostrar con evidencia, no solo de memoria.
0 de 5 controles demostrables
Marque los controles que hoy podría soportar con evidencia.
Seminario práctico
Reportes UIAF e informes internos del SARLAFT
Revisaremos cómo fortalecer la elaboración y validación de los reportes, la documentación de operaciones inusuales y sospechosas, los soportes del proceso y la atención de solicitudes de información de las autoridades competentes.
Presentar el reporte es solo el comienzo. El verdadero reto está en poder demostrar que la información fue correctamente elaborada, validada, revisada, presentada y soportada.
Lo importante no es solo presentar: es estar seguros de que se está haciendo bien.
En las entidades del sector solidario, los Comités de Riesgos no deberían existir solo para cumplir una exigencia formal. Su verdadero valor está en convertirse en un espacio técnico de análisis, seguimiento y recomendación para apoyar a la Junta Directiva o al Consejo de Administración en la gestión de los riesgos.
De acuerdo con el guion del video, estos comités aparecieron en el año 2021 con la expedición de la nueva versión de la Circular Básica Contable y Financiera. Allí se establece que deben estar conformados, como mínimo, por tres integrantes: un miembro de la Junta Directiva o del Consejo de Administración, quien debe actuar como presidente; la persona encargada de riesgos de la entidad; y los demás integrantes que la organización defina.
¿Cuál es el rol del Comité de Riesgos?
El Comité de Riesgos tiene un papel esencialmente asesor. Su función principal es recomendar a la Junta Directiva o al Consejo de Administración las metodologías, instrumentos y mecanismos que la entidad debe adoptar para gestionar adecuadamente sus riesgos.
Esto implica apoyar el proceso de administración de riesgos en sus diferentes etapas:
Identificar los riesgos a los que está expuesta la entidad.
Evaluar el impacto y la probabilidad de ocurrencia de los eventos de riesgo.
Recomendar mecanismos de medición, monitoreo y control.
Hacer seguimiento a los riesgos.
Formular recomendaciones a la Junta Directiva o al Consejo de Administración.
En ese sentido, el comité no reemplaza a los órganos de administración, pero sí debe servir como un apoyo técnico para que las decisiones se tomen con mayor información, evidencia y criterio preventivo.
El SIAR no es igual para todas las entidades
Uno de los aspectos más importantes que deben comprender los integrantes del Comité de Riesgos es que el Sistema Integral de Administración de Riesgos —SIAR— no aplica de la misma manera para todas las organizaciones.
El alcance depende del tipo de entidad y de los sistemas particulares que le resulten aplicables.
Por ejemplo, todas las entidades que otorgan créditos u operaciones de mutuo deben implementar el SARC. Sin embargo, el SARC no opera exactamente igual en todas las entidades, porque algunas deben aplicar metodologías más completas y otras tienen un alcance diferente.
También ocurre con el riesgo de liquidez. Las entidades que captan ahorros deben medir la brecha de liquidez y el IRL, pero no todas tienen que hacerlo mensualmente ni con el mismo nivel de detalle. En el guion se menciona, además, que solo ciertos fondos de empleados de categoría plena deben implementar de forma completa algunos componentes del riesgo de liquidez.
En cuanto al riesgo de mercado y el riesgo operativo, el video señala que existen obligaciones específicas para las cooperativas con actividad financiera. Sin embargo, esto no significa que las demás entidades no estén expuestas a esos riesgos. Por eso, el comité debe entender muy bien qué aplica, qué no aplica y qué riesgos deben ser monitoreados según la realidad de cada organización.
La responsabilidad no debe recaer solo en el encargado de riesgos
En muchas entidades, la persona encargada de riesgos termina asumiendo casi toda la carga operativa del comité. Es quien propone metodologías, organiza reuniones, prepara informes, orienta la discusión, levanta actas y, en muchos casos, también ejerce funciones relacionadas con cumplimiento.
El problema es que no siempre los demás integrantes del Comité de Riesgos tienen la misma formación técnica. Algunos miembros provienen de la Junta Directiva, del Consejo de Administración o de otros espacios de la organización, pero no necesariamente cuentan con experiencia o conocimiento especializado en riesgos.
Por eso es necesario fortalecer la preparación del comité. El objetivo no es quitarle liderazgo al encargado de riesgos, sino lograr que los demás integrantes tengan herramientas suficientes para aportar, opinar, recomendar y participar activamente en las decisiones relacionadas con el SIAR.
Reuniones mensuales, actas y monitoreo permanente
El Comité de Riesgos debe reunirse mensualmente, monitorear los riesgos y dejar evidencia de su gestión mediante actas. Además, los informes correspondientes deben presentarse a la Junta Directiva o al Consejo de Administración, de forma semestral o anual, según corresponda.
Dentro de sus actividades de seguimiento, el comité debe revisar la evaluación de cartera, monitorear la cartera y conocer los eventos de riesgo que puedan afectar a la entidad.
Entre los eventos que deben informarse al comité se encuentran:
Riesgo operativo.
Fraudes.
Ataques informáticos.
Destrucción de activos.
Incumplimiento de límites.
Violaciones al código de conducta.
Hechos externos.
Demandas.
Informes de revisoría fiscal.
Requerimientos de autoridades competentes, como la DIAN o la Supersolidaria.
El guion plantea incluso que el Comité de Riesgos podría analizar primero los informes de revisoría fiscal y sus recomendaciones, con el fin de orientar a la Junta Directiva o al Consejo de Administración sobre las medidas que deberían adoptarse para corregir observaciones o glosas.
Un comité clave para la cultura de riesgos
Cuando el Comité de Riesgos funciona correctamente, puede aportar de manera significativa a la cultura de prevención, al fortalecimiento del control interno y a la toma de decisiones oportunas.
Su papel se vuelve especialmente relevante porque las organizaciones deben monitorear permanentemente lo que ocurre a su alrededor. Cambios en la legislación, variaciones en las tasas de interés, condiciones adversas del mercado o nuevos eventos de riesgo pueden afectar la estabilidad de la entidad.
Por eso, el comité no debe limitarse a recibir informes. Debe analizarlos, discutirlos, formular recomendaciones y ayudar a que la organización se anticipe a los impactos negativos.
Fortalecer los Comités de Riesgos es una necesidad para las entidades del sector solidario.
Un comité preparado entiende su rol, conoce sus responsabilidades, revisa los riesgos de manera periódica, documenta sus sesiones, analiza los informes relevantes y apoya a la Junta Directiva o al Consejo de Administración en la toma de decisiones.
En últimas, el Comité de Riesgos puede convertirse en un verdadero aliado de la entidad para fortalecer el SIAR, mejorar el control interno, prevenir situaciones críticas y promover una gestión más técnica, documentada y oportuna.
Hola. Sé que muchas personas están inquietas por los requerimientos que están llegando de la Supersolidaria. Al respecto:
Los requerimientos son procedimientos rutinarios que la Supersolidaria realiza de forma periódica. La entidad asigna a sus contratistas un número determinado de organizaciones, a las cuales deben enviar al menos uno o dos requerimientos al año, basados en una proforma estándar. Como respondo muchos de estos requerimientos, puedo asegurar que la mayoría incluyen los mismos puntos.
👉 Importante: que reciba un requerimiento no significa que su entidad esté mal. Los contratistas deben escribirle algo sí o sí para cumplir con los términos del contrato y recibir su pago.
Además, no importa qué tan bien esté su entidad: siempre le van a escribir. Algunos ejemplos frecuentes:
Liquidez: Si tiene mucha liquidez, le preguntarán por qué aumentó tanto y dirán que es improductiva. Pero en el mismo requerimiento pueden señalar que tiene “muy poca liquidez” para cubrir retiros de ahorro a la vista, contractual y CDAT a 90 días, y le pedirán un plan para atender el riesgo de liquidez.
Concentración: No importa si la entidad es grande o pequeña, le señalarán que la cartera, los depósitos o los aportes están demasiado concentrados y pedirán un plan para “desconcentrarlos”. Esto ocurre porque no tienen parámetros de comparación sectorial ni consideran el tamaño de la base social.
Calidad de cartera: Si su indicador de calidad por riesgo está por encima del promedio, lo cuestionarán por “ser demasiado alto” (normalmente por políticas fuertes de recalificación). Si está por debajo, dirán que quizá su política es “demasiado laxa”.
Desde el sector, algunos gerentes, contadores y revisores se alarman innecesariamente. Sin embargo, los contratistas y funcionarios de la Supersolidaria no son perfectos ni infalibles. Con frecuencia se equivocan citando normas que no aplican o interpretándolas de manera errónea.
👉 Ármese de argumentos. Si usted considera que tiene la razón, no tiene por qué agachar la cabeza ni aceptar todo lo que le escriben. Además, puede informar a los gremios a los que pertenece sobre aquellos requerimientos que, en su criterio, van en contra de las normas o están mal interpretados.
Un ejemplo frecuente es la medición de la suficiencia del margen financiero. En muchos casos, dejan por fuera los rendimientos del fondo de liquidez y de las inversiones, argumentando que no son “operacionales”. No obstante, con las NIIF el concepto cambió de “operacionales” a “ordinarios”. Estos ingresos son ordinarios porque forman parte del giro normal del negocio. Además, en el caso del fondo de liquidez, son necesarios por el riesgo de liquidez y la obligación de mantener un colchón de activos líquidos.
Aun así, es común que le pidan un plan para “no depender” de esos ingresos financieros. Esto sucede en un contexto en el que la demanda de crédito es baja y la rentabilidad de las inversiones ha aumentado.
En resumen: Recibir un requerimiento no es una señal de alarma, sino parte del proceso. Respóndalo con argumentos, gestione los riesgos cuando existan y mantenga la tranquilidad.
Porque no siempre es el fraude más grande el que más nos duele… a veces, lo más difícil es perder la confianza de quienes creyeron en nosotros.
¿Por qué hablar de riesgo operativo?
En nuestro sector, hablar de “riesgo operativo” puede sonar lejano, técnico o incluso innecesario. Pero cuando uno escucha historias reales, se da cuenta de que estamos hablando de la vida diaria de nuestras entidades: un archivo que se pierde, una decisión que no se revisa, una relación de confianza que se rompe, un procedimiento que se omite.
El riesgo operativo está presente cada día, y su gestión no debería depender del tamaño de la entidad, sino del compromiso con hacer las cosas bien.
❗ ¿Qué es el Riesgo Operativo?
El riesgo operativo se refiere a la posibilidad de pérdida por fallas en los procesos, errores humanos, problemas tecnológicos o eventos externos. El SARO (Sistema de Administración del Riesgo Operativo), no es solo un marco técnico, sino un verdadero escudo protector si se aplica con criterio, formación y compromiso.
📚 Historias que enseñan
Cada uno de los casos compartidos en el último Consultorio Solidario(Si te lo perdiste AQUÍ te dejo el enlace para que lo veas) es un espejo. Algunos son muy duros. Otros son tan cotidianos que cuesta creer que puedan tener consecuencias tan graves. Pero todos tienen algo en común: se pudieron evitar.
🔎 Desde una falla tecnológica simple…
Un Fondo de Empleados guardaba sus backups en el mismo computador que se dañó. Resultado: pérdida total de la información.
🔎 Hasta una omisión contable…
Un contador ajustó $32 millones a su favor, y aunque parecía “indetectable”, la actitud nerviosa lo delató.
🔎 O una historia de confianza rota…
Una analista de crédito pidió a 20 pensionados que tramitaran créditos a su nombre. Se fue sin despedirse un viernes. El lunes ya no estaba en la ciudad.
Cada historia termina en la misma conclusión: el riesgo no gestionado, tarde o temprano, se materializa.
El riesgo no avisa. No importa si llevas 30 años sin incidentes.
La tecnología no basta si no hay conciencia.
El riesgo no es solo financiero: también es reputacional, legal, emocional.
La confianza no reemplaza los controles.
La continuidad de nuestras organizaciones es tan importante como la eficiencia.
🔍 ¿Estamos preparados para identificar y contener estos riesgos?
Implementar una matriz de riesgos que no quede en papel, construir planes de contingencia viables y diseñar políticas reales de continuidad operativa y seguridad de la información ya no es una opción. Es un deber frente a los asociados, a los órganos de control y a la propia sostenibilidad de la organización.
Por eso hoy más que nunca es clave fortalecer nuestras capacidades técnicas, analizar nuestras vulnerabilidades y actualizar nuestras herramientas.
Cada organización en cabeza de la Gerencia, miembros del Consejo o Junta, pueden empezar por algo sencillo; preguntarse:
¿Dónde están los puntos débiles de nuestra operación?
¿Tenemos claro qué hacer si se va la luz, se cae el sistema, hay un incendio, o alguien clave renuncia?
¿Nuestra matriz de riesgos refleja la realidad o es un documento para mostrar en auditoría?
¿Tenemos planes vivos o solo archivos dormidos?
¿Cuánto tiempo llevamos sin revisar nuestras políticas de seguridad?
🌱 No se trata de ser perfectos, sino de estar en proceso
Cada evento de riesgo que detectamos a tiempo es un logro. Y que no estamos solos en este camino. Hay herramientas, acompañamientos, metodologías sencillas y espacios de formación que han sido pensados desde la lógica del sector solidario.
✅ ¿Qué podemos hacer desde ya?
Evaluar nuestras matrices de riesgo operativo
Verificar si tenemos planes de contingencia vigentes
Validar nuestros mecanismos de continuidad operativa
Actualizar nuestras políticas de seguridad de la información
Capacitar a quienes lideran y ejecutan estos procesos
Es momento de actuar. obtenga una guía práctica con ejemplos, recursos descargables y asesoría para aplicar todo de verdad, en la entidad. Y si necesitas una mano para empezar, aquí te dejamos un recurso que puede ayudarte:
Guía práctica para estructurar el informe semestral del año 2025
Esta es una situación más común de lo que se cree. Llega julio y muchos Oficiales de Cumplimiento se enfrentan a la misma pregunta.
El revisor fiscal y la gerencia ya empiezan a solicitarlo, a pesar de que el mes de junio aún no ha sido cerrado contable y financieramente. Esto genera presión e incertidumbre, especialmente cuando no se tiene claridad sobre los elementos que la norma exige (mínimo son 7 aspectos que se deben considerar) y que, además, son base para los reportes a la UIAF.
A esta realidad se suman algunas situaciones comunes que dificultan la elaboración del informe:
❌ Falta de una implementación adecuada del sistema
❌Ausencia o baja ejecución del plan de trabajo
❌ Manual desactualizado
❌ Fallas en la debida diligencia
❌ No contar con herramientas tecnológicas de soporte
❌ Falta de un diagnóstico del nivel de cumplimiento
Además que en muchas organizaciones, aún no se tiene claridad sobre qué reportar a la UIAF ni quien realmente puede ser el oficial de cumplimiento ni las responsabilidades de la estructura organizacional.
Elaborar un informe técnico y completo no se logra en pocos días. Se requiere partir de un buen diagnóstico, estructurar un cronograma serio, y tener las herramientas adecuadas para garantizar la calidad del contenido.
El informe no solo debe cumplir con los requisitos normativos, sino también ser útil para el Revisor Fiscal, quien tiene la obligación de presentar su propio informe ante la Junta o el Consejo, y a la Supersolidaria que por lo regular en las visitas del ente regulador (Supersolidaria) exige evidencia de los informes presentados y el respectivo pronunciamiento de la Junta o Consejo.
Por eso, el informe debe ser:
✅ Claro y comprensible
✅ Basado en hechos verificables
✅ Coherente con las actividades del semestre
✅ Aportante en la toma de decisiones
✅ Preciso para fortalecer los programas y controles
