Segmentación de riesgos LAFT paso a paso: metodología y ejemplos para el sector real

Pregunte a un oficial de cumplimiento qué parte del sistema le quita el sueño y la respuesta se repite: la segmentación. Es el componente más técnico del SAGRILAFT, el que la Superintendencia de Sociedades revisa con más detalle en sus visitas y el que menos se explica con ejemplos del sector real. Casi toda la literatura disponible habla de bancos. Esta guía habla de transportadoras, agroindustrias y comercializadoras.

Todo lo que sigue aplica igual si su sistema es SARLAFT bajo la Superintendencia de Transporte: cambia la norma, no la técnica. Si aún tiene dudas sobre cuál sistema le corresponde, revise primero la comparación entre SAGRILAFT y SARLAFT.

Qué exige la Circular 100-000020 sobre segmentación

El Capítulo IX (antes Capítulo X) de la Circular Externa 100-000020 del 2 de julio de 2026, la nueva Circular Básica Jurídica de la Superintendencia de Sociedades que derogó la Circular Externa 100-000016 de 2020 y unificó el SAGRILAFT y el PTEE en un solo sistema, ordena a las empresas obligadas identificar, medir, controlar y monitorear el riesgo de lavado de activos, financiación del terrorismo y financiamiento de la proliferación de armas de destrucción masiva. La medición es imposible sin segmentar. Nadie puede definir qué operación es inusual si no sabe primero qué es usual para cada grupo de contrapartes.

En términos prácticos, segmentar es dividir los factores de riesgo en grupos con características parecidas, calcular el comportamiento normal de cada grupo y usar ese perfil para detectar desviaciones. El Capítulo IX no impone una metodología única. Exige que la que usted elija esté documentada, sea replicable y guarde proporción con el tamaño y la complejidad de la empresa.

Recuerde el alcance: los umbrales dejaron de expresarse en salarios mínimos y hoy se expresan en UVB. Están obligadas las empresas vigiladas por Supersociedades con ingresos o activos iguales o superiores a 4.929.017 UVB al 31 de diciembre del año anterior (antes 40.000 SMLMV), unos $59.690 millones con la UVB de 2026 ($12.110). Hay umbral diferencial de 3.696.762 UVB (antes 30.000 SMLMV) para sectores como el inmobiliario y el de metales y piedras preciosas, y un Régimen de Medidas Mínimas desde 369.676 UVB de ingresos o 616.127 UVB de activos (antes 3.000 y 5.000 SMLMV) para actividades específicas, hoy ampliado a más sectores. El detalle completo, convertido a pesos y con plazos, está en la guía de empresas obligadas a SAGRILAFT en 2026.

Los cuatro factores de riesgo, con ejemplos del sector real

El Capítulo IX ordena analizar como mínimo cuatro factores: contrapartes, productos y servicios, canales y jurisdicciones. La teoría está en cualquier presentación de PowerPoint. Lo que falta son ejemplos. Así se ven los cuatro factores en dos empresas típicas del suroccidente colombiano:

Observe el patrón: el riesgo no se reparte por igual. En la transportadora, el pago en efectivo en ruta y los corredores hacia puerto concentran el riesgo. En la agroindustria, el punto crítico son los proveedores rurales informales y los anticipos de cosecha, que pueden servir para inyectar dinero ilícito a la cadena. La segmentación existe para hacer visible esa concentración y ponerle números.

Metodologías: estadística descriptiva o clustering

Hay dos caminos serios. La elección depende del volumen y la calidad de sus datos, no de la moda.

Estadística descriptiva: el punto de partida sensato

Percentiles, tablas de frecuencia y cruces de variables. Usted ordena las contrapartes por monto y frecuencia, corta en rangos (P25, P50, P75, P90) y cruza esos rangos con variables de negocio: tipo de contraparte, actividad económica, municipio. Funciona bien con bases de hasta 2.000 o 3.000 contrapartes, que es el caso de la mayoría de empresas del sector real. Su gran ventaja es la trazabilidad: cualquier inspector puede reproducir el cálculo en una hoja de Excel y usted puede defenderlo sin traductor.

Clustering (K-means): cuándo se justifica

K-means es un algoritmo que agrupa registros buscando que cada uno quede en el grupo cuyo centro se le parece más. Dicho sin adornos: usted le entrega variables numéricas (monto promedio, frecuencia, antigüedad, dispersión) y el algoritmo propone los grupos, en lugar de que usted defina los cortes a mano.

Se justifica cuando hay miles de contrapartes, varias variables relevantes al mismo tiempo y datos completos y limpios. Exige estandarizar las variables antes de correr el algoritmo y sustentar el número de grupos con un criterio técnico: el método del codo o el coeficiente de silueta son los usuales. Y tiene una trampa conocida: aplicado sobre datos sucios, produce segmentos con apariencia científica y contenido basura. Unos percentiles bien documentados defienden mejor una visita que un K-means que nadie en la empresa sabe explicar.

Nuestra regla de trabajo: descriptiva por defecto; clustering cuando la base supera varios miles de registros y la empresa puede recalcular el modelo cada año con personal que lo entienda.

Cómo validar los segmentos

Un segmento vale si cumple dos condiciones que la estadística resume en una frase: homogéneo hacia adentro, distinto hacia afuera. En la práctica, valide cuatro cosas:

• Homogeneidad interna. Los integrantes de un segmento deben parecerse entre sí. La medida usual es el coeficiente de variación (desviación estándar dividida por el promedio) de las variables transaccionales dentro del segmento. Referencia de trabajo: si supera el 150%, el segmento probablemente mezcla dos poblaciones distintas y hay que partirlo.
• Heterogeneidad entre segmentos. Los perfiles de dos segmentos deben diferenciarse con claridad. Si el monto promedio y la frecuencia de dos segmentos casi coinciden, tiene un solo segmento con dos nombres. Fusiónelos.
• Estabilidad temporal. Repita la medición con datos de otro periodo. Si las contrapartes saltan de segmento sin que su comportamiento cambie, los cortes están mal puestos.
• Cobertura. Toda contraparte activa debe caer en algún segmento. Un residuo de "no clasificados" mayor al 5% de la base es señal de variables mal elegidas.

Documente todo: variables, fuentes, fecha de corte, tratamiento de datos vacíos, resultados de las pruebas y decisiones tomadas. Ese anexo metodológico es lo primero que pide un inspector y lo primero que falta en la mayoría de sistemas que revisamos.

Los errores que la Superintendencia encuentra en las visitas

El contexto importa: entre agosto de 2023 y 2025, la Superintendencia de Sociedades impuso 26 sanciones por $4.576 millones de pesos, mitad por SAGRILAFT y mitad por PTEE, y declaró que la etapa pedagógica finalizó. Las multas llegan hasta 200 SMLMV por cargo según la Ley 222 de 1995, tope que hoy se liquida en UVB (unas 28.916,7 UVB, cerca de $350 millones en 2026). Ya existe sanción personal a un representante legal ($37,5 millones, enero de 2024) y a un oficial de cumplimiento tercerizado ($12 millones en dos multas, en firme desde diciembre de 2024). Estos son los hallazgos de segmentación que más se repiten:

1. Matriz de formato. La misma matriz de riesgo sirve, con otro logo, para una transportadora y para una comercializadora. Segmentos definidos por intuición, sin una sola cifra que los respalde.
2. Segmentación sin medición. El manual declara segmentos, pero no existe el perfil transaccional de cada uno: ni promedios, ni rangos, ni percentiles. El inspector pide los soportes de cálculo y no hay nada que mostrar.
3. Segmentación sin monitoreo. Los segmentos existen en el papel pero no alimentan señales de alerta. El síntoma clásico: cero operaciones inusuales detectadas en dos o tres años. Para el supervisor eso no prueba que la empresa esté limpia; prueba que el sistema no detecta.
4. Segmentación congelada. Se calculó una vez en la implementación y nunca se recalculó, aunque la empresa abrió rutas nuevas, sumó clientes o cambió sus canales de pago.
5. Divorcio entre segmentación y reportes. La empresa envía su AROS trimestral a la UIAF, pero jamás ha evaluado una alerta originada en sus propios segmentos. Reporta por calendario, no por análisis.

Ejemplo paso a paso: una transportadora de carga

El caso es real y está anonimizado. Empresa de transporte de carga por carretera con sede en el Valle del Cauca, flota mixta de vehículos propios y terceros vinculados, ingresos cercanos a $85.000 millones anuales y 480 contrapartes activas. Está vigilada por la Superintendencia de Transporte y sus ingresos superan con holgura el umbral de 142.206,50 UVB, así que le corresponde el SARLAFT pleno y no el Régimen de Medidas Simplificadas que la Resolución 4607 del 9 de abril de 2026 creó para las vigiladas por debajo de ese umbral. Su plazo venció el 6 de mayo de 2026, fijado por la Resolución 16615 del 5 de noviembre de 2025 y mantenido como inamovible por la Resolución 4607. La técnica de segmentación es idéntica a la del SAGRILAFT.

1. Inventario de datos. Se extrajeron 24 meses del sistema de facturación y del módulo de pagos: NIT, tipo de contraparte, actividad CIIU, municipio, monto mensual, número de operaciones y forma de pago.
2. Depuración. Se unificaron NIT duplicados, se corrigieron municipios mal escritos y se marcaron las contrapartes sin movimiento en 12 meses. La base pasó de 480 a 452 registros útiles. Un 6% no tenía código CIIU; se completó con el registro público del RUES.
3. Variables por factor. Contrapartes: monto promedio mensual, frecuencia, antigüedad y tipo (generador, propietario vinculado, conductor tercero, proveedor). Jurisdicciones: municipios de origen y destino de la carga, agrupados por corredor vial. Canales: contratación directa o por agencia, y forma de pago. Productos: tipo de servicio (carga seca, refrigerada, portuaria).
4. Segmentación. Con 452 registros no se justificaba clustering. Se usaron percentiles de monto y frecuencia cruzados con el tipo de contraparte. Resultado: siete segmentos. Tres ejemplos: generadores corporativos de alto volumen (22 contrapartes, facturación promedio de $180 millones mensuales, contratos marco, pago a 60 días); conductores terceros con pago en ruta (110 contrapartes, pagos frecuentes de bajo monto, parte en efectivo, el segmento de mayor riesgo por canal); y generadores pyme ocasionales (140 contrapartes, ticket promedio de $9 millones, comportamiento estacional).
5. Perfil y señales de alerta. Para cada segmento se calculó el rango normal de monto y frecuencia, entre el percentil 5 y el 95. Alertas definidas: contraparte que supera el P95 de su segmento dos meses seguidos, cambio de corredor habitual sin justificación comercial y solicitud de reemplazar el pago bancario por efectivo.
6. Validación. Coeficiente de variación por segmento y reproceso con los datos del semestre siguiente. Dos segmentos de proveedores resultaron casi idénticos y se fusionaron: quedaron seis.
7. Aprobación y operación. El documento metodológico se anexó al manual y la junta directiva lo aprobó. El oficial de cumplimiento, que por norma no puede ser el representante legal ni el revisor fiscal, quedó a cargo de la recalibración anual. La empresa ya estaba registrada en el SIREL de la UIAF; el monitoreo por segmentos empezó a alimentar el AROS trimestral, que se envía dentro de los 10 días calendario siguientes al cierre de cada trimestre, y el análisis de posibles ROS.

El resultado operativo: en el primer trimestre el monitoreo generó 14 alertas, 3 pasaron a análisis y 1 terminó en un reporte de operación sospechosa. Con los umbrales generales que la empresa usaba antes, el sistema llevaba un año sin producir una sola alerta. Ese contraste, más que cualquier argumento teórico, es la razón para segmentar con datos.

Un sistema que nunca genera alertas no demuestra que la empresa esté limpia. Demuestra que el sistema no ve.

Preguntas frecuentes

¿Cada cuánto debe actualizarse la segmentación de riesgos LAFT?

Como mínimo una vez al año, dentro de la revisión periódica del sistema, y siempre que cambie un factor de riesgo: rutas o productos nuevos, entrada a otra jurisdicción, un canal de pago distinto o un cambio fuerte en la composición de contrapartes. Una segmentación calculada una sola vez en la implementación y nunca recalculada es uno de los hallazgos típicos en las visitas de la Superintendencia de Sociedades.

¿La segmentación se puede hacer en Excel o se necesita un software especializado?

Para bases de hasta unos pocos miles de contrapartes, Excel es suficiente y tiene una ventaja: el inspector puede reproducir el cálculo. Lo que la norma exige es una metodología documentada y replicable, no una herramienta específica. El software especializado se justifica cuando el volumen de operaciones impide procesar los datos a mano o cuando se usa clustering y hay que recalcular el modelo con frecuencia.

¿Quién responde por la segmentación: el oficial de cumplimiento o el consultor externo?

El diseño puede apoyarse en asesores externos, pero la responsabilidad ante el supervisor es del oficial de cumplimiento y de la empresa. La Superintendencia de Sociedades ya multó a un oficial de cumplimiento tercerizado con $12 millones y a un representante legal con $37,5 millones a título personal. Contrate ayuda si la necesita, y asegúrese de entender y poder defender cada decisión metodológica del documento final.