SS - Oficio 220-234968 de 2026

Página | 1

________________________________________________________________________

OFICIO 220-234968 DEL 18 DE FEBRERO DE 2026

ASUNTO: CAPÍTULO X DE LA CIRCULAR BÁSICA JURÍDICA – DEBIDA

DILIGENCIA.

Me refiero a su escrito radicado en esta entidad como se menciona en la referencia, mediante el cual formula una consulta en los siguientes términos: “4. Preguntas jurídicas objeto de la consulta Con fundamento en lo anterior, respetuosamente solicito orientación sobre los siguientes interrogantes: Pregunta 1. En el marco de los procesos de debida diligencia exigidos a las sociedades, ¿cuál debe considerarse el documento jurídicamente prevalente para la identificación de personas naturales cuando existen discrepancias entre los datos contenidos en el RUT y los que figuran en la cédula de ciudadanía? Pregunta 2. Cuando una sociedad identifica, como resultado de su debida diligencia, que los datos personales contenidos en el RUT de un tercero no coinciden con su documento oficial de identidad, pero aun así debe reportar obligatoriamente dicha información a la DIAN conforme al RUT, ¿podría configurarse una vulneración a los principios de veracidad, calidad, exactitud e integridad del dato personal establecidos en la Ley 1581 de 2012? Pregunta 3. ¿Cuál es el alcance del deber de verificación del dato personal por parte de las sociedades cuando la normativa tributaria exige reportar conforme al RUT, pero otras normas imponen la obligación de garantizar la calidad del dato tratado? Pregunta 4 ¿Resulta jurídicamente procedente y suficiente, como medida de debida diligencia, que la sociedad: • identifique y documente la inconsistencia entre RUT y cédula,

imponen la obligación de garantizar la calidad del dato tratado? Pregunta 4 ¿Resulta jurídicamente procedente y suficiente, como medida de debida diligencia, que la sociedad: • identifique y documente la inconsistencia entre RUT y cédula, • soporte la información correcta con el documento oficial de identidad, y • requiera al tercero la actualización de su RUT, aun cuando la obligación formal de actualizar dicho registro recaiga exclusivamente en el titular ante la DIAN?Página | 2

________________________________________________________________________

Pregunta 5 Dado que esta problemática impacta directamente la forma en que las sociedades deben reportar información obligatoria a la DIAN, y considerando que existen varios terceros personas naturales con este tipo de inconsistencias, ¿considera esta Superintendencia que corresponde trasladar la presente consulta a la DIAN, conforme al artículo 21 de la Ley 1755 de 2015, para que dicha entidad se pronuncie sobre la prevalencia del dato para efectos de reporte obligatorio?.

6. Peticiones concretas

Solicito respetuosamente a esa Superintendencia:

1. Emitir orientación jurídica sobre el documento que debe prevalecer para la identificación de personas naturales dentro de los procesos de debida diligencia cuando existen inconsistencias entre RUT y cédula.

2. Pronunciarse sobre la relación entre la obligación de reportar información a la DIAN y el cumplimiento de los principios de protección de datos personales.

3. Indicar criterios orientadores sobre la responsabilidad de las sociedades frente a la verificación y tratamiento del dato personal.

4. Precisar si resulta adecuado, desde la óptica de cumplimiento normativo, requerir al tercero la actualización de su RUT y conservar evidencia de dicha gestión.

frente a la verificación y tratamiento del dato personal.

4. Precisar si resulta adecuado, desde la óptica de cumplimiento normativo, requerir al tercero la actualización de su RUT y conservar evidencia de dicha gestión.

5. Trasladar la presente consulta a la Dirección de Impuestos y Aduanas Nacionales – DIAN, conforme al artículo 21 de la Ley 1755 de 2015, para que se pronuncie dentro de su competencia.

6. Informar si existen conceptos, lineamientos o antecedentes emitidos por esa Superintendencia sobre esta materia”.

Previo a atender lo propio, debe señalarse que, en atención al derecho de petición en la modalidad de consulta, la Superintendencia de Sociedades con fundamento en los artículos 14 y 28 de la Ley 1437 de 2011, emite conceptos de carácter general y abstracto sobre las materias a su cargo, de manera que sus respuestas a las consultas no son vinculantes ni comprometen la responsabilidad de la entidad. En primer lugar, es preciso señalar que la Superintendencia de Sociedades no es la entidad competente para resolver las siguientes inquietudes, de modo que las mismas fueron trasladadas a las entidades que de conformidad con sus facultades son las autoridades competentes para atender las mismas:Página | 3

________________________________________________________________________

“4. Preguntas jurídicas objeto de la consulta Con fundamento en lo anterior, respetuosamente solicito orientación sobre los siguientes interrogantes: Pregunta 2. Cuando una sociedad identifica, como resultado de su debida diligencia, que los datos personales contenidos en el RUT de un tercero no coinciden con su documento oficial de identidad, pero aun así debe reportar obligatoriamente dicha información a la DIAN conforme al RUT, ¿podría configurarse una vulneración a

debida diligencia, que los datos personales contenidos en el RUT de un tercero no coinciden con su documento oficial de identidad, pero aun así debe reportar obligatoriamente dicha información a la DIAN conforme al RUT, ¿podría configurarse una vulneración a los principios de veracidad, calidad, exactitud e integridad del dato personal establecidos en la Ley 1581 de 2012?

6. Peticiones concretas

(…)

2. Pronunciarse sobre la relación entre la obligación de reportar información a la DIAN y el cumplimiento de los principios de protección de datos personales.

3. Indicar criterios orientadores sobre la responsabilidad de las sociedades frente a la verificación y tratamiento del dato personal.

6. Informar si existen conceptos, lineamientos o antecedentes emitidos por esa Superintendencia sobre esta materia. (…)”.

Estas inquietudes fueron trasladadas a la Superintendencia de Industria y Comercio a través del oficio con radicado 2026 -01-046877, para que dicha entidad se pronuncie y atienda sus interrogantes. Es importante mencionar que mediante oficio con radicado 2026-01-047576, le fue informado dicho traslado a su dirección de notificación. “6. Peticiones concretas (…)

2. Pronunciarse sobre la relación entre la obligación de reportar información a la DIAN y el cumplimiento de los principios de protección de datos personales.

4. Precisar si resulta adecuado, desde la óptica de cumplimiento normativo, requerir al tercero la actualización de su RUT y conservar evidencia de dicha gestión.

5. Trasladar la presente consulta a la Dirección de Impuestos y Aduanas Nacionales –Página | 4

________________________________________________________________________

normativo, requerir al tercero la actualización de su RUT y conservar evidencia de dicha gestión.

5. Trasladar la presente consulta a la Dirección de Impuestos y Aduanas Nacionales –Página | 4

________________________________________________________________________

DIAN, conforme al artículo 21 de la Ley 1755 de 2015, para que se pronuncie dentro de su competencia.

6. Informar si existen conceptos, lineamientos o antecedentes emitidos por esa Superintendencia sobre esta materia”.

Respecto de estas inquietudes, se precisa que la Superintendencia de Sociedades no es la entidad competente para resolverlas, de modo que las mismas fueron trasladadas a la Dirección de Impuestos y Aduanas NacionalesDIAN a través del oficio con radicado 2026-01-047499, para que dicha entidad se pronuncie y atienda sus interrogantes. Es importante mencionar que mediante oficio con radicado 2026-01-047576, le fue informado dicho traslado a su dirección de notificación. Ahora bien, esta Oficina procede a responder las preguntas restantes en los siguientes términos: “4. Preguntas jurídicas objeto de la consulta Con fundamento en lo anterior, respetuosamente solicito orientación sobre los siguientes interrogantes: “Pregunta 1. En el marco de los procesos de debida diligencia exigidos a las sociedades, ¿cuál debe considerarse el documento jurídicamente prevalente para la identificación de personas naturales cuando existen discrepancias entre los datos contenidos en el RUT y los que figuran en la cédula de ciudadanía?” Sobre el particular, es importante precisar que la determinación del documento idóneo para acreditar la identidad se deriva de la naturaleza jurídica y finalidad

en el RUT y los que figuran en la cédula de ciudadanía?” Sobre el particular, es importante precisar que la determinación del documento idóneo para acreditar la identidad se deriva de la naturaleza jurídica y finalidad de cada instrumento. La cédula de ciudadanía constituye el documento oficial de identificación por medio del cual los colombianos mayores de 18 años se identifican en todos los actos civiles, políticos, administrativos y judiciales1. Por su parte, el Registro Único Tributario (RUT) es el mecanismo único para identificar, ubicar y clasificar a las personas y entidades que deban cumplir con obligaciones tributarias administradas por la DIAN 2, sin que sustituya o modifique el documento de identidad personal. Para efectos de los procesos de debida diligencia exigidos por la Superintendencia de Sociedades, la sociedad debe reportar la verificación de identidad en el documento oficial de identificación de la persona natural, sin perjuicio de la información que repose en el registro mercantil para fines de

1 COLOMBIA. Registraduría Nacional del Estado Civil. Definiciones de identificación. Disponible en: https://www.registraduria.gov.co/Definiciones-de-identificacion.html 2 COLOMBIA. Dirección de Impuestos y Aduanas Nacionales. ABC Inscripción en línea RUT. Disponible en: https://www.dian.gov.co/impuestos/Documents/Abece-Inscripcion-en-linea-RUT.pdfPágina | 5

________________________________________________________________________

identificación societaria y de cumplimiento de las obligaciones formales, en los cuales deberá reposar la información correcta de cada persona natural o jurídica a quienes correspondan. “Pregunta 3. ¿Cuál es el alcance del deber de verificación del dato personal por parte de las sociedades cuando la normativa

cuales deberá reposar la información correcta de cada persona natural o jurídica a quienes correspondan. “Pregunta 3. ¿Cuál es el alcance del deber de verificación del dato personal por parte de las sociedades cuando la normativa tributaria exige reportar conforme al RUT, pero otras normas imponen la obligación de garantizar la calidad del dato tratado?” El Capítulo X de la Circular Básica Jurídica3 expedida por la Superintendencia de Sociedades, establece el Sistema de Autocontrol y Gestión del Riesgo Integral de LA/FT/FPADM (SAGRILAFT) como un mecanismo obligatorio de gestión basado en riesgos para las sociedades sujetas a inspección, vigilancia y control de la entidad. Dentro de este sistema se incluye la implementación de procedimientos de debida diligencia orientados al conocimiento de la contraparte, la identificación de factores de riesgo y la gestión de riesgos inherentes a las operaciones con terceros. De conformidad con dicho régimen, el deber de verificación consiste en que la sociedad adopte procedimientos orientados a comprobar la identidad de la contraparte y a evaluar la coherencia y confiabilidad de la información suministrada. Al adoptar un enfoque basado en riesgos, el deber de verificación no se limita a un acto formal de cotejo de datos, implica, que la sociedad consulte y contraste la información de la contraparte con las que reposan en fuentes oficiales, entre las cuales figura el registro mercantil, en tanto constituye un instrumento de publicidad que informa sobre la existencia y representación de la persona jurídica registrada en el ámbito societario y las personas naturales o jurídicas que hacen parte de los órganos sociales que allí se inscriben. Igualmente, esto

publicidad que informa sobre la existencia y representación de la persona jurídica registrada en el ámbito societario y las personas naturales o jurídicas que hacen parte de los órganos sociales que allí se inscriben. Igualmente, esto pasa con el registro civil de las personas que se lleva en la Registraduría Nacional del Estado Civil, como antes se mencionó. Es de indicar que la verificación con el registro mercantil o con los datos que pueda otorgar la Registraduría Nacional del Estado Civil, permite evaluar la coherencia entre la información aportada por el tercero y la registrada en una fuente pública de naturaleza oficial. “Pregunta 4 ¿Resulta jurídicamente procedente y suficiente, como medida de debida diligencia, que la sociedad: • identifique y documente la inconsistencia entre RUT y cédula,

3 COLOMBIA. SUPERINTENDENCIA DE SOCIEDADES. Circular Externa 100-000016 del 2020 (24 de diciembre de 2020. Modificación Integral al Capítulo X de la Circular Básica Jurídica de 2017. Disponible en: https://www.supersociedades.gov.co/documents/107391/161161/Circular+100000016+de+24+de+diciemb re+de+2020.pdf/843e17bf-2a09-8729-046ca51bf00a88c1?version=1.8&t=1743207446596Página | 6

________________________________________________________________________

• soporte la información correcta con el documento oficial de identidad, y • requiera al tercero la actualización de su RUT, aun cuando la obligación formal de actualizar dicho registro recaiga exclusivamente en el titular ante la DIAN?” De conformidad con el Capítulo X de la Circular Básica Jurídica, las sociedades

• requiera al tercero la actualización de su RUT, aun cuando la obligación formal de actualizar dicho registro recaiga exclusivamente en el titular ante la DIAN?” De conformidad con el Capítulo X de la Circular Básica Jurídica, las sociedades obligadas deben adoptar medidas de debida diligencia razonables y proporcionales al nivel de riesgo, orientadas al conocimiento de la contraparte y a la gestión de los riesgos asociados a la relación jurídica.

En ese marco, la sociedad debe identificar y documentar las inconsistencias detectadas en la información del tercero. Estas actuaciones hacen parte del deber de verificación exigido por el SAGRILAFT y permiten dejar evidencia del proceso adelantado y de la exhaustividad del mismo. “Pregunta 5 Dado que esta problemática impacta directamente la forma en que las sociedades deben reportar información obligatoria a la DIAN, y considerando que existen varios terceros personas naturales con este tipo de inconsistencias, ¿considera esta Superintendencia que corresponde trasladar la presente consulta a la DIAN, conforme al artículo 21 de la Ley 1755 de 2015, para que dicha entidad se pronuncie sobre la prevalencia del dato para efectos de reporte obligatorio?” Tal como se mencionó anteriormente, se dio traslado a la Dirección de Impuestos y Aduanas Nacionales, en calidad de autoridad competente para atender las preguntas correspondientes. “6. Peticiones concretas Solicito respetuosamente a esa Superintendencia: “1. Emitir orientación jurídica sobre el documento que debe prevalecer para la identificación de personas naturales dentro de los procesos de debida diligencia cuando existen inconsistencias entre RUT y cédula”. La respuesta a esta pregunta se encuentra subsumida en respuesta dada a los

prevalecer para la identificación de personas naturales dentro de los procesos de debida diligencia cuando existen inconsistencias entre RUT y cédula”. La respuesta a esta pregunta se encuentra subsumida en respuesta dada a los puntos anteriores. “3. Indicar criterios orientadores sobre la responsabilidad de las sociedades frente a la verificación y tratamiento del dato personal”.Página | 7

________________________________________________________________________

Para dar respuesta a su inquietud, basta con transcribir lo señalado por esta Oficina a través del Oficio 220-308795 de 20244, el cual es del siguiente tenor: “(…) la Circular no especifica criterio alguno respecto a la confidencialidad de los documentos contentivos del SAGRILAFT, por el contrario, establece que este debe ser divulgado tanto al interior de la Empresa Obligada, es decir, a sus empleados, asociados y administradores, como a las demás vinculados o partes interesadas en el mismo. Ahora bien, en la puesta en marcha de la aplicación del SAGRILAFT, la mencionada Circular respecto de las disposiciones legales en materia de protección de datos personales, señala: “5.5. Documentación de las actividades del SAGRILAFT (...) La información suministrada por la Contraparte, como parte del proceso de Debida Diligencia y Debida Diligencia Intensificada, así como el nombre de la persona que la verificó, deben quedar debidamente documentadas con fecha y hora, a fin de que se pueda acreditar la debida y oportuna diligencia por parte de la Empresa Obligada. De cualquier forma, el desarrollo e implementación del SAGRILAFT por parte de la Empresa Obligada deberá respetar las disposiciones legales en materia de protección de datos personales contenidas en las Leyes 1266 de 2008,

desarrollo e implementación del SAGRILAFT por parte de la Empresa Obligada deberá respetar las disposiciones legales en materia de protección de datos personales contenidas en las Leyes 1266 de 2008, 1581 de 2012, y demás normas aplicables”. Del mismo modo, el numeral 5.6 de la mencionada Circular, establece que la Empresa Obligada y el Oficial de Cumplimiento deberán garantizar la reserva del reporte de una Operación Sospechosa remitido a la UIAF, de conformidad con lo previsto en la Ley 526 de 1996 y demás normas que la adicionen, modifiquen o sustituyan. En los anteriores términos su solicitud ha sido atendida en el plazo y con los efectos descritos en el artículo 28 del Código de Procedimiento Administrativo y de lo Contencioso Administrativo sustituido por el artículo 1º de la Ley 1755 de 2015, no sin antes señalar que puede consultarse en la página web de la Entidad la normatividad, los conceptos jurídicos respecto de los temas de su interés, así como la herramienta Tesauro donde podrá encontrar mayor información respecto de la doctrina y la jurisprudencia emitida por la entidad.

4 COLOMBIA. SUPERINTENDENCIA DE SOCIEDADES. Oficio 220-308795 (20 de noviembre de 2024) Asunto: Algunos aspectos relacionados con el Capítulo X de la Circular Básica Jurídica. Disponible en: https://tesauro.supersociedades.gov.co/jsonviewer/qjnA5JMBliSNxoj0mDAR#/