Una cuenta mula no es únicamente un problema bancario. Cuando un movimiento de fondos no encaja con el perfil declarado del cliente, dentro del sistema SARLAFT de una entidad vigilada por la Superintendencia Financiera de Colombia, la cuenta mula se convierte también en un hallazgo con obligación de reporte a la UIAF.
Este artículo no explica qué es una cuenta mula en abstracto, sino qué debe vigilar, documentar y reportar el oficial de cumplimiento SARLAFT colombiano cuando la detecta.
¿Cuándo una cuenta mula se convierte en Operación Sospechosa (ROS) para la UIAF?
Una cuenta mula se convierte en Operación Sospechosa (ROS) cuando el movimiento de fondos no encaja con el perfil declarado del cliente, según los criterios objetivos del Estatuto Orgánico del Sistema Financiero (arts. 102 a 104). El reporte recae sobre la transacción, no sobre la persona titular de la cuenta.
El criterio no es subjetivo. El oficial de cumplimiento no reporta porque sospeche de una persona, reporta porque una transacción concreta se aparta del comportamiento declarado en el conocimiento del cliente. Los artículos 102 a 104 del EOSF fijan ese criterio objetivo: origen y destino de los fondos, coherencia con la actividad económica declarada y magnitud frente al histórico transaccional de la cuenta.
La Unidad de Información y Análisis Financiero (UIAF) es la receptora oficial del Reporte de Operación Sospechosa. El reporte no acusa, informa: una entidad puede y debe reportar sin que eso implique, por sí solo, una denuncia penal contra el titular de la cuenta.
El ROS no tiene umbral monetario. Se presenta ante una sospecha razonable de lavado de activos o financiación del terrorismo, incluso cuando cada operación queda por debajo de los umbrales de los reportes de efectivo o de transferencias internacionales, algo habitual en las cuentas mula, que fraccionan fondos para no cruzarlos. El oficial de cumplimiento puede presentarlo sin interferencia de la administración, y el Artículo 42 de la Ley 190 de 1995 protege a la entidad y a sus funcionarios de responsabilidad civil o contractual por los reportes hechos de buena fe.
Señales de alerta de cuenta mula que un sistema SARLAFT debe vigilar
Un sistema SARLAFT bien calibrado vigila patrones como:
- Entradas y salidas de fondos en ventanas de tiempo muy cortas, sin justificación aparente.
- Desajuste entre el movimiento real de la cuenta y el perfil transaccional declarado por el cliente en el onboarding.
- Cuentas de apertura reciente con picos de actividad desproporcionados frente a su historial.
- Cuentas inactivas que registran actividad súbita, o ciclos rápidos de fondos que entran y salen sin dejar saldo.
- Microtransacciones repetidas que mantienen cada operación por debajo de los umbrales de reporte, o beneficiarios finales que no concuerdan con el perfil transaccional.
- Patrones de trama: varias cuentas mula operando de forma coordinada, con transferencias cruzadas entre ellas.
Ninguna de estas señales, aislada, es concluyente. Una cuenta recién abierta con un pico de actividad puede responder a un cliente legítimo. Lo que convierte la señal en alerta procesable es la correlación entre varias de ellas.
Cuentas mula por identidad robada vs. cuentas mula por captación (testaferro o prestanombres)
No todas las cuentas mula tienen el mismo origen, y esa distinción importa para el reporte. Hay dos vías principales.
La primera es la identidad robada o suplantada: un tercero abre o toma control de una cuenta sin que el titular real lo sepa. La segunda es la captación, y aquí aparece la figura que en Colombia se conoce coloquial y legalmente como testaferrato o prestanombres bancario.
El testaferrato o prestanombres bancario es la figura por la que una persona presta o vende su cuenta bancaria a terceros para mover fondos de origen ilícito sin levantar sospechas. Es la variante colombiana coloquial de lo que técnicamente se conoce como cuenta mula.
Para el oficial de cumplimiento, la distinción es operativa, no solo semántica, porque cambia dónde se detecta la cuenta y qué evidencia debe quedar documentada: la cuenta mula por identidad robada y la cuenta mula por captación se detectan identificando señales diferentes.
El patrón de «trama»: varias cuentas mula conectadas
Cuando varias cuentas mula operan de forma coordinada (recibiendo y reenviando fondos entre sí en cadena), el fenómeno deja de ser un caso aislado y pasa a ser lo que se conoce como una trama, un concepto de red que también maneja el SEPBLAC en España, por ejemplo. Lo relevante no es cada cuenta por separado, sino la relación entre ellas.
Para el oficial de cumplimiento colombiano, identificar una red de cuentas implica cruzar alertas entre cuentas aparentemente no relacionadas, no revisar cada cuenta por separado. En la práctica, significa buscar coincidencias que a simple vista no existen: mismos dispositivos, mismas IP, mismos patrones de movimiento o mismos destinatarios finales. Es la diferencia entre reportar un caso puntual y reportar una red.
Marco normativo: SARLAFT 4.0, Circular Externa 006/2025 y la Circular Básica Jurídica
El sistema de referencia sigue siendo el marco SARLAFT 4.0 en Colombia, supervisado por la Superintendencia Financiera de Colombia (SFC) a través de la Circular Básica Jurídica. Estas son las normas que condicionan hoy el reporte de una cuenta mula:
| Norma | Vigencia | Qué aporta |
| Circular Externa 027 de 2020 (SARLAFT 4.0) | 2020 | Endureció la debida diligencia y los controles sobre personas expuestas políticamente, banca corresponsal y transferencias, tras los señalamientos del GAFILAT en 2018 |
| Circular Externa 006 de 2025 | Desde el 26 de junio de 2025 | Reorganización estructural en una Circular Básica Jurídica consolidada |
| Ley Estatutaria 2573 de 2026 | Desde el 20 de mayo de 2026; el resto, hacia el 20 de noviembre de 2026 | Seguridad digital para verificar la identidad y carga dinámica de la prueba ante suplantaciones |
Tabla 2. Normas que condicionan el reporte de una cuenta mula. Fuentes: SFC, Diario Oficial.
El SARLAFT opera en dos fases: prevención, para impedir que recursos ilícitos entren al sistema, y control, para detectar y reportar cuando la prevención ha fallado. La cuenta mula activa es un caso de control. El sistema exige además un oficial de cumplimiento de alto nivel que reporte directamente a la Junta Directiva.
Para una entidad vigilada, una política SARLAFT bien redactada ya no basta. Los supervisores buscan evidencia de que los controles funcionan: archivos de clientes, resultados de tamizaje, calificaciones de riesgo, registros de escalamiento y logs de auditoría.
Consecuencias legales de operar como cuenta mula en Colombia
El Art. 323 de la Ley 599 de 2000 (Código Penal) contempla entre 10 y 30 años de prisión por lavado de activos. Ceder la cuenta para mover fondos de origen ilícito puede encajar en ese delito; se valora caso por caso según el conocimiento del titular.
La consecuencia no se limita al titular de la cuenta. La SFC puede imponer multas de considerable magnitud a la entidad vigilada que no detecta ni reporta a tiempo, y publica las decisiones sancionatorias definitivas. Para el oficial de cumplimiento, esta doble consecuencia (penal para el titular, regulatoria para la entidad) es el argumento que sostiene por qué el reporte a la UIAF no es opcional cuando las señales de alerta se confirman.
Qué debe demostrar el oficial de cumplimiento SARLAFT ante una cuenta mula
Ante una cuenta mula detectada, el oficial de cumplimiento SARLAFT debe documentar evidencia operativa trazable: las señales de alerta identificadas, el análisis de la transacción, la decisión tomada y, si aplica, el Reporte de Operación Sospechosa (ROS) enviado a la UIAF.
La metodología de la 5.ª Ronda de Evaluación Mutua de GAFI/GAFILAT, adoptada en 2022 y operativa desde 2024, introduce ese mismo criterio a nivel país: otorga mayor peso a la efectividad que al cumplimiento técnico, y la próxima evaluación de Colombia se hará bajo ella.
También cuenta el tiempo. No basta con identificar un patrón sospechoso semanas después si la entidad tenía los datos para detectarlo y escalarlo antes. El expediente debe mostrar cuándo apareció la señal y cuándo se escaló, y alimenta el informe anual de efectividad SARLAFT que el oficial presenta a la Junta Directiva, con las deficiencias identificadas y las acciones de remediación.
Para profundizar en el marco SARLAFT 4.0 completo ver marco SARLAFT 4.0 en Colombia y lo que debe demostrar el oficial de cumplimiento.
Preguntas frecuentes
Cuando el movimiento de fondos no encaja con el perfil declarado del cliente según criterios objetivos del EOSF (arts. 102-104), no cuando se etiqueta a la persona. El reporte recae sobre la transacción, no sobre el titular.
Es la figura por la que una persona presta o vende su cuenta bancaria a terceros para mover fondos de origen ilícito sin levantar sospechas, la variante colombiana coloquial de lo que técnicamente se conoce como cuenta mula.
El Art. 323 de la Ley 599 de 2000 (Código Penal) contempla entre 10 y 30 años de prisión por lavado de activos. Ceder la cuenta para mover fondos de origen ilícito puede encajar en ese delito; se valora caso por caso según el conocimiento del titular.
Evidencia operativa trazable (no solo política escrita) dentro del sistema SARLAFT: señales de alerta identificadas, análisis de la transacción, decisión tomada y, si aplica, el ROS enviado a la UIAF.
