La diferencia en una frase
El SARLAFT es el sistema que la Superintendencia Financiera de Colombia exige a las entidades del sistema financiero, asegurador y del mercado de valores. El SAGRILAFT es el sistema que la Superintendencia de Sociedades exige a las empresas del sector real que superan los umbrales del Capítulo X de su Circular Básica Jurídica. Todo lo demás — la norma que lo regula, los riesgos que cubre, los reportes y el estatus del Oficial de Cumplimiento — se deriva de esa primera diferencia: quién vigila a su empresa.
La confusión entre ambos es probablemente la más costosa del cumplimiento LA/FT en Colombia. Las siglas se parecen, la lógica de gestión del riesgo es equivalente y buena parte de los controles operativos coinciden. Por eso es habitual encontrar empresas del sector real que contrataron un "SARLAFT", o que copiaron un manual de una entidad financiera, y descubren en el primer requerimiento de la Superintendencia que construyeron un sistema contra la norma equivocada.
Regla práctica: no empiece por la sigla, empiece por el supervisor. Si su entidad es vigilada por la Superintendencia Financiera, lo que le aplica es el SARLAFT. Si es una empresa del sector real sujeta a la Superintendencia de Sociedades y supera los umbrales, es el SAGRILAFT.
Qué es cada sistema
SARLAFT
El Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo es un sistema de gestión completo, no un manual ni un software: políticas aprobadas por la junta directiva, procedimientos documentados, estructura organizacional definida, tecnología de soporte y auditoría periódica. Se organiza en cuatro etapas encadenadas — identificación, medición, control y monitoreo — sobre cuatro factores de riesgo: contraparte, producto, canal de distribución y jurisdicción. Desde la reforma conocida como SARLAFT 4.0, el modelo es expresamente basado en riesgo: la entidad debe justificar técnicamente su metodología y demostrar que los controles funcionan.
SAGRILAFT
El Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva es el sistema equivalente para el sector real. La palabra que lo define es autocontrol: a diferencia del sector financiero, donde el supervisor revisa de forma permanente, aquí la empresa asume la carga de diseñar, ejecutar y evaluar sus propios controles, y de poder demostrarlo cuando se le pregunte. Su corazón operativo es la debida diligencia de contrapartes — clientes, proveedores, contratistas, distribuidores y socios — y la consulta en listas restrictivas y vinculantes.
Lo que tienen en común es el objetivo: no detectar delitos, que es tarea de las autoridades, sino evitar que la empresa sea utilizada como vehículo para dar apariencia de legalidad a recursos ilícitos o para canalizar fondos hacia el terrorismo. En ambos casos la obligación es de medios: tener controles razonables y proporcionales al riesgo, aplicarlos de forma consistente y conservar la evidencia.
Tabla comparativa: SARLAFT vs. SAGRILAFT
Este es el resumen punto por punto. Las secciones siguientes desarrollan cada fila.
| SARLAFT | SAGRILAFT | |
|---|---|---|
| Quién supervisa | Superintendencia Financiera de Colombia | Superintendencia de Sociedades |
| Quién está obligado | Entidades vigiladas del sistema financiero, asegurador y del mercado de valores, sin umbral de tamaño | Empresas del sector real vigiladas o controladas que superan los umbrales de ingresos o activos, con umbrales menores para sectores de mayor riesgo |
| Fuente normativa | Circular Básica Jurídica de la Superintendencia Financiera (Circular Externa 029 de 2014), Parte I, Título IV, Capítulo IV, con la reforma de la Circular Externa 027 de 2020 | Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades, incorporado por la Circular Externa 100-000016 de 2020 y modificado posteriormente |
| Riesgos cubiertos | Lavado de activos y financiación del terrorismo (LA/FT) | LA/FT más financiamiento de la proliferación de armas de destrucción masiva (FPADM) |
| Reportes | A la UIAF: ROS, ausencia de ROS, transacciones en efectivo y productos y clientes exonerados | A la UIAF: ROS y reporte de ausencia de operaciones sospechosas, y según el sector y el régimen, reportes adicionales como el de transacciones en efectivo |
| Roles clave | Junta directiva, representante legal, Oficial de Cumplimiento designado por la junta y posesionado ante la Superintendencia, revisoría fiscal y auditoría interna | Máximo órgano social o junta directiva, administradores, Oficial de Cumplimiento designado sin necesidad de posesión, y revisor fiscal |
| Enfoque de supervisión | Supervisión permanente | Autocontrol, con supervisión por requerimiento y visita |
Supervisor y obligados
En el SARLAFT el criterio de obligatoriedad es binario: si la entidad está sometida a inspección y vigilancia de la Superintendencia Financiera, está obligada, sin importar su tamaño. Eso incluye establecimientos de crédito (bancos, corporaciones financieras, compañías de financiamiento y cooperativas financieras), sociedades de servicios financieros como fiduciarias y administradoras de fondos de pensiones y de cesantías, aseguradoras y corredores de seguros, intermediarios del mercado de valores y sociedades especializadas en depósitos y pagos electrónicos (SEDPE).
En el SAGRILAFT deben cumplirse dos condiciones a la vez. La primera, estar sujeta a la Superintendencia de Sociedades como sociedad vigilada, controlada o inspeccionada. La segunda, superar los umbrales de ingresos totales o activos totales que fija el Capítulo X, medidos con el cierre del ejercicio contable del año anterior. Esos umbrales se expresan en salarios mínimos mensuales legales vigentes (SMMLV), así que el monto en pesos cambia cada año aunque la norma no cambie.
Además, ciertos sectores considerados de mayor riesgo tienen umbrales inferiores al régimen general: entre ellos, el comercio de metales y piedras preciosas, la actividad inmobiliaria, la construcción, los servicios jurídicos y contables, y el comercio de vehículos y activos de alto valor. Y dentro del SAGRILAFT hay dos niveles: un régimen general, con el sistema completo, y un régimen de medidas mínimas para empresas de menor tamaño relativo, centrado en debida diligencia, consulta en listas vinculantes y reporte de operaciones sospechosas.
Esta guía no reproduce las cifras de los umbrales a propósito: se han modificado varias veces desde 2020. Contraste sus ingresos y activos del cierre anterior con la versión vigente del Capítulo X, no con una tabla de años pasados.
Fuente normativa y riesgos cubiertos
Los dos sistemas viven en una Circular Básica Jurídica, pero no en la misma. El SARLAFT está en la Circular Básica Jurídica de la Superintendencia Financiera (Circular Externa 029 de 2014), Parte I, Título IV, Capítulo IV. Su reforma estructural más relevante de la última década fue la Circular Externa 027 de 2020, la que el mercado conoce como SARLAFT 4.0. El SAGRILAFT está en el Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades, incorporado por la Circular Externa 100-000016 de 2020 y modificado después.
Que las dos normas se llamen igual es parte del problema: cuando alguien dice "la Circular Básica Jurídica" sin decir de qué Superintendencia, ya hay una ambigüedad que puede terminar en un manual citando la norma que no es.
La diferencia de alcance más visible está en la sigla. El SARLAFT gestiona el riesgo de LA/FT. El SAGRILAFT gestiona LA/FT/FPADM: suma de forma expresa el financiamiento de la proliferación de armas de destrucción masiva. En la práctica esto significa que la política, la matriz de riesgo, las señales de alerta y la consulta en listas de un SAGRILAFT tienen que contemplar ese tercer riesgo, y que un manual adaptado de un SARLAFT que no lo menciona queda incompleto desde la primera página.
Ojo con un tercer sistema que también suele mezclarse: el PTEE, Programa de Transparencia y Ética Empresarial, lo exige la misma Superintendencia de Sociedades, pero gestiona otro riesgo — corrupción y soborno transnacional — y está en el Capítulo XIII, no en el X.
Reportes y roles clave
Reportes a la UIAF
En ambos sistemas la empresa es entidad reportante ante la Unidad de Información y Análisis Financiero (UIAF), y en ambos el reporte central es el ROS, Reporte de Operación Sospechosa: se envía de forma inmediata al determinar la sospecha, no exige certeza de que exista un delito y está amparado por reserva legal, de modo que no puede comunicarse a la contraparte. En los dos regímenes también es obligatorio el reporte de ausencia de operaciones sospechosas en los períodos sin ROS.
La diferencia está en el resto del paquete. El SARLAFT incluye de forma general el reporte de transacciones en efectivo y el de productos y clientes exonerados, dentro de un modelo de supervisión permanente con reportes periódicos. En el SAGRILAFT, los reportes adicionales dependen del sector y del régimen aplicable; las empresas obligadas deben, en todo caso, registrarse en el sistema de reporte en línea de la UIAF.
Oficial de Cumplimiento y gobierno
En el SARLAFT, el Oficial de Cumplimiento lo designa la junta directiva y debe estar posesionado ante la Superintendencia Financiera. Responde personalmente por sus funciones: velar por la efectividad del sistema, evaluar operaciones inusuales, decidir los ROS y presentar informes periódicos a la junta. La estructura incluye además al representante legal, la revisoría fiscal y la auditoría interna como órganos de control.
En el SAGRILAFT, lo designa el máximo órgano social o la junta directiva, según los estatutos, y no requiere posesión ante la Superintendencia de Sociedades. Debe tener independencia, capacidad de decisión y acceso directo a la administración, y no puede ser el revisor fiscal ni pertenecer a un área cuya operación deba controlar. La política LA/FT/FPADM la aprueba el máximo órgano social, y la Superintendencia puede sancionar no solo a la empresa sino, de forma personal, a sus administradores y al revisor fiscal.
¿Cuál le aplica a su empresa: uno, otro, ambos o ninguno?
Le aplica el SARLAFT si…
Su entidad está vigilada por la Superintendencia Financiera: banco, compañía de financiamiento, cooperativa financiera, fiduciaria, aseguradora, comisionista de bolsa, SEDPE u otro actor vigilado del ecosistema financiero. No hay umbral que revisar; la vigilancia basta.
Le aplica el SAGRILAFT si…
Es una empresa del sector real sujeta a la Superintendencia de Sociedades y, con las cifras del cierre del ejercicio anterior, supera los umbrales de ingresos o activos del Capítulo X — o los umbrales menores si su actividad está entre los sectores de mayor riesgo. Además tendrá que determinar si le corresponde el régimen general o el de medidas mínimas.
Cuando aparecen los dos
La sujeción a uno u otro se define por persona jurídica y por supervisor. En un grupo empresarial con una entidad financiera vigilada y sociedades del sector real, cada sociedad responde ante su propio supervisor: la vigilada por la Superintendencia Financiera implementa SARLAFT y las del sector real que superan los umbrales implementan SAGRILAFT. Compartir herramientas, equipo y criterios entre ellas es eficiente, siempre que cada sistema siga siendo identificable y esté construido contra su propia norma. Si tiene dudas sobre la sujeción de una sociedad concreta, revíselo caso a caso con la norma vigente.
La combinación que más se ve en la práctica, de hecho, no es SARLAFT con SAGRILAFT, sino SAGRILAFT con PTEE: dos capítulos de la misma Superintendencia que muchas empresas del sector real deben cumplir a la vez, especialmente si contratan con el Estado.
Cuando no le aplica ninguno
Puede pasar que su empresa no esté vigilada por la Superintendencia Financiera ni supere los umbrales de Supersociedades. Antes de cerrar el tema, revise dos cosas. Primera, si responde ante otro supervisor sectorial — Supertransporte, Supersalud o Supervigilancia tienen sistemas análogos con requisitos propios. Segunda, si sus clientes y aliados le piden controles: bancos, clientes corporativos grandes y entidades públicas exigen cada vez más evidencia de debida diligencia y consulta en listas como condición para contratar. Ahí la motivación no es la sanción, es no quedar fuera de la licitación.
Errores frecuentes al distinguir SARLAFT y SAGRILAFT
- Construir el sistema contra la norma equivocada. Una empresa del sector real que implementa un "SARLAFT" termina con un sistema que su supervisor no le va a validar, aunque los controles se parezcan.
- Copiar un manual de una entidad financiera. Además de citar la Circular Básica Jurídica que no es, suele omitir el FPADM y exigir una posesión del Oficial de Cumplimiento que en el SAGRILAFT no aplica.
- Usar cifras de umbrales desactualizadas. Los umbrales del Capítulo X se expresan en SMMLV y se han modificado varias veces. Concluir que no está obligado con una tabla vieja es un riesgo innecesario.
- Equivocarse de régimen hacia abajo. Aplicar medidas mínimas cuando corresponde el régimen general es un hallazgo inmediato en una visita de la Superintendencia de Sociedades.
- Confundir autocontrol con ausencia de control. Que la Superintendencia de Sociedades no supervise de forma permanente no significa que no vaya a revisar: lo hace por requerimiento y visita, y la carga de la prueba es de la empresa.
- Olvidar el reporte de ausencia de ROS. En ambos sistemas, no reportar nada porque no hubo operaciones sospechosas es en sí mismo un incumplimiento.
- Consultar listas solo al vincular. Ambos regímenes esperan monitoreo continuo: una contraparte limpia hoy puede entrar a una lista mañana, y sin rastro con fecha, fuente y resultado, la verificación ante el supervisor no existió.
Cómo le ayuda Centrabase
Centrabase lleva más de veinte años implementando SARLAFT, SAGRILAFT y PTEE, combinando consultoría de cumplimiento con tecnología propia. El primer paso, en cualquiera de los dos sistemas, es el mismo: confirmar qué le aplica, bajo qué régimen y qué le falta.
- Diagnóstico de obligatoriedad. Revisamos su supervisor, sus cifras del cierre anterior frente a la norma vigente y el régimen que le corresponde. Si es entidad financiera, parta de la guía del SARLAFT; si es del sector real, de la guía del SAGRILAFT.
- Política, manual y matriz de riesgo construidos contra la norma correcta, con la metodología documentada y defendible ante el supervisor.
- Consulta continua en listas restrictivas y vinculantes con Risk List: búsqueda en tiempo real en OFAC, ONU, INTERPOL y listas nacionales, alertas automáticas y registro de cada consulta. Más detalle en consulta en listas restrictivas.
- Debida diligencia de contrapartes con Secure Partner: expediente digital, evaluación de riesgo, monitoreo y gestión documental.
- Plataformas para cada régimen. La base tecnológica es la misma porque los controles operativos coinciden; cambia la configuración. Vea el software SARLAFT o el software SAGRILAFT según su caso.
- Acompañamiento al Oficial de Cumplimiento, capacitación y actualización ante cambios normativos.
Solicitar demostración y revisamos su caso con sus cifras reales. Si prefiere una conversación rápida, contáctenos por WhatsApp.
Esta guía tiene carácter informativo y no constituye asesoría legal. Las circulares de la Superintendencia Financiera y de la Superintendencia de Sociedades se modifican con frecuencia: verifique la versión vigente antes de tomar decisiones de cumplimiento.
Preguntas frecuentes
¿Cuál es la diferencia principal entre SARLAFT y SAGRILAFT?
El supervisor y, con él, el tipo de empresa obligada. El SARLAFT lo exige la Superintendencia Financiera de Colombia a las entidades del sistema financiero, asegurador y del mercado de valores. El SAGRILAFT lo exige la Superintendencia de Sociedades a las empresas del sector real que superan los umbrales del Capítulo X de su Circular Básica Jurídica. La lógica de gestión del riesgo es equivalente; los requisitos formales, los reportes y la forma de supervisión no lo son.
¿El SAGRILAFT es una versión del SARLAFT para empresas más pequeñas?
No. Son sistemas distintos, de supervisores distintos y con normas distintas. El SAGRILAFT no es una versión reducida de nada: aplica a empresas del sector real que superan ciertos umbrales, e incluso agrega un riesgo que el SARLAFT no nombra en su sigla, el financiamiento de la proliferación de armas de destrucción masiva (FPADM). Tratarlo como un SARLAFT liviano es una de las fuentes más comunes de hallazgos.
¿Una empresa del sector real puede implementar SARLAFT en lugar de SAGRILAFT?
No le sirve. Una empresa del sector real vigilada por Supersociedades debe implementar SAGRILAFT, construido contra el Capítulo X. Un sistema diseñado contra la norma de la Superintendencia Financiera no es el que su supervisor le va a validar, aunque muchos controles operativos se parezcan.
¿Qué significa FPADM y por qué solo aparece en el SAGRILAFT?
FPADM es el financiamiento de la proliferación de armas de destrucción masiva. El Capítulo X de la Superintendencia de Sociedades lo incluye expresamente en el alcance del SAGRILAFT junto con el lavado de activos y la financiación del terrorismo. Por eso la política, la matriz de riesgo y los controles de un SAGRILAFT deben cubrir los tres riesgos, no solo LA/FT.
¿El Oficial de Cumplimiento tiene las mismas exigencias en ambos sistemas?
No. En el SARLAFT lo designa la junta directiva y debe posesionarse ante la Superintendencia Financiera. En el SAGRILAFT lo designa el máximo órgano social o la junta directiva, según los estatutos, y no requiere posesión ante la Superintendencia de Sociedades, aunque responde por el funcionamiento del sistema y debe tener independencia, capacidad de decisión y ausencia de conflictos de interés.
¿Y si mi empresa no está obligada a ninguno de los dos?
Revise primero si responde ante otro supervisor — Supertransporte, Supersalud o Supervigilancia tienen sistemas análogos con requisitos propios — y si contrata con el Estado, porque eso puede obligarla a un PTEE. Si de verdad no está obligada, es frecuente que bancos, clientes corporativos o entidades públicas le exijan igualmente evidencia de debida diligencia y consulta en listas como condición para contratar.