¿Qué es el SAGRILAFT?
El SAGRILAFT es el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (LA/FT/FPADM) que deben implementar las empresas del sector real vigiladas o controladas por la Superintendencia de Sociedades.
Está regulado en el Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades, incorporado por la Circular Externa 100-000016 de 2020 y modificado posteriormente. La palabra clave del nombre es autocontrol: a diferencia del sector financiero, donde el supervisor revisa de forma permanente, aquí la empresa asume la carga de diseñar, ejecutar y evaluar sus propios controles, y de poder demostrarlo cuando se le pregunte.
La consecuencia práctica del autocontrol es que la evidencia importa tanto como el control. Una empresa que sí verifica a sus contrapartes pero no deja rastro de haberlo hecho está, ante la Superintendencia, en la misma posición que una que no verifica nada.
SAGRILAFT vs. SARLAFT: en qué se diferencian
Es la confusión más costosa del cumplimiento LA/FT en Colombia, porque una empresa puede invertir meses construyendo el sistema equivocado. La lógica de gestión del riesgo es equivalente; el supervisor, los obligados y los requisitos formales no lo son.
| SAGRILAFT | SARLAFT | |
|---|---|---|
| Quién lo exige | Superintendencia de Sociedades | Superintendencia Financiera de Colombia |
| A quién aplica | Empresas del sector real vigiladas o controladas que superan los umbrales | Entidades del sistema financiero, asegurador y del mercado de valores |
| Norma | Capítulo X de la Circular Básica Jurídica (Supersociedades) | Parte I, Título IV, Capítulo IV de la Circular Básica Jurídica (Superfinanciera) |
| Alcance del riesgo | LA/FT y FPADM (proliferación de armas) | LA/FT |
| Criterio de obligatoriedad | Umbrales de ingresos o activos, con umbrales menores por sector | Ser entidad vigilada, sin umbral de tamaño |
| Oficial de Cumplimiento | Designado por el máximo órgano social; no requiere posesión | Designado por junta y posesionado ante la Superintendencia |
| Enfoque de supervisión | Autocontrol, con supervisión por requerimiento y visita | Supervisión permanente y reportes periódicos |
Si su entidad es vigilada por la Superintendencia Financiera, la guía que necesita es la de SARLAFT.
¿Su empresa está obligada?
La obligación depende de dos condiciones que deben cumplirse a la vez:
- Sujeción a la Superintendencia de Sociedades, en calidad de sociedad vigilada, controlada o inspeccionada según los criterios de la propia entidad.
- Superar los umbrales de ingresos totales o activos totales que fija el Capítulo X, medidos con el cierre del ejercicio contable del año anterior.
Los umbrales se expresan en salarios mínimos mensuales legales vigentes (SMMLV), por lo que el monto en pesos cambia cada año aunque la norma no se modifique. Además, ciertos sectores considerados de mayor riesgo tienen umbrales inferiores al régimen general: entre ellos, el comercio de metales y piedras preciosas, la actividad inmobiliaria, la construcción, los servicios jurídicos y contables, y el comercio de vehículos y activos de alto valor.
Las cifras exactas de los umbrales han cambiado en varias oportunidades desde 2020. Antes de concluir que su empresa no está obligada, contraste los ingresos y activos del cierre anterior contra la versión vigente del Capítulo X — no contra una tabla publicada en un blog o una presentación de años pasados. Podemos verificarlo con usted sin costo.
Un punto que se pasa por alto: incluso una empresa que no alcanza los umbrales puede necesitar controles LA/FT por exigencia de sus propias contrapartes. Bancos, clientes corporativos grandes y entidades públicas piden cada vez con más frecuencia evidencia de debida diligencia como condición para contratar. En ese caso la motivación no es la sanción, es no quedar fuera de la licitación.
Régimen general y régimen de medidas mínimas
El Capítulo X no impone un sistema único. Distingue entre un régimen general, con el SAGRILAFT completo, y un régimen de medidas mínimas, aplicable a empresas de menor tamaño relativo que igualmente deben adoptar controles, aunque más acotados.
La diferencia práctica está en la profundidad exigida: el régimen general requiere matriz de riesgo formal, segmentación de factores de riesgo, Oficial de Cumplimiento con dedicación y auditoría del sistema; el de medidas mínimas se concentra en debida diligencia de contrapartes, consulta en listas vinculantes y reporte de operaciones sospechosas. Determinar en qué régimen cae la empresa es la primera decisión del proyecto, porque define todo el alcance posterior — y equivocarse hacia abajo es un hallazgo inmediato en una visita.
Elementos mínimos del sistema
Un SAGRILAFT bajo régimen general debe contener, como mínimo:
- Política LA/FT/FPADM aprobada por el máximo órgano social, con la tolerancia al riesgo definida de forma expresa.
- Manual de procedimientos que traduzca la política a instrucciones operativas por área: compras, comercial, tesorería, talento humano.
- Matriz de riesgo construida sobre los factores de riesgo reales de la empresa — contrapartes, productos y servicios, canales y jurisdicciones — con riesgo inherente y residual.
- Procedimientos de debida diligencia ordinaria e intensificada, con criterios documentados de clasificación.
- Identificación del beneficiario final de las contrapartes que son personas jurídicas o estructuras sin personalidad jurídica.
- Consulta en listas restrictivas y vinculantes, con monitoreo posterior y no solo verificación inicial.
- Señales de alerta definidas y operando, con un procedimiento claro de escalamiento y análisis.
- Oficial de Cumplimiento designado, con funciones e independencia establecidas.
- Capacitación periódica y documentada a todo el personal con exposición al riesgo.
- Auditoría y evaluación del sistema, y conservación de documentos por los términos legales.
Debida diligencia y debida diligencia intensificada
La debida diligencia es el corazón operativo del SAGRILAFT: conocer a la contraparte antes de vincularla y mantener ese conocimiento actualizado durante la relación. Cubre clientes, proveedores, contratistas, distribuidores, socios y, en ciertos casos, empleados en posiciones sensibles.
Debida diligencia ordinaria
Identificación y verificación de la contraparte, de su actividad económica y del origen de sus recursos; identificación del beneficiario final cuando es persona jurídica; consulta en listas; y conservación del expediente con la evidencia de cada paso.
Debida diligencia intensificada
Se activa cuando concurren factores de mayor riesgo, entre ellos:
- Contrapartes que son Personas Expuestas Políticamente (PEP), sus familiares o asociados cercanos.
- Operaciones con jurisdicciones de mayor riesgo o con deficiencias estratégicas señaladas por el GAFI.
- Estructuras societarias opacas o cadenas de propiedad que dificultan identificar al beneficiario final.
- Operaciones inusuales por monto, frecuencia o naturaleza frente al perfil declarado de la contraparte.
- Sectores o actividades con exposición reconocida al riesgo de LA/FT.
Sostener esto manualmente es donde la mayoría de las implementaciones se cae: el sistema existe en el papel, pero la verificación se hace de forma inconsistente y sin rastro. Secure Partner administra el ciclo completo de contrapartes con expediente digital, clasificación de riesgo y alertas, y Risk List mantiene la consulta continua en listas restrictivas nacionales e internacionales — reduciendo a segundos una verificación que a mano toma horas y deja la trazabilidad que la Superintendencia va a pedir.
El Oficial de Cumplimiento en el SAGRILAFT
El Oficial de Cumplimiento debe ser designado por el máximo órgano social o por la junta directiva, según lo previsto en los estatutos, y debe contar con independencia, capacidad de decisión y acceso directo a la administración. A diferencia del régimen financiero, no requiere posesión ante la Superintendencia, pero sí responde por el funcionamiento del sistema.
Los requisitos que la norma valora son idoneidad y ausencia de conflicto de interés: no puede ser el revisor fiscal, ni pertenecer a un área cuya operación deba controlar. En empresas medianas es habitual que el rol recaiga en el área jurídica, financiera o de riesgos con dedicación parcial; lo que no es defendible es una designación nominal sin tiempo, sin recursos y sin informes. Centrabase presta el servicio de acompañamiento al Oficial de Cumplimiento, aportando la capacidad operativa y técnica que el rol necesita sin trasladar la responsabilidad fuera de la empresa.
Reportes a la UIAF
Las empresas obligadas son entidades reportantes ante la Unidad de Información y Análisis Financiero (UIAF) y deben registrarse en su sistema de reporte en línea. Los reportes centrales son el ROS (Reporte de Operación Sospechosa), que se envía de forma inmediata al determinar la sospecha y no exige certeza sobre la existencia de un delito, y el reporte de ausencia de operaciones sospechosas en los períodos en que no hubo ROS. Según el sector y el régimen aplicable pueden exigirse reportes adicionales, como el de transacciones en efectivo.
Dos reglas que no admiten interpretación: el ROS está sujeto a reserva legal y no puede comunicarse a la contraparte involucrada; y el reporte de ausencia también es obligatorio — no reportar nada porque no hubo nada es, en sí mismo, un incumplimiento.
Sanciones por incumplimiento
La Superintendencia de Sociedades puede imponer multas a la empresa y, de forma personal, a sus administradores y al revisor fiscal, además de ordenar medidas correctivas y hacer seguimiento a su ejecución. Pero el costo relevante suele estar en otro lado:
- Exclusión comercial. Bancos, grandes clientes y entidades públicas exigen evidencia de controles LA/FT. Sin SAGRILAFT, la empresa queda fuera de procesos de contratación y puede enfrentar cierre de productos financieros.
- Responsabilidad personal de administradores. Los deberes de diligencia hacen que la omisión de control sea imputable a quienes administran, no solo a la sociedad.
- Exposición penal. La omisión de controles puede derivar en investigaciones por lavado de activos u omisión de control, con consecuencias que exceden por completo la multa administrativa.
Cómo implementarlo con Centrabase
Centrabase implementa el SAGRILAFT de forma integral, con más de veinte años de experiencia en gestión de riesgos y presencia en más de trece sectores de la economía colombiana:
- Determinación de obligatoriedad y régimen aplicable a partir de las cifras reales del cierre anterior.
- Elaboración de la política y el manual SAGRILAFT ajustados al sector, el tamaño y la estructura de contrapartes de la empresa.
- Construcción de la matriz de riesgo y la segmentación con metodología documentada y sustentable ante la Superintendencia.
- Automatización de la debida diligencia con Secure Partner y Risk List, integradas a los procesos de compras y vinculación que ya existen.
- Capacitación del equipo y acompañamiento al Oficial de Cumplimiento, con monitoreo continuo y actualización ante cambios normativos.
Evaluamos su caso sin costo y le decimos si está obligado, bajo qué régimen y qué le falta. Conozca también los clientes que ya confían en Centrabase. Si su empresa contrata con entidades públicas, revise además la guía de PTEE; si es vigilada por la Superintendencia Financiera, la que aplica es SARLAFT.
Esta guía tiene carácter informativo y no constituye asesoría legal. El Capítulo X de la Circular Básica Jurídica ha sido modificado en varias ocasiones desde 2020: verifique la versión vigente antes de tomar decisiones de cumplimiento.
Preguntas frecuentes
¿Mi empresa está obligada a implementar el SAGRILAFT?
Depende de dos cosas: si está vigilada o controlada por la Superintendencia de Sociedades, y si supera los umbrales de ingresos o activos que fija el Capítulo X de la Circular Básica Jurídica, medidos sobre el cierre del ejercicio anterior. Algunos sectores considerados de mayor riesgo — metales y piedras preciosas, actividad inmobiliaria, servicios jurídicos y contables, entre otros — tienen umbrales más bajos. Los montos se expresan en SMMLV y se han modificado varias veces, por lo que la única forma segura de responder es contrastar sus cifras del año anterior con la versión vigente del Capítulo X.
¿Qué pasa si un año supero el umbral y al siguiente no?
La obligación se evalúa con la información del ejercicio anterior, de modo que una empresa puede entrar y salir del régimen. Salir del umbral no borra el deber de haber cumplido en el período en que sí estaba obligada, y desmontar el sistema por completo es riesgoso: si vuelve a superar el umbral tendrá que reconstruirlo desde cero, y la Superintendencia puede revisar períodos anteriores. Lo razonable es conservar el sistema en una versión proporcional al tamaño real de la operación.
¿El SAGRILAFT y el PTEE son lo mismo?
No, aunque los exige la misma entidad y con frecuencia se implementan juntos. El SAGRILAFT gestiona el riesgo de lavado de activos, financiación del terrorismo y financiamiento de la proliferación de armas de destrucción masiva. El PTEE gestiona el riesgo de corrupción y soborno transnacional. Son capítulos distintos de la Circular Básica Jurídica, con obligados y umbrales propios: hay empresas obligadas a uno y no al otro, y empresas obligadas a ambos.
¿Cuánto cuesta implementar un SAGRILAFT?
El costo varía según el tamaño de la empresa, el número de contrapartes y el estado de partida. Los factores que más lo mueven son el volumen de terceros a los que hay que aplicar debida diligencia, la calidad de la información que la empresa ya tiene de sus proveedores y clientes, y si el Oficial de Cumplimiento será interno o apoyado externamente. En todos los casos es un orden de magnitud inferior al de una sanción de la Superintendencia de Sociedades.
¿Debo aplicar debida diligencia a todos mis proveedores?
Sí, a todas las contrapartes dentro del alcance definido, pero con intensidad proporcional al riesgo. Eso es precisamente lo que permite el enfoque basado en riesgo: debida diligencia simplificada para contrapartes de bajo riesgo y debida diligencia intensificada para las de alto riesgo — PEP, jurisdicciones de mayor riesgo, estructuras societarias opacas, operaciones inusuales por monto o naturaleza. Lo que no es admisible es no tener criterios documentados para decidir en qué grupo cae cada contraparte.
¿Se puede cumplir el SAGRILAFT con hojas de cálculo?
En una empresa con pocas decenas de contrapartes es técnicamente posible, pero se vuelve inviable rápido por dos razones: la consulta en listas restrictivas debe ser continua y no solo al vincular, y la Superintendencia espera trazabilidad — quién verificó qué, cuándo, con qué resultado y qué decisión se tomó. Una hoja de cálculo no conserva ese rastro de forma confiable, y es justamente el rastro lo que acredita el cumplimiento en una visita.