¿Qué es el SARLAFT?
El SARLAFT es el Sistema de Administración del Riesgo de Lavado de Activos y de la Financiación del Terrorismo que deben implementar las entidades vigiladas por la Superintendencia Financiera de Colombia. No es un manual ni un software: es un sistema de gestión completo, con políticas aprobadas por la junta directiva, procedimientos documentados, estructura organizacional definida, tecnología de soporte y auditoría periódica.
Su objetivo no es detectar delitos — eso le corresponde a las autoridades judiciales — sino prevenir que la entidad sea utilizada como vehículo para dar apariencia de legalidad a recursos de origen ilícito o para canalizar fondos hacia actividades terroristas. La obligación de la entidad es de medios: demostrar que tiene controles razonables, proporcionales a su riesgo, y que los aplica de forma consistente.
La distinción es importante en la práctica. Una entidad puede ser sancionada aunque nunca haya movido un peso de origen ilícito, si no acredita que tenía el sistema montado y operando. Y a la inversa: una operación de lavado que pasó por controles bien diseñados y ejecutados no genera automáticamente responsabilidad para la entidad.
¿Quién está obligado a implementar el SARLAFT?
Están obligadas las entidades sometidas a inspección y vigilancia de la Superintendencia Financiera de Colombia. En términos prácticos, esto incluye:
- Establecimientos de crédito: bancos, corporaciones financieras, compañías de financiamiento y cooperativas financieras.
- Sociedades de servicios financieros: fiduciarias, almacenes generales de depósito, sociedades administradoras de fondos de pensiones y de cesantías.
- Entidades aseguradoras y corredores de seguros, incluidas las sociedades de capitalización.
- Intermediarios del mercado de valores: comisionistas de bolsa, sociedades administradoras de inversión y bolsas de bienes y productos.
- Sociedades especializadas en depósitos y pagos electrónicos (SEDPE) y otros actores del ecosistema de pagos vigilados.
Si su empresa no es vigilada por la Superintendencia Financiera, el sistema que le corresponde probablemente no es el SARLAFT. Las empresas del sector real vigiladas por Supersociedades implementan SAGRILAFT, y otros sectores responden ante sus propios supervisores — Supertransporte, Supersalud, Supervigilancia — con sistemas análogos pero de requisitos distintos.
Marco normativo y el paso a SARLAFT 4.0
El SARLAFT está regulado en la Circular Básica Jurídica de la Superintendencia Financiera de Colombia (Circular Externa 029 de 2014), Parte I, Título IV, Capítulo IV. Ese capítulo ha sido modificado varias veces; la reforma estructural más relevante de la última década fue la que el mercado conoce como SARLAFT 4.0, introducida por la Circular Externa 027 de 2020.
El cambio de fondo de SARLAFT 4.0 fue pasar de un modelo de cumplimiento basado en listas de verificación a un enfoque basado en riesgo. Esto tiene consecuencias concretas en el diseño del sistema:
- La entidad debe justificar técnicamente su metodología de segmentación y su matriz de riesgo, no solo tenerlas.
- Los controles deben ser proporcionales al riesgo: debida diligencia simplificada donde el riesgo es bajo y debida diligencia intensificada donde es alto, con criterios documentados para clasificar cada caso.
- Se refuerza el análisis de beneficiario final y de estructuras societarias, no solo del titular formal de la relación.
- La efectividad del sistema pasa a ser objeto de evaluación: no basta acreditar que el control existe, hay que demostrar que funciona.
Marco complementario que suele pesar en una visita: la Ley 190 de 1995 y el Estatuto Orgánico del Sistema Financiero en materia de deberes de información, las recomendaciones del GAFI como referente técnico internacional, y las resoluciones del Consejo de Seguridad de la ONU en materia de listas vinculantes de sanciones.
Las cuatro etapas del sistema
La norma estructura el SARLAFT en cuatro etapas encadenadas. Cada una alimenta a la siguiente, y una falla en las primeras invalida el trabajo de las últimas.
1. Identificación del riesgo
Consiste en establecer dónde puede materializarse el riesgo de LA/FT en la operación de la entidad, a partir de los cuatro factores de riesgo: contraparte, producto, canal de distribución y jurisdicción. El resultado es un inventario de eventos de riesgo asociados a procesos concretos, no una declaración genérica.
2. Medición o evaluación
Cada evento identificado se evalúa en términos de probabilidad e impacto para obtener el riesgo inherente. Aquí se construye la matriz de riesgo y se define la segmentación de los factores de riesgo en grupos homogéneos, que es la base para poder detectar después lo que se sale de lo normal.
3. Control
Se diseñan e implementan los controles que reducen la probabilidad o el impacto de cada evento, obteniendo el riesgo residual. Es la etapa donde entran la debida diligencia de clientes, la consulta en listas restrictivas, los límites operativos y las señales de alerta.
4. Monitoreo
El sistema debe hacer seguimiento continuo del perfil de riesgo, detectar operaciones inusuales, analizarlas y decidir si constituyen operaciones sospechosas. El monitoreo también retroalimenta las etapas anteriores: si aparecen tipologías nuevas, la matriz y los controles deben actualizarse.
El hallazgo más frecuente en visitas de supervisión no es la ausencia de estas etapas, sino su desconexión: matrices de riesgo que no se derivan de la operación real, segmentaciones que nunca se recalculan, y señales de alerta configuradas en la herramienta que no corresponden a los riesgos que la propia entidad declaró como altos.
Elementos mínimos que exige la norma
Además de las etapas, el SARLAFT debe contar con un conjunto de elementos cuya ausencia es observable directamente en una visita:
- Políticas: aprobadas por la junta directiva, con directrices claras sobre tolerancia al riesgo, vinculación de clientes de alto riesgo y conflictos de interés.
- Procedimientos: el manual SARLAFT, con instrucciones operativas para cada etapa y cada área involucrada.
- Documentación: soporte de todo — matrices, análisis de inusualidad, decisiones de vinculación y desvinculación — con reserva y conservación en los términos legales.
- Estructura organizacional: roles y responsabilidades definidos, desde la junta directiva y el representante legal hasta las áreas comerciales.
- Órganos de control: revisoría fiscal, auditoría interna y el propio Oficial de Cumplimiento, con independencia funcional.
- Infraestructura tecnológica: herramientas capaces de soportar la segmentación, la consulta en listas y el monitoreo con el volumen real de la entidad.
- Divulgación de información: reportes internos a la junta y reportes externos a la UIAF.
- Capacitación: programa periódico, documentado y evaluado, con cobertura de todo el personal y contenido diferenciado por rol.
El rol del Oficial de Cumplimiento
El Oficial de Cumplimiento es la figura que responde por el funcionamiento del SARLAFT. Debe ser designado por la junta directiva, contar con capacidad de decisión, dedicación suficiente y acceso directo a la alta dirección, y estar posesionado ante la Superintendencia Financiera.
Sus funciones centrales incluyen:
- Velar por el diseño, la implementación y la efectividad del sistema.
- Evaluar las operaciones inusuales y decidir si se reportan como sospechosas a la UIAF.
- Presentar informes periódicos a la junta directiva sobre la evolución del perfil de riesgo y la gestión del sistema.
- Coordinar la capacitación y servir de enlace con las autoridades de supervisión y con la UIAF.
En entidades pequeñas y medianas esta función suele quedar sobrecargada: la misma persona atiende vinculaciones, monitoreo, reportes y capacitación. Es el punto donde más se gana con apoyo externo y automatización, porque libera al Oficial de la operación repetitiva y le permite dedicar tiempo al análisis, que es lo que la norma realmente le exige. Hablemos de su caso si esa es la situación de su entidad.
Reportes obligatorios a la UIAF
La Unidad de Información y Análisis Financiero (UIAF) es la entidad que recibe y analiza la información de las entidades reportantes. Los reportes principales son:
| Reporte | Qué contiene | Cuándo se envía |
|---|---|---|
| ROS | Operaciones sospechosas, intentadas o efectuadas, con el análisis que sustenta la calificación | De forma inmediata al determinar la sospecha |
| Ausencia de ROS | Declaración de que no hubo operaciones sospechosas en el período | Periódico, según el instructivo aplicable |
| Transacciones en efectivo | Operaciones individuales y múltiples en efectivo que superan los umbrales definidos | Periódico |
| Productos y clientes exonerados | Información de clientes exonerados del reporte de transacciones en efectivo | Periódico |
Dos precisiones que evitan errores costosos. Primera: el ROS no requiere certeza de que exista un delito; el estándar es la inusualidad que no se explica razonablemente. Segunda: los reportes están amparados por reserva legal y no pueden informarse al cliente — hacerlo constituye una infracción autónoma.
Consulta en listas restrictivas y vinculantes
La verificación de contrapartes en listas restrictivas es uno de los controles más visibles del sistema, y también uno de los que más se subestima. No se trata de una consulta única al momento de vincular: la norma espera monitoreo continuo, porque una contraparte limpia hoy puede ser incluida en una lista mañana.
Las fuentes que un control razonable debe cubrir incluyen:
- Listas vinculantes: las del Consejo de Seguridad de la ONU, de obligatorio cumplimiento y aplicación inmediata.
- Listas de sanciones internacionales: OFAC del Departamento del Tesoro de Estados Unidos, Unión Europea, Reino Unido.
- Fuentes nacionales: antecedentes de Procuraduría, Contraloría, Policía Nacional y bases de personas requeridas.
- Personas Expuestas Políticamente (PEP) y su entorno familiar y de asociados cercanos.
- Fuentes reputacionales y de medios adversos, para riesgos que no alcanzan a estar en una lista formal.
Hacer esto a mano no escala, y hacerlo mal genera dos problemas simétricos: falsos negativos que dejan pasar riesgo real, y falsos positivos por homonimia que saturan al equipo hasta que deja de revisar en serio. Nuestra plataforma Risk List automatiza la consulta y el monitoreo permanente en listas nacionales e internacionales, con trazabilidad de cada verificación para efectos probatorios. Secure Partner lleva el proceso completo de debida diligencia de contrapartes, con expediente digital y alertas de cambio de estado.
Consecuencias del incumplimiento
El incumplimiento del SARLAFT expone a la entidad en tres frentes distintos, y el más caro no siempre es el primero:
- Sanciones administrativas. La Superintendencia Financiera puede imponer multas a la entidad y, de forma personal e independiente, a administradores, revisor fiscal y al propio Oficial de Cumplimiento, además de ordenar medidas correctivas.
- Riesgo reputacional y de contagio. Una observación pública de supervisión afecta relaciones de corresponsalía bancaria, acceso a fondeo y confianza de clientes institucionales. Es el efecto más difícil de revertir.
- Riesgo legal y penal. Más allá de la sanción administrativa, la omisión de controles puede derivar en investigaciones por los delitos de lavado de activos, omisión de control y financiación del terrorismo previstos en el Código Penal.
Conviene medirlo contra el costo alternativo: el gasto de implementar y sostener un sistema adecuado es una fracción del costo de una sanción, y muy inferior al de perder una relación de corresponsalía.
Cómo implementarlo con Centrabase
Centrabase acompaña la implementación y el sostenimiento del SARLAFT con una combinación de consultoría y tecnología propia. Más de veinte años de trabajo con instituciones financieras, empresas de tecnología y organizaciones de salud en Colombia y Latinoamérica.
- Diagnóstico y análisis de brechas frente a los requisitos vigentes de la Circular Básica Jurídica, con priorización de hallazgos por criticidad.
- Diseño de políticas y manual SARLAFT ajustado al tamaño, los productos y los canales reales de la entidad.
- Construcción de la matriz de riesgo y la segmentación con metodología documentada y defendible ante el supervisor.
- Automatización con Risk List y Secure Partner para consulta en listas, debida diligencia y monitoreo continuo, integradas a los sistemas que ya usa la entidad.
- Capacitación y acompañamiento continuo, incluida la preparación para visitas de supervisión y la actualización del sistema ante cambios normativos.
Solicite una evaluación de su caso sin costo o conozca los clientes que ya confían en Centrabase. Si su empresa es del sector real, empiece por la guía de SAGRILAFT; si contrata con el Estado, revise también el PTEE.
Esta guía tiene carácter informativo y no constituye asesoría legal. La normativa de prevención de LA/FT se actualiza con frecuencia: verifique siempre la versión vigente de la Circular Básica Jurídica antes de tomar decisiones de cumplimiento.
Preguntas frecuentes
¿Cuál es la diferencia entre SARLAFT y SAGRILAFT?
La diferencia principal es la entidad que vigila y el tipo de empresa obligada. El SARLAFT lo exige la Superintendencia Financiera de Colombia a las entidades del sistema financiero, asegurador y del mercado de valores. El SAGRILAFT lo exige la Superintendencia de Sociedades a las empresas del sector real que superan los umbrales definidos en el Capítulo X de su Circular Básica Jurídica. La lógica de gestión del riesgo es equivalente, pero los requisitos, los plazos y los formatos de reporte son distintos.
¿El SARLAFT aplica a empresas que no son del sector financiero?
No. Una empresa del sector real no implementa SARLAFT: implementa SAGRILAFT ante la Superintendencia de Sociedades, o el sistema que corresponda a su supervisor sectorial. Es un error frecuente y costoso, porque una empresa puede terminar construyendo un sistema que su supervisor no le va a validar.
¿Cuánto tiempo toma implementar un SARLAFT desde cero?
En una entidad de tamaño medio, una implementación completa toma entre tres y seis meses: diagnóstico y evaluación de brechas, diseño de políticas y manual, construcción de la matriz de riesgo, segmentación de factores de riesgo, configuración de las herramientas tecnológicas de monitoreo, capacitación del personal y primera prueba de efectividad. El plazo real depende del volumen de clientes, del número de productos y canales, y de la calidad de la información que la entidad ya tenga sobre sus contrapartes.
¿Se puede tercerizar el Oficial de Cumplimiento?
El Oficial de Cumplimiento debe ser designado formalmente por la junta directiva y posesionado ante la Superintendencia Financiera, y responde personalmente por sus funciones, por lo que no es una figura que se delegue por completo a un tercero. Lo que sí es habitual y permitido es apoyar esa función con consultoría externa, tecnología de monitoreo y personal de soporte, manteniendo la responsabilidad y la capacidad de decisión dentro de la entidad.
¿Qué es un ROS y en qué plazo debe reportarse?
Un ROS es un Reporte de Operación Sospechosa que se envía a la UIAF cuando una operación, intentada o efectuada, no guarda relación con la actividad económica del cliente, se sale de sus parámetros habituales y no puede explicarse razonablemente. No requiere certeza ni prueba de un delito: basta la inusualidad no justificada. Debe reportarse de forma inmediata una vez la entidad determina que la operación es sospechosa, y el reporte está amparado por reserva legal.
¿Un software es suficiente para cumplir con el SARLAFT?
No. La tecnología resuelve la parte operativa que es imposible de sostener a mano — consulta en listas restrictivas, segmentación, monitoreo de operaciones inusuales, trazabilidad de la debida diligencia — pero la norma exige además políticas aprobadas por la junta, un manual documentado, un Oficial de Cumplimiento posesionado, capacitación periódica y auditoría del sistema. Un software sin ese marco documental no acredita cumplimiento; un marco documental sin tecnología no es sostenible a escala.