Software SAGRILAFT para empresas vigiladas por Supersociedades

Qué resuelve un software SAGRILAFT (y qué no)

Empecemos por lo que ninguna herramienta hace. El SAGRILAFT — Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva — no es un programa que se instala. Es el sistema que exige la Superintendencia de Sociedades en el Capítulo X de su Circular Básica Jurídica, y se compone de una política aprobada por el máximo órgano social, un manual de procedimientos, una matriz de riesgo, un Oficial de Cumplimiento designado, capacitación periódica y auditoría. Comprar software creyendo que eso acredita cumplimiento es el camino corto a un hallazgo.

Dicho eso, hay una parte del sistema que solo se sostiene con tecnología. El corazón operativo del SAGRILAFT es la debida diligencia de contrapartes: conocer a cada cliente, proveedor, contratista, distribuidor y socio antes de vincularlo, y mantener ese conocimiento actualizado durante toda la relación. Eso incluye consultar listas restrictivas y vinculantes de forma continua, no solo al vincular, y conservar la evidencia de quién verificó qué, cuándo, con qué resultado y qué decisión se tomó.

Cómo se cubre cada control con las plataformas

Los controles operativos del SAGRILAFT se reparten entre dos plataformas de Centrabase que trabajan juntas:

La división es deliberada. La verificación en listas es un control puntual que se repite en el tiempo; la debida diligencia es un expediente que vive durante toda la relación comercial. Mezclarlos es lo que produce sistemas donde nadie encuentra la evidencia cuando llega el requerimiento. Juntos, reducen a segundos una verificación que a mano toma horas, y dejan la trazabilidad que la Superintendencia de Sociedades va a revisar.

Del Capítulo X a la operación diaria

Así se relacionan los elementos mínimos de un SAGRILAFT bajo régimen general con lo que ejecuta la tecnología y con lo que sigue dependiendo del criterio de la empresa:

• Procedimientos de debida diligencia ordinaria e intensificada. Secure Partner administra cada nivel con criterios configurables de clasificación, de modo que la decisión de en qué grupo cae cada contraparte queda documentada y no depende de la memoria de quien la tomó.
• Identificación del beneficiario final. Para contrapartes que son personas jurídicas, el expediente registra la composición societaria y la persona natural que en última instancia ejerce el control. Las cadenas de propiedad opacas son en sí mismas un factor que activa debida diligencia intensificada.
• Consulta en listas restrictivas y vinculantes, con monitoreo posterior. Risk List verifica al vincular y mantiene la contraparte bajo vigilancia: si aparece en una lista después, se dispara una alerta automática sin que nadie tenga que volver a consultar.
• Señales de alerta y escalamiento. Las alertas de la plataforma llevan el caso al análisis; qué señales se configuran y cómo se escalan se define en el manual y en la matriz de riesgo de la propia empresa.
• Conservación de documentos. La gestión documental de Secure Partner guarda el soporte de cada verificación y cada decisión, en un expediente que se puede presentar ante la Superintendencia o la revisoría fiscal.
• Política, manual, matriz, capacitación y auditoría. Esto no lo produce ninguna herramienta. Es trabajo de consultoría y de gobierno, y es la parte que Centrabase construye con usted.

Un punto propio del SAGRILAFT que conviene no perder de vista: su alcance es LA/FT/FPADM. La matriz de riesgo, la política y las señales de alerta deben contemplar también el financiamiento de la proliferación de armas de destrucción masiva, no solo el lavado de activos y la financiación del terrorismo. La parametrización de las plataformas se hace sobre esa matriz.

Qué debe tener un software SAGRILAFT

Al evaluar cualquier software SAGRILAFT, contraste la herramienta contra esta lista. Es el mínimo que la Superintendencia de Sociedades da por sentado cuando revisa la debida diligencia de una empresa:

• Consulta en listas vinculantes y de sanciones. Las del Consejo de Seguridad de la ONU son de obligatorio cumplimiento y aplicación inmediata; OFAC y equivalentes internacionales son determinantes si la empresa opera en dólares o tiene relaciones con bancos corresponsales.
• Monitoreo posterior, no solo verificación inicial. Una contraparte limpia hoy puede entrar a una lista mañana. Un control que solo verifica al inicio deja a la empresa expuesta durante años.
• Manejo de homonimia. Un motor que dispara falsos positivos en exceso termina ignorado por el equipo. El descarte de cada falso positivo también debe quedar documentado, porque también es evidencia.
• Clasificación de riesgo de la contraparte con criterios configurables, para aplicar debida diligencia simplificada o intensificada según corresponda: PEP y su entorno, jurisdicciones de mayor riesgo, estructuras societarias opacas, operaciones inusuales por monto, frecuencia o naturaleza.
• Expediente vivo. Fechas de actualización, revisión periódica proporcional al riesgo y alertas ante cambios de estado.
• Trazabilidad y conservación de cada consulta y cada decisión, con quién la tomó y sobre qué base.

Los tres primeros puntos los cubre la consulta en listas restrictivas con Risk List; los tres últimos, la debida diligencia de contrapartes con Secure Partner.

¿Y las hojas de cálculo? En una empresa con pocas decenas de contrapartes es técnicamente posible llevar el control así, pero se vuelve inviable rápido por dos razones. La consulta en listas debe ser continua, no solo al vincular, y la Superintendencia espera trazabilidad: quién verificó qué, cuándo, con qué resultado y qué decisión se tomó. Una hoja de cálculo no conserva ese rastro de forma confiable, y es justamente el rastro lo que acredita el cumplimiento en una visita.

Régimen general y régimen de medidas mínimas

El Capítulo X distingue entre un régimen general, con el SAGRILAFT completo, y un régimen de medidas mínimas para empresas de menor tamaño relativo. La plataforma es la misma en los dos casos; lo que cambia es cuánto del sistema se apoya en ella.

En el régimen de medidas mínimas, el sistema se concentra en debida diligencia de contrapartes, consulta en listas vinculantes y reporte de operaciones sospechosas. Ahí las plataformas cubren buena parte del trabajo operativo, y el reto principal es que el control se ejecute de forma consistente y deje rastro.

En el régimen general se suman la matriz de riesgo formal, la segmentación de factores de riesgo — contrapartes, productos y servicios, canales y jurisdicciones —, un Oficial de Cumplimiento con dedicación y la auditoría del sistema. La tecnología ejecuta los controles; la metodología que los justifica tiene que estar documentada y ser sustentable ante la Superintendencia. Determinar el régimen es la primera decisión del proyecto, porque equivocarse hacia abajo es un hallazgo inmediato en una visita.

Cómo es la implementación

1. Diagnóstico Confirmamos si está obligado y bajo qué régimen, a partir de sus cifras reales del cierre anterior; revisamos el estado de la información de contrapartes y los procesos donde debe insertarse el control.
2. Parametrización Configuración de los criterios de clasificación de riesgo, las señales de alerta y los niveles de debida diligencia según la matriz de riesgo LA/FT/FPADM de su empresa.
3. Carga y depuración del histórico Migración de clientes, proveedores y contratistas existentes. Es la etapa que más tiempo consume y la que determina si el sistema arranca con datos útiles o con ruido.
4. Integración en los procesos El control se ejecuta dentro de compras, vinculación y tesorería, no como un paso aparte que depende de que alguien se acuerde.
5. Capacitación y acompañamiento Formación al equipo y acompañamiento al Oficial de Cumplimiento, con soporte continuo y actualización ante cambios normativos.

El plazo depende mucho menos del software que de la calidad de los datos que ya tiene sobre sus contrapartes. Con información ordenada, la verificación en listas se pone en marcha rápido; lo que consume tiempo es depurar el histórico y definir los criterios de clasificación y las señales de alerta. Ese trabajo determina si el sistema después funciona o solo existe.

Para quién es

Para empresas del sector real sujetas a la Superintendencia de Sociedades que superan los umbrales del Capítulo X — en particular las de sectores considerados de mayor riesgo, con umbrales más bajos: comercio de metales y piedras preciosas, actividad inmobiliaria, construcción, servicios jurídicos y contables, y comercio de vehículos y activos de alto valor. Revise la guía completa del SAGRILAFT para el detalle normativo.

También para empresas que no alcanzan los umbrales, pero a las que bancos, clientes corporativos o entidades públicas les exigen evidencia de debida diligencia como condición para contratar. Ahí la motivación no es la sanción: es no quedar fuera de la licitación. Y si además contrata con el Estado, la misma base sirve para el PTEE, el Programa de Transparencia y Ética Empresarial; revise la guía del PTEE.

Si su entidad es vigilada por la Superintendencia Financiera, lo que le aplica es el SARLAFT: vea el software SARLAFT y, si duda cuál es su caso, la diferencia entre SARLAFT y SAGRILAFT.

Solicitar demostración y le mostramos la plataforma con un caso parecido al suyo, o contáctenos por WhatsApp.

Preguntas frecuentes