El SAGRILAFT en Colombia es el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva —LA/FT/FPADM—. Su aplicación corresponde a determinados sujetos obligados del sector real: pertenecer a este sector, por sí solo, no determina la obligación de implementarlo.

Para una organización, la primera decisión consiste en establecer qué régimen le corresponde. Después, el desafío es conectar la evaluación del riesgo con la vinculación de contrapartes, los controles, el análisis de alertas y las decisiones documentadas.

Esta revisión debe considerar la actualización normativa de 2026, que modifica el marco bajo el cual se venían gestionando SAGRILAFT y los programas de transparencia y ética empresarial.

Marco normativo del SAGRILAFT: qué cambió en 2026

La Superintendencia de Sociedades expidió la Circular Externa 100-000020 del 2 de julio de 2026, que adopta una nueva Circular Básica Jurídica. La actualización reúne las obligaciones anteriormente contenidas en SAGRILAFT y el Programa de Transparencia y Ética Empresarial —PTEE— dentro de un sistema que integra riesgos de lavado de activos, financiación del terrorismo, financiación de la proliferación, corrupción y soborno transnacional.

El marco actual se desarrolla en el Capítulo IX. La Circular 100-000016 de 2020 constituye un antecedente del régimen y figura entre las circulares derogadas por la actualización.

Para las organizaciones, esto implica revisar la correspondencia entre sus políticas, responsables y controles existentes y el nuevo sistema integrado. Mantener documentos separados sin examinar sus conexiones puede dificultar la identificación de responsabilidades y el seguimiento de riesgos.

Transición para las organizaciones que ya estaban obligadas

Los sujetos comprendidos en el numeral 9.29 deben ajustar sus sistemas a más tardar el 31 de mayo de 2027. Durante ese período, los sistemas y programas implementados se consideran válidos para efectos del cumplimiento normativo, en los términos previstos por la circular.

Conviene distinguir esta transición del plazo de implementación para quienes adquieren por primera vez la calidad de sujeto obligado. La revisión requiere identificar la situación de la organización y el momento en que se cumplen las condiciones correspondientes.

¿A qué empresas aplica? Ruta para revisar la aplicabilidad

La aplicabilidad se determina combinando las condiciones de supervisión, actividad, magnitudes económicas y reglas particulares del régimen. Revisar únicamente los ingresos o el nombre del sector puede producir una conclusión incompleta.

Como ruta práctica de análisis, la organización puede seguir estos pasos:

1. Identificar la entidad y su supervisor. Reunir información sobre la naturaleza jurídica, la autoridad competente y la condición de supervisión. Cuando corresponda, comprobar desde qué fecha comenzó la vigilancia.

2. Precisar la actividad económica. Contrastar las operaciones efectivas con la actividad registrada y los códigos CIIU relevantes. Evitar clasificar a la organización exclusivamente por una descripción comercial amplia.

3. Revisar el supuesto general y los supuestos sectoriales. Consultar los numerales 9.4 y 9.5 del Capítulo IX. Los umbrales actuales están expresados en unidades de valor básico —UVB—; no conviene trasladar automáticamente cálculos realizados bajo unidades anteriores.

4. Distinguir el sistema completo del Régimen de Medidas Mínimas. Examinar también el numeral 9.6 para identificar si corresponde este último régimen. Ambos tienen condiciones de aplicación propias.

5. Determinar el corte y la situación temporal. Revisar si la empresa ya estaba obligada, si adquiere esa condición por primera vez o si corresponde analizar reglas de permanencia. En su doctrina de agosto de 2026, Supersociedades distingue el inicio de la vigilancia de la fecha en que se configura su causal y explica la evaluación de requisitos al cierre del ejercicio.

6. Documentar la conclusión. Conservar el supuesto normativo analizado, los datos utilizados, el cálculo correspondiente y la fecha de revisión. Esto permite reconstruir por qué se adoptó una decisión y actualizarla cuando cambien las condiciones.

Esta ruta es una herramienta de organización del análisis. La determinación concreta requiere contrastar todos los requisitos del supuesto aplicable.

Si la revisión identifica otro marco de supervisión, puede ampliarse la lectura hacia el SARLAFT en el sector financiero o el SARLAFT en el sector transporte. La denominación del sistema debe interpretarse junto con la autoridad y las instrucciones que lo regulan.

Implementación: cómo conectar riesgos, controles y responsabilidades

Una implementación útil permite reconstruir la relación entre el riesgo identificado, el control aplicado y la decisión adoptada. Desde la gestión, conviene revisar esa secuencia en operaciones concretas y comprobar que las áreas involucradas utilizan criterios compatibles.

Identificación, medición, control y monitoreo

Las cuatro etapas del SAGRILAFT permiten organizar la gestión del riesgo:

- Identificación: reconocer factores de riesgo y formas de exposición vinculadas con contrapartes, operaciones, productos, canales y jurisdicciones.

- Medición o evaluación: valorar la probabilidad y el impacto del riesgo inherente.

- Control: aplicar medidas de mitigación y establecer el perfil de riesgo residual.

- Monitoreo: seguir la evolución del perfil de riesgo y detectar operaciones inusuales y sospechosas.

Una matriz aporta valor cuando permite explicar cómo se llegó a una valoración y qué controles responden a ella. Para revisarla, conviene comprobar si refleja las operaciones actuales, quién ejecuta cada control y qué evidencia permite evaluar su funcionamiento.

Debida diligencia y conocimiento de contrapartes

La debida diligencia comprende la identificación y verificación de la contraparte, el conocimiento de su beneficiario final y la comprensión de la relación comercial. También incluye el seguimiento de las transacciones para evaluar su consistencia con el conocimiento y el perfil de riesgo de esa contraparte.

En una revisión práctica, conviene comprobar:

• Qué información se solicita y cómo se verifica.

• Cómo se analiza la estructura de propiedad y control.

• Qué circunstancias requieren profundizar el conocimiento.

• Cómo se documentan inconsistencias y decisiones.

• Qué cambios activan una actualización de la información.

Para las Personas Expuestas Políticamente —PEP—, la debida diligencia intensificada requiere medidas adicionales. Supersociedades ha explicado que consultar un aplicativo público no agota, por sí solo, este proceso.

Por eso, una coincidencia en listas, una declaración o un formulario deberían interpretarse dentro del análisis correspondiente. Acumular documentos sin evaluar su contenido puede dejar sin resolver preguntas relevantes sobre la contraparte.

Oficial de Cumplimiento y gobierno corporativo

El Oficial de Cumplimiento combina funciones de diseño, desarrollo, seguimiento y supervisión del sistema. Su papel tiene una dimensión estratégica y también responsabilidades operativas.

El régimen contempla acceso suficiente y oportuno a la información, apoyo humano y técnico acorde con el riesgo y comunicación directa con la junta directiva o, cuando no exista, con el máximo órgano social. La autonomía y la independencia son condiciones relevantes para el ejercicio de sus funciones.

Desde el gobierno corporativo, conviene revisar cómo se traducen estas condiciones en la práctica: qué asuntos se escalan, quién decide sobre medidas correctivas y qué recursos se asignan para ejecutarlas.

La organización también debería evitar concentrar toda la ejecución en el Oficial de Cumplimiento. Las áreas que vinculan contrapartes, autorizan operaciones o gestionan pagos necesitan conocer sus responsabilidades y los criterios de escalamiento.

Operaciones inusuales, ROS y AROS

Una operación inusual requiere análisis. Según la UIAF, una operación sospechosa presenta características que se apartan de las prácticas normales del negocio y no ha podido justificarse razonablemente. El Reporte de Operación Sospechosa —ROS— no constituye una denuncia penal.

La gestión de reportes contempla:

- ROS: reporte de operaciones sospechosas a la Unidad de Información y Análisis Financiero —UIAF— mediante el Sistema de Reporte en Línea —SIREL—.

- AROS: reporte de ausencia de ROS cuando transcurre un trimestre sin que la organización haya realizado uno, conforme a las instrucciones aplicables.

Conviene conservar una secuencia comprensible entre la alerta, el análisis y la decisión. La documentación debería permitir explicar por qué una situación se justificó o dio lugar al reporte correspondiente.

Errores de interpretación y brechas que conviene corregir

Una revisión del sistema debería prestar atención a estos errores:

- Concluir la obligatoriedad solo por el sector o el tamaño. La ruta de aplicabilidad necesita considerar las condiciones completas.

- Usar referencias normativas anteriores sin revisar la transición. La actualización exige identificar qué ajustes corresponden a la organización.

- Confundir documentación con ejecución. Un procedimiento aprobado necesita contrastarse con las decisiones y operaciones reales.

- Reducir la debida diligencia a un formulario. Conviene evaluar la calidad de la información y las preguntas que permanecen abiertas.

- Tratar cada alerta como una operación sospechosa. La calificación requiere el análisis correspondiente.

- Cerrar hallazgos sin comprobar el cambio. Registrar una acción como completada no demuestra, por sí solo, que el control funciona.

Canal de denuncias e investigaciones internas

Dentro del sistema integrado, el Capítulo IX incorpora disposiciones sobre canales de denuncia y seguimiento de su funcionamiento. supersociedades.gov.co

Desde la gestión, conviene definir cómo se reciben los reportes, quién los evalúa y cuándo requieren investigaciones internas. También resulta útil establecer cómo los hallazgos se conectan con la revisión de controles y responsabilidades.

Un reporte interno puede aportar información para analizar una situación, pero su recepción no determina automáticamente que corresponda presentar un ROS. Son procesos con finalidades y criterios distintos.

La revisión del SAGRILAFT debería permitir responder tres preguntas concretas: qué régimen corresponde, cómo se gestionan los riesgos identificados y qué evidencia respalda las decisiones. Esa conexión aporta una base útil para la supervisión interna, la rendición de cuentas y la mejora del sistema.

Para fortalecer los mecanismos de reporte y el análisis de situaciones internas, puede conocer los servicios de Línea Ética e Investigaciones Internas de Resguarda.