El SARLAFT en Colombia, en el sector financiero, es el Sistema de Administración del Riesgo de Lavado de Activos y de la Financiación del Terrorismo. Su finalidad es prevenir que las entidades sean utilizadas para dar apariencia de legalidad a activos provenientes de actividades delictivas o para canalizar recursos hacia actividades terroristas.
Para las entidades comprendidas en las instrucciones de la Superintendencia Financiera de Colombia (SFC), su implementación articula cuatro etapas: identificación, medición o evaluación, control y monitoreo. La gestión de alertas, los reportes y la revisión del sistema forman parte de su funcionamiento, pero no constituyen etapas regulatorias adicionales. Superintendencia Financiera de Colombia
El desafío para Compliance, Legales, Auditoría y Dirección consiste en conectar esa estructura con decisiones verificables: qué riesgos enfrenta la entidad, cómo los controla, quién analiza las señales detectadas y qué evidencia conserva de sus actuaciones.
Qué es el SARLAFT financiero y a quién aplica en Colombia
El alcance del SARLAFT financiero debe determinarse a partir de la condición de entidad vigilada por la SFC y de las instrucciones aplicables a su actividad. Entre las entidades que deben revisar este marco se encuentran bancos, compañías de seguros, sociedades fiduciarias y sociedades comisionistas de bolsa.
Sin embargo, estar bajo supervisión de la SFC no implica que todas las entidades estén sometidas a idénticas instrucciones. Existen excepciones y tratamientos específicos. Por ejemplo, la SFC explica que las oficinas de representación están exceptuadas de diseñar e implementar el SARLAFT, aunque mantienen medidas de prevención y control conforme al régimen que les corresponde. SARLAFT.DOCX
Por eso, la primera decisión de implementación consiste en confirmar el alcance regulatorio. Una organización debería poder explicar qué disposiciones le resultan aplicables y cómo esa conclusión se refleja en sus políticas, responsables y controles.
Marco normativo: qué referencias conviene consultar
La referencia operativa central es la Circular Básica Jurídica de la SFC, Parte I, Título IV, Capítulo IV, sobre administración del riesgo de lavado de activos y financiación del terrorismo. El portal oficial de la Superintendencia la identifica dentro de la Circular Externa 006 de 2025. Para revisar obligaciones concretas, corresponde consultar el texto actualizado y sus modificaciones. superfinanciera.gov.co
Este marco se complementa, entre otras disposiciones, con:
- Ley 526 de 1999: crea la Unidad de Información y Análisis Financiero (UIAF).
- Ley 599 de 2000: contiene el Código Penal, incluida la tipificación del lavado de activos.
- Ley 1121 de 2006: establece medidas para prevenir, detectar, investigar y sancionar la financiación del terrorismo.
- Ley 1762 de 2015: fortalece la lucha contra el contrabando, el lavado de activos y la defraudación fiscal. Gestor Normativo
- Decreto 830 de 2021: regula aspectos relativos a las Personas Expuestas Políticamente (PEP).
Estas referencias cumplen funciones diferentes. Las normas penales, las disposiciones sobre inteligencia financiera y las instrucciones de gestión del riesgo deben leerse según su objeto; una lista de leyes no reemplaza la revisión de las obligaciones operativas de cada entidad.
Relación entre SARLAFT y SAGRILAFT
El modelo colombiano distingue claramente entre:
- SARLAFT (sector financiero)
- SAGRILAFT (sector real)
Mientras ambos comparten principios de gestión de riesgos, el SARLAFT se caracteriza por:
- Mayor foco en monitoreo transaccional
- Uso intensivo de tecnología
- Gestión de grandes volúmenes de operaciones
- Mayor exposición a riesgos sistémicos
Para un análisis del sistema aplicable al sector real, ver SAGRILAFT en Colombia: requisitos, implementación y gestión del riesgo.
Estructura del SARLAFT: enfoque basado en riesgos
El SARLAFT se implementa a través de un modelo estructurado que abarca todo el ciclo de gestión del riesgo.
1. Identificación del riesgo
Las entidades deben analizar:
- Clientes (actividad económica, origen de fondos, perfil de riesgo, condición de PEP)
- Productos (cuentas, créditos, billeteras digitales, CATS)
- Canales (banca digital, corresponsales, sucursales)
- Jurisdicciones
Este proceso permite mapear los riesgos inherentes a cada operación.
2. Medición y evaluación
Se utiliza una matriz de riesgos para:
- Clasificar clientes y operaciones
- Determinar niveles de exposición
- Priorizar controles
La evaluación combina variables cuantitativas y cualitativas.
3. Control del riesgo
Incluye:
- Políticas de conocimiento del cliente (KYC)
- Validación en listas restrictivas (ONU, OFAC, entre otras)
- Restricciones según nivel de riesgo
- Debida diligencia reforzada para clientes de alto riesgo
4. Monitoreo y detección
El SARLAFT exige:
- Sistemas de monitoreo continuo
- Generación de alertas
- Identificación de operaciones inusuales
Estas capacidades son cada vez más dependientes de tecnología avanzada, como se analiza en este enfoque sobre el impacto de la tecnología y la IA en investigaciones internas.
5. Evaluación de operaciones sospechosas
Las alertas deben ser analizadas por el Oficial de Cumplimiento:
- Se determina si existe justificación económica
- Se documenta el análisis
- Se define si corresponde reporte
La trazabilidad de este proceso es un punto crítico en auditorías.
6. Reporte a la UIAF
Las entidades deben reportar:
- ROS (operaciones sospechosas)
- AROS (ausencia de operaciones sospechosas)
El cumplimiento de plazos y calidad de la información es clave.
7. Auditoría y mejora continua
El SARLAFT debe ser revisado periódicamente para:
- Evaluar su efectividad
- Ajustarse a nuevas tipologías
- Adaptarse a cambios regulatorios
Seguimiento del SARLAFT: responsables, alertas, reportes y evidencia
El funcionamiento del sistema requiere coordinación entre quienes detectan señales, analizan operaciones, toman decisiones y revisan los controles.
El rol del Oficial de Cumplimiento y de los órganos de gobierno
El Oficial de Cumplimiento vela por el funcionamiento del SARLAFT, presenta informes, promueve correctivos y participa en la actualización de procedimientos y capacitación. La junta directiva, el representante legal y los órganos de control también tienen responsabilidades específicas.
Por eso, la efectividad no debería evaluarse únicamente a partir del desempeño del Oficial de Cumplimiento. Como criterio de revisión, conviene observar si cuenta con información suficiente, capacidad de actuación y apoyo para abordar las deficiencias detectadas.
De la alerta al análisis de una operación
Una señal de alerta, una operación inusual y una operación sospechosa no son conceptos equivalentes. El sistema contempla la detección y el análisis de operaciones inusuales, así como procedimientos para determinar cuáles deben calificarse y reportarse como sospechosas.
Para revisar ese recorrido, puede resultar útil reconstruir una muestra de casos:
- Qué información originó la alerta.
- Quién realizó el análisis.
- Qué antecedentes y explicaciones se consideraron.
- Qué decisión se adoptó y con qué fundamento.
- Qué actuaciones posteriores quedaron documentadas.
Esta revisión permite detectar dificultades que una cifra agregada de alertas no muestra: análisis incompletos, decisiones sin respaldo o casos que permanecen abiertos sin una actuación definida.
Reportes a la UIAF: finalidad y límites
El Reporte de Operación Sospechosa (ROS) comunica una sospecha fundamentada a la UIAF. No constituye una denuncia penal ni una sentencia, y su presentación no exige demostrar previamente la comisión de un delito.
Los reportes de ausencia de operaciones sospechosas —AROS— deben revisarse conforme a las instrucciones aplicables al reportante. Conviene confirmar el período, las condiciones de presentación y el documento técnico correspondiente, sin trasladar automáticamente reglas de otro sector.
Como herramienta de gestión, resulta útil mantener un calendario que identifique cada reporte, su destinatario, responsable y constancia de presentación.
Tecnología, auditoría y mejora continua
La selección de herramientas debería partir de las necesidades de información y análisis. Si se evalúa incorporar inteligencia artificial o analítica avanzada, conviene precisar qué tarea apoyará, cómo se revisarán sus resultados y quién conservará la responsabilidad sobre las decisiones.
Para Auditoría, una revisión útil puede contrastar lo previsto en los procedimientos con una muestra de actuaciones reales. El objetivo es comprobar si la entidad puede reconstruir sus decisiones y utilizar los hallazgos para ajustar el sistema.
Este enfoque es coherente con la perspectiva de efectividad presentada por la SFC, que considera el diseño, la implementación, el entorno institucional y los factores externos al evaluar la capacidad de gestión del riesgo.
Errores de interpretación que conviene evitar
Los siguientes puntos ofrecen criterios para revisar la implementación y prevenir confusiones:
- Aplicar un régimen por el nombre de la sigla. Compartir la denominación SARLAFT no implica compartir supervisor, alcance ni requisitos. La revisión comienza por identificar el marco correspondiente.
- Confundir documentación con ejecución. Un manual describe el funcionamiento previsto; para evaluar su aplicación, conviene contrastarlo con registros y actuaciones concretas.
- Considerar toda alerta como una operación sospechosa. La detección debe conectarse con el análisis y la decisión conforme a los procedimientos de la entidad.
- Equiparar todas las listas consultadas. La SFC distingue entre listas vinculantes para Colombia y listas no vinculantes que pueden tener implicaciones de riesgo, como OFAC. La política de consulta debería reconocer esa diferencia.
- Mantener perfiles sin revisar cambios relevantes. La información inicial debería contrastarse con la evolución de la relación y las transacciones. La debida diligencia permanente contempla esa actualización.
- Medir la efectividad únicamente por volumen. La cantidad de alertas o reportes, por sí sola, no permite valorar la calidad del análisis. Conviene revisar también los fundamentos de las decisiones y el tratamiento de las deficiencias.
Cómo puede complementar un canal de denuncias la detección interna
Como criterio de gestión, un canal de denuncias puede aportar información sobre posibles irregularidades que merezcan evaluación: omisiones de controles, presiones para evitar procedimientos o actuaciones internas incompatibles con las políticas de la entidad.
Para aprovechar esa información, conviene definir quién recibe la comunicación, cómo se deriva al área competente y qué criterios orientan su análisis. Una comunicación interna requiere evaluación; no equivale automáticamente a una operación sospechosa ni a un ROS.
La conexión con las investigaciones internas puede resultar pertinente cuando sea necesario esclarecer hechos o revisar conductas. Su función debe distinguirse del monitoreo transaccional y de las obligaciones de reporte.
Al revisar el SARLAFT, una pregunta útil es si la entidad puede reconstruir el recorrido de una señal relevante: desde su detección hasta la decisión adoptada y las medidas posteriores. Ese recorrido permite evaluar cómo se conectan los controles, los responsables y la evidencia.
En Resguarda, la Línea Ética, las Investigaciones Internas y las Capacitaciones ofrecen una conexión con la comunicación de irregularidades, su abordaje y la formación del personal. Si su organización busca fortalecer esas dimensiones, puede conversar con nuestro equipo sobre estos servicios.
