Entender qué es SAGRILAFT dejó de ser un tema exclusivo de bancos y grandes corporaciones. Desde 2020, miles de empresas del sector real en Colombia quedaron obligadas a implementar este sistema, y muchas lo descubrieron tarde, cuando ya tenían un requerimiento de la Superintendencia de Sociedades sobre la mesa. En 2026 la regla cambió otra vez, y conviene revisar dónde queda su compañía.
El SAGRILAFT es el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva. Lo exige la Superintendencia de Sociedades a determinadas empresas del sector real para que identifiquen, midan y controlen el riesgo de ser usadas en esas conductas.
Qué significa cada letra de la sigla SAGRILAFT
La sigla condensa el alcance completo del sistema y explica por qué es más amplio de lo que muchos suponen.
- SA: Sistema de Autocontrol, es decir, la empresa se vigila a sí misma bajo reglas del supervisor.
- GRI: Gestión del Riesgo Integral, con enfoque basado en riesgos y no en listas de chequeo.
- LA: Lavado de Activos.
- FT: Financiación del Terrorismo.
- FPADM: Financiamiento de la Proliferación de Armas de Destrucción Masiva.
La palabra clave de todo el modelo es autocontrol. La Superintendencia no audita cada operación de cada empresa: exige que la empresa monte su propio sistema, lo documente y pueda demostrar que funciona.
Quién exige el SAGRILAFT y bajo qué norma
El SAGRILAFT nació con la Circular Externa 100-000016 del 24 de diciembre de 2020 de la Superintendencia de Sociedades, que incorporó el Capítulo X a la Circular Básica Jurídica. Esa circular fue modificada después por la Circular Externa 100-000004 del 9 de abril de 2021, la Circular Externa 100-000015 del 24 de septiembre de 2021 y la Circular Externa 100-300000 del 6 de diciembre de 2024, según el propio registro normativo de la entidad.
Es importante no confundir al supervisor. El SAGRILAFT lo exige la Superintendencia de Sociedades a empresas del sector real. El sector financiero responde ante la Superintendencia Financiera con un sistema distinto, el SARLAFT. Y algunos sectores tienen supervisores propios, como ocurre con el transporte, donde la Superintendencia de Transporte expidió su propia regulación en la materia.
Qué cambió en 2026: la unificación de SAGRILAFT y PTEE
El 2 de julio de 2026 la Superintendencia de Sociedades expidió la Circular Externa 100-000020 de 2026, que adopta una nueva Circular Básica Jurídica. Según el comunicado oficial de la entidad, la reforma crea un Sistema Integral de Autocontrol y Gestión de Riesgos que unifica en un solo capítulo las obligaciones que antes estaban repartidas entre el SAGRILAFT y el Programa de Transparencia y Ética Empresarial (PTEE).
El sistema unificado ya no cubre solo lavado de activos, financiación del terrorismo y proliferación: incorpora también corrupción local y soborno transnacional. La misma comunicación oficial señala otros tres cambios que afectan de forma directa la operación:
- Se amplían los destinatarios de la circular, con mención expresa a cámaras de comercio, confederaciones de cámaras de comercio, oficiales de cumplimiento, mandatarios y entidades sin ánimo de lucro extranjeras con negocios permanentes en Colombia.
- Se refuerzan los requisitos del oficial de cumplimiento en formación, experiencia, residencia en Colombia y designación de suplentes.
- Se actualiza el régimen de administradores, con mayor desarrollo de su responsabilidad frente a la implementación y el funcionamiento de los sistemas de cumplimiento.
De acuerdo con el análisis del texto publicado por la firma Brigard Urrutia, la nueva circular introduce el Capítulo IX, adopta la Unidad de Valor Básico (UVB) como base de cálculo de umbrales y sanciones, e incorpora nuevos sectores al Régimen de Medidas Mínimas, entre ellos el farmacéutico y el de infraestructura y construcción. Esa misma revisión indica que quienes ya venían obligados deben ajustar sus sistemas a más tardar el 31 de mayo de 2027, y que durante la transición los sistemas vigentes conservan validez.
Traducido a decisiones prácticas: si su empresa ya tenía SAGRILAFT, tiene un plazo de ajuste, no una amnistía. Si nunca lo evaluó, el cambio de umbrales es justamente el momento de revisarlo.
Cómo saber si su empresa está obligada
La obligación no depende del tamaño percibido de la empresa ni de si tiene o no operaciones internacionales. Depende de criterios objetivos definidos en la circular vigente, que combinan la calidad de sujeto supervisado por la Superintendencia de Sociedades con umbrales de ingresos o activos y con la pertenencia a determinados sectores.
Un diagnóstico serio revisa, como mínimo, estos cuatro puntos:
- Si la sociedad, sucursal de sociedad extranjera o empresa unipersonal está sujeta a inspección, vigilancia o control de la Superintendencia de Sociedades y no de otro supervisor.
- Los ingresos totales y los activos del cierre del año inmediatamente anterior, medidos contra el umbral vigente expresado en UVB.
- La actividad económica, porque ciertos sectores quedan cubiertos con umbrales más bajos o bajo el Régimen de Medidas Mínimas.
- Si la Superintendencia ha ordenado de manera individual la implementación del sistema, facultad que la nueva circular conserva incluso frente a entidades no obligadas por umbral.
Como los umbrales se actualizan y ahora se expresan en UVB, no tome cifras de blogs ni de presentaciones antiguas. Contraste siempre contra el texto oficial de la circular vigente y la información financiera real de la compañía.
Conoce el riesgo real antes de decidir
HunterX rastrea más de 20 fuentes oficiales y arma un reporte navegable con el nivel de riesgo de la persona. Tú solo lees y decides con respaldo.
- Antecedentes judiciales
- Listas internacionales
- Medidas correctivas
Qué contiene un SAGRILAFT bien implementado
Un sistema que resiste una visita de supervisión no es un manual guardado en una carpeta compartida. Tiene piezas vivas que dejan rastro documental.
- Política aprobada por el máximo órgano social, no solo por la gerencia.
- Manual de procedimientos con roles, plazos y responsables identificables.
- Matriz de riesgo propia, construida sobre los factores de riesgo reales del negocio, no una plantilla genérica.
- Oficial de cumplimiento designado, inscrito y con las condiciones exigidas por la norma.
- Procedimientos de debida diligencia sobre contrapartes, con evidencia de las consultas realizadas.
- Capacitación al personal, con soporte de asistencia y contenido.
- Reportes a la Unidad de Información y Análisis Financiero (UIAF) cuando procedan.
- Auditoría y reporte anual al máximo órgano social.
Qué pasa si su empresa no lo implementa
El incumplimiento del SAGRILAFT expone a la sociedad a sanciones administrativas de la Superintendencia de Sociedades, y también a los administradores y al oficial de cumplimiento de forma personal. Ese es el punto que más sorprende a las juntas directivas: la responsabilidad no se agota en la persona jurídica.
El costo real, sin embargo, rara vez es solo la multa. Una empresa señalada por vínculos con lavado de activos pierde cupos bancarios, queda fuera de licitaciones, ve caer contratos con clientes corporativos que sí tienen programas de cumplimiento, y necesita años para recomponer su reputación. Las consecuencias comerciales suelen llegar antes que la decisión administrativa.
La debida diligencia es donde más fallan las empresas
En la práctica, la mayoría de los hallazgos de supervisión no están en el manual sino en su ejecución. La empresa dice que verifica a sus contrapartes, pero no puede demostrar cuándo lo hizo, contra qué fuentes, ni qué decidió con el resultado.
Conocer a la contraparte implica, como mínimo, validar identidad, revisar listas restrictivas nacionales e internacionales, consultar antecedentes en fuentes oficiales, identificar al beneficiario final y dejar evidencia trazable de todo el proceso. Cuando esa consulta se hace a mano, portal por portal, el proceso se vuelve lento, inconsistente y difícil de auditar. Puede ampliar este punto en nuestra guía sobre qué son la Lista Clinton, OFAC, ONU y los PEP y en el listado de fuentes oficiales que debe consultar antes de contratar.
Cómo empezar sin sobredimensionar el proyecto
Implementar el sistema no exige montar un área nueva desde el primer día. Un orden razonable de trabajo evita gastar en lo que no corresponde:
- Diagnóstico de obligatoriedad contra la circular vigente y los estados financieros del cierre anterior.
- Identificación de factores de riesgo reales por contrapartes, productos, canales y jurisdicciones.
- Diseño de política y manual proporcionales al tamaño y a la exposición de la empresa.
- Designación del oficial de cumplimiento y de su suplente.
- Automatización de la debida diligencia, que es la tarea más repetitiva y la que más evidencia exige.
- Plan de capacitación y calendario de reportes.
Convierta la obligación en un control que sirve
El SAGRILAFT se diseñó para responder a una pregunta simple: ¿con quién está haciendo negocios su empresa? Las compañías que lo asumen solo como trámite terminan con carpetas al día y riesgos abiertos. Las que lo asumen como control operativo reducen fraude, filtran proveedores y contratan con mejor información.
En HunterX centralizamos la consulta de antecedentes y listas restrictivas en un solo flujo, con evidencia descargable de cada verificación, para que la debida diligencia de su SAGRILAFT deje de depender de revisiones manuales. Solicite una demostración y evalúe cómo se vería su proceso de conocimiento de contrapartes con trazabilidad completa.
Preguntas frecuentes sobre SAGRILAFT
¿Qué es SAGRILAFT en palabras simples?
Es el sistema que ciertas empresas colombianas deben implementar para evitar ser usadas en lavado de activos, financiación del terrorismo o financiamiento de la proliferación de armas de destrucción masiva. Lo exige la Superintendencia de Sociedades y obliga a documentar políticas, matriz de riesgo, debida diligencia de contrapartes y reportes.
¿El SAGRILAFT aplica a todas las empresas?
No. Aplica a los sujetos obligados definidos en la circular vigente, que combinan la supervisión de la Superintendencia de Sociedades con umbrales de ingresos o activos y con el sector económico. Una empresa pequeña de un sector no cubierto puede quedar fuera, mientras que otra de tamaño similar en un sector sensible puede quedar dentro.
¿Cuánto cuesta implementar un SAGRILAFT?
No existe una tarifa única y el rango depende del tamaño de la empresa, del número de contrapartes y de si el trabajo se hace internamente o con asesoría externa. Los componentes de costo suelen ser tres: la consultoría de diseño, el tiempo del oficial de cumplimiento y la herramienta de consulta de antecedentes y listas.
¿Qué plazo hay para ajustarse a los cambios de 2026?
Los análisis publicados sobre la Circular Externa 100-000020 de 2026 coinciden en que los sujetos que ya venían obligados deben ajustar sus sistemas a más tardar el 31 de mayo de 2027, y que durante la transición los sistemas vigentes conservan validez. Verifique el numeral de transición en el texto oficial antes de fijar su cronograma interno.
¿Quién puede ser oficial de cumplimiento?
Debe ser una persona designada formalmente que cumpla los requisitos de la circular vigente. La reforma de 2026 endureció esas condiciones en formación, experiencia y residencia en Colombia, y exige designar suplente. No puede ser cualquier funcionario asignado de manera informal.
¿Qué pasa si mi empresa no implementa el SAGRILAFT?
La Superintendencia de Sociedades puede imponer sanciones administrativas a la sociedad y también a sus administradores y al oficial de cumplimiento. A eso se suman consecuencias comerciales frecuentes, como cierre de cupos bancarios, exclusión de licitaciones y pérdida de clientes corporativos con programas de cumplimiento.
¿El SAGRILAFT y el PTEE siguen siendo sistemas separados?
Con la Circular Externa 100-000020 de 2026 dejan de estar en capítulos separados. La Superintendencia de Sociedades informó que creó un Sistema Integral de Autocontrol y Gestión de Riesgos que unifica ambas obligaciones e incorpora corrupción local y soborno transnacional al alcance del sistema.
¿Qué es sagrilaf o sagrilaft, se escribe con dos t?
La forma correcta es SAGRILAFT, con t final. Las variantes sagrilaf, sagrilaft ley o sagrlaft aparecen con frecuencia en buscadores, pero la sigla oficial usada por la Superintendencia de Sociedades es SAGRILAFT.
¿Basta con tener el manual escrito?
No. El manual sin evidencia de ejecución es uno de los hallazgos más comunes en supervisión. Debe existir soporte de las debidas diligencias realizadas, de las capacitaciones dictadas, de los reportes presentados y de la revisión anual ante el máximo órgano social.
¿La consulta de listas restrictivas es obligatoria dentro del SAGRILAFT?
La debida diligencia de contrapartes exige verificar información en fuentes confiables, y la revisión de listas restrictivas nacionales e internacionales es parte estándar de ese proceso. Lo relevante para el supervisor no es solo que la consulta ocurra, sino que quede registro de cuándo se hizo y qué decisión se tomó con el resultado.
Fuentes consultadas
- Superintendencia de Sociedades: Capítulo X, autocontrol y gestión del riesgo integral LA/FT/FPADM
- Superintendencia de Sociedades: Comunicado sobre las Circulares Externas 100-000019 y 100-000020 de 2026
- Superintendencia de Sociedades: Texto de la Circular Externa 100-000020 del 2 de julio de 2026
- Brigard Urrutia: Análisis de la unificación del SAGRILAFT y el PTEE
Este contenido tiene fines informativos y no constituye asesoría jurídica. La obligatoriedad del SAGRILAFT y los plazos aplicables dependen de la situación particular de cada empresa y del texto normativo vigente. Consulte a su asesor legal o al oficial de cumplimiento antes de tomar decisiones.
Verifica antecedentes en minutos con HunterX
Comenzar ahora
