Cumplimiento · Implementación del SAGRILAFT
Cómo implementar el SAGRILAFT: etapas, elementos y responsables
Implementar el SAGRILAFT es poner en marcha el sistema de autocontrol y gestión del riesgo de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva que exige la Superintendencia de Sociedades. Implica diseñarlo según los riesgos propios de la empresa, hacerlo aprobar por la junta directiva o el máximo órgano social, designar un oficial de cumplimiento y ejecutar cuatro etapas: identificación, medición, control y monitoreo. Desde julio de 2026 se rige por el Capítulo IX de la Circular Básica Jurídica, que lo unificó con el PTEE.
Esta página explica el marco general de la implementación según la Circular Básica Jurídica vigente. No sustituye la lectura del texto normativo ni la asesoría de un profesional en cumplimiento.
Qué busca el SAGRILAFT y en qué norma está hoy
La Superintendencia de Sociedades lo define como un sistema de cumplimiento obligatorio cuyo objetivo es prevenir, detectar y gestionar los riesgos de lavado de activos, financiación del terrorismo, financiación de la proliferación de armas de destrucción masiva, corrupción local y soborno transnacional. Busca que la empresa no sea utilizada, ni se preste, como medio para esas conductas.
El 2 de julio de 2026 la Superintendencia expidió la Circular Externa 100-000020, que reexpidió la Circular Básica Jurídica. Derogó la Circular Externa 100-000016 de 2020, con la que se había reformado integralmente el antiguo Capítulo X, y unificó el SAGRILAFT y el PTEE en el nuevo Capítulo IX, bajo el nombre Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.
- LA: lavado de activos El delito del artículo 323 del Código Penal
- FT: financiación del terrorismo El delito del artículo 345 del Código Penal
- FP: financiación de la proliferación de armas de destrucción masiva Proveer fondos o servicios financieros para fabricar, adquirir o transportar ese tipo de armas con fines ilegítimos
- C: corrupción local Conductas penales en las que la empresa se beneficia o es usada como medio, como los delitos contra la administración pública
- ST: soborno transnacional Dar, ofrecer o prometer beneficios a un servidor público extranjero en un negocio internacional (Ley 1778 de 2016)
El nombre SAGRILAFT sigue siendo el que usan las empresas, y la propia circular lo conserva al referirse a los sistemas adoptados con las normas anteriores. No debe confundirse con el SARLAFT, que es de otra autoridad (SAGRILAFT y SARLAFT).
La secuencia de implementación, paso a paso
El Capítulo IX no numera una secuencia de pasos: ordena elementos, responsables y etapas. Llevados a la práctica, se ejecutan en este orden.
- Confirmar si la empresa está obligada Y si le corresponde el sistema completo o el Régimen de Medidas Mínimas
- Diseñar el sistema A partir de los riesgos propios de la empresa, no de la copia de otro
- Aprobarlo Por acta de la junta directiva o del máximo órgano social
- Designar al oficial de cumplimiento Principal y suplente, con los requisitos que fija la circular
- Identificar y medir el riesgo Segmentar los factores de riesgo y construir la matriz
- Controlar y monitorear Aplicar controles, debida diligencia y seguimiento periódico
- Reportar Operaciones sospechosas a la UIAF y los demás reportes que exija la norma
- Divulgar, capacitar y documentar Con constancia de cada actividad y auditoría del sistema
Paso 1: confirmar si su empresa está obligada
La obligación recae sobre las sociedades vigiladas o controladas por la Superintendencia de Sociedades que superan el umbral de ingresos o de activos totales al 31 de diciembre del año anterior, y sobre las de ciertos sectores con requisitos propios. La nueva circular expresa esos umbrales en unidades de valor básico (UVB), ya no en salarios mínimos. Algunas empresas quedan en el Régimen de Medidas Mínimas, una versión simplificada a cargo del representante legal. Los criterios se explican en la guía qué es el SAGRILAFT y a quién aplica, y la verificación se hace contra el texto vigente.
Diseño, aprobación y oficial de cumplimiento
El diseño es responsabilidad de la propia empresa y debe partir de un análisis de sus riesgos: sector, actividad, jurisdicciones, contratistas, intermediarios, canales de distribución y contratos estatales, entre otros. La circular prohíbe expresamente el paper compliance: políticas y procedimientos copiados de otros sistemas que no corresponden a la realidad de la empresa.
El sistema comprende una política y un manual de procedimientos. Como absorbió el PTEE, también exige políticas sobre regalos, hospitalidad, contribuciones políticas, donaciones, cabildeo y contratación estatal, un código de ética y un canal de denuncias; ese componente se explica en SAGRILAFT y PTEE.
Quién lo aprueba
La aprobación corresponde a la junta directiva o, si la empresa no la tiene, al máximo órgano social, y debe constar en acta. El proyecto lo presentan juntos el representante legal y el oficial de cumplimiento. El mismo órgano aprueba las actualizaciones.
El oficial de cumplimiento
Lo designa la junta directiva o el máximo órgano social, a propuesta del representante legal, junto con un suplente que debe cumplir los mismos requisitos. Depende directamente de ese órgano y debe actuar con autonomía e independencia. La circular le exige, como mínimo:
- Título profesional, y actualizar sus conocimientos en gestión de riesgos LA/FT/FP y C/ST al menos cada tres años.
- Experiencia profesional mínima de un año en cargos de cumplimiento relacionados con la gestión de estos riesgos.
- Conocimientos acreditados con especialización o maestría, o con diplomados de al menos 90 horas sobre la materia.
- Domicilio en Colombia.
No puede ser oficial de cumplimiento un administrador (incluidos el representante legal y los miembros de junta), un asociado, el revisor fiscal ni el auditor interno o externo. Tampoco puede ejercer el cargo en más de diez sujetos obligados, salvo dentro de un grupo empresarial. La designación se informa a la Superintendencia con el informe no financiero y los soportes del numeral 9.9.4.
Las cuatro etapas y la matriz de riesgo
El Capítulo IX fija cuatro etapas mínimas, que se repiten: el riesgo se revisa periódicamente y cada vez que cambian los productos, los canales, las jurisdicciones, los clientes o la normativa.
Identificación
Clasificar los factores de riesgo de la empresa e individualizar los riesgos que se derivan de ellos.
Medición o evaluación
Medir la probabilidad de que cada riesgo ocurra y su impacto si se materializa, de forma cualitativa o cuantitativa. El resultado es el perfil de riesgo inherente.
Control
Aplicar medidas que reduzcan la probabilidad o el impacto, con la regla de que a mayor riesgo, mayor control. El resultado es el perfil de riesgo residual.
Monitoreo
Comparar periódicamente el riesgo inherente y el residual, corregir deficiencias y verificar que el residual se mantenga en los niveles que la empresa aceptó.
La herramienta que articula las cuatro etapas es la matriz de riesgo: la circular exige una que las cubra todas, con metodologías y fuentes de información definidas. Las metodologías las diseña el oficial de cumplimiento, ajustadas a la empresa, y él mismo realiza la evaluación del riesgo.
Una pieza central del control es conocer y verificar con quién hace negocios la empresa, con una intensidad proporcional al riesgo: la debida diligencia de contrapartes.
Reportes, capacitación, documentación y roles
Reportes a la UIAF y a la Superintendencia
- Reporte de Operaciones Sospechosas (ROS): se presenta a la UIAF de manera inmediata, a través del SIREL, cada vez que se detecta una operación sospechosa. No es una denuncia penal ni exige certeza sobre el delito.
- Ausencia de ROS (AROS): si transcurre un trimestre sin ningún ROS, el oficial de cumplimiento presenta este informe por el SIREL, en los términos que fija la UIAF.
- Listas vinculantes: si aparece un bien o un fondo de una persona o entidad incluida en ellas, el oficial de cumplimiento lo reporta de inmediato a la UIAF y a la Fiscalía General de la Nación.
- Soborno transnacional: el revisor fiscal y el oficial de cumplimiento que conozcan hechos que puedan constituir esta conducta deben reportarlos a la Superintendencia de Sociedades.
El oficial principal y el suplente deben registrarse en el SIREL, el sistema de reporte en línea de la UIAF, y la empresa debe garantizar la reserva de cada ROS.
Divulgación y capacitación
El sistema se divulga y se capacita dentro de la empresa y ante sus contrapartes, como mínimo una vez al año, con constancia de asistentes, fecha y temas. El propósito es que cualquier persona reconozca una operación inusual o sospechosa y sepa cómo reportarla.
Documentación, conservación y auditoría
Las actividades del sistema deben quedar en registros íntegros, confiables, reservados y disponibles. La información de cada contraparte en la debida diligencia, con el nombre de quien la verificó, se documenta con fecha y hora, y los soportes se conservan según el artículo 28 de la Ley 962 de 2005.
| Responsable | Funciones principales |
|---|---|
| Junta directiva o máximo órgano social | Aprueba el sistema y sus actualizaciones, designa al oficial principal y suplente, garantiza sus recursos e independencia y fija los criterios para vincular personas expuestas políticamente (PEP). |
| Representante legal | Presenta el sistema con el oficial, define planes de acción según la evaluación de riesgo, asigna recursos, decide la vinculación de PEP y verifica que todo quede documentado. |
| Oficial de cumplimiento | Diseña las metodologías, evalúa el riesgo, verifica la debida diligencia, informa a la junta al menos una vez al año, propone actualizaciones al menos cada dos años, coordina la capacitación y reporta a la UIAF. |
| Revisor fiscal | Reporta a la UIAF las operaciones sospechosas que advierta, con su propio usuario en el SIREL, y emite una opinión sobre la existencia y el funcionamiento del sistema. |
| Auditoría interna o externa | Revisa el sistema en sus planes anuales e informa al representante legal, al oficial y a la junta. |
La parte documental de la debida diligencia se puede operar en un sistema
De todo lo anterior, una parte es operación documental: pedirle a cada contraparte los documentos que la política exige, revisarlos contra criterios, saber cuándo vencen y demostrar quién decidió qué. Se repite con cada proveedor, cliente o contratista y no termina con la vinculación.
Esa parte se organiza con una matriz de requisitos documentales. En NAVA 360 su empresa define qué documentos se exigen, con qué vigencia, quién los aprueba y con qué criterios se revisan. La contraparte los carga desde su portal; su equipo los aprueba, los rechaza o los deja pendientes; el sistema calcula cada vencimiento desde la fecha de expedición y marca lo que está próximo a vencer. Cada aprobación y cada rechazo quedan registrados con responsable y fecha. La misma matriz sirve para los requisitos de seguridad y salud en el trabajo o para cualquier otro documento que su empresa decida pedir.
Qué no hace NAVA
NAVA no implementa su SAGRILAFT. En concreto, NAVA:
- No diseña ni redacta su política ni su manual de procedimientos
- No construye su matriz de riesgo
- No reemplaza al oficial de cumplimiento ni ejerce sus funciones
- No consulta listas restrictivas ni listas vinculantes
- No genera ni transmite reportes a la UIAF
- No presta asesoría jurídica en materia de cumplimiento
Lo que NAVA opera es la gestión documental de las contrapartes y la evidencia de esa gestión. Es una pieza del sistema, no el sistema.