Cumplimiento · SAGRILAFT y SARLAFT
SAGRILAFT y SARLAFT: en qué se diferencian y por qué no son lo mismo
SAGRILAFT y SARLAFT no son lo mismo. El SAGRILAFT (Sistema de Autocontrol y Gestión del Riesgo Integral de LA/FT/FPADM) lo exige la Superintendencia de Sociedades a empresas del sector real, y desde julio de 2026 se regula en el Capítulo IX de su Circular Básica Jurídica, unificado con el PTEE. El SARLAFT (Sistema de Administración del Riesgo de Lavado de Activos y de la Financiación del Terrorismo) lo exige la Superintendencia Financiera a las entidades que vigila, como bancos y aseguradoras.
Esta página explica el marco general de ambos sistemas. No sustituye la lectura del texto normativo vigente ni la asesoría de un profesional en cumplimiento.
SAGRILAFT y SARLAFT no son lo mismo
Los dos sistemas tienen el mismo propósito: evitar que una organización sea usada para dar apariencia de legalidad a recursos de origen ilícito o para canalizar recursos hacia el terrorismo. Lo que los separa es quién los exige, en qué norma están y a quién obligan. El SAGRILAFT es del sector real y lo supervisa la Superintendencia de Sociedades. El SARLAFT es del sector financiero y lo supervisa la Superintendencia Financiera.
Una empresa no elige cuál de los dos implementar: lo define su supervisor. Una sociedad industrial, comercial o de servicios no monta un SARLAFT, y un banco no monta un SAGRILAFT. Qué es el SAGRILAFT y qué piezas lo componen está en la guía de SAGRILAFT.
- SAGRILAFT Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiación de la Proliferación de Armas de Destrucción Masiva. Superintendencia de Sociedades.
- SARLAFT Sistema de Administración del Riesgo de Lavado de Activos y de la Financiación del Terrorismo. Superintendencia Financiera.
- LA/FT/FP y C/ST Lavado de activos, financiamiento del terrorismo y de la proliferación de armas de destrucción masiva, corrupción local y soborno transnacional: los riesgos del sistema unificado de la Superintendencia de Sociedades desde 2026.
Qué autoridad exige cada uno y en qué norma está
SAGRILAFT: Superintendencia de Sociedades
La Superintendencia de Sociedades supervisa a las sociedades comerciales, empresas unipersonales y sucursales de sociedades extranjeras del sector real. Hasta julio de 2026, el SAGRILAFT estaba desarrollado en el Capítulo X de su Circular Básica Jurídica, y el Programa de Transparencia y Ética Empresarial (PTEE), en el Capítulo XIII.
La Circular Externa 100-000020 del 2 de julio de 2026 expidió una nueva Circular Básica Jurídica y unificó esos dos capítulos en el Capítulo IX, que regula el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST. El nuevo sistema suma a los riesgos de lavado de activos y financiación del terrorismo los de corrupción local y soborno transnacional. La relación entre los dos programas está explicada en SAGRILAFT y PTEE.
El nombre SAGRILAFT sigue en uso: la propia Superintendencia lo conserva en su sitio y en el numeral 9.31 del nuevo capítulo, y este artículo lo usa en ese sentido.
SARLAFT: Superintendencia Financiera
El SARLAFT está en la Circular Básica Jurídica de la Superintendencia Financiera, Parte I, Título IV, Capítulo IV, que contiene las instrucciones relativas a la administración del riesgo de lavado de activos y de la financiación del terrorismo. Esa circular fue reexpedida por la Circular Externa 006 de 2025, que mantuvo el SARLAFT en la misma ubicación. El capítulo desarrolla los artículos 102 y siguientes del Estatuto Orgánico del Sistema Financiero.
SAGRILAFT y SARLAFT, punto por punto
La tabla resume las diferencias según el texto vigente de cada circular. La columna de la Superintendencia de Sociedades describe el sistema del Capítulo IX.
| SAGRILAFT (Supersociedades) | SARLAFT (Superfinanciera) | |
|---|---|---|
| Nombre en la norma vigente | Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST | Sistema de Administración del Riesgo de Lavado de Activos y de la Financiación del Terrorismo |
| Autoridad | Superintendencia de Sociedades | Superintendencia Financiera de Colombia |
| Norma | Capítulo IX de la Circular Básica Jurídica (Circular Externa 100-000020 de 2026) | Parte I, Título IV, Capítulo IV de la Circular Básica Jurídica (reexpedida por la Circular Externa 006 de 2025) |
| A quién obliga | Sociedades comerciales, empresas unipersonales y sucursales de sociedades extranjeras supervisadas por la Supersociedades que superan los umbrales, algunos sectores con reglas propias y las cámaras de comercio | Entidades vigiladas por la Superintendencia Financiera, como bancos, aseguradoras y fiduciarias, salvo las excepciones que enumera el capítulo |
| Qué activa la obligación | Ingresos o activos totales iguales o superiores al umbral, medido en UVB al 31 de diciembre del año anterior, o pertenecer a un sector con régimen propio | Ser entidad vigilada por la Superintendencia Financiera |
| Riesgos que cubre | Lavado de activos, financiamiento del terrorismo y de la proliferación de armas de destrucción masiva, corrupción local y soborno transnacional | Lavado de activos y financiación del terrorismo |
| A quién se conoce | Contrapartes: asociados, empleados, clientes, acreedores, contratistas y proveedores | Clientes actuales y potenciales, y usuarios de la entidad |
| Etapas | Identificación, medición o evaluación, control y monitoreo | Identificación, medición o evaluación, control y monitoreo |
| Responsable | Oficial de cumplimiento principal y suplente, designados por la junta directiva o el máximo órgano social | Oficial de cumplimiento y suplente, designados por la junta directiva u órgano que haga sus veces |
| Operaciones sospechosas | Se reportan a la UIAF | Se reportan a la UIAF |
Los dos sistemas comparten etapas y vocabulario porque ambos remiten a los estándares del Grupo de Acción Financiera Internacional (GAFI). Difieren en el punto de partida: el SARLAFT se construye alrededor del cliente de una entidad financiera, y el sistema de la Superintendencia de Sociedades, alrededor de todas las contrapartes de una empresa del sector real.
Qué tienen en común
Aunque las normas son distintas, los dos sistemas siguen la misma lógica de gestión del riesgo. Estas son las piezas que aparecen en ambos.
Enfoque basado en riesgo
La intensidad de los controles depende del riesgo identificado. Ante un riesgo alto, se aplican medidas intensificadas.
Oficial de cumplimiento
Una persona designada por el máximo órgano de dirección responde por el funcionamiento del sistema, con un suplente.
Conocimiento de la contraparte
Identificar y verificar con quién se establece la relación antes de vincularla, y mantener ese conocimiento actualizado.
Operaciones inusuales
Detectar las operaciones que se salen de lo normal, analizarlas y conservar los soportes de la decisión.
Reporte a la UIAF
Las operaciones calificadas como sospechosas se reportan a la Unidad de Información y Análisis Financiero.
Capacitación
El personal debe conocer el sistema y sus procedimientos. Las dos normas incluyen la divulgación y la capacitación.
La debida diligencia es la pieza con más trabajo operativo en los dos sistemas. Cómo se organiza en una empresa del sector real está en el artículo sobre debida diligencia de contrapartes.
Por qué se confunden
La sigla SARLAFT aparece en los formularios de vinculación y actualización que bancos, aseguradoras y fiduciarias piden a sus clientes, y muchas empresas la conocen por esa vía. Por eso, en el uso cotidiano, «SARLAFT» terminó funcionando como nombre genérico de cualquier sistema contra el lavado de activos, y se oye en empresas que en realidad responden ante la Superintendencia de Sociedades.
Una empresa que busca su obligación en la norma equivocada lee requisitos de otra autoridad, con otras definiciones y otros obligados. El punto de partida es el supervisor: si la empresa está vigilada o controlada por la Superintendencia de Sociedades, su referencia es el Capítulo IX de la Circular Básica Jurídica de esa entidad. Los pasos para montar el sistema están en cómo implementar SAGRILAFT.
Otros supervisores, otras normas
El propio Capítulo IX excluye de su ámbito a las empresas vigiladas por otra entidad que tenga un régimen de vigilancia especial en razón de su actividad. En esos casos, la referencia es la norma de ese supervisor, que puede dar a su sistema otro nombre. Antes de adoptar una sigla, el primer paso es confirmar quién vigila a la empresa.
Si su banco le pide un formulario SARLAFT
Una empresa del sector real puede recibir de su banco, su aseguradora o su fiduciaria un formulario de vinculación o de actualización marcado como SARLAFT. Lo que ocurre es que la entidad financiera está aplicando su propio sistema a su cliente. El capítulo de la Superintendencia Financiera le impide iniciar la relación contractual mientras no haya recolectado la información necesaria, verificado la identidad del potencial cliente y aprobado su vinculación.
- La obligación es de la entidad financiera El SARLAFT obliga al banco o a la aseguradora, no a su empresa. Diligenciar el formulario no convierte a su empresa en sujeto del SARLAFT.
- Su empresa es el cliente que se conoce Los datos y soportes que le piden alimentan el conocimiento del cliente de la entidad. En el caso de una persona jurídica, la vinculación debe quedar soportada con un documento actualizado de existencia y representación.
- Su propio sistema no cambia Si su empresa está obligada ante la Superintendencia de Sociedades, sigue respondiendo por el sistema del Capítulo IX. Si no lo está, el formulario del banco no crea esa obligación.
- Con sus proveedores, el papel se invierte Cuando su empresa vincula a un proveedor o a un contratista, es ella la que pide y verifica los documentos de su contraparte.
La parte documental se puede operar en un sistema
De todo lo que exige cualquiera de estos sistemas, una parte es operación documental: definir qué documentos se le piden a cada proveedor o contratista, pedirlos, revisarlos contra criterios, saber cuándo vencen y conservar la evidencia de cada decisión con su responsable y su fecha.
Eso se configura en una matriz de requisitos documentales. En NAVA 360, la empresa define qué documento se exige según el tipo de elemento, el tipo de actividad y el perfil, con qué vigencia, quién lo aprueba y con qué criterios se revisa. El tercero carga sus documentos, el sistema calcula el vencimiento desde la fecha de expedición y cada aprobación o rechazo queda registrado. La misma matriz sirve para requisitos de seguridad y salud en el trabajo o para las exigencias de un cliente operador: lo que cambia son los documentos y las vigencias.
Qué no hace NAVA
NAVA no implementa el SAGRILAFT ni el SARLAFT, y no es una herramienta de prevención de lavado de activos. En concreto, NAVA:
- No redacta ni aprueba la política ni el manual de procedimientos del sistema
- No construye la matriz de riesgo de lavado de activos
- No reemplaza al oficial de cumplimiento ni ejerce sus funciones
- No consulta listas restrictivas ni hace screening de contrapartes
- No genera ni transmite reportes de operaciones sospechosas a la UIAF
- No diligencia ni gestiona los formularios de conocimiento del cliente que pide su banco
- No presta asesoría jurídica en materia de cumplimiento
Lo que NAVA opera es la gestión documental de proveedores y contratistas y la evidencia trazable de esa gestión. Es una pieza del sistema, no el sistema.