SAGRILAFT es el sistema mediante el cual la Superintendencia de Sociedades ha exigido a determinadas empresas gestionar los riesgos de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva (LA/FT/FPADM).
Sin embargo, desde julio de 2026 existe un cambio normativo que las empresas deben considerar. La Circular Externa 100-000020 del 2 de julio de 2026, mediante la cual la Superintendencia de Sociedades expidió una nueva Circular Básica Jurídica, integró en un mismo sistema la gestión de riesgos de LA/FT/FP y los riesgos de corrupción y soborno transnacional.
Por ello, actualmente no basta con preguntarse qué es SAGRILAFT. También es necesario determinar si la empresa estaba obligada bajo el régimen anterior, si cumple los nuevos criterios definidos por Supersociedades y qué ajustes debe realizar durante el periodo de transición.
¿Qué es SAGRILAFT?
SAGRILAFT significa Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva.
Su finalidad es evitar que una empresa, sus operaciones, activos, productos, canales o relaciones con terceros sean utilizados para desarrollar o facilitar actividades vinculadas con LA/FT/FPADM.
Esto implica mucho más que consultar listas restrictivas. Un sistema de cumplimiento adecuado debe permitir:
- Identificar los factores de riesgo propios del negocio.
- Evaluar la exposición de la organización.
- Establecer controles proporcionales al nivel de riesgo.
- Aplicar procedimientos de debida diligencia.
- Identificar beneficiarios finales.
- Detectar operaciones inusuales o sospechosas.
- Documentar las decisiones adoptadas.
- Realizar seguimiento periódico.
- Cumplir los reportes exigidos por las autoridades.
La Superintendencia de Sociedades también ha llamado la atención sobre el denominado paper compliance: políticas o manuales que existen documentalmente, pero que no corresponden a la realidad operacional de la empresa o que no se aplican efectivamente.
Por esta razón, el sistema debe adaptarse al tamaño, actividad, contrapartes, productos, jurisdicciones y demás factores de riesgo particulares de cada organización.
¿Qué cambió con SAGRILAFT en 2026?
El 2 de julio de 2026, la Superintendencia de Sociedades expidió la Circular Externa 100-000020, mediante la cual adoptó una nueva Circular Básica Jurídica.
La normativa incorporó dentro de su Capítulo IX un Sistema de Autocontrol y Gestión de Riesgos que integra la prevención de:
- Lavado de activos.
- Financiación del terrorismo.
- Financiación de la proliferación de armas de destrucción masiva.
- Corrupción.
- Soborno transnacional.
Esto representa un cambio importante frente al esquema anterior, en el cual los riesgos de LA/FT/FPADM se abordaban principalmente mediante SAGRILAFT y los riesgos de corrupción y soborno mediante el PTEE.
El nuevo modelo busca una gestión más integrada de los riesgos de cumplimiento.
¿Qué ocurre con las empresas que ya tenían SAGRILAFT o PTEE?
Las empresas que ya eran sujetos obligados al momento de expedición de la nueva Circular no deben descartar inmediatamente sus sistemas existentes.
Supersociedades estableció un periodo de transición hasta el 31 de mayo de 2027 para ajustar los sistemas de cumplimiento al nuevo Capítulo IX.
Durante ese periodo, las empresas deben revisar sus políticas, matrices, controles, procesos de debida diligencia, estructura de gobierno y responsabilidades para determinar qué cambios necesitan implementar.
Por esta razón, contar actualmente con un manual SAGRILAFT o PTEE no significa automáticamente que la organización ya se encuentre preparada para cumplir las nuevas disposiciones.
¿Quién está obligado a implementar SAGRILAFT o el nuevo sistema?
Determinar quién está obligado requiere analizar diferentes variables. No es suficiente revisar únicamente el sector económico al que pertenece la empresa.
Entre los principales criterios se encuentran:
- Entidad que ejerce vigilancia o control.
- Ingresos de la organización.
- Activos.
- Actividad económica.
- Código CIIU.
- Sector en el que opera.
- Obligaciones que ya tenía bajo el régimen anterior.
Empresas vigiladas o controladas por Supersociedades
El nuevo sistema aplica a determinadas sociedades, empresas unipersonales y sucursales de sociedades extranjeras sometidas a vigilancia o control de la Superintendencia de Sociedades que, al 31 de diciembre del año inmediatamente anterior, hayan obtenido ingresos totales o activos totales iguales o superiores a 4.929.017 UVB, salvo las excepciones previstas en la regulación.
La Unidad de Valor Básico (UVB) es una referencia monetaria que se actualiza anualmente, por lo que los análisis de aplicabilidad deben realizarse utilizando el valor correspondiente al periodo evaluado.
Empresas pertenecientes a sectores específicos
La regulación también contempla condiciones particulares para determinados sectores, entre ellos:
- Actividades inmobiliarias.
- Comercialización de metales y piedras preciosas.
- Servicios jurídicos.
- Servicios contables.
- Construcción de edificios y obras de ingeniería civil.
- Comercio de vehículos.
- Actividades relacionadas con activos virtuales.
- Otros sectores expresamente identificados por la regulación.
Para varios de estos sectores se deben evaluar simultáneamente la actividad económica, el código CIIU, la situación de vigilancia o control y determinados umbrales financieros.
Por tanto, pertenecer a un sector no significa automáticamente estar obligado.
Régimen de Medidas Mínimas
La nueva regulación también establece un Régimen de Medidas Mínimas (RMM) para determinados sujetos que presentan exposición a estos riesgos, pero que no necesariamente alcanzan las condiciones exigidas para implementar el sistema completo.
Por ello, una empresa puede no estar obligada al sistema integral y aun así tener responsabilidades específicas de prevención, debida diligencia y control.
¿Cómo saber si mi empresa está obligada?
Como revisión inicial, la empresa debería identificar:
- Quién ejerce su vigilancia o control.
- Cuáles son sus ingresos y activos.
- Cuál es su actividad económica principal.
- Qué códigos CIIU tiene registrados.
- Si pertenece a un sector sujeto a reglas particulares.
- Si anteriormente estaba obligada a SAGRILAFT o PTEE.
- Si debe implementar el sistema completo o el Régimen de Medidas Mínimas.
- Qué periodo de transición o implementación le corresponde.
Un diagnóstico de aplicabilidad evita tanto implementar obligaciones que no corresponden como asumir erróneamente que la organización está por fuera del régimen.
En Amézquita ofrecemos asesoría e implementación de SAGRILAFT para evaluar la aplicabilidad del sistema, identificar brechas y adaptar los controles a las características particulares de cada empresa.
Recibe asesoría experta para tu empresa ahora
Obtén asesoría de nuestros profesionales con experiencia en áreas clave para tu empresa y toma decisiones con mayor confianza, respaldo técnico y una visión estratégica de crecimiento claro.
SAGRILAFT, PTEE y SARLAFT: ¿cuál es la diferencia?
Aunque estos conceptos suelen aparecer juntos cuando se habla de cumplimiento empresarial, no significan lo mismo.
| Sistema | Enfoque principal | Ámbito |
|---|---|---|
| SAGRILAFT | Prevención y gestión de riesgos de LA/FT/FPADM. | Régimen históricamente establecido por la Superintendencia de Sociedades para determinados sujetos obligados. |
| PTEE | Prevención de corrupción y soborno transnacional. | Régimen de Supersociedades que anteriormente se gestionaba de forma diferenciada y que ahora se articula con el nuevo modelo. |
| SARLAFT | Administración del riesgo de lavado de activos y financiación del terrorismo. | Utilizado, entre otros ámbitos, por entidades sujetas a regulación y supervisión de la Superintendencia Financiera. |
| Nuevo sistema 2026 | LA/FT/FP y riesgos de corrupción y soborno. | Capítulo IX de la nueva Circular Básica Jurídica de la Superintendencia de Sociedades. |
La principal diferencia es, entonces, el tipo de riesgo y la autoridad o régimen normativo aplicable.
Además, el cambio introducido en 2026 resulta especialmente relevante para SAGRILAFT y PTEE porque Supersociedades avanzó hacia una administración integrada de estos riesgos.
¿Cuáles son los principales componentes de SAGRILAFT?
Aunque cada sistema debe adaptarse al perfil particular de la organización, existen algunos componentes fundamentales.
Gobierno corporativo y responsabilidades
El cumplimiento no puede quedar exclusivamente en manos del Oficial de Cumplimiento.
La junta directiva o máximo órgano social, el representante legal y las demás instancias involucradas deben participar en la aprobación, ejecución y seguimiento del sistema.
Esto permite que la prevención de riesgos forme parte del gobierno corporativo y de los procesos de toma de decisiones.
Oficial de Cumplimiento
El Oficial de Cumplimiento es una figura central en la gestión del sistema.
Entre sus funciones se encuentran promover la ejecución de los procedimientos, evaluar su efectividad, monitorear riesgos, proponer ajustes y realizar los reportes que correspondan.
La regulación también establece condiciones relacionadas con su independencia, formación, experiencia, acceso a información y posición dentro de la estructura organizacional.
Matriz de riesgos
La empresa debe identificar qué circunstancias podrían exponerla a operaciones de lavado de activos, financiación del terrorismo, financiación de la proliferación, corrupción o soborno.
La matriz permite evaluar:
- Riesgo inherente.
- Controles existentes.
- Efectividad de los controles.
- Riesgo residual.
- Acciones adicionales necesarias.
La metodología debe reflejar las características reales del negocio y no limitarse a utilizar modelos genéricos.
Debida diligencia
La debida diligencia permite conocer adecuadamente a las contrapartes antes y durante una relación comercial.
Dependiendo del riesgo, puede incluir:
- Identificación de la contraparte.
- Verificación de identidad.
- Identificación del beneficiario final.
- Validación de información corporativa.
- Consulta de listas.
- Identificación de Personas Expuestas Políticamente (PEP).
- Análisis del origen de recursos.
- Debida diligencia intensificada en escenarios de mayor riesgo.
La consulta de listas no constituye por sí misma un sistema de cumplimiento. Debe formar parte de un proceso documentado de conocimiento, evaluación y monitoreo de las contrapartes.
Políticas y procedimientos
El sistema debe documentar claramente:
- Responsabilidades.
- Metodología de evaluación de riesgos.
- Procedimientos de debida diligencia.
- Señales de alerta.
- Tratamiento de operaciones inusuales.
- Reportes internos y externos.
- Conservación de información.
- Mecanismos de seguimiento.
Con el nuevo modelo también adquieren mayor relevancia los controles relacionados con regalos, hospitalidad, donaciones, contribuciones políticas, relaciones con funcionarios y otros factores vinculados con riesgos de corrupción.
Capacitación
Los colaboradores que participan en procesos expuestos deben comprender las políticas y saber identificar señales de alerta.
La capacitación debe realizarse periódicamente y permitir que los empleados conozcan:
- Los principales riesgos.
- Sus responsabilidades.
- Cómo reconocer una operación inusual.
- Cómo escalar situaciones de riesgo.
- Qué canales internos deben utilizar.
¿Qué debe reportarse a la UIAF?
Uno de los elementos más relevantes del sistema es la identificación y reporte de Operaciones Sospechosas (ROS).
Cuando una operación, después de ser analizada, presenta características que permiten clasificarla como sospechosa, el sujeto obligado debe realizar el reporte correspondiente ante la Unidad de Información y Análisis Financiero (UIAF) mediante el Sistema de Reporte en Línea —SIREL—.
Un ROS no equivale a una denuncia penal.
La empresa no necesita demostrar que efectivamente ocurrió un delito. Su responsabilidad consiste en identificar, analizar y reportar las operaciones que cumplan las condiciones previstas en la regulación.
Cuando corresponda y no se hayan identificado operaciones sospechosas durante el periodo evaluado, también deben atenderse los reportes de ausencia establecidos por la regulación.
¿Qué responsabilidades tienen la junta, el representante legal y el Oficial de Cumplimiento?
La gestión del sistema distribuye responsabilidades entre diferentes órganos de la organización.
- La junta directiva o máximo órgano social debe aprobar las políticas, revisar informes, disponer recursos y adoptar decisiones relacionadas con la efectividad del sistema.
- El representante legal participa en su implementación, debe facilitar los recursos necesarios y contribuir a que las decisiones y procedimientos se ejecuten adecuadamente.
- El Oficial de Cumplimiento dirige y supervisa la operación del sistema, evalúa los riesgos, propone cambios y realiza los reportes correspondientes.
- La revisoría fiscal y las funciones de auditoría, dentro del alcance aplicable a cada organización, también contribuyen mediante evaluaciones independientes.
Esto significa que la responsabilidad de cumplimiento no puede trasladarse completamente al Oficial de Cumplimiento.
¿Qué sanciones puede generar el incumplimiento?
El incumplimiento de las instrucciones de la Superintendencia de Sociedades puede generar investigaciones y sanciones administrativas contra el sujeto obligado y, dependiendo del caso, contra sus administradores, el Oficial de Cumplimiento o el Revisor Fiscal.
El riesgo no surge únicamente cuando una empresa carece de un documento denominado SAGRILAFT.
También pueden presentarse incumplimientos cuando:
- El sistema existe únicamente en el papel.
- La matriz no corresponde a los riesgos reales.
- No existe evidencia de la debida diligencia.
- Los procedimientos no se ejecutan.
- Se incumplen reportes obligatorios.
- No se realizan capacitaciones.
- El Oficial de Cumplimiento no cuenta con información o recursos suficientes.
- La organización no actualiza su sistema frente a cambios regulatorios.
Por ello, el cumplimiento debe analizarse desde la efectividad y no únicamente desde la existencia formal de políticas y manuales.
Checklist: ¿tu empresa necesita revisar su SAGRILAFT en 2026?
Esta lista puede utilizarse como una evaluación preliminar:
- ¿La empresa estaba obligada a SAGRILAFT o PTEE antes de julio de 2026?
- ¿Está vigilada o controlada por Supersociedades?
- ¿Sus ingresos o activos alcanzan los umbrales establecidos?
- ¿Pertenece a un sector con criterios particulares?
- ¿Su código CIIU está contemplado dentro de las actividades reguladas?
- ¿Debe implementar el sistema completo o el Régimen de Medidas Mínimas?
- ¿Cuenta con una matriz de riesgos actualizada?
- ¿Identifica adecuadamente a sus beneficiarios finales?
- ¿Aplica debida diligencia intensificada cuando corresponde?
- ¿El Oficial de Cumplimiento cuenta con independencia y recursos?
- ¿Los procedimientos para ROS y otros reportes están documentados?
- ¿Existe evidencia de las capacitaciones realizadas?
- ¿El sistema contempla los nuevos componentes de corrupción y soborno?
- ¿Existe un plan de transición hacia el nuevo modelo antes del 31 de mayo de 2027?
Si varias respuestas son negativas, resulta recomendable realizar un diagnóstico de brechas.
¿Cómo implementar o actualizar el sistema?
Una actualización efectiva puede organizarse en varias acciones principales:
- Determinar la aplicabilidad: revisar supervisor, ingresos, activos, actividad económica, CIIU, sector y obligaciones preexistentes.
- Realizar un diagnóstico de brechas: comparar el sistema actual con las disposiciones vigentes.
- Actualizar la matriz de riesgos: revisar contrapartes, productos, canales, operaciones, jurisdicciones y otros factores relevantes.
- Actualizar políticas y procedimientos: ajustar debida diligencia, señales de alerta, responsabilidades, reportes y mecanismos de monitoreo.
- Fortalecer la función de cumplimiento: verificar independencia, experiencia, recursos y acceso a información del Oficial de Cumplimiento.
- Capacitar al personal: asegurar que las áreas expuestas comprendan y ejecuten los controles.
- Monitorear y actualizar: revisar periódicamente la efectividad del sistema y adaptarlo a cambios operacionales o regulatorios.
El objetivo no debe ser únicamente producir nuevos documentos, sino lograr que los controles formen parte de los procesos cotidianos de contratación, compras, ventas, tesorería y relacionamiento con terceros.
¿Tu SAGRILAFT está actualizado para 2026?
Evalúa las nuevas obligaciones, identifica brechas en tu sistema actual y prepara a tu empresa para los cambios regulatorios con acompañamiento especializado.
¿Cómo puede ayudar Amézquita?
Determinar si una empresa está obligada, actualizar una matriz de riesgos o adaptar un sistema existente exige combinar el análisis normativo con la realidad operacional de la organización.
Amézquita acompaña a las empresas a través de sus servicios especializados de SAGRILAFT, incluyendo procesos como:
- Evaluación de aplicabilidad.
- Diagnóstico de brechas.
- Diseño y actualización de políticas y manuales.
- Elaboración y actualización de matrices de riesgo.
- Procedimientos de debida diligencia.
- Capacitación de colaboradores.
- Revisión de controles existentes.
- Acompañamiento frente a cambios normativos.
- Apoyo en procesos de implementación y seguimiento.
La actualización normativa de 2026 hace especialmente importante revisar los sistemas existentes.
Una política diseñada bajo el régimen anterior no debería considerarse automáticamente adaptada al nuevo esquema. Es necesario contrastarla con las disposiciones actuales y establecer una hoja de ruta que permita realizar los ajustes correspondientes dentro de los plazos aplicables.
