Guía completa del SAGRILAFT: quién está obligado, cómo implementarlo y qué sanciones arriesga tu empresa

Si llegaste buscando la definición básica, empieza por qué es el SAGRILAFT. Esta guía asume que ya la conoces y responde lo que sigue: cómo saber si tu empresa está obligada, qué régimen le corresponde, cómo dejar el sistema operando en 8 pasos verificables y cuánto cuesta no hacerlo.

¿Cómo saber si tu empresa está obligada al SAGRILAFT?

El SAGRILAFT es, desde el 2 de julio de 2026, el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST que la Superintendencia de Sociedades exige a las empresas del sector real en el Capítulo IX de la Circular Básica Jurídica (Circular Externa 100-000020 de 2026, que derogó la Circular Externa 100-000016 de 2020 y su Capítulo X). La obligación no depende de tu apetito de riesgo: depende de tus cifras de ingresos o activos al 31 de diciembre del año anterior —medidas en UVB—, de tu sector (CIIU) y de que estés bajo vigilancia o control de la Superintendencia.

• —Sistema completo — regla general (num. 9.4): ingresos totales o activos totales iguales o superiores a 4.929.017 UVB — con la UVB 2026 ($12.110, Resolución 3488 de 2025 del Ministerio de Hacienda), unos $59.690 millones — y estar bajo vigilancia o control de Supersociedades (la simple inspección no basta).
• —Sectores designados (num. 9.5): el umbral baja a 3.696.762 UVB (≈ $44.768 millones) para agentes inmobiliarios, comercio de metales y piedras preciosas, servicios jurídicos (CIIU 6910), servicios contables (CIIU 6920), construcción de edificios y obras civiles y —novedad del Capítulo IX— comercio de vehículos.
• —Activos virtuales (num. 9.5.7): recibir aportes en activos virtuales desde 12.323 UVB, o realizar operaciones para terceros desde 12.323 UVB teniendo además ingresos desde 369.676 UVB o activos desde 616.127 UVB, activa el Sistema completo con debida diligencia intensificada.
• —Régimen de Medidas Mínimas (num. 9.6): diez sectores por CIIU —las cuatro APNFD, vehículos, cámaras de comercio, farmacéutico, construcción, manufacturero y minero-energético— con ingresos desde 369.676 UVB (≈ $4.477 millones) o activos desde 616.127 UVB (≈ $7.461 millones), sin exigir vigilancia; responde el representante legal.

Además, la Supersociedades puede ordenar en cualquier tiempo a cualquier persona jurídica supervisada que implemente el Sistema (num. 9.26.1). El detalle de umbrales, sectores y casos de frontera está en quién está obligado al SAGRILAFT, y puedes clasificar tu empresa en minutos con el clasificador de régimen gratuito.

La Circular Externa 100-000020 del 2 de julio de 2026 derogó la Circular Externa 100-000016 de 2020 (el antiguo Capítulo X del SAGRILAFT) y fusionó SAGRILAFT y PTEE en el Capítulo IX. Quien ya era obligado debe ajustar su sistema a más tardar el 31 de mayo de 2027 — la circular lo fija como «el año siguiente al de la expedición» — y mientras tanto los sistemas ya implementados «se entenderán válidos para efectos del cumplimiento normativo» (num. 9.29). Quien adquiera la calidad de obligado por primera vez desde el 31 de diciembre de 2026 debe tener el sistema operando a más tardar el 31 de mayo del año siguiente (num. 9.28). Caer por debajo del umbral no libera de inmediato: quien al 31 de diciembre de un año «dejare de cumplir con los requisitos previstos en el ámbito de aplicación» cumple un «periodo mínimo de permanencia adicional» de «dos (2) años a partir de dicha fecha» si estaba en el Sistema completo y de «un (1) año a partir de dicha fecha» si estaba en el Régimen de Medidas Mínimas, «de modo que seguirá estando obligada en los términos del presente Capítulo» (num. 9.30).

¿Qué diferencia hay entre el Sistema completo y el de Medidas Mínimas?

El Capítulo IX no exige lo mismo a todos: el Sistema completo (lo que antes se llamaba Régimen Pleno) pide un sistema completo con oficial de cumplimiento, mientras el Régimen de Medidas Mínimas concentra la carga en verificar contrapartes bajo responsabilidad del representante legal.

La comparación a fondo, con lo que cada régimen te exige en la práctica, está en Sistema completo vs. Medidas Mínimas.

¿Cómo implementar el SAGRILAFT paso a paso?

Implementar SAGRILAFT no es redactar un documento: es dejar operando ocho piezas que se alimentan entre sí. Este es el orden que funciona:

• —Paso 1 — Aprueba la política LA/FT/FP y C/ST en junta: el máximo órgano social debe aprobar la política del sistema; sin ese acto formal, el resto no tiene soporte de gobierno corporativo.
• —Paso 2 — Designa al oficial de cumplimiento: persona natural designada por la junta —con los requisitos del numeral 9.9: título profesional, experiencia y domicilio en Colombia— e informa la designación a la Supersociedades.
• —Paso 3 — Construye la matriz de riesgo: califica el riesgo LA/FT por los cuatro factores del Capítulo IX (num. 9.14) — contraparte, producto o servicio, canal y jurisdicción.
• —Paso 4 — Aplica debida diligencia a tus contrapartes: conoce a cada una y llega hasta su beneficiario final con el umbral del 5%; si hay un PEP, aplica debida diligencia intensificada con aprobación de la alta gerencia (num. 9.17) y verificación del oficial.
• —Paso 5 — Consulta las listas restrictivas de forma permanente: la lista consolidada de la ONU es vinculante en Colombia (Ley 1121 de 2006), y si sobre la persona listada se identifica algún bien, activo, fondo o derecho, el Capítulo IX obliga a reportarlo de inmediato a la UIAF y a ponerlo en conocimiento de la Fiscalía (num. 9.15); y por el art. 20 de la Ley 1121 de 2006 basta conocer de la presencia o tránsito de la persona listada, o de bienes o fondos relacionados con ella, para tener que informar oportunamente a la UIAF — son dos deberes distintos y el segundo no exige activo identificado; el mercado consulta además la lista Clinton (OFAC), la de la Unión Europea, el Banco Mundial y el BID.
• —Paso 6 — Reporta a la UIAF vía SIREL: ROS inmediato ante operación sospechosa y AROS trimestral dentro de los 10 días calendario siguientes al corte.
• —Paso 7 — Capacita a tu equipo cada año: todos deben saber detectar y escalar señales de alerta, con constancia de cada jornada.
• —Paso 8 — Arma el expediente auditable: actas, matriz, soportes de diligencia, constancias de consulta en listas y reportes — la evidencia de que el sistema opera de verdad.

¿Quién debe ser el oficial de cumplimiento del SAGRILAFT?

En el Sistema completo, el oficial de cumplimiento es una persona natural designada por la junta directiva o el máximo órgano social, de quien depende directamente. El Capítulo IX (num. 9.9) exige título profesional, experiencia mínima de un año en gestión de riesgos LA/FT/FP y C/ST, formación acreditada (especialización, maestría o diplomado de al menos 90 horas), actualización cada tres años y domicilio en Colombia, y le prohíbe fungir como oficial en más de diez sujetos obligados salvo grupo empresarial o control declarado. Es quien verifica que la debida diligencia —incluida la intensificada de los PEP, que aprueba la alta gerencia (num. 9.17)— se cumpla, y quien responde por que el sistema funcione — las multas también pueden recaer sobre él personalmente. En Medidas Mínimas no se exige oficial: responde el representante legal (num. 9.21.4). Y con la fusión del PTEE ya no hay dos oficiales: uno solo lleva los riesgos LA/FT/FP y los de corrupción y soborno transnacional. Los requisitos, funciones y riesgos personales del cargo están en oficial de cumplimiento SAGRILAFT.

¿Cómo se construye la matriz de riesgo LA/FT?

La matriz es el corazón técnico del sistema: el Capítulo IX exige medir el riesgo por cuatro factores — contraparte, producto o servicio, canal y jurisdicción — y usar ese resultado para graduar la debida diligencia de cada tercero. Un PEP, por ejemplo, fuerza debida diligencia intensificada sin importar cómo puntúen los demás factores. La metodología completa, factor por factor, está en la matriz de riesgo LA/FT.

¿Qué sanciones arriesga tu empresa por incumplir el SAGRILAFT?

La base sancionatoria es el numeral 3 del artículo 86 de la Ley 222 de 1995: multas de hasta 200 SMLMV, sucesivas o no, contra la empresa obligada, sus administradores, su revisor fiscal o su oficial de cumplimiento. Y hay un detalle que multiplica el riesgo: en la práctica, la Supersociedades aplica ese tope por cada cargo formulado, no por expediente. Desde el Capítulo IX la tasación de la multa se hace en UVB vigente al momento de sancionar (num. 9.27).

• —Real S.A.S. (Resolución 2024-01-576436): cuatro multas de $50 millones cada una — $200 millones en total — por operar sin los elementos y etapas del SAGRILAFT, sin debida diligencia sistemática y sin reportes ROS/AROS a la UIAF.
• —Promotora Equilátero S.A.S. (Resolución 2024-01-111863): $112 millones en cuatro multas, con atenuante por aceptar los cargos antes del decreto de pruebas.
• —La Supersociedades mantiene un repositorio oficial con más de 50 resoluciones sancionatorias SAGRILAFT y PTEE entre 2023 y 2025 — el incumplimiento se está sancionando de verdad.

Desde el 1 de enero de 2024 las multas se liquidan en pesos con equivalencia en UVB (Ley 2294 de 2023, art. 313). A la multa se suman órdenes accesorias incómodas: el representante legal debe leer la resolución sancionatoria ante la junta o el máximo órgano social, con constancia en acta. El análisis completo de la práctica sancionatoria está en sanciones del SAGRILAFT.

¿Cuáles son los errores más comunes al implementar el SAGRILAFT?

• —Comprar un manual genérico y archivarlo. Real S.A.S. fue multada por operar sin las etapas del sistema: para la Supersociedades, un documento sin operación es incumplimiento. Antes de redactar, revisa qué debe tener el manual.
• —Consultar las listas una sola vez. El Capítulo IX exige consulta permanente (num. 9.15): las listas cambian, y una contraparte limpia hoy puede aparecer sancionada mañana.
• —Omitir el AROS. El reporte de ausencia de operaciones sospechosas es trimestral, y su omisión fue uno de los cargos sancionados en los casos de 2024.
• —Quedarse en la persona jurídica. La debida diligencia llega hasta el beneficiario final con el umbral del 5%; sin ese paso, el conocimiento del tercero queda incompleto.
• —Copiar formatos del sector financiero. El SARLAFT de la Superfinanciera es otro régimen (SARLAFT vs. SAGRILAFT): adapta tu formulario de conocimiento a la realidad de tu empresa.
• —No dejar evidencia. Sin expediente auditable no puedes demostrar ante una visita de la Supersociedades que el sistema opera.

Preguntas frecuentes