Matriz de riesgo LA/FT: los 4 factores y cómo construirla
Actualizado el 5 de julio de 2026 · 6 min de lectura
Sin matriz de riesgo no hay SAGRILAFT: es la pieza que la Superintendencia de Sociedades espera encontrar cuando pregunta cómo gestionas el riesgo de lavado de activos. Esta guía práctica — para oficiales de cumplimiento, abogados y empresarios de empresas obligadas — explica los 4 factores, cómo calificarlos y cuándo recalificar.
¿Qué es la matriz de riesgo LA/FT?
La matriz de riesgo LA/FT es la herramienta con la que una empresa identifica, mide y califica su exposición al lavado de activos, la financiación del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva, cruzando cuatro factores de riesgo: contraparte, producto o servicio, canal y jurisdicción. En Colombia la exige el Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades (CE 100-000020 de 2026) a las empresas del Sistema completo del SAGRILAFT, como base de las etapas del sistema: identificar, medir, controlar y monitorear el riesgo. Si todavía estás ubicando el marco general, empieza por la guía de qué es el SAGRILAFT y a quién obliga.
No es un formalismo. La Superintendencia ha sancionado a empresas justamente por operar sin los elementos y las etapas del sistema: a Real S.A.S. le impuso cuatro multas de $50 millones — $200 millones en total — por operar sin los elementos del SAGRILAFT, sin procesos sistemáticos de debida diligencia y sin reportar a la UIAF (Resolución 2024-01-576436 de Supersociedades), con base en la facultad de multar hasta 200 SMLMV por cada cargo (numeral 3 del artículo 86 de la Ley 222 de 1995).
¿Cuáles son los 4 factores de riesgo de lavado de activos?
El Capítulo IX ordena construir la matriz sobre cuatro factores (num. 9.14). La lógica: el riesgo LA/FT no vive solo en quién es tu contraparte, sino también en qué le vendes o compras, cómo operan juntos y dónde ocurre la relación.
| Factor | Qué evaluar | Ejemplos de señales de mayor riesgo |
|---|---|---|
| Contraparte | Tipo de persona (natural o jurídica), actividad económica, beneficiario final (umbral del 5%), calidad de PEP y resultado del screening en listas restrictivas | Estructura societaria opaca, beneficiario final difícil de identificar, PEP o familiar de PEP, coincidencia en listas ONU u OFAC, actividad intensiva en efectivo |
| Producto / servicio | Qué se vende o compra, montos, forma de pago y si el bien permite mover o almacenar valor | Pagos en efectivo de alto monto, bienes de fácil reventa como metales y piedras preciosas, servicios de difícil valoración, pagos hechos por terceros distintos de la contraparte |
| Canal | Cómo se vincula y opera la contraparte: presencial, remoto, con o sin intermediarios | Vinculación totalmente no presencial sin verificación de identidad, intermediarios o mandatarios sin justificación de negocio, instrucciones desde cuentas de terceros |
| Jurisdicción | Dónde está constituida y opera la contraparte y por dónde fluyen los pagos | Jurisdicciones no cooperantes o de alto riesgo, países con sanciones de la ONU o de OFAC, triangulación de pagos por países sin relación con el negocio |
¿Cómo se construye la matriz de riesgo SAGRILAFT paso a paso?
La metodología práctica cabe en cinco pasos. El insumo principal es la información que recoges al vincular a cada tercero — por eso el formulario de conocimiento del cliente y la matriz son inseparables.
- —Segmenta cada factor. Agrupa contrapartes por tipo y actividad, productos por características, canales por forma de operación y jurisdicciones por nivel de exposición: la segmentación evita calificar todo con el mismo rasero.
- —Califica el riesgo inherente. Para cada segmento asigna probabilidad e impacto en una escala simple (por ejemplo, bajo / medio / alto), antes de considerar cualquier control.
- —Asocia controles a cada riesgo. Debida diligencia de terceros, verificación en listas restrictivas, identificación del beneficiario final (umbral del 5%), aprobaciones internas y soportes del origen de los fondos.
- —Obtén el riesgo residual y define el tratamiento. Con los controles aplicados, el nivel resultante manda: un riesgo alto exige debida diligencia intensificada y pasa por el oficial de cumplimiento.
- —Documenta cada calificación. Registra quién calificó, cuándo y con qué datos: el Capítulo IX exige un expediente auditable (num. 9.22), y una matriz sin trazabilidad no defiende a nadie en una visita de Supersociedades.
Verifica tus contrapartes en listas restrictivas — gratis
Antes de calificar el factor contraparte, consulta a la persona o empresa contra las listas de la ONU, OFAC, la Unión Europea, el Banco Mundial y el BID.
¿Qué pasa si la contraparte es un PEP?
Una persona expuesta políticamente (PEP) fuerza el resultado de la matriz: el SAGRILAFT ordena aplicarle debida diligencia intensificada, y comenzar o continuar la relación exige la aprobación de la alta gerencia (num. 9.17), con el oficial de cumplimiento verificando el procedimiento. No importa que los otros tres factores den bajo — el factor contraparte no se promedia a la baja cuando hay un PEP.
La cobertura es más amplia de lo que parece: el Capítulo IX remite la definición de PEP al Decreto 1081 de 2015 (modificado por el Decreto 830 de 2021), que extiende el régimen al cónyuge o compañero permanente y a los familiares hasta el segundo grado de consanguinidad, primero de afinidad y primero civil, y la debida diligencia intensificada alcanza también a las personas jurídicas en las que el PEP participa. Y la calidad de PEP no termina con el cargo: se conserva mientras se ejerce y por dos años más desde la desvinculación.
¿Cada cuánto se revisa la matriz de riesgo y cuándo recalificar una contraparte?
La práctica estándar es una revisión integral de la matriz al menos una vez al año, con recalificación inmediata de la contraparte cuando ocurre un evento que cambia su perfil. Los disparadores típicos:
- —Cambio de actividad económica u objeto social de la contraparte.
- —Coincidencia en listas restrictivas. La consulta de listas debe ser permanente, no un chequeo único al vincular; la lista consolidada de la ONU es vinculante en Colombia por la Ley 1121 de 2006, y si sobre la persona listada se identifica algún bien, activo, fondo o derecho, el Capítulo IX obliga a reportarlo de inmediato a la UIAF y a ponerlo en conocimiento de la Fiscalía (num. 9.15); y por el art. 20 de la Ley 1121 de 2006 basta conocer de la presencia o tránsito de la persona listada, o de bienes o fondos relacionados con ella, para tener que informar oportunamente a la UIAF — son dos deberes distintos y el segundo no exige activo identificado, y un hallazgo en la lista OFAC o «lista Clinton» merece la misma seriedad.
- —Cambios en la composición accionaria o en el beneficiario final (recuerda el umbral del 5%).
- —La contraparte — o su beneficiario final — adquiere la calidad de PEP.
- —Operaciones inusuales o intentadas que terminen en un reporte ROS a la UIAF.
La matriz no es un anexo del manual: es el mecanismo que conecta el conocimiento del tercero con los controles y con los reportes. Si está viva — segmentada, calificada, documentada y recalificada a tiempo — el resto del SAGRILAFT se sostiene sobre ella.
Preguntas frecuentes
¿Cuáles son los 4 factores de riesgo LA/FT?
Contraparte, producto o servicio, canal y jurisdicción, según el Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades (el sistema que el mercado conoce como SAGRILAFT).
¿Quién está obligado a tener matriz de riesgo LA/FT en Colombia?
Las empresas del Sistema completo del SAGRILAFT — en general, las vigiladas o controladas por Supersociedades con ingresos o activos desde 4.929.017 UVB, o 3.696.762 UVB en sectores designados, medidos a 31 de diciembre del año anterior —, aunque cualquier empresa puede adoptarla como buena práctica.
¿Qué diferencia hay entre riesgo inherente y riesgo residual?
El inherente es el riesgo del segmento antes de aplicar controles y el residual es el que queda después de aplicarlos; el tratamiento de la contraparte se define con el residual.
¿Un PEP siempre exige debida diligencia intensificada?
Sí: bajo el SAGRILAFT los PEP quedan sujetos a debida diligencia intensificada y comenzar o continuar la relación exige la aprobación de la alta gerencia (num. 9.17).
¿Cada cuánto se actualiza la matriz de riesgo?
Revísala integralmente al menos una vez al año y recalifica de inmediato ante eventos como un cambio de actividad, una coincidencia en listas o la aparición de un PEP.
Deja de administrar esto en Excel
Régimen, matriz, screening en 5 listas y concepto auditable — en una prueba gratis.
Este contenido es informativo y no constituye asesoría legal. Verifica siempre contra las fuentes oficiales y consulta a tu oficial de cumplimiento.