SAGRILAFT para firmas contables y de auditoría (CIIU 6920)

El estándar internacional considera al contador un "gatekeeper": un profesional cuya firma da apariencia de orden y licitud a las cifras de terceros, y por eso los estándares del GAFI lo incluyen entre las actividades y profesiones no financieras designadas (APNFD). El sistema que el mercado conoce como SAGRILAFT es hoy el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST del Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades (CE 100-000020 de 2026), que trata los servicios contables (CIIU 6920) como sector designado, con umbrales más bajos que la regla general.

¿Qué es el SAGRILAFT hoy y por qué le aplica a tu sector?

El sistema que el mercado conoce como SAGRILAFT es hoy el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST — Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades (Circular Externa 100-000020 del 2 de julio de 2026), que derogó la Circular Externa 100-000016 de 2020 y su Capítulo X. No es un requisito exclusivo de bancos: la obligación depende de tu tamaño (en UVB), de tu actividad (CIIU) y de quién te supervisa. La guía completa del SAGRILAFT cubre el sistema de punta a punta; esta página aterriza la obligación y los riesgos a tu sector. Y ya no hay que elegir entre SAGRILAFT y PTEE: la corrupción y el soborno transnacional se gestionan dentro del mismo Sistema.

¿Qué firmas contables y de auditoría están obligadas?

Por ser sector designado (num. 9.5.4), tu firma contable queda en el Sistema completo desde 3.696.762 UVB (≈ $44.768 millones con la UVB 2026) de ingresos totales o activos totales al 31 de diciembre del año anterior (basta uno de los dos), con vigilancia o control de la Superintendencia — no desde el umbral de la regla general. Y si tuviste ingresos de 369.676 UVB o más, o activos de 616.127 UVB o más, aplicas el Régimen de Medidas Mínimas (num. 9.6.4) como APNFD, sin exigir vigilancia, donde responde el representante legal sin necesidad de oficial de cumplimiento. Revisa la guía de quién está obligado y las diferencias entre Sistema completo y Medidas Mínimas.

Además, la Superintendencia puede ordenar la implementación a cualquier sociedad supervisada en cualquier momento, sin importar umbrales. Para salir de la duda con tus cifras reales, usa el clasificador de régimen SAGRILAFT: en dos minutos sabes si estás en el Sistema completo, en Medidas Mínimas o por fuera.

En todos los escenarios basta superar uno de los dos criterios — ingresos totales o activos totales — «con corte al 31 de diciembre del año inmediatamente anterior», y «iguales o superiores a» incluye el valor exacto. El régimen general (num. 9.4) y los sectores designados (num. 9.5) exigen, además del umbral, estar bajo vigilancia o control de la Superintendencia de Sociedades — la simple inspección no basta — y no estar vigilado por otra entidad con régimen especial. El Régimen de Medidas Mínimas (num. 9.6) no exige vigilancia: basta el código CIIU y el umbral. Los umbrales del Capítulo IX están en UVB (Unidad de Valor Básico, art. 313 de la Ley 2294 de 2023), no en salarios mínimos. La UVB 2026 vale $12.110 (Resolución 3488 del 31 de diciembre de 2025 del Ministerio de Hacienda) y rige hasta el 31 de diciembre de 2026: los pesos de esta página son referenciales y la norma manda en UVB. La circular no dice qué UVB anual usar para medir cifras con corte al 31 de diciembre; entre la del año del corte y la del año en curso hay una diferencia del 4,83 % — en esa franja, concepto del oficial de cumplimiento. El detalle completo de umbrales y sectores está en quién está obligado al SAGRILAFT.

Ningún umbral blinda del todo: la Superintendencia puede ordenar «en cualquier tiempo» a cualquier persona jurídica supervisada que no sea sujeto obligado que implemente el Sistema (num. 9.26.1).

¿Cuáles son los riesgos LA/FT típicos del sector?

La matriz de riesgo de tu empresa no se parece a la de ningún otro sector: estas son las tipologías y señales de alerta que los documentos públicos de tipologías de la UIAF y los estándares del GAFI han descrito para tu actividad. Úsalas como insumo de tu matriz de riesgo LA/FT — no como lista exhaustiva.

Estados financieros que visten ingresos no explicables

Es la tipología clásica del gatekeeper: el cliente necesita que sus cifras "cierren" para justificar un flujo de dinero que no corresponde a su operación real. Señales de alerta: ingresos que crecen sin relación con la capacidad instalada, márgenes atípicos frente al sector, ventas concentradas en pocos clientes que nadie de la empresa sabe explicar, o presión para registrar operaciones sin soporte suficiente. Una firma contable que estampa su nombre en esos estados financieros les da apariencia de licitud — exactamente lo que describen los documentos de tipologías de la UIAF.

Facturación falsa y proveedores de papel en la contabilidad del cliente

Al llevar la contabilidad, tu firma es la primera que puede detectar facturación de proveedores que no existen: facturas de servicios genéricos sin entregables verificables, proveedores recién constituidos que concentran compras grandes, direcciones o teléfonos repetidos entre "empresas" distintas, pagos que regresan al mismo grupo económico. Detectarlo y documentarlo es parte de tu debida diligencia; ignorarlo convierte a la firma en el eslabón que legitima el esquema. La matriz de riesgo LA/FT te obliga a calificar este factor de producto/servicio.

Clientes con doble contabilidad o resistencia a soportar operaciones

Un cliente que maneja registros paralelos, que entrega la información a cuentagotas, que cambia de contador con frecuencia o que se molesta cuando pides soportes es una señal de alerta en sí mismo. También lo es el que quiere pagar honorarios altos en efectivo o el que llega referido sin que nadie pueda explicar su actividad económica. La debida diligencia del Capítulo IX exige conocer al cliente antes de aceptar el encargo, incluida la identificación de su beneficiario final con umbral del 5%.

Uso de la firma para constituir o administrar sociedades de fachada

Muchas firmas contables ofrecen servicios de constitución de sociedades, domiciliación o administración. Ese portafolio es atractivo para quien necesita vehículos de papel: sociedades sin empleados ni operación real, con objeto social genérico, cuyo beneficiario final se esconde detrás de testaferros o estructuras en el exterior. Si el verdadero dueño resulta ser una persona expuesta políticamente, el Capítulo IX exige debida diligencia intensificada. Presta atención a quien pide la sociedad "ya" y evita responder quién está detrás.

¿Cuáles son los errores más comunes al implementar?

• —Creer que el sistema es solo para los clientes grandes. El riesgo no está en el tamaño del cliente sino en su perfil: una sociedad pequeña de fachada expone más a tu firma que una multinacional auditada.
• —Confundir la revisoría fiscal con el SAGRILAFT propio. Una cosa son los deberes del revisor fiscal frente a terceros y otra el sistema que tu firma debe implementar como empresa obligada. Son responsabilidades paralelas, no intercambiables.
• —Aceptar encargos sin debida diligencia previa. Firmar primero y conocer al cliente después invierte el orden del Capítulo IX: la verificación en listas restrictivas y el conocimiento del beneficiario final van antes de aceptar.
• —No documentar las señales de alerta que se detectaron. Si viste la factura de papel y no dejaste rastro de tu análisis ni del reporte, ante el supervisor es como si hubieras mirado hacia otro lado. El expediente auditable es tu defensa.

¿Qué sanciones arriesga tu empresa si incumple?

La base sancionatoria no cambió: multas «hasta por doscientos (200) SMLMV», sucesivas o no (art. 86, num. 3, Ley 222 de 1995; num. 9.3.2), contra la empresa, sus administradores, el oficial de cumplimiento y el revisor fiscal — con la tasación hecha en UVB vigente al momento de sancionar. Que ese tope se aplique por cada cargo formulado no está en la circular: es la práctica sancionatoria que muestran las resoluciones de 2024. La práctica sancionatoria reciente — con casos y montos reales — está en sanciones del SAGRILAFT.

Y hay un costo que suele doler más que la multa: bancos que cierran productos por riesgo LA/FT, fiduciarias que no vinculan y contratantes que excluyen al proponente que no acredita su sistema. El costo real del incumplimiento es comercial antes que administrativo.

¿Cómo implementar el Sistema en tu empresa?

La implementación seria son ocho piezas operando — política aprobada en junta, oficial de cumplimiento, matriz de riesgo, debida diligencia con beneficiario final, consulta de listas restrictivas, reportes a la UIAF, capacitación y expediente auditable — más las políticas antisoborno del numeral 9.7.2 que el Capítulo IX heredó del PTEE. El paso a paso completo está en la guía de implementación del SAGRILAFT, y puedes empezar hoy mismo con la consulta de listas gratuita.

El PTEE (Programa de Transparencia y Ética Empresarial, antiguo Capítulo XIII) se fusionó en el Capítulo IX: la gestión de la corrupción local y el soborno transnacional (riesgos C/ST) y las políticas antisoborno del numeral 9.7.2 —regalos, viáticos, contribuciones políticas, donaciones, lobby y contratación estatal— son hoy parte del mismo Sistema. Sus disparadores propios —negocios internacionales y contratos estatales por ciertos montos— desaparecieron como criterio de sujeción: en el Capítulo IX solo aparecen como factor de riesgo a analizar, nunca como umbral. Hoy la sujeción depende exclusivamente de tamaño (UVB) y sector (CIIU).

La Circular Externa 100-000020 del 2 de julio de 2026 derogó la Circular Externa 100-000016 de 2020 (el antiguo Capítulo X del SAGRILAFT) y fusionó SAGRILAFT y PTEE en el Capítulo IX. Quien ya era obligado debe ajustar su sistema a más tardar el 31 de mayo de 2027 — la circular lo fija como «el año siguiente al de la expedición» — y mientras tanto los sistemas ya implementados «se entenderán válidos para efectos del cumplimiento normativo» (num. 9.29). Quien adquiera la calidad de obligado por primera vez desde el 31 de diciembre de 2026 debe tener el sistema operando a más tardar el 31 de mayo del año siguiente (num. 9.28). Caer por debajo del umbral no libera de inmediato: quien al 31 de diciembre de un año «dejare de cumplir con los requisitos previstos en el ámbito de aplicación» cumple un «periodo mínimo de permanencia adicional» de «dos (2) años a partir de dicha fecha» si estaba en el Sistema completo y de «un (1) año a partir de dicha fecha» si estaba en el Régimen de Medidas Mínimas, «de modo que seguirá estando obligada en los términos del presente Capítulo» (num. 9.30).

Preguntas frecuentes

Guías de otros sectores