SAGRILAFT para firmas de abogados: guía del CIIU 6910

Hay una ironía que muchas firmas descubren tarde: la oficina que asesora a sus clientes en cumplimiento también es sujeto obligado. Los estándares del GAFI tratan al abogado como "gatekeeper" del sistema financiero — quien estructura sociedades, fiducias y transacciones puede, sin quererlo, abrirle la puerta al lavado de activos. El sistema que el mercado conoce como SAGRILAFT es hoy el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST del Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades (CE 100-000020 de 2026), que incluye a los servicios jurídicos entre sus sectores designados, con umbrales más bajos que la regla general. Asesorar a otros no exime de cumplir: lo exige con más razón.

¿Qué es el SAGRILAFT hoy y por qué le aplica a tu sector?

El sistema que el mercado conoce como SAGRILAFT es hoy el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST — Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades (Circular Externa 100-000020 del 2 de julio de 2026), que derogó la Circular Externa 100-000016 de 2020 y su Capítulo X. No es un requisito exclusivo de bancos: la obligación depende de tu tamaño (en UVB), de tu actividad (CIIU) y de quién te supervisa. La guía completa del SAGRILAFT cubre el sistema de punta a punta; esta página aterriza la obligación y los riesgos a tu sector. Y ya no hay que elegir entre SAGRILAFT y PTEE: la corrupción y el soborno transnacional se gestionan dentro del mismo Sistema.

¿Qué firmas y oficinas de abogados están obligadas?

Por ser sector designado (CIIU 6910, num. 9.5.3), tu firma queda en el Sistema completo (lo que antes se llamaba Régimen Pleno) desde 3.696.762 UVB (≈ $44.768 millones con la UVB 2026) de ingresos totales o activos totales al 31 de diciembre del año anterior — con vigilancia o control de la Superintendencia — no desde el umbral de la regla general. Basta superar uno de los dos criterios. Y como actividad APNFD, aplica además el Régimen de Medidas Mínimas (num. 9.6.3) desde ingresos de 369.676 UVB o activos de 616.127 UVB, sin exigir vigilancia: una oficina mediana de abogados puede estar obligada sin saberlo. Revisa quién está obligado a SAGRILAFT y las diferencias entre Sistema completo y Medidas Mínimas.

Ten presente que la Superintendencia de Sociedades puede ordenar la implementación a cualquier sociedad supervisada en cualquier momento, sin importar los umbrales. Si quieres salir de la duda con tus cifras reales, usa el clasificador de régimen SAGRILAFT: en dos minutos sabes si tu firma está obligada y bajo qué régimen.

En todos los escenarios basta superar uno de los dos criterios — ingresos totales o activos totales — «con corte al 31 de diciembre del año inmediatamente anterior», y «iguales o superiores a» incluye el valor exacto. El régimen general (num. 9.4) y los sectores designados (num. 9.5) exigen, además del umbral, estar bajo vigilancia o control de la Superintendencia de Sociedades — la simple inspección no basta — y no estar vigilado por otra entidad con régimen especial. El Régimen de Medidas Mínimas (num. 9.6) no exige vigilancia: basta el código CIIU y el umbral. Los umbrales del Capítulo IX están en UVB (Unidad de Valor Básico, art. 313 de la Ley 2294 de 2023), no en salarios mínimos. La UVB 2026 vale $12.110 (Resolución 3488 del 31 de diciembre de 2025 del Ministerio de Hacienda) y rige hasta el 31 de diciembre de 2026: los pesos de esta página son referenciales y la norma manda en UVB. La circular no dice qué UVB anual usar para medir cifras con corte al 31 de diciembre; entre la del año del corte y la del año en curso hay una diferencia del 4,83 % — en esa franja, concepto del oficial de cumplimiento. El detalle completo de umbrales y sectores está en quién está obligado al SAGRILAFT.

Ningún umbral blinda del todo: la Superintendencia puede ordenar «en cualquier tiempo» a cualquier persona jurídica supervisada que no sea sujeto obligado que implemente el Sistema (num. 9.26.1).

¿Cuáles son los riesgos LA/FT típicos del sector?

La matriz de riesgo de tu empresa no se parece a la de ningún otro sector: estas son las tipologías y señales de alerta que los documentos públicos de tipologías de la UIAF y los estándares del GAFI han descrito para tu actividad. Úsalas como insumo de tu matriz de riesgo LA/FT — no como lista exhaustiva.

Estructuración de sociedades y fiducias que ocultan al beneficiario final

Es la tipología clásica del abogado como gatekeeper según los estándares del GAFI: el cliente pide constituir cadenas de sociedades, encargos fiduciarios o vehículos con accionistas de fachada cuyo efecto práctico es esconder quién controla realmente el dinero. Señales de alerta: urgencia injustificada, estructuras innecesariamente complejas para el negocio declarado, y renuencia a revelar al beneficiario final. La debida diligencia del Sistema completo exige identificarlo hasta el umbral del 5% — y tu firma responde por hacerlo.

Cuentas de la firma y anticipos usados para canalizar fondos de terceros

Cuando el cliente consigna anticipos u honorarios en las cuentas de la firma y luego pide devoluciones, pagos a terceros o transferencias que no corresponden a servicios jurídicos reales, la oficina se convierte en un canal de paso de dinero. Señales de alerta: depósitos que exceden con creces el valor del encargo, solicitudes de reembolso a cuentas distintas de la de origen, y operaciones donde la firma actúa más como intermediario de pagos que como asesor legal.

Honorarios desproporcionados o pagados por terceros sin relación con el cliente

Honorarios muy superiores al valor de mercado del encargo, pagados en efectivo, o asumidos por un tercero que no tiene relación aparente con el cliente ni con el asunto, son señales típicas en los documentos de tipologías de la UIAF. También lo es el cliente que acepta cualquier tarifa sin negociar. La matriz de riesgo LA/FT de tu firma debe ponderar quién paga, cómo paga y si el monto guarda proporción con el servicio.

El secreto profesional mal entendido como escudo frente a la debida diligencia

El secreto profesional protege la defensa del cliente; no exime a la firma de conocerlo antes de aceptarlo. Invocarlo para no verificar identidad, origen de fondos o calidad de PEP es un error conceptual que los supervisores no aceptan: la debida diligencia ocurre al inicio y durante la relación, no sobre la estrategia de defensa. Verifica a tus clientes en listas restrictivas — la lista ONU es vinculante en Colombia, y son dos los deberes que se activan: identificar un bien o derecho de la persona listada obliga a reportarlo de inmediato a la UIAF y a ponerlo en conocimiento de la Fiscalía (num. 9.15), y el solo conocimiento de su presencia o tránsito obliga a informar oportunamente a la UIAF (art. 20 de la Ley 1121 de 2006).

¿Cuáles son los errores más comunes al implementar?

• —Creer que asesorar en cumplimiento exime de cumplir. La firma que implementa SAGRILAFT para sus clientes también debe implementarlo para sí misma si supera los umbrales del sector designado: el supervisor no distingue entre asesor y asesorado.
• —Medirse contra el umbral general. Los servicios jurídicos son sector designado: el Sistema completo arranca en 3.696.762 UVB (≈ $44.768 millones) y las Medidas Mínimas desde ingresos de 369.676 UVB o activos de 616.127 UVB. Muchas firmas medianas ya están obligadas.
• —No documentar la debida diligencia de los clientes. Conocer al cliente "de toda la vida" no reemplaza el expediente auditable: identificación, beneficiario final, origen de fondos y consulta de listas deben quedar registrados y actualizados.
• —Tratar la consulta de listas como un trámite de una sola vez. El Capítulo IX exige consulta permanente: el cliente que entró limpio puede aparecer sancionado después, y la firma debe detectarlo mientras la relación esté vigente.

¿Qué sanciones arriesga tu empresa si incumple?

La base sancionatoria no cambió: multas «hasta por doscientos (200) SMLMV», sucesivas o no (art. 86, num. 3, Ley 222 de 1995; num. 9.3.2), contra la empresa, sus administradores, el oficial de cumplimiento y el revisor fiscal — con la tasación hecha en UVB vigente al momento de sancionar. Que ese tope se aplique por cada cargo formulado no está en la circular: es la práctica sancionatoria que muestran las resoluciones de 2024. La práctica sancionatoria reciente — con casos y montos reales — está en sanciones del SAGRILAFT.

Y hay un costo que suele doler más que la multa: bancos que cierran productos por riesgo LA/FT, fiduciarias que no vinculan y contratantes que excluyen al proponente que no acredita su sistema. El costo real del incumplimiento es comercial antes que administrativo.

¿Cómo implementar el Sistema en tu empresa?

La implementación seria son ocho piezas operando — política aprobada en junta, oficial de cumplimiento, matriz de riesgo, debida diligencia con beneficiario final, consulta de listas restrictivas, reportes a la UIAF, capacitación y expediente auditable — más las políticas antisoborno del numeral 9.7.2 que el Capítulo IX heredó del PTEE. El paso a paso completo está en la guía de implementación del SAGRILAFT, y puedes empezar hoy mismo con la consulta de listas gratuita.

El PTEE (Programa de Transparencia y Ética Empresarial, antiguo Capítulo XIII) se fusionó en el Capítulo IX: la gestión de la corrupción local y el soborno transnacional (riesgos C/ST) y las políticas antisoborno del numeral 9.7.2 —regalos, viáticos, contribuciones políticas, donaciones, lobby y contratación estatal— son hoy parte del mismo Sistema. Sus disparadores propios —negocios internacionales y contratos estatales por ciertos montos— desaparecieron como criterio de sujeción: en el Capítulo IX solo aparecen como factor de riesgo a analizar, nunca como umbral. Hoy la sujeción depende exclusivamente de tamaño (UVB) y sector (CIIU).

La Circular Externa 100-000020 del 2 de julio de 2026 derogó la Circular Externa 100-000016 de 2020 (el antiguo Capítulo X del SAGRILAFT) y fusionó SAGRILAFT y PTEE en el Capítulo IX. Quien ya era obligado debe ajustar su sistema a más tardar el 31 de mayo de 2027 — la circular lo fija como «el año siguiente al de la expedición» — y mientras tanto los sistemas ya implementados «se entenderán válidos para efectos del cumplimiento normativo» (num. 9.29). Quien adquiera la calidad de obligado por primera vez desde el 31 de diciembre de 2026 debe tener el sistema operando a más tardar el 31 de mayo del año siguiente (num. 9.28). Caer por debajo del umbral no libera de inmediato: quien al 31 de diciembre de un año «dejare de cumplir con los requisitos previstos en el ámbito de aplicación» cumple un «periodo mínimo de permanencia adicional» de «dos (2) años a partir de dicha fecha» si estaba en el Sistema completo y de «un (1) año a partir de dicha fecha» si estaba en el Régimen de Medidas Mínimas, «de modo que seguirá estando obligada en los términos del presente Capítulo» (num. 9.30).

Preguntas frecuentes

Guías de otros sectores