SAGRILAFT para empresas de tecnología y software en Colombia

El software es intangible: nadie puede «pesar» un desarrollo, una licencia o una consultoría, y esa dificultad para valorar el entregable convierte al sector en un canal atractivo para dar apariencia de legalidad a dinero ilícito. Súmale pagos internacionales constantes y el auge de los criptoactivos —que los estándares del GAFI vigilan de cerca— y entenderás por qué la Supersociedades mira con atención a las empresas de tecnología. Si aún no dominas el sistema, empieza por qué es SAGRILAFT.

¿Qué es el SAGRILAFT hoy y por qué le aplica a tu sector?

El sistema que el mercado conoce como SAGRILAFT es hoy el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST — Capítulo IX de la Circular Básica Jurídica de la Superintendencia de Sociedades (Circular Externa 100-000020 del 2 de julio de 2026), que derogó la Circular Externa 100-000016 de 2020 y su Capítulo X. No es un requisito exclusivo de bancos: la obligación depende de tu tamaño (en UVB), de tu actividad (CIIU) y de quién te supervisa. La guía completa del SAGRILAFT cubre el sistema de punta a punta; esta página aterriza la obligación y los riesgos a tu sector. Y ya no hay que elegir entre SAGRILAFT y PTEE: la corrupción y el soborno transnacional se gestionan dentro del mismo Sistema.

¿Qué empresas de tecnología y software están obligadas?

El desarrollo de software y los servicios de tecnología (CIIU J62–J63) no están en la lista de sectores designados del Capítulo IX, así que tu empresa se mide con la regla general (num. 9.4): si al 31 de diciembre del año anterior, bajo vigilancia o control de Supersociedades, registró ingresos totales o activos totales iguales o superiores a 4.929.017 UVB (≈ $59.690 millones con la UVB 2026) —basta uno de los dos—, debe implementar el Sistema completo (lo que antes se llamaba Régimen Pleno) de SAGRILAFT. Revisa los criterios completos en quién está obligado o resuélvelo en dos minutos con el clasificador de régimen. Y recuerda: la Supersociedades puede ordenarle la implementación a cualquier sociedad supervisada en cualquier momento, sin importar su tamaño.

La excepción cambia todo si tocas activos virtuales. El num. 9.5.7 del Capítulo IX obliga al Sistema completo con debida diligencia intensificada a quien reciba aportes de terceros por 12.323 UVB (≈ $149 millones) o más, o a quien realice operaciones para terceros —custodia, intercambio o transferencia de activos virtuales, lo que el estándar internacional llama VASP— por ese mismo monto teniendo además ingresos de 369.676 UVB o activos de 616.127 UVB. Sin exigir vigilancia: basta el supuesto. Por eso muchas startups fintech y cripto quedan obligadas al sistema completo siendo todavía pequeñas. Si es tu caso, compara qué implica cada nivel en Régimen Pleno vs. Medidas Mínimas.

En todos los escenarios basta superar uno de los dos criterios — ingresos totales o activos totales — «con corte al 31 de diciembre del año inmediatamente anterior», y «iguales o superiores a» incluye el valor exacto. El régimen general (num. 9.4) y los sectores designados (num. 9.5) exigen, además del umbral, estar bajo vigilancia o control de la Superintendencia de Sociedades — la simple inspección no basta — y no estar vigilado por otra entidad con régimen especial. El Régimen de Medidas Mínimas (num. 9.6) no exige vigilancia: basta el código CIIU y el umbral. Los umbrales del Capítulo IX están en UVB (Unidad de Valor Básico, art. 313 de la Ley 2294 de 2023), no en salarios mínimos. La UVB 2026 vale $12.110 (Resolución 3488 del 31 de diciembre de 2025 del Ministerio de Hacienda) y rige hasta el 31 de diciembre de 2026: los pesos de esta página son referenciales y la norma manda en UVB. La circular no dice qué UVB anual usar para medir cifras con corte al 31 de diciembre; entre la del año del corte y la del año en curso hay una diferencia del 4,83 % — en esa franja, concepto del oficial de cumplimiento. El detalle completo de umbrales y sectores está en quién está obligado al SAGRILAFT.

Ningún umbral blinda del todo: la Superintendencia puede ordenar «en cualquier tiempo» a cualquier persona jurídica supervisada que no sea sujeto obligado que implemente el Sistema (num. 9.26.1).

¿Cuáles son los riesgos LA/FT típicos del sector?

La matriz de riesgo de tu empresa no se parece a la de ningún otro sector: estas son las tipologías y señales de alerta que los documentos públicos de tipologías de la UIAF y los estándares del GAFI han descrito para tu actividad. Úsalas como insumo de tu matriz de riesgo LA/FT — no como lista exhaustiva.

Sobrefacturación de servicios intangibles

Nadie puede «pesar» un desarrollo a la medida, una licencia o una consultoría: el precio es el que las partes pacten, y esa opacidad permite inflar facturas para justificar dinero ilícito. Señales de alerta: contratos con objeto vago y sin entregables verificables, tarifas muy por encima del mercado que el cliente acepta sin negociar, facturación recurrente por «soporte» que nadie usa y clientes sin presencia real que pagan de inmediato. Este factor producto/servicio debe quedar calificado en tu matriz de riesgo LA/FT.

Pagos internacionales como canal de salida de divisas

Los pagos al exterior por licencias, regalías o servicios de desarrollo son moneda corriente en el sector, y por eso mismo sirven para sacar divisas con apariencia de legalidad. Los documentos de tipologías de la UIAF describen esquemas de facturación de servicios ficticios entre empresas vinculadas. Sospecha de contratos con proveedores del exterior sin capacidad técnica demostrable, pagos a jurisdicciones que no guardan relación con la operación, precios que no resisten una comparación de mercado y urgencia inusual por girar. Documenta el sustento económico de cada contrato transfronterizo.

Clientes fachada con suscripciones SaaS sin uso

Una empresa de papel puede pagar suscripciones de software durante meses solo para generar soporte contable de gastos: el dinero sale limpio y el «servicio» nunca se usa. Señales de alerta: cuentas que contratan planes altos y no registran usuarios activos ni inicios de sesión, pagos hechos por terceros distintos del titular del contrato, clientes que nunca reclaman ni piden soporte y renovaciones automáticas sin ninguna interacción. Antes de celebrar el contrato, verifica a la contraparte y a su beneficiario final en la consulta de listas restrictivas.

Criptoactivos que mueven valor por fuera del sistema financiero

Los criptoactivos permiten transferir valor sin pasar por bancos ni controles cambiarios, y los estándares del GAFI llevan años advirtiendo sobre su uso para lavar activos. Presta atención a clientes que insisten en pagar en cripto sin una razón de negocio clara, billeteras sin historial trazable, conversiones inmediatas a moneda fiduciaria tras cada pago y contrapartes que aparecen en listas restrictivas. Si tu producto además custodia o intercambia criptoactivos, el riesgo deja de ser una señal y se convierte en tu operación misma: trátalo como VASP.

¿Cuáles son los errores más comunes al implementar?

• —Asumir que la tecnología está exenta. El Capítulo IX no excluye a ningún sector: si tus ingresos o activos alcanzan 4.929.017 UVB al 31 de diciembre, el Sistema completo te aplica como a cualquier empresa.
• —Ignorar el umbral de activos virtuales. Lanzar funciones de custodia, intercambio o transferencia de criptoactivos sin advertir que el num. 9.5.7 activa la obligación desde 12.323 UVB en aportes u operaciones, con Sistema completo directo y debida diligencia intensificada.
• —Medirse solo por ingresos. La obligación se activa por ingresos totales o por activos totales, basta uno de los dos; una startup con poca facturación pero balance robusto puede quedar obligada.
• —Activar clientes en autoservicio sin debida diligencia. El autoservicio del SaaS no exime de conocer a la contraparte: sin verificación de identidad, beneficiario final y listas, las multas pueden llegar a 200 SMLMV por cada cargo.

¿Qué sanciones arriesga tu empresa si incumple?

La base sancionatoria no cambió: multas «hasta por doscientos (200) SMLMV», sucesivas o no (art. 86, num. 3, Ley 222 de 1995; num. 9.3.2), contra la empresa, sus administradores, el oficial de cumplimiento y el revisor fiscal — con la tasación hecha en UVB vigente al momento de sancionar. Que ese tope se aplique por cada cargo formulado no está en la circular: es la práctica sancionatoria que muestran las resoluciones de 2024. La práctica sancionatoria reciente — con casos y montos reales — está en sanciones del SAGRILAFT.

Y hay un costo que suele doler más que la multa: bancos que cierran productos por riesgo LA/FT, fiduciarias que no vinculan y contratantes que excluyen al proponente que no acredita su sistema. El costo real del incumplimiento es comercial antes que administrativo.

¿Cómo implementar el Sistema en tu empresa?

La implementación seria son ocho piezas operando — política aprobada en junta, oficial de cumplimiento, matriz de riesgo, debida diligencia con beneficiario final, consulta de listas restrictivas, reportes a la UIAF, capacitación y expediente auditable — más las políticas antisoborno del numeral 9.7.2 que el Capítulo IX heredó del PTEE. El paso a paso completo está en la guía de implementación del SAGRILAFT, y puedes empezar hoy mismo con la consulta de listas gratuita.

El PTEE (Programa de Transparencia y Ética Empresarial, antiguo Capítulo XIII) se fusionó en el Capítulo IX: la gestión de la corrupción local y el soborno transnacional (riesgos C/ST) y las políticas antisoborno del numeral 9.7.2 —regalos, viáticos, contribuciones políticas, donaciones, lobby y contratación estatal— son hoy parte del mismo Sistema. Sus disparadores propios —negocios internacionales y contratos estatales por ciertos montos— desaparecieron como criterio de sujeción: en el Capítulo IX solo aparecen como factor de riesgo a analizar, nunca como umbral. Hoy la sujeción depende exclusivamente de tamaño (UVB) y sector (CIIU).

La Circular Externa 100-000020 del 2 de julio de 2026 derogó la Circular Externa 100-000016 de 2020 (el antiguo Capítulo X del SAGRILAFT) y fusionó SAGRILAFT y PTEE en el Capítulo IX. Quien ya era obligado debe ajustar su sistema a más tardar el 31 de mayo de 2027 — la circular lo fija como «el año siguiente al de la expedición» — y mientras tanto los sistemas ya implementados «se entenderán válidos para efectos del cumplimiento normativo» (num. 9.29). Quien adquiera la calidad de obligado por primera vez desde el 31 de diciembre de 2026 debe tener el sistema operando a más tardar el 31 de mayo del año siguiente (num. 9.28). Caer por debajo del umbral no libera de inmediato: quien al 31 de diciembre de un año «dejare de cumplir con los requisitos previstos en el ámbito de aplicación» cumple un «periodo mínimo de permanencia adicional» de «dos (2) años a partir de dicha fecha» si estaba en el Sistema completo y de «un (1) año a partir de dicha fecha» si estaba en el Régimen de Medidas Mínimas, «de modo que seguirá estando obligada en los términos del presente Capítulo» (num. 9.30).

Preguntas frecuentes

Guías de otros sectores