Recursos · Cumplimiento
¿Qué es SAGRILAFT y quién está obligado a implementarlo?
Equipo Kumple · Actualizado: agosto de 2026 · Lectura: 6 minutos
Respuesta corta: SAGRILAFT es el sistema de autocontrol y gestión del riesgo de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas (LA/FT/FPADM) que la Superintendencia de Sociedades exige a las empresas colombianas bajo su supervisión. Están obligadas, en el régimen general, las que al 31 de diciembre del año anterior tuvieron ingresos totales o activos iguales o superiores a 40.000 SMMLV, y — con umbrales menores — las que operan en sectores de mayor exposición como activos virtuales, inmobiliario, metales preciosos o servicios jurídicos y contables.
Si acabas de recibir un requerimiento de la Supersociedades, o tu revisor fiscal te mencionó la palabra por primera vez, esta guía te dice exactamente en qué terreno estás parado.
De dónde sale la obligación
La norma madre es el Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades, modificado por la Circular Externa 100-000016 del 24 de diciembre de 2020. Ese capítulo se llama, con todas sus letras, "Régimen de autocontrol y gestión del riesgo integral LA/FT/FPADM y reporte de operaciones sospechosas a la UIAF".
Dos cosas cambiaron con esa circular y explican por qué tantas empresas quedaron obligadas de un momento a otro:
- El umbral bajó de 160.000 a 40.000 SMMLV. Empresas que durante años estuvieron por fuera del radar quedaron adentro de un plumazo. Con el salario mínimo de 2026, 40.000 SMMLV son del orden de los 57 mil millones de pesos en ingresos o activos — grande, pero ya no territorio exclusivo de multinacionales.
- Aparecieron los regímenes especiales por sector. Para actividades consideradas de mayor riesgo, el umbral es menor o distinto: no importa solo cuánto factura la empresa, sino en qué negocio está.
¿Mi empresa está obligada? Las tres puertas de entrada
En la práctica, una empresa supervisada por la Supersociedades entra al SAGRILAFT por alguna de estas vías:
| Vía | Quién entra | Qué debe implementar |
|---|---|---|
| Régimen general | Ingresos totales o activos ≥ 40.000 SMMLV al 31 de diciembre del año anterior | SAGRILAFT completo |
| Régimen de medidas mínimas | Sectores señalados en la circular (agentes inmobiliarios, comercio de metales y piedras preciosas, servicios jurídicos y contables, construcción, entre otros) con umbrales propios, menores al general | Medidas mínimas de debida diligencia |
| Activos virtuales | Empresas que operan con criptoactivos por encima de los montos que fija la circular | SAGRILAFT, con reglas específicas |
Un matiz que sorprende a más de un gerente: los umbrales se miden contra el cierre del año inmediatamente anterior. Una empresa que creció rápido en 2025 puede haber quedado obligada desde los primeros meses de 2026 sin que nadie se lo notificara — la obligación nace de la norma, no de una carta de la Superintendencia.
Cada sector del régimen de medidas mínimas tiene su propio umbral en SMMLV, y ahí es donde se cometen los errores de interpretación. Si tu empresa está en uno de esos sectores, vale la pena leer el numeral exacto de la circular o pedir una verificación puntual antes de asumir que estás por fuera.
Qué implica implementar SAGRILAFT (en cristiano)
No es un documento que se archiva: es un sistema que funciona. Los componentes que la Supersociedades espera encontrar cuando pregunta son:
- Una política aprobada por la junta o máximo órgano social. El compromiso arranca arriba o no arranca.
- Un oficial de cumplimiento posesionado, con acceso real a la administración. En el régimen general es un rol con requisitos formales; no puede ser el revisor fiscal.
- Una matriz de riesgo que identifique, mida y controle los riesgos LA/FT/FPADM según los factores de la empresa: clientes, productos, canales, jurisdicciones.
- Debida diligencia de contrapartes: conocer a clientes, proveedores, empleados y socios antes de vincularlos, y verificar si aparecen en listas restrictivas — la del Consejo de Seguridad de la ONU y la OFAC son las de consulta obligatoria, pero la práctica seria cruza muchas más.
- Reportes a la UIAF: operaciones sospechosas (ROS) cuando las hay, y los reportes de ausencia cuando no.
- Capacitación y auditoría al menos una vez al año.
De todo esto, la debida diligencia es el componente que más horas consume — verificar una contraparte contra listas internacionales y fuentes colombianas, dejar evidencia y repetirlo con cada vinculación nueva. Es exactamente el pedazo que las empresas que usan Kumple resuelven en segundos por consulta, con el PDF de soporte listo para el expediente. Los demás componentes (política, matriz, oficial) son trabajo de diseño que se hace una vez y se mantiene.
¿Y si no cumplo?
La Superintendencia de Sociedades puede imponer multas de hasta 200 SMMLV por incumplimiento (artículo 86 de la Ley 222 de 1995), y las viene imponiendo — los casos sancionados por SAGRILAFT dejaron de ser teóricos hace años. Pero el costo mayor suele ser comercial: bancos, aseguradoras y clientes grandes piden evidencia de cumplimiento para vincularte como proveedor. Sin SAGRILAFT funcionando, hay puertas que simplemente no se abren.
Preguntas frecuentes
¿SAGRILAFT es lo mismo que SARLAFT?
No. SARLAFT es el sistema del sector financiero (Superfinanciera); SAGRILAFT es el del sector real (Supersociedades). Comparten espíritu, pero las normas, los reportes y los supervisores son distintos.
¿Mi empresa es pequeña pero está en un sector "de riesgo", me aplica?
Posiblemente sí, bajo el régimen de medidas mínimas. Los umbrales por sector son menores al general de 40.000 SMMLV y varían entre actividades: hay que revisar el numeral específico del Capítulo X para tu caso.
¿Quién puede ser oficial de cumplimiento?
Una persona natural con capacidad de decisión, designada por la junta y posesionada ante la Supersociedades. No puede ser el revisor fiscal, y en el régimen general no debería ser el representante legal.
¿Cada cuánto se actualiza la debida diligencia?
La circular exige actualizar la información de contrapartes por lo menos una vez al año, y siempre que haya señales de alerta.
¿Quieres saber en minutos si una contraparte aparece en listas restrictivas?
Kumple cruza listas internacionales y fuentes oficiales colombianas en segundos, con PDF de soporte para tu expediente.
Prueba Kumple gratis5 verificaciones de demostración · Sin tarjeta