Recursos · Cumplimiento

SARLAFT, SAGRILAFT y SIPLAFT: cuál le aplica a tu empresa y en qué se diferencian

Equipo Kumple · Actualizado: agosto de 2026 · Lectura: 6 minutos

La confusión es comprensible: las siglas se parecen, los consultores las mezclan y hasta los bancos las usan mal en sus formularios. Vamos por partes.

El mapa completo, de una vez

El sector salud tiene su propio capítulo: la Supersalud adoptó para sus vigilados un SARLAFT con reglas propias. Mismo espíritu, otro supervisor.

Si tu duda es específicamente si tu empresa del sector real cruza el umbral de SAGRILAFT, eso lo desarrollamos en ¿Qué es SAGRILAFT y quién está obligado?.

Las diferencias que importan de verdad

Más allá del supervisor, hay tres diferencias de fondo:

1. Nivel de prescripción. SARLAFT es el más detallado y exigente de todos: la Superfinanciera prescribe segmentación de factores de riesgo con metodologías estadísticas, múltiples reportes objetivos periódicos (transacciones en efectivo, productos, clientes exonerados) y una supervisión intensa. SAGRILAFT, en cambio, es deliberadamente flexible: fija los componentes obligatorios pero deja que cada empresa diseñe su sistema proporcional a su riesgo real — una comercializadora de 45.000 SMMLV no necesita el aparato de un banco.

2. El oficial de cumplimiento. En el sector financiero es un cargo con dedicación, suplente y requisitos estrictos de posesión. En SAGRILAFT el rol existe y se posesiona ante la Supersociedades, pero el estándar es más liviano y proporcional al tamaño de la empresa. En ambos casos hay una constante: no puede ser el revisor fiscal.

3. La vara de la debida diligencia. Un banco debe conocer a su cliente con profundidad transaccional (de dónde sale y para dónde va la plata, en tiempo real). Una empresa del sector real debe conocer a sus contrapartes — clientes, proveedores, empleados, socios — al vincularlas y al menos una vez al año. El instrumento es el mismo (verificación de identidad + cruce contra listas restrictivas + análisis), cambia la frecuencia y la profundidad. Sobre cuáles listas cruzar, está nuestra guía de listas restrictivas en Colombia.

Lo que los tres comparten

Aquí es donde la confusión de siglas deja de importar, porque el núcleo operativo es idéntico:

• Todos reportan a la misma UIAF. El ROS (reporte de operación sospechosa) es confidencial y obligatorio en todos los regímenes; cambia el formulario, no el deber.
• Todos exigen debida diligencia de contrapartes con evidencia archivada — el famoso "¿dónde está el soporte?" del auditor.
• Todos giran sobre las mismas listas: las del Consejo de Seguridad de la ONU (vinculantes para Colombia), OFAC, y las fuentes nacionales.
• Todos necesitan compromiso de la cúpula: política aprobada por junta, capacitación anual, auditoría.

Por eso una herramienta de verificación sirve igual bajo cualquiera de las tres siglas: la consulta de una contraparte contra listas y fuentes oficiales es la misma tarea, se llame como se llame el sistema. Es lo que Kumple resuelve en segundos con PDF de soporte, tanto para el oficial de un SAGRILAFT como para el de un SIPLAFT.

Un caso que vemos seguido: "mi banco me pidió el SARLAFT"

Pasa todas las semanas: una empresa del sector real recibe un formulario del banco pidiendo "certificar su SARLAFT". Técnicamente el banco está usando mal la sigla — la empresa no está vigilada por la Superfinanciera y no tiene SARLAFT. Lo que el banco quiere es evidencia de que su cliente gestiona el riesgo LA/FT: la política, el oficial designado, la constancia de verificación de contrapartes. Si tienes SAGRILAFT funcionando, esa respuesta se arma en una tarde. Si no tienes nada, ese formulario suele ser el empujón que arranca todo el proyecto de cumplimiento.

Preguntas frecuentes