Preguntas frecuentes
Todo lo que se pregunta con más frecuencia sobre la plataforma y sobre las obligaciones normativas.
Normativa
Sobre las obligaciones
¿SAGRILAFT y PTEE son lo mismo?
No. El SAGRILAFT gestiona el riesgo de lavado de activos, financiación del terrorismo y financiamiento de la proliferación de armas de destrucción masiva. El PTEE es el Programa de Transparencia y Ética Empresarial y se enfoca en corrupción y soborno transnacional. Una misma empresa puede estar obligada a los dos, y en la práctica comparten componentes como la debida diligencia de terceros.
¿Qué pasa si mi empresa no implementa el SAGRILAFT estando obligada?
El incumplimiento expone a la empresa a las sanciones administrativas que la Superintendencia de Sociedades puede imponer, que incluyen multas a la sociedad y a sus administradores. El monto y los criterios de graduación están definidos en la norma vigente.
¿Un oficial de cumplimiento externo es válido?
La normativa contempla la posibilidad de que la función sea ejercida por un tercero, sujeta a los requisitos y límites que la propia norma establece, incluido el número de empresas que una misma persona puede atender. Verifique la versión vigente antes de estructurar la contratación.
¿Cada cuánto se debe actualizar el SAGRILAFT?
El sistema debe revisarse periódicamente y siempre que cambien las condiciones que le dieron origen: nueva línea de negocio, nueva jurisdicción, cambio regulatorio o hallazgo de auditoría. La periodicidad mínima la fija la norma y la política interna de la empresa.
¿El PTEE reemplaza al SAGRILAFT?
No. Son programas distintos con riesgos distintos: el PTEE aborda corrupción y soborno, el SAGRILAFT aborda lavado de activos y financiación del terrorismo. Una empresa puede estar obligada a ambos y conviene integrarlos donde comparten controles, como la debida diligencia de terceros y la capacitación.
¿Basta con tener un código de ética?
No. Un código de ética declara principios; el PTEE exige controles operando, con evidencia de que se aplican. La diferencia se hace evidente en una revisión: lo que se pide no es el documento, es el rastro de su ejecución.
¿SARLAFT y SAGRILAFT son lo mismo?
No. El SARLAFT aplica a las entidades vigiladas por la Superintendencia Financiera y, en su ámbito, por la Superintendencia de Transporte. El SAGRILAFT aplica a empresas del sector real vigiladas por la Superintendencia de Sociedades. Comparten la lógica de gestión de riesgo pero tienen normas, supervisores y exigencias distintas.
¿Las empresas de transporte deben migrar del SIPLAFT al SARLAFT?
La Resolución 2328 de 2025 de la Superintendencia de Transporte establece la adopción del enfoque SARLAFT para sus vigilados, con los plazos allí definidos. La migración implica actualizar el sistema documentado, no sólo cambiarle el nombre.
¿El SIPLAFT sigue vigente?
Depende del sector y de su supervisor. En transporte, la Superintendencia de Transporte avanzó hacia el enfoque SARLAFT con la Resolución 2328 de 2025. En otros sectores, el régimen aplicable lo define la normativa del supervisor correspondiente. Verifique cuál rige hoy para su actividad.
¿Qué diferencia hay entre LAFT y LA/FT/FPADM?
LAFT cubre lavado de activos y financiación del terrorismo. LA/FT/FPADM añade el financiamiento de la proliferación de armas de destrucción masiva, una extensión alineada con los estándares internacionales que ya recogen varios regímenes colombianos, entre ellos el SAGRILAFT.
¿Qué son las listas vinculantes?
Son las listas emitidas por el Consejo de Seguridad de las Naciones Unidas cuyo cumplimiento es obligatorio y no admite ponderación por riesgo. Una coincidencia confirmada obliga a aplicar la medida prevista de forma inmediata, a diferencia de las listas informativas, que alimentan el análisis pero no bloquean por sí solas.
¿Se debe hacer debida diligencia a los empleados?
Sí, cuando el régimen aplicable lo exige. Los empleados son contrapartes y, en varios regímenes, la verificación en selección de personal es parte del sistema. El alcance depende de la política interna y del nivel de exposición del cargo.
¿Qué se hace cuando aparece una coincidencia?
Primero se verifica si es un homónimo o un hallazgo real. Si es real, se escala a debida diligencia ampliada y se somete la decisión a la instancia que la política defina. En ambos casos, el análisis y su conclusión quedan documentados: descartar un falso positivo sin dejar el criterio registrado es tan problemático como no haber consultado.
¿El representante legal es el beneficiario final?
No necesariamente. El representante legal ejerce la representación, pero el beneficiario final es quien posee o controla la sociedad. Pueden coincidir o no, y confundirlos es uno de los errores más frecuentes en debida diligencia.
¿Qué se hace si no se logra identificar al beneficiario final?
La imposibilidad de identificarlo es en sí misma una señal de alerta. La normativa prevé criterios subsidiarios, como identificar a quien ejerce la administración, y la decisión de vincular en esas condiciones debe escalarse y documentarse con especial cuidado.
Plataforma
Sobre Compliance Validador LAFT
¿Qué se necesita para empezar a usar Compliance?
Un navegador y una cuenta activa. La plataforma es web: no requiere instalación, servidores ni infraestructura propia. La integración por API es opcional y se implementa cuando el equipo técnico lo requiera.
¿Sirve para cumplir SAGRILAFT y PTEE?
Compliance cubre la parte de conocimiento de la contraparte y debida diligencia, que es un componente central de ambos regímenes. Un programa completo incluye además política, matriz de riesgo, oficial de cumplimiento y reportes; la consultoría de Risks International acompaña esa implementación.
¿Los resultados se pueden auditar después?
Sí. Cada consulta queda registrada con el usuario que la ejecutó, la fecha, el criterio de búsqueda y el resultado obtenido, y el informe correspondiente es exportable.
¿Cada cuánto debe repetirse la debida diligencia?
Depende del nivel de riesgo asignado a la contraparte en su matriz. Las de alto riesgo se reevalúan con mayor frecuencia. El monitoreo continuo complementa la reevaluación periódica avisando cuando algo cambia entre una revisión y otra.
¿Qué diferencia hay entre debida diligencia y conocimiento del cliente?
El conocimiento del cliente (KYC) es la recolección y verificación de la información de identificación. La debida diligencia es el proceso completo: incluye el KYC y añade la evaluación de riesgo, la consulta en fuentes, la decisión y su documentación.
¿Qué pasa si no hay coincidencias?
La consulta sin coincidencias también queda registrada. Es la evidencia de que la verificación se realizó, que es precisamente lo que revisa un supervisor: no sólo los casos con hallazgo, sino que el control opera de forma sistemática.
¿Cómo se manejan los homónimos?
El motor prioriza las coincidencias por relevancia y aporta los datos disponibles para diferenciarlas. El descarte de un homónimo lo hace el analista y queda documentado con el criterio aplicado, que es como debe sustentarse ante una revisión.
¿Se puede vincular a un PEP?
Sí. La normativa no prohíbe la relación comercial con una persona expuesta políticamente: exige debida diligencia reforzada, aprobación por una instancia superior de la organización y seguimiento más estricto de la relación.
¿Por cuánto tiempo alguien sigue siendo PEP?
La condición se mantiene durante el ejercicio del cargo y por un periodo posterior definido por la normativa aplicable a cada régimen. Su política interna debe fijar cómo trata a los ex-PEP dentro de la matriz de riesgo.
¿Un antecedente impide vincular a la contraparte?
No automáticamente. La decisión depende de la naturaleza del antecedente, su relación con la actividad que se va a contratar y la política de riesgo de su organización. Lo que sí es exigible es que la verificación se haya hecho y que la decisión esté sustentada.
¿Una noticia adversa obliga a rechazar a la contraparte?
No. Es un insumo de análisis, no una sentencia. Puede tratarse de un homónimo, de un hecho antiguo o de una mención irrelevante para la relación comercial. Lo que corresponde es evaluarla, dejar constancia del criterio y decidir.
¿Qué diferencia hay entre KYC y debida diligencia?
El KYC es la recolección y verificación de la información de identificación de la contraparte. La debida diligencia es el proceso completo, que parte del KYC y añade la consulta en fuentes, la evaluación de riesgo, la decisión de vinculación y su documentación.
¿El monitoreo reemplaza la reevaluación periódica?
No, la complementa. La reevaluación periódica revisa integralmente el perfil de riesgo de la contraparte según su matriz; el monitoreo avisa de cambios entre una reevaluación y la siguiente. Los dos controles responden a preguntas distintas.
¿La segmentación es obligatoria?
Los regímenes de gestión de riesgo LA/FT en Colombia se construyen sobre un enfoque basado en riesgo, y ese enfoque exige distinguir niveles. Sin segmentación no es posible justificar por qué a una contraparte se le aplicó diligencia simplificada y a otra reforzada.
¿Qué formato debe tener el archivo?
Un archivo plano con los campos de identificación de cada registro. El equipo de soporte acompaña la primera carga para dejar la plantilla ajustada a la estructura de datos de su organización.
¿Hay ambiente de pruebas?
La habilitación de credenciales y del ambiente de integración se coordina con el equipo técnico al contratar el servicio. Indíquelo en la cotización para que la propuesta incluya el acompañamiento correspondiente.
¿Las consultas por API consumen el mismo cupo?
El consumo por API se descuenta del plan contratado igual que las consultas por web. La cotización se ajusta al volumen total estimado, independientemente del canal por el que se ejecuten.
¿Cuándo se aplica debida diligencia ampliada?
Cuando la contraparte queda clasificada en el segmento de mayor riesgo de su matriz, cuando presenta condición de persona expuesta políticamente o cuando aparece una coincidencia que, sin bloquear la relación, exige entenderla antes de decidir. El criterio lo fija cada organización en su propio sistema de gestión de riesgo.
¿Puede hacerse sobre una contraparte ya vinculada?
Sí, y es habitual. Un cambio en el perfil de la contraparte, una alerta de monitoreo o una reclasificación de segmento pueden llevar a aplicar el nivel ampliado a una relación que ya estaba en curso.
¿Con qué frecuencia conviene ejecutarla?
Depende del tamaño y la rotación de su base. En bases estables, una depuración periódica al año suele bastar; en operaciones con vinculación permanente, integrarla al proceso de validación ordinario evita que el problema se acumule.
¿La consultoría requiere contratar el validador?
No. Son servicios independientes y se contratan por separado. Dicho esto, un sistema de gestión de riesgo bien diseñado necesita una herramienta que ejecute las consultas que el propio sistema exige, y ahí es donde ambos se encuentran.
¿Quién presta el servicio?
Profesionales de Risks International S.A.S. especializados en gestión de riesgo LAFT y antisoborno. El alcance y el equipo se definen en la propuesta según el tamaño y el sector de la organización.
¿No encontró su pregunta? Escríbanos o solicite una demostración.