Guía normativa
SAGRILAFTFP C/ST: qué es, quién está obligado y cómo implementarlo
- Entidad reguladora
- Superintendencia de Sociedades
- Norma principal
- Circular Básica Jurídica de la Superintendencia de Sociedades — Capítulo X
- Actualizado
¿Qué es SAGRILAFTFP C/ST?
El SAGRILAFTFP C/ST —SAGRILAFT en la Circular Básica Jurídica— es el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva que la Superintendencia de Sociedades exige a determinadas empresas del sector real en Colombia. Obliga a identificar, medir, controlar y monitorear el riesgo LA/FT/FPADM mediante políticas, debida diligencia de contrapartes, un oficial de cumplimiento y reportes periódicos.
¿Qué es el SAGRILAFTFP C/ST?
El SAGRILAFT es un sistema de gestión de riesgo, no un documento. Esa distinción es la que suele costar caro: muchas empresas entienden que cumplir consiste en tener un manual aprobado, y lo que la Superintendencia revisa es si el sistema opera.
Su lógica es la misma de cualquier gestión de riesgo: identificar dónde está expuesta la empresa, medir esa exposición, aplicar controles proporcionales y verificar que los controles funcionan. Lo particular es el riesgo que gestiona —que un tercero use a la empresa para lavar activos o financiar el terrorismo— y que su implementación es obligatoria para las empresas que cumplan los criterios definidos por la Superintendencia.
¿Quién está obligado a implementar SAGRILAFTFP C/ST?
La obligación recae sobre las empresas sujetas a supervisión de la Superintendencia de Sociedades que superan los umbrales de ingresos o activos definidos en la norma, y sobre determinados sectores que quedan obligados con independencia de su tamaño por la naturaleza de su actividad.
Los umbrales exactos y los sectores incluidos se actualizan por circular. Antes de concluir que su empresa no está obligada, verifique la versión vigente del Capítulo X de la Circular Básica Jurídica: el criterio de inclusión ha cambiado en varias oportunidades y la exclusión de un año no se hereda al siguiente.
- Empresas vigiladas por la Superintendencia de Sociedades que superen los umbrales vigentes
- Sectores obligados por su actividad, con independencia del tamaño
- Empresas que, sin estar obligadas, deciden implementarlo por exigencia de un cliente, un banco o una casa matriz
Elementos que debe contener el sistema
Un SAGRILAFT completo se apoya en varios componentes que se sostienen entre sí. Ninguno funciona aislado: una matriz de riesgo sin debida diligencia no tiene insumos, y una debida diligencia sin matriz no sabe a quién aplicar qué nivel de verificación.
- Política LA/FT/FPADM aprobada por el máximo órgano social
- Manual de procedimientos que aterrice la política a la operación
- Oficial de cumplimiento designado y con capacidad real de actuar
- Debida diligencia de contrapartes, con nivel ampliado para los casos que lo requieran
- Matriz de riesgo con identificación, medición y tratamiento
- Segmentación de factores de riesgo
- Señales de alerta definidas y monitoreadas
- Reporte de operaciones sospechosas a la UIAF
- Capacitación al personal, con evidencia
- Auditoría y revisión periódica del sistema
La debida diligencia dentro del SAGRILAFTFP C/ST
La debida diligencia es donde el sistema toca la operación real. Es el momento en que la empresa conoce a quién está vinculando: cliente, proveedor, empleado, socio o cualquier contraparte relevante.
La norma distingue niveles. A las contrapartes de menor riesgo se les aplica una verificación básica; cuando aparece una señal de alerta, la contraparte es un PEP o el segmento lo exige, procede la debida diligencia intensificada, con verificación adicional y aprobación de una instancia superior.
El punto crítico no es hacer la verificación: es poder demostrarla. Una consulta que se ejecutó pero no dejó registro es, frente a una visita de supervisión, una consulta que no ocurrió.
El oficial de cumplimiento
El oficial de cumplimiento es el responsable de que el sistema funcione. No es una figura decorativa: responde por la operación del SAGRILAFT y reporta directamente al máximo órgano social.
La norma establece requisitos sobre su designación, su idoneidad, su independencia y las incompatibilidades del cargo, así como sobre la posibilidad de que la función sea ejercida por un tercero externo y los límites aplicables en ese caso.
Errores frecuentes en la implementación
Los hallazgos que se repiten en supervisión rara vez son sofisticados. Son casi siempre los mismos:
- Un manual copiado de otra empresa, que describe procesos que la organización no ejecuta
- Debida diligencia realizada pero sin evidencia documental de haberse realizado
- Matriz de riesgo genérica, sin relación con la operación concreta de la empresa
- Oficial de cumplimiento nombrado sin tiempo, recursos ni acceso real a la información
- Contrapartes validadas al vincularse y nunca revisadas después
- Capacitación anual sin registro de asistencia ni evaluación
¿Necesita ejecutar la debida diligencia que exige el SAGRILAFTFP C/ST?
Compliance valida sus contrapartes contra listas restrictivas, PEP, antecedentes y noticias adversas, y deja la evidencia documentada.
Preguntas frecuentes
¿SAGRILAFT y PTEE son lo mismo?
No. El SAGRILAFT gestiona el riesgo de lavado de activos, financiación del terrorismo y financiamiento de la proliferación de armas de destrucción masiva. El PTEE es el Programa de Transparencia y Ética Empresarial y se enfoca en corrupción y soborno transnacional. Una misma empresa puede estar obligada a los dos, y en la práctica comparten componentes como la debida diligencia de terceros.
¿Qué pasa si mi empresa no implementa el SAGRILAFT estando obligada?
El incumplimiento expone a la empresa a las sanciones administrativas que la Superintendencia de Sociedades puede imponer, que incluyen multas a la sociedad y a sus administradores. El monto y los criterios de graduación están definidos en la norma vigente.
¿Un oficial de cumplimiento externo es válido?
La normativa contempla la posibilidad de que la función sea ejercida por un tercero, sujeta a los requisitos y límites que la propia norma establece, incluido el número de empresas que una misma persona puede atender. Verifique la versión vigente antes de estructurar la contratación.
¿Cada cuánto se debe actualizar el SAGRILAFT?
El sistema debe revisarse periódicamente y siempre que cambien las condiciones que le dieron origen: nueva línea de negocio, nueva jurisdicción, cambio regulatorio o hallazgo de auditoría. La periodicidad mínima la fija la norma y la política interna de la empresa.
Fuentes oficiales
- Superintendencia de Sociedades — Circular Básica Jurídica — Capítulo X. Fuente primaria de la obligación.
- UIAF — Unidad de Información y Análisis Financiero. Destinataria de los reportes.
- GAFILAT — Grupo de Acción Financiera de Latinoamérica. Estándares regionales.
Consulte siempre el texto vigente de la norma en la página oficial de la entidad correspondiente. Esta guía es informativa y no sustituye la asesoría jurídica.
Profundice
Más sobre SAGRILAFTFP C/ST
Contenido relacionado dentro del mismo tema.
Oficial de cumplimiento
Perfil, funciones y responsabilidades del cargo
¿De cuántas empresas puede ser oficial de cumplimiento?
Límites aplicables al oficial externo
Debida diligencia
Qué verificar, con qué alcance y cómo documentarlo
Beneficiario final
Cómo identificar quién controla realmente a la contraparte
PTEE
El programa de transparencia, complementario al SAGRILAFT
Validación de listas restrictivas
La herramienta con la que se ejecuta la verificación
¿Busca más análisis normativo? Visite InfoCompliance.