Abril 30, 2026
El SAGRILAFT (Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva, LA/FT/FPADM) se ha consolidado como el instrumento normativo más exigente para el sector real de la economía colombiana en materia de cumplimiento anticriminal. Desde su creación mediante la Circular Externa 100-000016 del 24 de diciembre de 2020 de la Superintendencia de Sociedades, el sistema ha experimentado una evolución normativa permanente que en 2024 y 2025 ha alcanzado un punto de quiebre: las sanciones son reales, las visitas de supervisión han aumentado un 123% y, por primera vez, los representantes legales y oficiales de cumplimiento enfrentan responsabilidad personal directa.
En un entorno en que la Superintendencia de Sociedades ha impuesto multas que superan los $1.300 millones de pesos en los últimos dos años, comprender en detalle qué es el SAGRILAFT, quiénes están obligados a implementarlo y cuáles son las novedades normativas de 2025 no es una opción: es una necesidad empresarial urgente.
La reciente Circular Externa 100-000002 del 14 de marzo de 2025 introdujo cambios estructurales en la forma de reporte, eliminando el histórico Informe 42 y creando el nuevo Informe 75 que integra SAGRILAFT, el Régimen de Medidas Mínimas (RMM) y el PTEE. Por su parte, la Circular Externa 100-300000 del 6 de diciembre de 2024 estableció un régimen diferencial para Cámaras de Comercio y Entidades Sin Ánimo de Lucro Extranjeras (ESALES), con un plazo de implementación hasta el 31 de mayo de 2025. Esta guía recoge todas estas novedades y ofrece la visión jurídica más actualizada disponible.
El SAGRILAFT es el sistema integral de autocontrol y gestión del riesgo que la Superintendencia de Sociedades exige a las empresas del sector real de la economía colombiana para prevenir que sus operaciones sean utilizadas como instrumento para lavar activos, financiar el terrorismo o contribuir a la proliferación de armas de destrucción masiva. A diferencia de una política aislada de cumplimiento, el SAGRILAFT es un sistema vivo: comprende políticas, procedimientos, metodologías de evaluación de riesgos, debida diligencia sobre contrapartes, monitoreo continuo de operaciones y reporte de operaciones sospechosas a la Unidad de Información y Análisis Financiero (UIAF).
Su fundamento jurídico internacional descansa en la Recomendación 28 del Grupo de Acción Financiera Internacional (GAFI), que exige a los Estados establecer controles preventivos en las denominadas Actividades y Profesiones No Financieras Designadas (APNFD), reconociendo que el lavado de activos no se limita al sistema bancario sino que permea sectores tan diversos como el inmobiliario, el jurídico, el contable, la construcción y, más recientemente, el ecosistema de activos virtuales.
A nivel interno, la normativa colombiana ha ido más allá de las exigencias mínimas del GAFI. La regulación vigente, contenida en el Capítulo X de la Circular Básica Jurídica de la Superintendencia de Sociedades y sus sucesivas modificaciones, configura un sistema robusto que reconoce las particularidades de cada sector y permite una implementación proporcional a los riesgos reales de cada organización, al tiempo que mantiene estándares mínimos no negociables.
Desde la perspectiva práctica, el SAGRILAFT le permite a una empresa identificar si sus clientes, proveedores o socios comerciales presentan alertas de lavado de activos; detectar operaciones inusuales que podrían indicar movimientos de fondos ilegales; y establecer controles para bloquear o reportar dichas operaciones antes de que la empresa sea involucrada en un proceso penal o administrativo sancionatorio. La correcta implementación del sistema es, en definitiva, un escudo de protección jurídica para la empresa y para sus administradores.
El SAGRILAFT tiene un marco normativo en constante evolución. A continuación se presentan las normas vigentes más relevantes, con especial énfasis en las novedades de los últimos meses:
NOVEDAD CLAVE: Circular Externa 100-000002 del 14 de marzo de 2025. Esta circular introduce tres cambios de alto impacto para todas las empresas obligadas:
Nota para Cámaras de Comercio y ESALES: Las que se encuentren obligadas conforme a la Circular 100-300000 de 2024 deberán presentar el Informe 75 a partir del año 2026, con corte al 31 de diciembre de 2025.
Sentencia T-113 de 2025 de la Corte Constitucional: Aunque referida al SARLAFT del sector financiero, esta sentencia establece un estándar de debida diligencia proporcional y objetiva que tiene incidencia interpretativa sobre el SAGRILAFT. La Corte enfatiza la necesidad de actualizar la información de contrapartes y de fundamentar las decisiones de exclusión o alerta en criterios objetivos y documentados, evitando tratamientos discriminatorios.
La determinación de si una empresa está obligada a implementar el SAGRILAFT depende de tres factores concurrentes: (i) que se encuentre bajo vigilancia o control de la Superintendencia de Sociedades; (ii) que cumpla con los umbrales de ingresos o activos fijados para el criterio general o sectorial; y (iii) que no se encuentre expresamente excluida por la normativa vigente. A continuación se desarrolla cada supuesto:
Están obligadas a implementar el SAGRILAFT completo todas las empresas vigiladas o controladas por Supersociedades que, al 31 de diciembre del año inmediatamente anterior, hayan obtenido ingresos totales o tenido activos iguales o superiores a 40.000 salarios mínimos legales mensuales vigentes (SMMLV). Para el año 2024, este umbral equivale aproximadamente a $52.000.000.000 de pesos. Este criterio, que redujo el umbral anterior de 160.000 SMMLV, amplió significativamente el universo de obligados, incorporando empresas medianas que hasta ese momento no habían estado sujetas a este nivel de exigencia.
Independientemente del umbral general, las empresas pertenecientes a los siguientes sectores de alto riesgo están obligadas cuando superen umbrales más bajos, calculados con base en la clasificación CIIU de su actividad principal:
Nota: DDI = Debida Diligencia Intensificada. RMM = Régimen de Medidas Mínimas. Cifras en pesos colombianos aproximadas para 2024.
Las siguientes tipologías de sociedades están sujetas a obligaciones SAGRILAFT específicas en razón de sus modelos de negocio, que presentan vulnerabilidades particulares para el lavado de activos:
La Circular Externa 100-300000 del 6 de diciembre de 2024 estableció un esquema de tres niveles para las Cámaras de Comercio, reconociendo que su heterogeneidad en tamaño e ingresos hace inadecuado un trato igualitario:
Exención importante para Cámaras de Comercio: Las actividades propias de la administración de registros públicos delegados y las relacionadas con arbitraje y conciliación están EXENTAS de los procedimientos de Debida Diligencia que tratan los Capítulos X y XIII. Esta exención reconoce el carácter delegado de estas funciones estatales. Plazo de transición: Las Cámaras que a 31 de diciembre de cada año cumplan criterios del nivel superior disponen hasta el 31 de mayo del año siguiente para adoptar el SAGRILAFT o RMM correspondiente.
La Circular 100-300000 de 2024 introdujo un cambio paradigmático: las Entidades Sin Ánimo de Lucro Extranjeras (ESALES) con negocios permanentes en Colombia quedan excluidas del SAGRILAFT completo. Esta decisión se fundamenta en la actualización de la Recomendación 8 del GAFI de diciembre de 2023, que exige medidas focalizadas, proporcionales y basadas en riesgo para organizaciones sin fines de lucro, evitando cargas excesivas que obstaculicen sus actividades legítimas.
El régimen aplicable a las ESALES extranjeras queda configurado de la siguiente manera:
Una confusión frecuente en el mundo empresarial colombiano es la diferencia entre el SAGRILAFT y el SARLAFT. Aunque ambos sistemas comparten el propósito de prevenir el lavado de activos y la financiación del terrorismo, sus ámbitos de aplicación, estructuras y exigencias difieren sustancialmente:
La distinción más relevante para el empresario es que el SAGRILAFT exige adaptar la debida diligencia a la diversidad de relaciones comerciales que tiene una empresa del sector real: desde la compra de materias primas hasta la contratación de servicios, pasando por la distribución de productos y la gestión de socios. El SARLAFT, en cambio, opera sobre transacciones financieras más estandarizadas donde el perfil de riesgo del cliente bancario sigue patrones más predecibles.
El SAGRILAFT, según la Circular Básica Jurídica de la Superintendencia de Sociedades, está conformado por cuatro elementos esenciales que deben estar presentes en toda empresa obligada:
En adición a los elementos estructurales, el SAGRILAFT exige recorrer cuatro etapas de gestión del riesgo de manera cíclica y permanente:
Etapa 1: Identificación de Riesgos
La empresa debe establecer metodologías para identificar los factores de riesgo propios de su operación y segmentarlos según sus características. La normativa define cuatro factores de riesgo:
Etapa 2: Medición y Evaluación
Una vez identificados los riesgos, la empresa debe desarrollar matrices que permitan calificar cuantitativamente:
Etapa 3: Control
La etapa de control implica el diseño e implementación de medidas que actúen sobre la probabilidad de ocurrencia del riesgo, sobre su impacto, o sobre ambos. Los controles pueden ser:
Etapa 4: Monitoreo
El monitoreo es el mecanismo que garantiza la vigencia y eficacia del sistema en el tiempo. La Circular Básica Jurídica exige que cada empresa realice un seguimiento continuo de su perfil de riesgo, detecte operaciones inusuales y sospechosas, actualice periódicamente sus matrices de riesgo y presente informes anuales a la junta directiva o máximo órgano social. El Oficial de Cumplimiento tiene la responsabilidad central en esta etapa, debiendo proponer actualizaciones al sistema al menos cada dos años, o cuando se produzcan cambios normativos significativos o modificaciones en la estructura del negocio.
El Oficial de Cumplimiento es la figura más crítica del SAGRILAFT. Su designación no es una formalidad: es la persona que, frente a la Superintendencia de Sociedades y eventualmente frente a la justicia penal, asume la responsabilidad técnica del sistema. Desde 2024, Supersociedades ha sancionado directamente a oficiales de cumplimiento y representantes legales, lo que convierte a esta figura en uno de los cargos de mayor responsabilidad en las organizaciones colombianas obligadas.
La Circular Básica Jurídica establece los siguientes requisitos de obligatorio cumplimiento:
Las funciones del Oficial de Cumplimiento abarcan cuatro dimensiones:
Cada vez que exista una novedad en la designación o cambio del Oficial de Cumplimiento, el sujeto obligado debe presentar el Informe 58 - Oficiales de Cumplimiento ante Supersociedades, dentro de los 15 días hábiles siguientes a la respectiva novedad. Este informe debe ir acompañado de los siguientes documentos adicionales, remitidos dentro de los 2 días hábiles siguientes al envío del informe:
La Circular Externa 100-000002 de 2025 precisa que, en caso de remoción o renuncia absoluta del oficial, este debe presentar el Informe 58 antes de terminar su vinculación contractual. Si ello no fuere posible, el representante legal asume esta obligación.
A partir de 2025, la estructura de reporte ante Supersociedades cambia sustancialmente con la creación del Informe 75 - SAGRILAFT, RMM y PTEE, que integra en un único instrumento los anteriores Informes 50 y 52. La Circular Externa 100-000002 del 14 de marzo de 2025 establece que el primer Informe 75 tiene corte al 31 de diciembre de 2024 y debe presentarse en el año 2025 de acuerdo con el cronograma del NIT.
Fuente: Circular Externa 100-000002 del 14 de marzo de 2025, Superintendencia de Sociedades. Los plazos son improrrogables.
Excepción para Cámaras de Comercio y ESALES: Las Cámaras de Comercio y ESALES extranjeras que se encontraban obligadas a implementar SAGRILAFT/RMM según la Circular 100-300000 de 2024, con plazo hasta el 31 de mayo de 2025, deberán presentar el Informe 75 a partir del año 2026, con corte al 31 de diciembre de 2025. Forma de presentación: El informe se presenta en formato XBRL Express a través del portal SIRFIN de Supersociedades (www.supersociedades.gov.co). El informe se entiende presentado cuando se genera el número de radicado en el aplicativo.
Un cambio que toda empresa debe tener en cuenta: a partir de la publicación de la Circular 100-000002 en el Diario Oficial, el Informe 42 de Prácticas Empresariales queda retirado de forma definitiva. Se deroga en su integridad la Circular Externa 100-000003 del 11 de septiembre de 2023 que lo regulaba. El contenido relativo a gobierno corporativo que este informe recogía migra al Informe 08 de Reporte de Sostenibilidad, de presentación voluntaria para las empresas con ingresos o activos superiores a 40.000 SMMLV.
La etapa pedagógica del SAGRILAFT terminó. La Superintendencia de Sociedades ha dado señales inequívocas de que el cumplimiento normativo es exigible, medible y sancionable. Entre agosto de 2023 y lo corrido de 2025, Supersociedades ha impuesto seis multas por incumplimiento del SAGRILAFT con un valor total entre 600 y 650 millones de pesos, y tres multas por incumplimiento del PTEE que suman aproximadamente 1.300 millones de pesos. Las visitas presenciales de verificación han aumentado un 123% respecto a periodos anteriores.
El hito más significativo ocurrió en 2024, cuando por primera vez la Superintendencia sancionó directamente a representantes legales y oficiales de cumplimiento en forma personal, no solo a las empresas. Esta nueva política sancionatoria refleja la comprensión de que el compliance es una responsabilidad personal de quienes dirigen y administran las organizaciones.
Para las empresas:
Para administradores y oficiales de cumplimiento:
Según los informes de supervisión de Supersociedades, las principales fallas que han derivado en multas son:
Una implementación efectiva del SAGRILAFT no puede realizarse en pocas semanas. Requiere un proceso estructurado que abarque el diagnóstico, el diseño, la puesta en marcha y la mejora continua del sistema. A continuación presentamos la hoja de ruta recomendada:
Fase 1: Diagnóstico Inicial (Meses 1 y 2)
Fase 2: Diseño del Sistema (Meses 3 a 5)
Fase 3: Implementación y Aprobación (Meses 6 y 7)
Fase 4: Operación, Monitoreo y Mejora Continua (Desde Mes 8)
Mi empresa tiene ingresos de $45.000 millones. ¿Está obligada a implementar SAGRILAFT?
Sí, siempre que esté vigilada o controlada por la Superintendencia de Sociedades. El umbral general de obligatoriedad equivale aproximadamente a $52.000 millones para 2024 (40.000 SMMLV). Si sus ingresos se encuentran por debajo de este umbral, debe revisar si su actividad pertenece a un sector especial (inmobiliario, jurídico, contable, metales preciosos, construcción, activos virtuales) con umbrales reducidos de 3.000 SMMLV.
¿Qué diferencia hay entre el SAGRILAFT completo y el Régimen de Medidas Mínimas?
El SAGRILAFT completo implica implementar el sistema integral con Oficial de Cumplimiento designado, metodologías de riesgo, debida diligencia completa, monitoreo y reportes plenos. El Régimen de Medidas Mínimas (RMM) es una versión simplificada, aplicable a sectores o entidades de menor tamaño o riesgo, que permite cumplir obligaciones básicas sin designar un oficial de cumplimiento independiente.
¿Puede una Cámara de Comercio estar excluida del SAGRILAFT?
Sí. Las Cámaras de Comercio con ingresos inferiores a 9.000 SMMLV (aproximadamente $11.700 millones en 2024) quedan completamente excluidas de la obligación de implementar SAGRILAFT y PTEE, aunque pueden adoptarlos voluntariamente como buena práctica de gobernanza.
¿Las ESALES extranjeras con presencia en Colombia deben implementar SAGRILAFT?
Desde la Circular 100-300000 de diciembre 2024, las ESALES extranjeras fueron excluidas del SAGRILAFT completo. Solo están obligadas a cumplir el Régimen de Medidas Mínimas si sus ingresos superan los 9.000 SMMLV. Las que no superen ese umbral solo deben adoptar estas obligaciones voluntariamente.
¿Cuánto tiempo tengo para implementar el SAGRILAFT desde que quedé obligado?
La norma general exige implementar el SAGRILAFT a más tardar el 31 de mayo del año siguiente a aquel en que la empresa queda obligada por primera vez (según los estados financieros de cierre de cada año). Para Cámaras de Comercio y ESALES que quedaron obligadas conforme a las circulares de 2023 y 2024, el plazo de transición fue el 31 de mayo de 2025.
¿Qué es el Informe 75 y cómo reemplaza al Informe 50 y al Informe 52?
El Informe 75 - SAGRILAFT, RMM y PTEE es el nuevo instrumento de reporte creado por la Circular Externa 100-000002 del 14 de marzo de 2025. Integra en un solo documento la información que antes se reportaba por separado en los Informes 50 y 52. Se presenta una vez al año, con corte al 31 de diciembre del año anterior, en el aplicativo SIRFIN de Supersociedades.
¿Qué pasa si no presento el Informe 75 a tiempo?
El incumplimiento en la presentación del Informe 75 puede derivar en una investigación administrativa por parte de Supersociedades. Las multas pueden alcanzar hasta 200 SMMLV por cargo formulado (aproximadamente $260 millones en 2024). Adicionalmente, los administradores y el Oficial de Cumplimiento pueden ser sancionados en forma personal. Los plazos son improrrogables y se cuentan en días hábiles.
¿Cuántas empresas puede atender simultáneamente un Oficial de Cumplimiento?
La Circular Básica Jurídica establece que un mismo profesional no puede ser Oficial de Cumplimiento para más de 10 empresas obligadas simultáneamente. Esta restricción busca garantizar que el oficial pueda dedicar suficiente tiempo y atención a cada sujeto obligado.
¿Qué debe contener el manual SAGRILAFT de una empresa?
El manual SAGRILAFT debe incluir, como mínimo: la política de prevención de LA/FT/FPADM; las metodologías de identificación, medición, control y monitoreo de riesgos; los procedimientos de debida diligencia para clientes, proveedores y contrapartes; la política de conocimiento del cliente (KYC); los procedimientos para detección y reporte de operaciones inusuales y sospechosas; el protocolo de reporte a la UIAF; el plan de capacitación anual; y las funciones del Oficial de Cumplimiento.
¿Cómo se registra el Oficial de Cumplimiento ante la UIAF?
El registro se realiza a través del SIREL (Sistema de Reporte en Línea) administrado por la UIAF. El representante legal debe obtener acceso al sistema y proceder al registro del Oficial de Cumplimiento. Sin este registro previo, el nombramiento del oficial no surte efectos ante Supersociedades y la empresa incurre en un incumplimiento sancionable.
¿El SAGRILAFT cubre los riesgos con proveedores internacionales?
Sí. La debida diligencia del SAGRILAFT debe aplicarse a todas las contrapartes de la empresa, incluyendo proveedores extranjeros. En el caso de contrapartes ubicadas en jurisdicciones de alto riesgo o listadas en listas internacionales de restricción (OFAC, ONU, listas locales de la UIAF), debe aplicarse Debida Diligencia Intensificada, que exige un nivel más profundo de conocimiento y documentación.
¿Qué es la Debida Diligencia Intensificada y cuándo se aplica?
La Debida Diligencia Intensificada (DDI) es un nivel reforzado de conocimiento de contraparte que se aplica cuando la evaluación de riesgos arroja un perfil de riesgo alto. Procede en casos como: Personas Expuestas Políticamente (PEP) y sus familiares, contrapartes de jurisdicciones de alto riesgo, empresas de activos virtuales para operaciones superiores a 100 SMMLV, y cualquier contraparte que active alertas en los sistemas de monitoreo.
¿Qué papel juega la Sentencia T-113 de 2025 en la aplicación del SAGRILAFT?
La Sentencia T-113 de 2025 de la Corte Constitucional, aunque referida al SARLAFT del sector financiero, establece el principio de proporcionalidad y objetividad en la debida diligencia. Las empresas del sector real deben documentar sus decisiones de alerta o exclusión de contrapartes con criterios objetivos y actualizados, evitando tratamientos discriminatorios. Este estándar jurisprudencial tiene incidencia interpretativa sobre la aplicación del SAGRILAFT.
La complejidad del SAGRILAFT, la velocidad de los cambios normativos y la dureza del régimen sancionatorio hacen imprescindible contar con asesoría jurídica especializada. No basta con descargar un modelo de manual de internet: la Superintendencia de Sociedades exige que el sistema refleje los riesgos reales y específicos de cada empresa, y verifica que así sea a través de visitas presenciales y requerimientos de información.
Un SAGRILAFT mal diseñado o desactualizado no solo no cumple su función preventiva, sino que puede convertirse en evidencia de incumplimiento en una investigación administrativa. La defensa frente a Supersociedades requiere que el sistema sea robusto, coherente con la realidad de la empresa y debidamente documentado en cada etapa.
En Affirma Legal contamos con abogados especializados en derecho corporativo y compliance empresarial, con amplia experiencia en el diseño, implementación, actualización y defensa de sistemas SAGRILAFT ante Supersociedades. Nuestros servicios incluyen:
Escríbanos a nuestro formulario de contacto, agende su cita legal con nuestros abogados a través del siguiente enlace o contáctenos al 3175155125.
Síganos en Facebook como: Affirmalegal, en Instagram como: @Affirmalegal y en Tiktok como: @affirma_legal
Autor: Equipo Jurídico – Affirma Legal.
Nuestra misión es forjar un camino de confianza y excelencia en el ámbito legal. Somos un equipo de abogados y profesionales de alto perfil, unidos para crear una firma que refleja nuestros valores fundamentales: Honestidad, Compromiso con el cliente, Eficacia, Seguridad y Experiencia.
