Su empresa no necesita mover millones para terminar siendo usada por una red de lavado de activos. Basta con que venda, transporte, preste un servicio o reciba un pago sin preguntarse de dónde viene el dinero ni con quién está haciendo negocios. Y cuando eso pasa, no es solo un tema de reputación: puede generar una afectación legal, de contagio y hasta operacional con el cierre del negocio.
Para evitarlo existe el SARLAFT, un sistema del que casi todos han escuchado, pero que no todos tienen claro. Muchos lo confunden con el SAGRILAFT o con el SIPLAFT, y otros ni siquiera saben si están obligados a implementarlo. A continuación, le contamos, en palabras sencillas, qué es, a qué sectores aplica y cómo ponerlo en marcha en su empresa.
Este artículo es una guía de carácter informativo y didáctico para facilitar la comprensión general del marco de cumplimiento. La exigibilidad normativa depende de factores específicos como la actividad económica, los umbrales de ingresos y la superintendencia que ejerce vigilancia y/o control sobre cada compañía. Validar la aplicabilidad y garantizar la debida implementación del sistema correspondiente es responsabilidad exclusiva de la administración de cada empresa.
¿Qué es el SARLAFT y cuáles son sus etapas?
SARLAFT son las siglas de Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo (en algunos sectores se le suma la Financiación/Financiamiento de la Proliferación de Armas de Destrucción Masiva). Dicho de manera más sencilla, es la forma ordenada en que una empresa se protege para que no la usen para lavar dinero ni para financiar actividades terroristas.
Nació en el sector financiero y, con los años, otros supervisores lo fueron adoptando para sus propios sectores. Funciona en cuatro etapas:
Identificar: saber qué riesgos tiene su empresa, según con quién trabaja, qué vende y dónde opera.
Medir: calcular qué tan probable resulta que esos riesgos se materialicen y qué tanto la afectarían.
Controlar: definir qué medidas de mitigación aplicar para reducirlos.
Monitorear: vigilar que los controles funcionen y estar atentos a operaciones que se vean atípicas o fuera del parámetro de normalidad del negocio.
Todo esto se apoya en políticas, procedimientos, un oficial de cumplimiento, tecnología y capacitación del personal.
¿A qué sectores aplica el SARLAFT en Colombia?
Depende de quién vigila a su empresa. Esta tabla resume los principales casos:
Un detalle importante: el SARLAFT no es el único sistema aplicable en Colombia. En el caso de las empresas del sector real que vigila la Superintendencia de Sociedades, el sistema aplicable es llamado SAGRILAFT, que desde julio de 2026 se unió con el PTEE en un solo sistema denominado (Sistema de Autocontrol y Gestión del Riesgo de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva establecido en la Circular Externa 100-000020 de 2026. Y hay empresas que pueden tener obligaciones con más de un supervisor; por ejemplo, un usuario aduanero que también está vigilado por la Superintendencia de Sociedades puede tener que cumplir con dos sistemas. Por eso lo primero es confirmar quién vigila a su empresa.
¿Cómo implementarlo en mi empresa?
Cada supervisor tiene sus propias reglas, pero los pasos de fondo son muy parecidos:
Confirme si está obligado y ante quién. Revise su actividad económica y quién la vigila, no lo asuma de memoria.
Designe un oficial de cumplimiento con el perfil que exige su supervisor y con respaldo real de la alta dirección.
Adopte una política y un manual de procedimientos que expliquen cómo funciona el sistema, junto con un código de ética.
Identifique y evalúe sus riesgos, pensando en el riesgo. Entre los factores que suelen revisarse están las contrapartes, los productos o servicios, las zonas donde opera y los canales de venta.
Conozca bien a sus contrapartes. Aplique la debida diligencia y, cuando el riesgo es mayor (por ejemplo, con personas expuestas políticamente o transacciones con activos virtuales), aplique una debida diligencia intensificada.
Monitoree las operaciones y reporte a la UIAF las que resulten sospechosas.
Capacite al personal y mantenga el sistema actualizado.
Documente todo. Cada consulta, cruce, decisión y alerta debe quedar con su soporte.
En RISKS INTERNATIONAL, una empresa con más de 15 años de experiencia, ayudamos a las organizaciones a implementar el sistema que les aplique o que estén obligadas a implementar, desde el diagnóstico inicial hasta la puesta en marcha. ¿No sabe cuál de los sistemas está obligada a implementar? Contáctenos: contamos con un equipo de especialistas para ayudarle.
Un ejemplo reciente: el sector transporte
El sector transporte es un buen ejemplo de cómo cambian las reglas. La Superintendencia de Transporte reemplazó el SIPLAFT por el SARLAFT con la Resolución 2328 de 2025 y dio plazo hasta el 6 de mayo de 2026 para implementarlo. Desde esa fecha, ya no basta con decir que se tiene: hay que demostrar que funciona, es decir, que la empresa valida vehículos, propietarios, conductores y terceros y que puede probarlo.
Además, con la Resolución 4607 de 2026, las empresas con ingresos iguales o superiores a 142.206,50 UVB deben implementar el SARLAFT pleno, y las que están por debajo aplican un Régimen de Medidas Simplificadas. Y si no cumplen, las multas pueden ir de 1 a 2.000 salarios mínimos mensuales legales vigentes, según la Ley 336 de 1996.
Errores comunes al implementarlo
Tener el manual, pero no la evidencia. Hoy lo que se mira es si la empresa puede mostrar consultas, soportes, cruces y decisiones, no solo documentos.
Confundir el sistema que le corresponde. Implementar el SARLAFT cuando le aplica el SAGRILAFT o su nueva denominación, o al revés, es trabajar sobre la norma equivocada.
Revisar solo una parte. Mirar al cliente, pero no a quién está detrás, o al conductor, pero no al dueño del vehículo.
Dejar al oficial de cumplimiento solo. Sin respaldo de la alta dirección, el sistema se queda en el papel.
No actualizar. Las normas cambian y los riesgos también.
El SARLAFT no es un trámite ni un manual que se escribe una vez y se guarda en un cajón. Es la forma de saber con quién hace negocios, qué riesgos está asumiendo y poder demostrar que revisó antes de decidir. Y el primer paso es el más sencillo: saber qué norma le corresponde.
En RISKS INTERNATIONAL tenemos una convicción clara: la gestión de riesgos no debe verse solo como una obligación legal, sino como un escudo estratégico para proteger el valor de su organización. Por eso, acompañamos tanto a las empresas que están legalmente obligadas como a aquellas que, por convicción y buenas prácticas, deciden adelantarse a las amenazas del entorno.
Al final del día, blindar su operación y fomentar una cultura de transparencia siempre será una inversión mucho más inteligente que asumir los costos económicos, operativos y reputacionales de una sanción o, en el peor de los escenarios, el cierre definitivo del negocio. Más que cumplirle a un ente de control, se trata de asegurar la sostenibilidad y la confianza a largo plazo de su compañía.
Por: Luisa Caicedo
Únase al canal de InfoCompliance para estar informado cada semana de lo que cambia en regulación, tipologías y supervisión, directo en su WhatsApp.
https://www.compliance.com.co/tributacion-criminal-extorsion-grupo-egmont-colombia/