La Superintendencia de Sociedades reescribió el SAGRILAFT en julio de 2026. Cambió el nombre, cambiaron los umbrales, entraron sectores nuevos y el plazo para ajustarse ya corre. Esta guía explica, con la norma en la mano, quién está obligado y qué hay que hacer.

El SAGRILAFT nació en 2020 como el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo, exigido por la Superintendencia de Sociedades a las empresas del sector real. Desde el 2 de julio de 2026, la Circular Externa 100-000020, la nueva Circular Básica Jurídica, derogó la Circular 100-000016 de 2020 y unificó el SAGRILAFT con el PTEE en un solo sistema: el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST, regulado en su Capítulo IX. La sigla LA/FT/FP cubre el lavado de activos, la financiación del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva; C/ST, la corrupción local y el soborno transnacional.

En la práctica todo el mundo sigue diciendo SAGRILAFT, y en este artículo también lo haremos. Lo importante es saber que la norma que rige hoy es otra, y que quien ya tenía el sistema implementado también tiene tarea.

Paso 1: determine si su empresa está obligada

La obligación no depende de lo que la empresa crea, sino de tres datos objetivos: quién la supervisa, cuál es su actividad económica registrada (código CIIU) y cuánto facturó o cuántos activos tenía al 31 de diciembre del año anterior. Los umbrales están en Unidades de Valor Básico (UVB), que para 2026 valen $12.110 cada una según la Resolución 3488 de 2025 del Ministerio de Hacienda.

Hay dos niveles de obligación.

Régimen pleno: el sistema completo

Deben implementar el sistema completo (numerales 9.4 y 9.5 de la Circular):

Las sociedades vigiladas o controladas por Supersociedades, de cualquier sector, con ingresos totales o activos totales iguales o superiores a 4.929.017 UVB, es decir, unos $59.690 millones.
Las sociedades vigiladas o controladas de seis sectores, con un umbral más bajo: 3.696.762 UVB, unos $44.768 millones. Son los agentes inmobiliarios (CIIU 6810 y 6820), la comercialización de metales y piedras preciosas, los servicios jurídicos (6910), los servicios contables (6920), la construcción de edificios y obras civiles (4111, 4112, 4210, 4220 y 4290) y el comercio de vehículos (4511, 4512 y 4541).
Quienes operan con activos virtuales: reciban aportes en activos virtuales desde 12.323 UVB (unos $149 millones), o presten servicios de intercambio, transferencia o custodia de activos virtuales por ese monto y además superen 369.676 UVB de ingresos o 616.127 UVB de activos. Para ellos la debida diligencia es siempre intensificada.
Los regímenes especiales, sin umbral: las administradoras de planes de autofinanciamiento comercial, las operadoras de libranza, las empresas de mercadeo multinivel, los fondos ganaderos y las sociedades de factoring vigiladas.
Las cámaras de comercio con ingresos ordinarios desde 4.929.017 UVB y Confecámaras.

Régimen de Medidas Mínimas: para quien no supera el umbral pleno

Aquí está el cambio que más empresas afecta. El Régimen de Medidas Mínimas (numeral 9.6) no exige que la empresa sea vigilada: basta con que su actividad esté en uno de los sectores listados y que al 31 de diciembre anterior haya tenido ingresos totales desde 369.676 UVB, unos $4.477 millones, o activos totales desde 616.127 UVB, unos $7.461 millones.

Los sectores del Régimen de Medidas Mínimas son diez:

Agentes inmobiliarios.
Comercialización de metales y piedras preciosas.
Servicios jurídicos.
Servicios contables.
Comercio de vehículos.
Infraestructura y construcción.
Sector farmacéutico (CIIU 2011, 2100, 3250 y 4645). Nuevo en 2026.
Sector manufacturero, con una lista de 29 códigos CIIU que va desde alimentos y bebidas hasta químicos, plásticos, textiles, papel y metales. Nuevo en 2026.
Sector minero-energético (B05, B07 y 4662). Nuevo en 2026.
Cámaras de comercio con ingresos entre 1.109.029 y 4.929.017 UVB.

La consecuencia práctica: una fábrica de alimentos, un laboratorio o una distribuidora farmacéutica con ventas de $4.500 millones al año, que nunca antes estuvo obligada a nada en materia de lavado de activos, hoy sí lo está. Y no necesita ser vigilada por Supersociedades para que le apliquen las sanciones del numeral 9.27.

Un detalle que cuesta caro: la permanencia

Si su empresa queda obligada y al año siguiente baja del umbral, no se libera de inmediato. El numeral 9.30 fija un periodo mínimo de permanencia: dos años adicionales para el régimen pleno y un año para el de medidas mínimas.

Paso 2: entienda qué le exige cada régimen

La Circular es clara en que no acepta el paper compliance: un sistema copiado de otra empresa, que no refleja los riesgos propios, se considera incumplido aunque esté impreso y firmado (numeral 9.7.1). Con esa advertencia, esto es lo que cada régimen pide.

Elemento	Régimen pleno (9.7 a 9.20)	Medidas mínimas (9.21)
Responsable	Oficial de Cumplimiento principal y suplente, designados por la junta directiva o el máximo órgano social	El representante legal
Documentos	Política y manual de procedimientos aprobados, con las responsabilidades de cada órgano por escrito	Política y procedimientos proporcionales al tamaño y al riesgo
Gestión del riesgo	Matriz de riesgos con las cuatro etapas: identificación, medición, control y monitoreo	Análisis de la materialidad del riesgo según negocio, tamaño y zonas de operación
Contrapartes	Debida diligencia de clientes, proveedores, empleados y asociados, incluido el beneficiario final; intensificada en casos de mayor riesgo	Debida diligencia básica
Reportes	Reporte de operaciones sospechosas (ROS) a la UIAF, canal de denuncias confidencial y reporte de soborno transnacional a Supersociedades	Reportes a la UIAF y canales de comunicación
Capacitación	Programa anual, coordinado por el Oficial de Cumplimiento	Divulgación y capacitación
Control	Revisoría fiscal y auditoría; informe anual del oficial a la junta; actualización del sistema al menos cada dos años	Verificación del representante legal

Paso 3: designe al Oficial de Cumplimiento (régimen pleno)

Es la decisión que más revisa la Superintendencia, y la que más errores genera. El Oficial de Cumplimiento depende directamente de la junta directiva o, si no la hay, del máximo órgano social; no del gerente. Los requisitos del numeral 9.9.2 son:

Título profesional.
Al menos un año de experiencia en cargos de cumplimiento o gestión de riesgos LA/FT/FP y C/ST.
Formación acreditada en gestión de estos riesgos: especialización, maestría o diplomado de mínimo 90 horas con certificado que indique contenido e intensidad. Esa formación se actualiza cada tres años.
Domicilio en Colombia.
Si el oficial es externo y trabaja para una firma, la firma debe acreditar experiencia en gestión de riesgos LA/FT/FP y C/ST.

Y las prohibiciones del numeral 9.9.3, que descalifican a los candidatos más obvios:

No puede ser el representante legal, ni miembro de la junta, ni ningún administrador en los términos del artículo 22 de la Ley 222 de 1995.
No puede ser socio o accionista de la empresa.
No puede ser el revisor fiscal ni el auditor, ni estar vinculado a la firma que presta esos servicios.
No puede atender más de diez empresas, salvo que pertenezcan a un mismo grupo empresarial.

La designación se informa a Supersociedades mediante el informe no financiero, dentro de los 15 días hábiles siguientes a la reunión en que se nombró, con la hoja de vida, los certificados de formación, el extracto del acta, la certificación de requisitos, el certificado de ausencia de inhabilidades firmado por el representante legal y la constancia del registro del oficial en el SIREL de la UIAF. Si el oficial renuncia o es removido, la empresa tiene 30 días calendario para nombrar al reemplazo; mientras tanto, el representante legal asume sus funciones.

Paso 4: construya el sistema, no el archivador

Con el oficial designado, la ruta de implementación que seguimos en la práctica es esta:

Diagnóstico de riesgo. Sector, actividad, zonas donde opera, tipos de contrapartes, canales, contratos con el Estado, operaciones en efectivo. De aquí sale la matriz, no al revés.
Política y manual. Redactados sobre el diagnóstico y aprobados por la junta directiva, con la fecha en acta. Deben incluir las funciones de la junta, del representante legal, del oficial y de la revisoría fiscal.
Matriz de riesgos. Las cuatro etapas del numeral 9.14: identificar los factores de riesgo, medirlos, definir controles y monitorearlos. Es el documento que la Superintendencia pide ver alimentado, no en blanco.
Procedimiento de debida diligencia. Formatos de vinculación, verificación de identidad y de beneficiario final, consulta en listas restrictivas y criterios para la debida diligencia intensificada (personas expuestas políticamente, operaciones en efectivo, activos virtuales, contrapartes de jurisdicciones de riesgo).
Canal de denuncias y señales de alerta. Un canal confidencial y anónimo, y una lista de señales de alerta ajustada al negocio.
Registro en el SIREL y reportes a la UIAF. El oficial se registra en el sistema de la UIAF y reporta las operaciones sospechosas; la Circular exige herramientas tecnológicas que generen alertas, no solo la intuición de un funcionario.
Capacitación y evidencia. Programa anual con listas de asistencia y evaluaciones. Sin evidencia, la capacitación no existe para el supervisor.
Conservación. Los soportes de cada operación analizada se conservan en los términos del artículo 28 de la Ley 962 de 2005 (numeral 9.22).

Paso 5: tenga presente los plazos

Quien ya tenía SAGRILAFT o PTEE bajo las circulares de 2020, 2021 y 2024 debe ajustar su sistema a la nueva Circular a más tardar el 31 de mayo de 2027 (numeral 9.29). Hasta entonces, el sistema actual se entiende válido.
Quien queda obligado por primera vez tiene el plazo del numeral 9.28, contado desde el cierre del ejercicio en que superó el umbral. Si su empresa cerró 2025 por encima del umbral, la obligación ya nació.
Las sanciones del numeral 9.27 recaen sobre la sociedad, sus administradores, el Oficial de Cumplimiento y el revisor fiscal, con fundamento en el numeral 3 del artículo 86 de la Ley 222 de 1995, y se tasan en UVB al valor vigente cuando se impongan.

Las preguntas que más nos hacen

¿Mi empresa no es vigilada por Supersociedades; entonces no me aplica? Depende del régimen. Para el sistema pleno sí se requiere la vigilancia o el control. Para el Régimen de Medidas Mínimas, no: basta el sector y el umbral.

¿Puedo nombrar al contador como Oficial de Cumplimiento? Si es el revisor fiscal, no. Si es un contador de planta que no es administrador ni socio y cumple los requisitos de formación y experiencia, sí.

¿Puedo tercerizar el oficial? Sí. La Circular lo contempla expresamente: cuando el oficial no es empleado y está vinculado a una persona jurídica, esa firma debe acreditar experiencia en la materia. Es la figura que ofrecemos en Cumplimiento Integral LegalFA.

¿El SAGRILAFT es lo mismo que el SARLAFT? No. Son regímenes de autoridades distintas. Lo explicamos en SARLAFT, SAGRILAFT y SIPLAFT: en qué se diferencian.

Fuentes

Superintendencia de Sociedades, Circular Externa 100-000020 del 2 de julio de 2026, Circular Básica Jurídica, Capítulo IX.
Ministerio de Hacienda, Resolución 3488 del 31 de diciembre de 2025, valor de la UVB para 2026.
Ley 2294 de 2023, artículo 313; Ley 222 de 1995, artículos 22 y 86.

Si no sabe si su empresa está obligada, o la tiene obligada y no sabe por dónde empezar, en LegalFA hacemos la evaluación inicial sin costo: revisamos su CIIU y sus cifras de cierre, le decimos qué régimen le aplica y qué le falta. Escríbanos o hable con un consultor por WhatsApp.

SAGRILAFT paso a paso: quién está obligado en 2026 y cómo implementarlo