Blog · Cumplimiento y LA/FT
SARLAFT, SAGRILAFT y PTEE: cuál le aplica a tu empresa
En Colombia conviven tres siglas que suenan parecido y se confunden todos los días: SARLAFT, SAGRILAFT y PTEE. No son sinónimos, no las exige el mismo supervisor y no se implementan igual. Saber cuál te aplica, y por qué a veces te aplican dos, es lo que separa un programa de cumplimiento útil de una carpeta que nadie abre.
Tres siglas, tres orígenes distintos
La confusión nace de un hecho simple: Colombia no reguló la prevención del lavado de activos con una sola norma para todo el mundo. Cada supervisor diseñó su propio esquema para el universo de entidades que vigila, y con el tiempo se sumó un tercer sistema que ni siquiera trata sobre lavado, sino sobre corrupción y soborno. Las tres siglas coexisten porque responden a poblaciones reguladas diferentes.
La pregunta correcta, entonces, no es cuál sistema es mejor, sino quién vigila a tu empresa y bajo qué condiciones queda obligada. Eso define el alcance del programa, quién lo aprueba y qué te van a pedir en una visita.
- SARLAFT: sistema de administración del riesgo de lavado de activos y financiación del terrorismo, propio de las entidades vigiladas por la Superintendencia Financiera.
- SAGRILAFT: sistema de autocontrol y gestión del riesgo integral de LA/FT, dirigido a empresas del sector real que quedan dentro del ámbito fijado por la Superintendencia de Sociedades.
- PTEE: programa de transparencia y ética empresarial, centrado en corrupción y soborno transnacional, también bajo la órbita de Supersociedades.
SARLAFT: el estándar del sector financiero
SARLAFT es el sistema más maduro y el más exigente en infraestructura. Aplica a las entidades vigiladas por la Superintendencia Financiera: bancos, aseguradoras, sociedades comisionistas de bolsa, fiduciarias y demás actores del mercado financiero y de valores. Parte de una lógica de administración de riesgo, no de una lista de tareas: la entidad debe identificar, medir, controlar y monitorear su exposición al riesgo de LA/FT de forma continua.
En la práctica eso se traduce en segmentar los factores de riesgo (clientes, productos, canales de distribución y jurisdicciones), construir señales de alerta consistentes con esa segmentación y monitorear operaciones contra el perfil esperado de cada segmento. El conocimiento del cliente no termina en la vinculación: incluye identificación del beneficiario final, tratamiento reforzado para personas expuestas políticamente y actualización periódica de la información.
El sistema exige además una arquitectura organizacional definida: oficial de cumplimiento con nivel jerárquico suficiente y designación surtida ante el supervisor, respaldo de la junta directiva, revisión independiente, capacitación documentada y soporte tecnológico para sostener el monitoreo. Los reportes van a la UIAF, empezando por el de operaciones sospechosas.
SAGRILAFT: la versión del sector real
SAGRILAFT nació para llevar la prevención de LA/FT a empresas que no son financieras: manufactura, comercio, servicios, construcción, agroindustria. No cubre a todas las sociedades del país. La Superintendencia de Sociedades delimita el ámbito según criterios como el volumen de ingresos o de activos y la pertenencia a determinados sectores considerados de mayor exposición. Esos criterios se actualizan, así que el punto de partida es verificar la circular vigente contra los estados financieros del cierre correspondiente.
El enfoque es de autocontrol y gestión de riesgo, adaptado a empresas que no tienen la estructura de un banco, pero con el mismo esqueleto conceptual: política aprobada por el máximo órgano social, matriz de riesgo propia, debida diligencia sobre contrapartes con procedimientos intensificados para las de mayor riesgo, consulta de listas vinculantes, señales de alerta, capacitación, conservación documental y auditoría.
La figura del oficial de cumplimiento también aparece aquí, con requisitos de idoneidad e independencia y con la obligación de rendir informes al órgano de administración. Y aunque la empresa no sea financiera, sigue reportando a la UIAF cuando detecta operaciones sospechosas.
PTEE: transparencia y ética, no lavado de activos
Aquí está el error conceptual más común. El PTEE no es la versión pequeña de SAGRILAFT: apunta a otro riesgo. Su objeto es prevenir la corrupción y el soborno transnacional, es decir, el pago o el ofrecimiento de beneficios indebidos a servidores públicos, en Colombia o en el exterior, para obtener negocios o ventajas.
Por eso su contenido se ve distinto. En lugar de monitoreo transaccional, el centro son las contrapartes y las situaciones donde el riesgo se materializa: intermediarios comerciales, gestores de trámites, contratación con entidades públicas, donaciones, patrocinios, gastos de representación y atenciones. La debida diligencia verifica la razón de negocio de cada tercero y la proporcionalidad de lo que se le paga.
- Compromiso explícito y verificable de la alta dirección.
- Evaluación de riesgos de corrupción y soborno propia del negocio, por país, por línea y por tipo de contraparte.
- Debida diligencia sobre terceros que actúan frente a la administración pública.
- Canal de denuncias con protección real al denunciante y política de no represalias.
- Investigaciones internas, régimen disciplinario y capacitación dirigida a los cargos expuestos.
Por qué una misma empresa puede estar sujeta a más de uno
La obligación no se asigna por tamaño ni por sector únicamente: se asigna por criterios que pueden cumplirse a la vez. Una sociedad del sector real que supera el umbral de SAGRILAFT y además exporta o participa en contratación pública puede quedar obligada también a implementar PTEE. Son dos deberes simultáneos, con dos matrices de riesgo distintas, porque protegen contra amenazas distintas.
Los grupos empresariales complican más el mapa. Una matriz vigilada por la Superintendencia Financiera opera con SARLAFT, mientras que sus filiales del sector real pueden caer bajo el ámbito de Supersociedades. El resultado es un mismo grupo con marcos paralelos y supervisores diferentes, lo que obliga a definir qué se estandariza a nivel corporativo y qué se resuelve entidad por entidad. La respuesta, en cada caso, puede ser ninguno, uno o dos sistemas.
Qué comparten los tres en la práctica
Aunque los supervisores y los riesgos difieran, los tres sistemas comparten un mismo método, heredado del enfoque basado en riesgo que promueve el GAFI. Entender esa columna vertebral evita duplicar trabajo y permite reutilizar procesos, siempre que se documente por separado lo que cada norma exige.
- Órgano de administración comprometido: la política se aprueba arriba y deja rastro en actas.
- Un responsable identificable: oficial de cumplimiento con funciones escritas, independencia y acceso directo a la administración.
- Riesgo medido, no intuido: matriz construida con la operación real de la empresa, no con una plantilla genérica.
- Debida diligencia sobre contrapartes, con intensidad proporcional al riesgo detectado.
- Capacitación dirigida a quienes toman decisiones expuestas, no una charla anual igual para todos.
- Evidencia: si no está documentado, para el supervisor no ocurrió.
Esa última línea resume buena parte de los hallazgos en visitas. Muchas empresas hacen controles razonables y no los pueden probar.
Errores frecuentes al implementar
El primero es copiar un manual ajeno. Un documento descargado describe la operación de otra empresa, con otros clientes, otros canales y otros países. El supervisor lo detecta rápido: basta preguntar por qué una señal de alerta está redactada así y nadie sabe responder.
El segundo es nombrar un oficial de cumplimiento sin condiciones para ejercer. Si el cargo depende de la gerencia comercial, si no tiene tiempo asignado o si no puede escalar un caso incómodo, el sistema existe solo en el papel. La independencia no es un adorno normativo: es lo que hace posible que un reporte salga cuando debe salir.
El tercero es tratar la matriz de riesgo como un entregable de una sola vez: si la empresa abrió una línea de negocio, entró a un país nuevo o cambió de canal de venta y la matriz sigue igual, quedó desactualizada.
Ruta corta de diagnóstico
Antes de contratar asesores o comprar software, ordena la decisión con una secuencia simple y documenta cada paso con soportes verificables.
- Identifica el supervisor de la sociedad y de cada empresa del grupo.
- Contrasta ingresos, activos y sector contra los criterios de ámbito vigentes que fija el supervisor; no asumas los del año anterior.
- Mapea las operaciones que te exponen: contratación pública, comercio exterior, intermediarios, efectivo, terceros que gestionan trámites.
- Define si necesitas SARLAFT, SAGRILAFT, PTEE o una combinación, y deja constancia del análisis aunque la conclusión sea que no aplica ninguno.
- Diseña el programa sobre tu operación real y fija fechas de revisión.
Ese análisis inicial es el que respalda a la administración cuando alguien pregunta por qué la empresa no implementó un sistema: una decisión sustentada se defiende, una omisión sin papeles no. Quien lidere el proceso necesita entender los tres marcos a fondo, no solo uno.
Preguntas frecuentes
¿SAGRILAFT y PTEE son lo mismo?
No. SAGRILAFT previene lavado de activos y financiación del terrorismo; el PTEE previene corrupción y soborno transnacional. Comparten método y a veces oficial de cumplimiento, pero exigen matrices de riesgo y controles distintos.
¿Una empresa puede tener que implementar dos sistemas a la vez?
Sí, y es más común de lo que parece. Los criterios de ámbito son independientes entre sí, así que una sociedad puede cumplir a la vez las condiciones de SAGRILAFT y las del PTEE. En ese caso debe sostener ambos programas con documentación separada.
¿El oficial de cumplimiento puede ser el mismo para SAGRILAFT y PTEE?
En la práctica muchas empresas concentran ambos roles en una sola persona. Lo que no puede faltar es idoneidad, independencia y tiempo real para ejercer las dos funciones sin que una desplace a la otra.
¿Qué pasa si mi empresa no queda obligada a ninguno?
Sigues sujeta a las normas generales, incluidas las de responsabilidad penal y las obligaciones de reporte que apliquen a tu actividad. Conviene documentar el análisis que concluyó que no aplicaba, con las cifras y criterios usados.