SARLAFT: qué exige y a quién obliga

Las instrucciones sobre administración del riesgo de lavado de activos y financiación del terrorismo están en la Circular Básica Jurídica de la Superintendencia Financiera, Parte I, Título IV, Capítulo IV.

La denominación «SARLAFT 4.0», habitual en el sector, procede de la modificación introducida por la Circular Externa 027 de 2020, que reformuló el capítulo con un enfoque de segmentación y riesgo y abrió la puerta al uso de tecnología en la vinculación de clientes. El capítulo ha recibido modificaciones posteriores, de modo que la referencia válida es siempre el texto consolidado vigente.

Conviene no confundirlo con los regímenes SARLAFT de otros supervisores —como el expedido para el sector transporte—, que son marcos distintos con sus propias normas.

Aplica a las entidades sometidas a la vigilancia de la Superintendencia Financiera: establecimientos de crédito, sociedades de servicios financieros, aseguradoras, sociedades comisionistas de bolsa, administradoras de fondos y demás vigilados, con las particularidades que la norma prevé para cada tipo.

Las sociedades del sector real no están sujetas al SARLAFT. Su régimen es el de la Superintendencia de Sociedades, que en 2026 unificó el SAGRILAFT y el programa de transparencia en un solo sistema.

El SARLAFT se estructura sobre etapas de gestión del riesgo —identificación, medición, control y monitoreo— y sobre elementos que las hacen operativas:

• Políticas aprobadas por la junta directiva y procedimientos que las desarrollen.
• Un oficial de cumplimiento con posición y recursos suficientes.
• Segmentación de factores de riesgo: clientes, productos, canales y jurisdicciones.
• Conocimiento del cliente y del beneficiario final, con diligencia intensificada para los casos de mayor riesgo, entre ellos las personas expuestas políticamente.
• Monitoreo de operaciones y reporte a la Unidad de Información y Análisis Financiero.
• Capacitación, auditoría y conservación documental.

La consulta de listas es parte del conocimiento del cliente y del monitoreo, no un sistema separado. Dentro del SARLAFT conviene mantener la distinción que la propia práctica regulatoria establece: las listas del Consejo de Seguridad de la ONU son vinculantes, mientras que otras —señaladamente las de la OFAC— se consultan como parte de la debida diligencia esperada.

Para una entidad financiera colombiana la lista de la OFAC tiene además una dimensión propia: su relación con bancos corresponsales en dólares depende de que su programa de cumplimiento resulte creíble ante esas contrapartes. Esa es, en la práctica, la razón de fondo por la que las entidades aplican criterios estrictos.

• Consultar listas sin un procedimiento escrito para resolver las coincidencias: cada analista decide por su cuenta y no hay trazabilidad.
• Trabajar sobre descargas desactualizadas del listado en lugar de la fuente vigente.
• No documentar el descarte de una coincidencia, de modo que la alerta se reproduce en cada revisión.
• Confundir una coincidencia en una base comercial con una designación, y terminar la relación sin fundamento.
• Dejar sin identificar al beneficiario final, que es precisamente donde opera la regla del 50 % de la OFAC.

¿El SARLAFT aplica a mi empresa del sector real?

No. El SARLAFT es el régimen de los vigilados por la Superintendencia Financiera. Las sociedades del sector real responden ante la Superintendencia de Sociedades.

¿Qué es el reporte a la UIAF?

La obligación de informar a la Unidad de Información y Análisis Financiero sobre operaciones sospechosas y otros reportes que la norma establece. El reporte no equivale a una acusación.

¿Puede un banco cerrar una cuenta por una coincidencia?

Puede adoptar medidas conforme a su política de riesgo. Lo que debe existir es un procedimiento que permita confirmar o descartar la coincidencia antes de decidir.