SARLAFT y SAGRILAFT: qué son y qué debes tener implementado
Si tu empresa está vigilada por una superintendencia, es probable que tenga que demostrar que conoce a sus contrapartes y que evalúa su riesgo antes de vincularlas. No es un formalismo de papel: lo que se revisa es el proceso y su evidencia.
Qué significan las siglas
SARLAFT es el Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo. SAGRILAFT es el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva, propio del sector real.
Cambian el nombre, la superintendencia y el alcance. La mecánica de fondo es la misma: conoce a tu contraparte, mide su riesgo, documenta lo que hiciste y vuelve a revisarlo con el tiempo.
Los cinco pilares
- 1
Conocimiento de la contraparte
Un formulario que capture la información mínima antes de vincular: identificación, actividad económica, origen de fondos, estructura societaria y beneficiario final.
- 2
Consulta en listas restrictivas
Verificar si la contraparte aparece en listados de sanciones internacionales, si es una persona expuesta políticamente o si tiene antecedentes relevantes.
- 3
Matriz de riesgo
Un criterio explícito y documentado para clasificar el riesgo: país, actividad económica, tipo de contraparte y canal, entre otros factores.
- 4
Evidencia y trazabilidad
El soporte de cada consulta con fecha y responsable, y el registro de qué se decidió con esa información.
- 5
Monitoreo periódico
Repetir la verificación con una frecuencia definida según el nivel de riesgo de cada contraparte.
El error más común
Hacer el proceso y no poder probarlo. Muchas empresas efectivamente consultan a sus contrapartes, pero el registro vive en una hoja de cálculo que cualquiera puede editar, sin fecha cierta y sin el soporte de la consulta original.
Frente a una visita, la pregunta no es si sabías: es si puedes demostrar cuándo lo supiste y qué hiciste con esa información.
Cómo ayuda Validocus
Validocus reúne en un solo flujo el formulario de conocimiento, la verificación de identidad y de empresa, la consulta en listas restrictivas, el scoring de riesgo y la firma con evidencia — dejando el rastro auditable de cada paso, con monitoreo periódico y alertas.
Validocus es una herramienta de apoyo al cumplimiento. La responsabilidad frente a la autoridad es siempre de la empresa obligada y de su oficial de cumplimiento.
¿Tu empresa cumple?
Ocho preguntas, dos minutos, y un informe con el detalle de lo que te falta.
Hacer el diagnóstico gratuitoPreguntas frecuentes
¿Cuál es la diferencia entre SARLAFT y SAGRILAFT? +
Son sistemas equivalentes en propósito —prevenir el lavado de activos y la financiación del terrorismo— pero provienen de superintendencias distintas y aplican a sectores distintos. SARLAFT es el término usado históricamente en el sector financiero y en sectores vigilados como transporte; SAGRILAFT es el del sector real, bajo la Superintendencia de Sociedades. La lógica operativa es muy parecida: conocer a la contraparte, evaluar su riesgo, documentar y monitorear.
¿Qué empresas están obligadas? +
Depende de la superintendencia que las vigile y de los criterios que esta defina (sector, ingresos, activos o actividad). No es una lista fija ni universal: cada régimen tiene su propio alcance y sus propios umbrales. Si tienes dudas sobre tu caso, confírmalo con tu asesor jurídico o con la superintendencia que te vigila.
¿Qué es la debida diligencia de la contraparte? +
Es el proceso de conocer a quien vas a vincular antes de hacerlo: identificar a la persona o empresa, saber quién la representa y quiénes son sus beneficiarios finales, consultar si aparece en listas restrictivas y evaluar su nivel de riesgo. La debida diligencia intensificada aplica a los casos de mayor riesgo, con verificaciones adicionales.
¿Basta con hacer la consulta una vez? +
No. Las circunstancias de una contraparte cambian con el tiempo: aparecen registros nuevos, cambian los representantes legales, vencen documentos. Por eso los regímenes contemplan monitoreo periódico y actualización de la información, no una verificación única al momento de vincular.
¿Qué evidencia hay que conservar? +
Lo esencial es poder demostrar el proceso, no solo el resultado: qué se consultó, cuándo, quién lo hizo, qué arrojó la consulta y qué se decidió con esa información. Sin fecha ni responsable identificable, la evidencia pierde valor probatorio.