SARLAFT para No Expertos: Qué Es, Para Qué Sirve y Cómo Certificarte

Introducción

El SARLAFT (Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo) es el conjunto de políticas, procedimientos y controles con que las entidades vigiladas por la Superintendencia Financiera de Colombia identifican, miden, controlan y monitorean el riesgo de ser usadas para lavar dinero o financiar el terrorismo. En el sector real, el sistema equivalente es el SAGRILAFT. Si en tu empresa mencionaron alguna de estas siglas y no tuviste claro de qué hablaban, aquí tienes qué es el SARLAFT explicado sin tecnicismos y con la norma vigente.

Entender qué es el SARLAFT importa hoy más que antes. El 2 de julio de 2026, la Superintendencia de Sociedades expidió la Circular Externa 100-000020, que reexpidió su Circular Básica Jurídica y unificó el SAGRILAFT con el PTEE en un solo sistema de autocontrol y gestión de riesgos (Fuente: Superintendencia de Sociedades, Circular Externa 100-000020 de 2026). El SARLAFT del sector financiero, en cambio, se rige por las instrucciones de la Superintendencia Financiera. Por eso conviene distinguir cada sistema y aprender sobre la norma actual, no sobre la de 2020.

En este artículo encuentras qué es el SARLAFT, sus cuatro etapas, quién está obligado a aplicarlo, qué cambió con la nueva circular, cómo se compara con el SAGRILAFT, el SIPLAFT y la ISO 37301, y qué hace un oficial de cumplimiento. También aclaramos una duda muy frecuente: la diferencia entre la certificación SARLAFT que te piden en una empresa y un certificado de formación. En el Politécnico de Suramérica puedes estudiar el diplomado SARLAFT sin costo; el certificado es opcional y cuesta COP 80.000 (USD 25). Este contenido es informativo y no reemplaza la asesoría de un profesional.

Índice

1. Introducción
2. ¿Qué es el SARLAFT en Colombia?
3. ¿Para qué sirve el SARLAFT?
4. ¿Quién está obligado a tener SARLAFT o SAGRILAFT?
5. Circular 100-000020 de 2026: qué cambió (SAGRILAFT y PTEE unificados)
6. SARLAFT, SAGRILAFT, SIPLAFT e ISO 37301: comparativa
7. ¿Certificación SARLAFT de la empresa o certificado de formación?
8. ¿Qué hace un oficial de cumplimiento?
9. ¿Cuál diplomado es para ti?
10. Más recursos
11. Preguntas frecuentes sobre SARLAFT
12. Conclusión

¿Qué es el SARLAFT en Colombia?

SARLAFT son las siglas de Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo. En términos simples, es el conjunto de políticas, procedimientos, controles y registros que una entidad debe tener para identificar, medir, controlar y monitorear el riesgo de que sus operaciones sean usadas para lavar dinero o financiar el terrorismo. Para las entidades vigiladas por la Superintendencia Financiera, las instrucciones del SARLAFT están en la Circular Básica Jurídica (Parte I, Título IV, Capítulo IV), con fundamento en los artículos 102 a 107 del Estatuto Orgánico del Sistema Financiero (Fuente: Superintendencia Financiera de Colombia, Circular Básica Jurídica).

Piénsalo como el sistema de filtros de una empresa. Igual que un hospital verifica que sus medicamentos y proveedores sean legítimos, una entidad con SARLAFT verifica que sus clientes, proveedores y socios sean quienes dicen ser, y que sus transacciones tengan sentido económico real.

El SARLAFT no es un trámite que se hace una sola vez. Es un sistema que vive dentro de la organización: se documenta en un manual, tiene un responsable que es el oficial de cumplimiento, se explica al personal mediante capacitaciones y se revisa de forma periódica para ajustarlo cuando cambian los clientes, los productos o la norma.

¿Cuáles son las 4 etapas del SARLAFT?

El SARLAFT funciona en cuatro etapas que se repiten de forma continua (Fuente: Superintendencia Financiera de Colombia, Circular Básica Jurídica):

• Identificación. La entidad mapea sus factores de riesgo: clientes, productos, canales de distribución y jurisdicciones.
• Medición. Estima la probabilidad y el impacto de cada factor para asignarle un nivel de riesgo (bajo, medio o alto).
• Control. Aplica medidas proporcionales al nivel de riesgo. Un cliente de riesgo alto requiere una debida diligencia más exhaustiva.
• Monitoreo. Revisa de forma permanente las operaciones para detectar lo que no encaja con el perfil del cliente. Las operaciones sospechosas se reportan a la Unidad de Información y Análisis Financiero (UIAF), creada por la Ley 526 de 1999.

¿Para qué sirve el SARLAFT?

El lavado de activos es el proceso con el que dinero de actividades ilegales, como el narcotráfico, la extorsión o la corrupción, se hace pasar por dinero legítimo. Para lograrlo, alguien necesita meterlo a la economía formal a través de empresas y transacciones que parezcan normales. Una empresa puede terminar involucrada sin saberlo: un cliente que paga en efectivo montos inusuales, un proveedor con una cadena de pagos difícil de rastrear o una sociedad que pide servicios desproporcionados frente a su tamaño.

La financiación del terrorismo funciona distinto: el dinero puede ser de origen lícito, pero su destino no lo es. Por eso cuesta más detectarla. El SARLAFT existe para que las entidades obligadas conozcan con quién hacen negocios y reporten a tiempo lo que no tiene una explicación económica clara.

Colombia hace parte del GAFILAT, el Grupo de Acción Financiera de Latinoamérica, organismo regional que promueve en la región las recomendaciones del GAFI, el estándar internacional contra el lavado de activos y la financiación del terrorismo. Las reglas colombianas se ajustan a ese estándar, y la UIAF es la entidad que recibe y analiza los reportes de operaciones sospechosas que hacen las entidades obligadas.

Señales de alerta: ejemplos sencillos

Estos ejemplos son orientativos y no reemplazan el manual de tu entidad. Algunas situaciones que suelen merecer una revisión más cuidadosa son:

• Pagos en efectivo por montos inusuales para el tipo de negocio o para el perfil del cliente.
• Clientes o proveedores que se resisten a entregar información básica sobre quiénes son o de dónde proviene su dinero.
• Operaciones que no tienen una justificación económica clara, como pagos que no corresponden con bienes o servicios reales.
• Transacciones hechas por terceros que no tienen relación aparente con el cliente.
• Cambios bruscos en la forma de operar de un cliente, sin una razón que los explique.

Detectar una señal de alerta no significa que haya un delito. Significa que la operación debe analizarse, documentarse y, si sigue sin explicación, reportarse por los canales que defina la norma.

¿Quién está obligado a tener SARLAFT o SAGRILAFT?

• SARLAFT: principalmente las entidades vigiladas por la Superintendencia Financiera de Colombia, como bancos, compañías de financiamiento, aseguradoras, fiduciarias y fondos de pensiones.
• SAGRILAFT: las sociedades vigiladas por la Superintendencia de Sociedades que cumplan los criterios que esa misma superintendencia define. Con la Circular Externa 100-000020 de 2026, esos criterios se basan en estar vigilada por la Superintendencia de Sociedades, en la actividad económica (código CIIU) y en umbrales de ingresos o activos expresados en UVB, la Unidad de Valor Básico (Fuente: Superintendencia de Sociedades, Circular Externa 100-000020 de 2026). Consulta el texto oficial antes de concluir si tu empresa está obligada.
• Otros supervisores: sectores como la economía solidaria, la salud o el transporte tienen instrucciones propias de prevención del lavado de activos. Allí aparecen otras siglas, como el SIPLAFT.

Circular 100-000020 de 2026: qué cambió (SAGRILAFT y PTEE unificados)

El 2 de julio de 2026, la Superintendencia de Sociedades expidió la Circular Externa 100-000020. Esta circular reexpidió la Circular Básica Jurídica e incorporó el nuevo Capítulo IX, el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST. Con ello derogó las circulares que regulaban por separado el SAGRILAFT (Circular Externa 100-000016 de 2020) y el PTEE (Circular Externa 100-000011 de 2021), y los unificó en un solo sistema (Fuente: Superintendencia de Sociedades, Circular Externa 100-000020 de 2026).

Las siglas, en simple

• LA: lavado de activos.
• FT: financiación del terrorismo.
• FP: financiamiento de la proliferación de armas de destrucción masiva.
• C/ST: corrupción y soborno transnacional.
• PTEE: Programa de Transparencia y Ética Empresarial, el programa con el que las sociedades gestionaban el riesgo de corrupción y soborno transnacional.

Antes y después

Entre otras novedades, la nueva circular exige designar un oficial de cumplimiento suplente y pide políticas más detalladas en temas como regalos, donaciones y contratación estatal (Fuente: Superintendencia de Sociedades, Circular Externa 100-000020 de 2026).

¿Y el SARLAFT del sector financiero? La Circular 100-000020 es de la Superintendencia de Sociedades. El SARLAFT de las entidades financieras lo regula la Superintendencia Financiera, por lo que esta circular no lo modifica directamente.

Si trabajas en una empresa vigilada por la Superintendencia de Sociedades, puedes empezar por aquí:

• Pregúntale al oficial de cumplimiento cómo se integrarán el SAGRILAFT y el PTEE en tu empresa y con qué plazos, teniendo presente la fecha del 31 de mayo de 2027.
• Identifica los documentos internos que todavía citan la Circular 100-000016 de 2020: manuales, políticas, formatos de vinculación de clientes y proveedores, y cláusulas contractuales.
• Lee el texto oficial de la Circular Externa 100-000020 en el sitio de la Superintendencia de Sociedades antes de tomar decisiones.

Este contenido es informativo y no reemplaza la asesoría de un profesional.

SARLAFT, SAGRILAFT, SIPLAFT e ISO 37301: comparativa

Las cuatro siglas suelen aparecer juntas, pero responden a supervisores y alcances distintos. Una confusión frecuente es pensar que el SIPLAFT reúne al SARLAFT y al SAGRILAFT. En realidad, SIPLAFT es la sigla que usan otros supervisores sectoriales para su propio sistema de prevención, mientras que la ISO 37301 es un estándar internacional de otra naturaleza.

La ISO 37301:2021 es la norma internacional para sistemas de gestión de compliance (cumplimiento normativo). Reemplazó a la ISO 19600, que era solo una guía de recomendaciones, y establece requisitos que una organización puede certificar ante un organismo de certificación independiente. A diferencia del SARLAFT o el SAGRILAFT, no es una obligación del Estado colombiano: es voluntaria.

Una aclaración útil sobre el diplomado de SAGRILAFT: su temario se construye sobre la normativa anterior a 2026, con la Circular Externa 100-000016 de 2020 como eje. Para los cambios de la Circular 100-000020, complementa tu estudio con la lectura del texto oficial de la Superintendencia de Sociedades. Si buscas una visión más amplia de compliance, el diplomado de Sistemas de Cumplimiento SIPLAFT e ISO 37301 integra el enfoque basado en riesgos con la estructura de la ISO 37301:2021.

¿Certificación SARLAFT de la empresa o certificado de formación?

No son lo mismo. Cuando un banco, un cliente o un proveedor te pide una «certificación SARLAFT», normalmente se refiere a un documento sobre tu empresa y su sistema de prevención. Un certificado de formación, en cambio, documenta lo que tú aprendiste. El certificado de un diplomado no certifica que una empresa cumpla SARLAFT o SAGRILAFT.

Cómo obtener el certificado de formación del Politécnico de Suramérica

1. Inscríbete al diplomado SARLAFT. Estudiarlo no tiene costo y recibes el acceso al campus en tu correo de inmediato.
2. Estudia a tu ritmo. El campus está disponible 24/7 y el diplomado no tiene fecha de cierre.
3. Si quieres el certificado, obtén una nota mínima de 60 puntos y paga COP 80.000 (USD 25), mientras avanzas o al terminar.
4. Recibe tu constancia digital con las 120 horas.

Consulta todos los detalles en el proceso de certificación.

¿Qué hace un oficial de cumplimiento?

El oficial de cumplimiento diseña, pone en marcha y supervisa el sistema de prevención de una organización. Es el enlace entre la alta dirección, los equipos operativos y las autoridades. Piénsalo como el director técnico del sistema: no juega en la cancha, pero define la estrategia, entrena al equipo y se asegura de que todos conozcan las reglas.

Sus funciones típicas incluyen:

• Mantener actualizado el manual y las políticas de prevención LA/FT.
• Coordinar la debida diligencia de clientes, proveedores y socios.
• Capacitar al personal en las señales de alerta que debe reportar.
• Monitorear operaciones inusuales y reportar las sospechosas a la UIAF cuando aplique.
• Custodiar la documentación del sistema para el supervisor.
• Hacer seguimiento a los cambios normativos, como la Circular 100-000020 de 2026.

Los requisitos para ser designado oficial de cumplimiento los fijan la norma de cada supervisor y la propia organización. Si quieres asumir ese rol, revisa las exigencias del supervisor de tu sector antes de definir tu ruta de formación.

¿Cuál diplomado es para ti?

Si trabajas o quieres trabajar en el sector financiero, empieza por SARLAFT. Si tu empresa es del sector real y la vigila la Superintendencia de Sociedades, sigue con SAGRILAFT. Si te asignaron el rol de oficial de cumplimiento, combina la ruta normativa del Politécnico de Suramérica con la ruta del rol en el Politécnico Intercontinental, institución aliada.

Ruta del Politécnico de Suramérica: la norma

Ruta del Politécnico Intercontinental: el rol

Todos se estudian sin costo. En cada uno decides si quieres certificado y cuándo pagarlo.

Más recursos

Si quieres explorar la oferta completa, puedes revisar el catálogo de diplomados virtuales del Politécnico de Suramérica y los diplomados virtuales del Politécnico Intercontinental. Y si tienes dudas sobre cómo funciona el certificado, el proceso de certificación explica cada paso.

Preguntas frecuentes sobre SARLAFT

¿Qué es el SARLAFT en Colombia?
El SARLAFT es el Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo. Reúne las políticas, procedimientos y controles con que las entidades vigiladas por la Superintendencia Financiera de Colombia evitan ser usadas para mover dinero de origen ilícito o financiar el terrorismo. Funciona en cuatro etapas: identificación, medición, control y monitoreo del riesgo.

¿Quién está obligado a tener SARLAFT?
Principalmente, las entidades vigiladas por la Superintendencia Financiera: bancos, compañías de financiamiento, aseguradoras, fiduciarias, fondos de pensiones y demás entidades del sistema financiero. Las sociedades del sector real vigiladas por la Superintendencia de Sociedades aplican el SAGRILAFT, y los criterios para estar obligado los define esa superintendencia. Otros supervisores sectoriales tienen sus propias instrucciones.

¿Cuáles son las 4 etapas del SARLAFT?
Identificación: la entidad mapea sus factores de riesgo (clientes, productos, canales y jurisdicciones). Medición: estima la probabilidad y el impacto de cada riesgo. Control: aplica medidas proporcionales, como una debida diligencia más exhaustiva para clientes de riesgo alto. Monitoreo: revisa de forma permanente las operaciones y reporta las sospechosas a la Unidad de Información y Análisis Financiero (UIAF).

¿Qué diferencia hay entre SARLAFT y SAGRILAFT?
Cambian el supervisor y el sector. El SARLAFT aplica sobre todo al sector financiero vigilado por la Superintendencia Financiera. El SAGRILAFT es el sistema de autocontrol del sector real vigilado por la Superintendencia de Sociedades e incluye el financiamiento de la proliferación de armas de destrucción masiva. Desde la Circular Externa 100-000020 de 2026, el SAGRILAFT se gestiona unificado con el PTEE.

¿Qué cambió con la Circular 100-000020 de 2026?
La Circular Externa 100-000020 del 2 de julio de 2026, de la Superintendencia de Sociedades, reexpidió la Circular Básica Jurídica, derogó las circulares que regulaban por separado el SAGRILAFT y el PTEE y los unificó en un solo sistema de autocontrol y gestión de riesgos LA/FT/FP y C/ST. Quienes ya tenían estos programas cuentan con plazo hasta el 31 de mayo de 2027 para adecuarse. Revisa con tu oficial de cumplimiento cómo aplica a tu empresa.

¿Cómo sacar el certificado SARLAFT?
Depende de lo que necesites. Si un banco o un cliente te pide una «certificación SARLAFT», normalmente es un documento de tu empresa sobre su sistema de prevención. Si buscas un certificado de formación, en el Politécnico de Suramérica estudias el diplomado SARLAFT de 120 horas sin costo y, si quieres el certificado, obtienes una nota mínima de 60 puntos y pagas COP 80.000 (USD 25) por tu constancia digital.

¿El diplomado SARLAFT del Politécnico de Suramérica es gratis?
El acceso al aula virtual y a todo el contenido no tiene costo, y empiezas apenas te inscribes, sin fechas de cierre. El certificado es opcional y sí tiene un valor de COP 80.000 (USD 25). Es una constancia de educación informal (Decreto 1075 de 2015, art. 2.6.6.8) que expide el Politécnico de Suramérica, IETDH con licencia de funcionamiento de la Secretaría de Educación de Medellín.

¿Necesito ser abogado o contador para estudiar SARLAFT?
No. El diplomado SARLAFT no exige conocimientos previos y está pensado tanto para principiantes como para profesionales de finanzas, contabilidad, derecho o administración. Otra cosa son los requisitos para ser designado oficial de cumplimiento en una empresa obligada: esos los fijan la norma de cada supervisor y la propia organización.

¿El certificado del diplomado me habilita como oficial de cumplimiento?
No por sí solo. El certificado del diplomado documenta que cursaste 120 horas de formación en educación informal, pero no es un título ni designa a nadie como oficial de cumplimiento. Esa designación la hace la empresa o entidad obligada, siguiendo los requisitos de su supervisor.

Conclusión

El SARLAFT y el SAGRILAFT parten de la misma idea: saber con quién haces negocios y detectar a tiempo lo que no tiene sentido económico. En 2026 el panorama cambió para el sector real con la Circular 100-000020, así que conviene aprender sobre la norma vigente y no sobre la de 2020.

En el Politécnico de Suramérica puedes empezar hoy el diplomado SARLAFT de 120 horas, a tu ritmo y sin pagar por estudiar. Si más adelante quieres certificado, es opcional y cuesta COP 80.000 (USD 25).

El Politécnico de Suramérica tiene una calificación de 4,9/5 con más de 1.900 reseñas en Google (Fuente: Google, 2026).