SARLAFT es el Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo que la Superintendencia Financiera exige a sus entidades vigiladas, en desarrollo de los artículos 102 y siguientes del Estatuto Orgánico del Sistema Financiero. Tiene dos fases, prevención y control, y como mínimo cuatro etapas y ocho elementos. Las superintendencias de Salud, Economía Solidaria, Vigilancia y Transporte exigen sistemas con el mismo nombre.
En esta guía · 9 secciones
01Qué es el SARLAFT
La Superintendencia Financiera «requiere que las entidades vigiladas implementen un Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo (SARLAFT) con el fin de prevenir que sean utilizadas para: (i) dar apariencia de legalidad a activos provenientes de actividades delictivas y (ii) canalizar recursos hacia la realización de actividades terroristas».
Lo hace en desarrollo de los artículos 102 y siguientes del Estatuto Orgánico del Sistema Financiero. El numeral 1 del artículo 102 dice que las instituciones vigiladas por la Superintendencia Financiera «estarán obligadas a adoptar medidas de control apropiadas y suficientes, orientadas a evitar que en la realización de sus operaciones puedan ser utilizadas como instrumento para el ocultamiento, manejo, inversión o aprovechamiento en cualquier forma de dinero u otros bienes provenientes de actividades delictivas o destinados a su financiación».
Las instrucciones están en la Parte I, Título IV, Capítulo IV de la Circular Básica Jurídica, que la Circular Externa 006 de 2025 reexpidió desde el 26 de junio de 2025.
02Dos fases
- Prevención: su objetivo es «prevenir que se introduzcan al sistema financiero recursos provenientes de actividades relacionadas con el lavado de activos y/o de la financiación del terrorismo».
- Control: su propósito es «detectar y reportar las operaciones que se pretendan realizar o se hayan realizado para intentar dar apariencia de legalidad a operaciones vinculadas al LA/FT».
03Etapas, factores de riesgo y elementos
| Componente | Qué incluye | Numeral |
|---|---|---|
| Etapas (como mínimo) | Identificación, medición o evaluación, control y monitoreo | 4.1 |
| Factores de riesgo | Clientes y usuarios, productos, canales de distribución y jurisdicciones | 1.15 |
| Elementos (como mínimo) | Políticas, procedimientos, documentación, estructura organizacional, órganos de control, infraestructura tecnológica, divulgación de información y capacitación | 4.2 |
La etapa de identificación debe hacerse antes de lanzar o usar un producto, de modificar sus características, de entrar a un nuevo mercado, de abrir operaciones en nuevas jurisdicciones, de lanzar o modificar canales de distribución, y de usar nuevas prácticas comerciales o nuevas tecnologías (numeral 4.1.1).
04Conocimiento del cliente
- Las entidades «no pueden iniciar relaciones contractuales o legales con el potencial cliente mientras no se haya (i) recolectado la información necesaria», (ii) verificado esa información, en particular su identidad, y (iii) aprobado la vinculación (numeral 4.2.2.2.1).
- Como mínimo deben obtener y mantener actualizada la actividad económica, las características, montos y procedencia de los ingresos y egresos y el domicilio. Para las personas jurídicas, además, los datos del representante legal y de la junta directiva (numeral 4.2.2.2.1.1.3.2).
- Los datos se actualizan con la periodicidad que defina la entidad según el riesgo, que «no puede ser superior a tres años». Para los clientes de mayor riesgo, «como mínimo, anualmente» (numeral 4.2.2.2.1.6.1).
- Con las personas expuestas políticamente (PEP), además de las medidas normales, la entidad debe obtener la aprobación de la alta gerencia, adoptar medidas para establecer el origen de los recursos, prever procedimientos más exigentes de vinculación y hacer un monitoreo continuo e intensificado (numeral 4.2.2.2.1.5.3).
05Reportes a la UIAF y consulta de listas
- Operaciones sospechosas: las entidades deben informar a las autoridades competentes «de manera inmediata y eficiente» sobre cada operación sospechosa que conozcan, con reporte a la UIAF (numeral 4.2.2.2.4).
- Transacciones en efectivo: las entidades deben remitir a la UIAF el informe mensual sobre transacciones en efectivo, con los montos e indicaciones de su documento técnico.
- Listas vinculantes: la consulta se hace antes de la vinculación y de forma permanente durante la relación. Qué listas son y qué dicen las normas si se encuentran bienes de una persona de esas listas está en la guía de listas vinculantes y restrictivas.
06El oficial de cumplimiento
Según el numeral 4.2.4.3.1, el oficial de cumplimiento principal debe, entre otros requisitos:
- Ser como mínimo de segundo nivel jerárquico dentro de la entidad y tener capacidad decisoria.
- Demostrar conocimientos o capacitaciones en administración del riesgo de LA/FT de mínimo 150 horas.
- Demostrar una experiencia mínima de 24 meses en cargos relacionados con la administración de riesgos.
- Acreditar un título profesional.
El suplente debe cumplir como mínimo los requisitos de los subnumerales 4.2.4.3.1.2 a 4.2.4.3.1.9, es decir, todos salvo el nivel jerárquico.
07Quién más exige un SARLAFT
Las excepciones del capítulo IV incluyen, entre otras, a Fogafin, Fogacoop, el Fondo Nacional de Garantías, las sociedades calificadoras de valores y las sociedades corredoras de seguros. Otras superintendencias exigen sistemas con el mismo nombre en sus propias normas:
| Supervisor | A quién aplica | Norma |
|---|---|---|
| Superintendencia Nacional de Salud | Entidades promotoras de salud de los regímenes contributivo y subsidiado, medicina prepagada, ambulancia prepagada, secretarías de salud e IPS de los grupos C1, C2 y D1 | Circular Externa 009 de 2016, modificada por la Circular Externa 20211700000005-5 de 2021 |
| Superintendencia de la Economía Solidaria | Organizaciones solidarias vigiladas, con las excepciones del numeral 1.3 del capítulo | Circular Básica Jurídica (Circular Externa 20 de 2020) |
| Superintendencia de Vigilancia y Seguridad Privada | Transportadoras de valores, empresas y cooperativas de vigilancia, blindadoras, empresas de capacitación y de asesoría en seguridad, entre otras | Circular Externa 20240000245 de 2024 (SARLAFT 2.0) y sus modificaciones |
| Superintendencia de Transporte | Vigilados con ingresos totales iguales o superiores a 142.206,50 UVB; por debajo, Régimen de Medidas Simplificadas | Resolución 2328 de 2025, modificada por las resoluciones 16615 de 2025 y 4607 de 2026 |
La comparación con SAGRILAFT, PTEE y SIPLAFT está en la guía de diferencias entre los sistemas.
08Base legal y fuentes
- 25-jun-2025Circular Básica Jurídica, Parte I, Título IV, Capítulo IV (anexo de la Circular Externa 006 de 2025)Superintendencia Financiera de ColombiaVer fuente oficial
- 02-abr-1993Estatuto Orgánico del Sistema Financiero (Decreto 663 de 1993), artículos 102 a 104Presidencia de la RepúblicaVer fuente oficial
- 17-sep-2021Circular Externa 009 de 2016, modificada por la Circular Externa 20211700000005-5 de 2021: SARLAFT en saludSuperintendencia Nacional de SaludVer fuente oficial
- 03-jul-2026Circular Básica Jurídica (Circular Externa 20 de 2020), versión actualizada: SARLAFT de las organizaciones solidariasSuperintendencia de la Economía SolidariaVer fuente oficial
- 14-feb-2024Circular Externa 20240000245 de 2024: SARLAFT 2.0Superintendencia de Vigilancia y Seguridad PrivadaVer fuente oficial
- 09-abr-2026Resolución 4607 de 2026, que modifica la Resolución 2328 de 2025: SARLAFT en transporteSuperintendencia de TransporteVer fuente oficial
09Preguntas frecuentes
¿Una persona natural tiene que tener SARLAFT?
El capítulo se dirige a las entidades vigiladas: «Corresponde a las entidades vigiladas diseñar e implementar un SARLAFT». A sus clientes, que pueden ser personas naturales o jurídicas, la entidad les pide la información de conocimiento del cliente, como la actividad económica, las características, montos y procedencia de sus ingresos y egresos, y el domicilio (numeral 4.2.2.2.1.1.3.2).
¿El SARLAFT incluye la financiación de la proliferación de armas?
El capítulo IV usa el nombre «Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo (SARLAFT)». El capítulo define el riesgo de LA/FT incluyendo la canalización de recursos «hacia actividades terroristas y/o financiación de armas de destrucción masiva», y en sanciones financieras dirigidas menciona el congelamiento de fondos de personas señaladas por el Consejo de Seguridad de la ONU asociadas al financiamiento del terrorismo y de la proliferación de armas de destrucción masiva (numeral 6).
¿Qué diferencia hay entre SARLAFT y SAGRILAFT?
El SARLAFT de la Superintendencia Financiera aplica a sus entidades vigiladas. El sistema de autocontrol y gestión de riesgos de la Superintendencia de Sociedades, regulado en el capítulo IX de su Circular Externa 100-000020 de 2026, aplica a los sujetos obligados que define ese capítulo; la circular usa la sigla SAGRILAFT para los sistemas de las circulares anteriores. Cada uno tiene su propia norma.
