SAGRILAFT 2026: qué es, quién está obligado y cómo cumplir

Introducción

SAGRILAFT cambió de forma en 2026. El 2 de julio, la Superintendencia de Sociedades expidió la Circular Externa 100-000020, que reexpidió la Circular Básica Jurídica y unificó el SAGRILAFT y el Programa de Transparencia y Ética Empresarial (PTEE) en un solo sistema: el Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST,
regulado en el nuevo Capítulo IX (Fuente: Superintendencia de Sociedades, 2026).

Con la reforma, los umbrales de obligatoriedad ahora se miden en Unidades de Valor Básico (UVB), y la UVB de 2026 vale COP 12.110 (Fuente: Ministerio de Hacienda, Resolución 3488 de 2025). Además, el oficial de cumplimiento debe tener un suplente con los mismos requisitos, y las empresas que ya estaban obligadas tienen hasta el 31 de mayo de 2027 para ajustar sus sistemas (Fuente: Circular Externa 100-000020 de 2026, numeral 9.29).
En esta guía del
Politécnico Intercontinental verás quién está obligado, qué cambió, qué exige el cargo de oficial de cumplimiento, qué aplica al sector transporte, cómo se relaciona la ISO 37301 con el sistema y qué sanciones enfrenta quien no cumple. Si te estás preparando para el cargo, el diplomado gratuito de Oficial de Cumplimiento es un buen punto de partida: Es gratuito, 100 % virtual y de 120 horas; el certificado es opcional y cuesta COP 80.000 o USD 25.

Índice

1. Introducción
2. ¿Qué es SAGRILAFT y por qué ahora se llama de otra forma?
3. ¿Qué cambió con la Circular Externa 100-000020 de 2026?
4. ¿Quién está obligado a implementar SAGRILAFT en 2026?
5. ¿SAGRILAFT y PTEE siguen siendo sistemas distintos?
6. ¿Cuál es la diferencia entre SARLAFT y SAGRILAFT?
7. ¿Qué hace un oficial de cumplimiento y qué requisitos pide el Capítulo IX?
8. ¿Cómo implementar el sistema de autocontrol paso a paso?
9. ¿Qué obligaciones tienen las empresas de transporte ante la Supertransporte?
10. ¿Cómo se relaciona la ISO 37301 con el sistema de autocontrol?
11. ¿Qué riesgos y sanciones enfrenta una empresa que no cumple?
12. Diplomados de cumplimiento del Politécnico Intercontinental
13. Preguntas frecuentes
14. Tu siguiente paso

¿Qué es SAGRILAFT y por qué ahora se llama de otra forma?

SAGRILAFT es el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo que la Superintendencia de Sociedades exige a ciertas empresas del sector real. Desde julio de 2026 se integró con el PTEE en el Capítulo IX de la Circular Básica Jurídica, con un nombre nuevo: Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.

Piensa en SAGRILAFT como el «sistema inmune» de una empresa frente al dinero ilícito. Su función es identificar, medir, controlar y monitorear el riesgo de que la empresa sea usada, sin saberlo, para lavar activos o financiar delitos.

El sistema aplica a sociedades vigiladas por la Superintendencia de Sociedades, es decir, al llamado sector real: empresas que no son bancos ni aseguradoras. Las entidades financieras tienen su propio régimen, que verás más adelante en la sección sobre SARLAFT.

Su versión más conocida nació con la Circular Externa 100-000016 del 24 de diciembre de 2020, que modificó integralmente el Capítulo X de la Circular Básica Jurídica de 2017 (Fuente: Superintendencia de Sociedades, 2020). Durante casi seis años convivió con un segundo programa, el PTEE, enfocado en corrupción y soborno transnacional.

En 2026 cambió el enfoque. La reforma consolidó en un único cuerpo normativo las obligaciones que estaban dispersas entre el SAGRILAFT y el PTEE, y creó un sistema integrado que cubre lavado de activos, financiación del terrorismo, financiación de la proliferación de armas de destrucción masiva, corrupción y soborno transnacional (Fuente: Superintendencia de Sociedades, 2026).

El término «SAGRILAFT» seguirá apareciendo en contratos, formularios de proveedores y ofertas de empleo durante un buen tiempo. Por eso esta guía lo usa como puerta de entrada, aunque el nombre técnico vigente sea otro.

¿Qué significa LA/FT/FP y C/ST?

Las siglas del nuevo nombre resumen los cinco riesgos que el sistema debe gestionar:

Ejemplo ilustrativo (hipotético): una comercializadora de materiales de construcción en Medellín recibe el pago de un proyecto desde la cuenta de un tercero que no aparece en el contrato. Ese es un riesgo LA. Si además un funcionario municipal sugiere una «comisión» para agilizar una licencia, ya es un riesgo C. Antes, la empresa gestionaba esos dos riesgos en manuales separados. Desde el Capítulo IX los gestiona en un solo sistema, con una sola matriz y un solo responsable.

Línea de tiempo: de 2020 a 2027

(Fuente: listado de circulares SAGRILAFT de la Superintendencia de Sociedades, 2026).

Si quieres el detalle de lo que cambió para quien ya ejerce el cargo, en el Politécnico de Suramérica, institución aliada, publicaron un análisis sobre qué debe ajustar el oficial de cumplimiento con el SAGRILAFT actualizado.

¿Qué cambió con la Circular Externa 100-000020 de 2026?

La Circular Externa 100-000020 del 2 de julio de 2026 reemplazó la Circular Básica Jurídica de la Superintendencia de Sociedades. En cumplimiento, sus cambios centrales son cuatro: unifica SAGRILAFT y PTEE en el Capítulo IX, mide los umbrales en UVB, exige un oficial de cumplimiento suplente y endurece los requisitos del cargo.

La circular no se limita al cumplimiento. Supersociedades la registra en su listado oficial de circulares SAGRILAFT y la expidió junto con la Circular 100-000019, que actualizó la Circular Básica Contable. También reorganiza reglas sobre conflictos de interés, operaciones entre sociedades de un mismo grupo y reporte de sostenibilidad. Esta guía se concentra en lo que afecta al cumplimiento LA/FT/FP y C/ST.

¿Qué normas quedaron derogadas?

La circular deroga, entre otras, la 100-000016 de 2020 (SAGRILAFT), la 100-000011 de 2021 (PTEE) y la 100-300000 de 2024, que había ajustado los capítulos X y XIII para cámaras de comercio y entidades sin ánimo de lucro extranjeras con negocios permanentes en Colombia (Fuente: Superintendencia de Sociedades, 2026).

Esto tiene una consecuencia práctica: si tu manual, tu matriz de riesgos o tus contratos citan el Capítulo X o el XIII, están citando normas derogadas. Actualizar esas referencias es la tarea más rápida, y la que más se olvida.

¿Qué es nuevo?

(Fuente: Circular Externa 100-000020 de 2026, Superintendencia de Sociedades; contrastado con análisis de Holland & Knight, Risk Global Consulting e Infolaft, 2026).

Ojo con la permanencia mínima. Si una empresa deja de cumplir los requisitos de obligatoriedad al 31 de diciembre de algún año, debe mantener el sistema completo durante dos años más, y el Régimen de Medidas Mínimas durante uno. En la práctica, no puedes «apagar» el sistema el año en que tus ingresos bajan del umbral.

¿Cuánto tiempo hay para adaptarse?

Las empresas que ya tenían SAGRILAFT, PTEE o Régimen de Medidas Mínimas no tienen que rehacer todo de inmediato. Durante la transición sus sistemas conservan validez, pero deben ajustarlos al Capítulo IX a más tardar el 31 de mayo de 2027 (Fuente: Circular Externa 100-000020 de 2026, numeral 9.29).

Eso no significa que puedan esperar a mayo. La transición no es una amnistía: el ajuste implica aprobar una política integrada, designar formalmente al principal y al suplente, y actualizar la matriz de riesgos. Todo eso pasa por la junta directiva o el máximo órgano social, cuyas reuniones se programan con meses de anticipación. Un cronograma realista arranca este trimestre.

Si ya ejerces el cargo y necesitas ponerte al día con el Capítulo IX, en la ruta de diplomados de auditoría y cumplimiento del Politécnico Intercontinental encuentras el diplomado Oficial de Cumplimiento Nivel Avanzado, actualizado a la Circular Externa 100-000020 de 2026. Es gratuito, 100 % virtual y de 120 horas; el certificado es opcional y cuesta COP 80.000 o USD 25.

¿Quién está obligado a implementar SAGRILAFT en 2026?

Están obligadas las sociedades, empresas unipersonales y sucursales de sociedades extranjeras vigiladas por la Superintendencia de Sociedades que, al 31 de diciembre del año anterior, igualen o superen los umbrales del Capítulo IX. El umbral general es de 4.929.017 UVB en ingresos totales o activos totales: unos COP 59.690 millones con la UVB de 2026.

La pregunta tiene tres filtros, y conviene revisarlos en este orden:

1. Supervisor. El Capítulo IX aplica a empresas vigiladas o controladas por la Superintendencia de Sociedades. Si tu empresa responde ante la Superfinanciera, la Supertransporte u otro supervisor con régimen propio, revisa la sección sobre SARLAFT.

2. Tamaño. Ingresos totales o activos totales al cierre del año inmediatamente anterior, medidos en UVB.

3. Actividad económica. Algunos sectores entran con umbrales más bajos o quedan en el Régimen de Medidas Mínimas.

Existe un cuarto camino que muchos olvidan: la Superintendencia conserva la facultad de ordenar de manera individual la implementación del sistema, incluso a entidades que no estén obligadas por umbral.

¿Cuáles son los umbrales en UVB y cuánto valen en pesos?

Con la UVB de 2026 fijada en COP 12.110 por la Resolución 3488 de 2025 del Ministerio de Hacienda, los umbrales del Capítulo IX se traducen así a pesos colombianos:

(Fuente: Circular Externa 100-000020 de 2026, Superintendencia de Sociedades. Valor de la UVB: Ministerio de Hacienda, Resolución 3488 de 2025. Equivalencias: cálculo propio, UVB × COP 12.110).

Ojo con un error frecuente: la UVB de 2026 subió 4,83 % frente a la de 2025, mientras que el salario mínimo subió mucho más. Por eso los umbrales en pesos ya no se mueven al ritmo del salario mínimo, y un diagnóstico de obligatoriedad con más de un año de antigüedad está desactualizado.

¿Qué es el Régimen de Medidas Mínimas y quién entra ahora?

El Régimen de Medidas Mínimas (RMM) es una versión simplificada del sistema para empresas con menor exposición. Exige obligaciones básicas, como el conocimiento de contrapartes, y su alcance concreto depende de las condiciones previstas para cada actividad económica.

La gran novedad de 2026 es su ampliación. El numeral 9.6 del Capítulo IX incorpora por primera vez los sectores farmacéutico, de infraestructura y construcción, manufacturero y minero-energético, identificados por códigos CIIU, con umbrales de 369.676 UVB en ingresos o 616.127 UVB en activos (Fuente: Circular Externa 100-000020 de 2026). Las cámaras de comercio con ingresos entre 1.109.029 y 4.929.017 UVB también quedan en el RMM.

Traducido a la realidad: una planta manufacturera mediana del Valle de Aburrá con ingresos cercanos a COP 4.500 millones puede quedar dentro del RMM por primera vez. Si trabajas en una empresa de esos sectores, este es el cambio que más te conviene revisar.

Cómo verificar si tu empresa está obligada en 5 pasos

1. Confirma el supervisor. Revisa si tu empresa está sometida a inspección, vigilancia o control de la Superintendencia de Sociedades y no de otro supervisor con régimen propio.
2. Toma las cifras correctas. Usa los ingresos totales y los activos totales de los estados financieros al 31 de diciembre del año anterior, no del año en curso.
3. Ubica tu código CIIU. Usa la actividad inscrita en el registro mercantil y compárala con los sectores especiales y del RMM.
4. Convierte a UVB. Divide cada cifra en pesos entre el valor de la UVB aplicable (COP 12.110 para 2026) y compárala con la tabla anterior.
5. Documenta la conclusión. Guarda el cálculo con fecha, fuente de las cifras y responsable. Si la Superintendencia te lo requiere, ese soporte es tu evidencia de diligencia.

Si en tu empresa te pidieron hacer este diagnóstico, el diplomado de Oficial de Cumplimiento te da la base para hacerlo con criterio: aborda el marco legal colombiano, la ISO 37301 y los sistemas SAGRILAFT, SARLAFT y PTEE. Es gratuito, 100 % virtual y de 120 horas; el certificado es opcional y cuesta COP 80.000 o USD 25.

¿SAGRILAFT y PTEE siguen siendo sistemas distintos?

No, para las empresas vigiladas por la Superintendencia de Sociedades. Desde la Circular Externa 100-000020 de 2026, el SAGRILAFT y el Programa de Transparencia y Ética Empresarial (PTEE) forman un solo sistema en el Capítulo IX, que se gestiona con una política, una matriz y un oficial de cumplimiento comunes.

Hasta julio de 2026, la comparación «SAGRILAFT vs PTEE» era útil: el primero miraba el dinero ilícito y el segundo la corrupción. Muchas empresas mantenían dos manuales, dos matrices de riesgo y, a veces, dos responsables. Esa estructura se reemplazó por un sistema único e integrado de gestión de riesgos LA/FT/FP y C/ST.

¿Qué era el PTEE?

El PTEE nació con la Circular Externa 100-000011 del 9 de agosto de 2021 (Capítulo XIII de la Circular Básica Jurídica). Era el conjunto de políticas, lineamientos, mecanismos y herramientas con los que los sujetos obligados identificaban, detectaban, prevenían, gestionaban y mitigaban los riesgos de corrupción y soborno transnacional.

Importante: el término PTEE no desapareció de todo el ecosistema. En el sector transporte, la Supertransporte mantiene un PTEE propio, con la Resolución 7038 del 15 de mayo de 2026 publicada en su portal oficial de SARLAFT y PTEE (Fuente: Superintendencia de Transporte, 2026). Lo verás en la sección de transporte.

¿Qué exige ahora el frente de corrupción y soborno transnacional?

La unificación no rebajó las exigencias anticorrupción; las integró al mismo sistema. En la práctica, esto significa:

• Una política integrada, aprobada por la junta directiva o el máximo órgano social, que cubra los cinco riesgos.
• Una matriz de riesgos única, donde un mismo proceso, por ejemplo compras o licitaciones con entidades públicas, se evalúa frente a todos los riesgos a la vez.
• Un canal de denuncias articulado con la investigación interna. Un reporte de soborno y uno de operación inusual deben seguir rutas claras y documentadas.
• Capacitación conjunta. El personal ya no recibe una charla de «lavado» y otra de «corrupción», sino una formación integrada según su nivel de exposición.

Si tu empresa tenía el PTEE como programa aparte y ahora debe integrarlo, en la ruta de diplomados de auditoría y cumplimiento del Politécnico Intercontinental encuentras el diplomado Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST, que trabaja el sistema con el mismo nombre y enfoque del Capítulo IX, y el de ISO 37001, sistema de gestión antisoborno.

¿Cuál es la diferencia entre SARLAFT y SAGRILAFT?

La diferencia principal es el supervisor. SAGRILAFT, hoy integrado en el Sistema de Autocontrol del Capítulo IX, aplica a empresas del sector real vigiladas por la Superintendencia de Sociedades. El SARLAFT aplica a entidades vigiladas por la Superintendencia Financiera y, con reglas propias, a vigilados de otros supervisores, como la Supertransporte.

Las dos siglas se parecen porque persiguen el mismo objetivo: prevenir que una organización sea usada para lavar activos o financiar el terrorismo. Las diferencias están en quién supervisa, a quién aplica y con qué norma. Confundirlos es costoso: un contador de una transportadora que aplica el manual de Supersociedades puede dejar por fuera obligaciones que exige la Supertransporte.

Comparativo de regímenes y supervisores (actualizado a octubre de 2026)

(Fuentes: Superintendencia de Sociedades, 2026; Superintendencia de Transporte, 2026. Equivalencia en pesos: cálculo propio con la UVB de 2026).

¿Hay otros sistemas con nombres parecidos?

Sí. Otros supervisores tienen regímenes propios para sus sectores, por ejemplo en economía solidaria, salud o juegos de suerte y azar. La regla práctica para no perderte es una sola: primero identifica quién te vigila; ese supervisor define tu sistema. Si una empresa tiene más de un supervisor, la evaluación de qué norma prevalece es un tema para revisión jurídica.

Para moverte entre estos regímenes con criterio, una habilidad cada vez más pedida en firmas de revisoría fiscal, el diplomado de Oficial de Cumplimiento cubre SAGRILAFT, SARLAFT y PTEE en un mismo programa. Y si buscas profundizar solo en el sistema financiero, el Politécnico de Suramérica ofrece un diplomado gratuito en SARLAFT centrado en matrices de riesgo y reportes a la UIAF.

¿Qué hace un oficial de cumplimiento y qué requisitos pide el Capítulo IX?

El oficial de cumplimiento es la persona que la junta directiva designa para promover, monitorear y reportar el funcionamiento del Sistema de Autocontrol LA/FT/FP y C/ST. Desde 2026 debe tener un suplente con los mismos requisitos. Ambos necesitan título profesional, al menos un año de experiencia, formación pertinente, actualización cada tres años y domicilio en Colombia.

Es uno de los cargos de cumplimiento con más exposición en una empresa colombiana. No ejecuta todos los controles, pero sí responde por que el sistema exista, funcione y se reporte. Por eso la Superintendencia de Sociedades fortaleció sus requisitos de formación, experiencia y residencia, y volvió obligatoria la designación de suplentes (Fuente: Superintendencia de Sociedades, 2026).

¿Cuáles son sus funciones?

La nueva regulación concreta sus funciones en el monitoreo, la capacitación, la actualización del sistema, la evaluación de los informes de auditoría y revisoría fiscal, y la presentación de reportes a la junta directiva o al máximo órgano social. En el día a día, eso se traduce en:

• Mantener actualizada la matriz de riesgos LA/FT/FP y C/ST.
• Revisar que la debida diligencia de clientes, proveedores y empleados se haga y se documente.
• Analizar operaciones inusuales y decidir cuáles se reportan como sospechosas a la UIAF.
• Diseñar y medir la capacitación anual del personal.
• Presentar informes periódicos a la junta directiva con hallazgos y recomendaciones.
• Atender los requerimientos de la Superintendencia, incluido el Informe 58 sobre oficiales de cumplimiento.

¿Qué requisitos deben cumplir el principal y el suplente?

(Fuente: Circular Externa 100-000020 de 2026; contrastado con análisis de Holland & Knight, e7 Legal y Risk Global Consulting, 2026).

La circular también fija que una misma persona puede ser oficial de cumplimiento de máximo 10 sujetos obligados, con una excepción para los grupos empresariales, que pueden tener un mismo oficial para todo el conglomerado.

¿Cómo saber si una formación cuenta para el cargo?

Este es el cambio con más impacto para quien aspira al cargo, y también el que más se presta a promesas exageradas. La formación cuenta si viene de educación formal, como una especialización o maestría, o de diplomados de al menos 90 horas con relación directa y específica con la materia, respaldados por una certificación que detalle contenido, intensidad horaria y finalización. Antes de matricularte en cualquier programa, verifica cinco cosas:

1. Intensidad: que el programa certifique al menos 90 horas.
2. Pertinencia: que el contenido cubra los dos frentes, LA/FT/FP y corrupción y soborno transnacional, no solo lavado de activos.
3. Certificación: que el certificado identifique a la institución, el programa, las horas, el contenido y la fecha.
4. Vigencia: que el programa esté actualizado al Capítulo IX y no siga enseñando los capítulos X y XIII derogados.
5. Trazabilidad: que puedas presentar el soporte si la Superintendencia lo pide en el Informe 58.

Nuestra posición, con transparencia: los diplomados del Politécnico Intercontinental certifican 120 horas, por encima del mínimo de 90 horas que fija el Capítulo IX, pero el Politécnico Intercontinental no afirma que acrediten por sí solos el requisito de formación. La pertinencia frente a ambos frentes y la evaluación de cada perfil dependen del texto oficial y de quien designa al oficial. Son educación informal: no conducen a título ni a certificado de aptitud ocupacional (Fuente: Decreto 1075 de 2015, art. 2.6.6.8). Consúltalo con un profesional habilitado.

Ruta para llegar al cargo de oficial de cumplimiento

1. Parte de tu título profesional. Derecho, contaduría, administración, economía e ingenierías son las rutas más comunes. Si eres revisor fiscal o contador, ya conoces buena parte del terreno.
2. Suma experiencia relacionada. Auditoría, control interno, riesgos o áreas jurídicas te acercan al año que exige la norma.
3. Fórmate en los dos frentes. Busca programas que cubran LA/FT/FP y corrupción y soborno transnacional, actualizados al Capítulo IX.
4. Empieza como suplente o analista. La figura obligatoria del suplente abre una puerta real de entrada al cargo.
5. Planea tu actualización trienal. Lleva un registro de cursos y horas desde el primer día.

Para empezar esa ruta, el diplomado de Oficial de Cumplimiento es la base, y si te interesa el rol de evaluación, el de Oficial de Cumplimiento con enfoque auditor trabaja la auditoría de programas de cumplimiento con ISO 19011, ISO 37301 e ISO 37001. Verifica con los criterios de arriba cómo encaja cada uno en tu caso.

¿Cómo implementar el sistema de autocontrol paso a paso?

Implementar el Sistema de Autocontrol LA/FT/FP y C/ST exige ocho pasos: diagnóstico de obligatoriedad, política integrada aprobada por la junta, designación del oficial principal y suplente, matriz de riesgos, debida diligencia, reportes a la UIAF, capacitación y monitoreo con informes periódicos. Todo con enfoque basado en riesgo.

«Enfoque basado en riesgo» significa que no todos los clientes ni todos los procesos reciben el mismo control: a mayor riesgo, mayor control. Un proveedor nuevo de un país de alto riesgo merece más verificación que un cliente recurrente con historial limpio.

Los 8 pasos

1. Diagnóstico. Confirma la obligatoriedad y el régimen aplicable con el procedimiento de la sección «¿Quién está obligado?». Deja el cálculo documentado.
2. Política integrada. Redacta una política que cubra LA, FT, FP, corrupción y soborno transnacional. Debe aprobarla la junta directiva o el máximo órgano social, con acta.
3. Designación del oficial principal y del suplente. Verifica sus requisitos y comunica la designación por los canales que defina la Superintendencia.
4. Matriz de riesgos. Identifica los factores de riesgo (contrapartes, productos, canales y jurisdicciones), califícalos por probabilidad e impacto y define controles para cada riesgo.
5. Debida diligencia. Conoce a tus contrapartes: identifica al beneficiario final, verifica listas restrictivas y aplica diligencia intensificada a personas expuestas políticamente (PEP) y a operaciones de mayor riesgo.
6. Reportes a la UIAF. Reporta las operaciones sospechosas y, cuando la normativa aplicable lo exija, el reporte de ausencia de operaciones a través de SIREL.
7. Capacitación. Programa formación anual diferenciada según el cargo y la exposición al riesgo, y conserva las evidencias de asistencia y evaluación.
8. Monitoreo e informes. El oficial presenta informes a la junta; la auditoría interna y la revisoría fiscal evalúan el sistema y sus hallazgos se atienden con planes de acción.

La matriz de riesgos: el corazón del sistema

La matriz de riesgos es la herramienta que convierte la política en decisiones. En ella cruzas la probabilidad de que un evento ocurra con el impacto que tendría, y priorizas los controles. Un ejemplo de fila:

Ejemplo ilustrativo: las calificaciones son hipotéticas y dependen de cada empresa.

Si te toca diseñar o actualizar el sistema completo, el Politécnico de Suramérica también ofrece un diplomado gratuito en SAGRILAFT centrado en la metodología de gestión del riesgo con ISO 31000, la parametrización de probabilidad e impacto y la evaluación de controles.

Un recurso gratuito y oficial que vale la pena conocer: la UIAF ofrece un curso e-learning gratuito sobre el sistema antilavado de activos y contra la financiación del terrorismo y de la proliferación. En el sector transporte, por ejemplo, haberlo cursado es requisito para el responsable del Régimen de Medidas Simplificadas.

¿Qué obligaciones tienen las empresas de transporte ante la Supertransporte?

Los vigilados por la Superintendencia de Transporte con ingresos iguales o superiores a 142.206,50 UVB (≈ COP 1.722 millones en 2026) deben implementar el SARLAFT. Los que están por debajo aplican el Régimen de Medidas Simplificadas (RMS). La gestión del riesgo de corrupción va por un PTEE propio (Fuente: Superintendencia de Transporte, 2026).

El sector transporte no se rige por el Capítulo IX de Supersociedades. La norma base es el Capítulo 6 del Título V de la Circular Única de Infraestructura y Transporte, modificado por las Resoluciones 2328 y 16615 de 2025 y por la Resolución 4607 del 9 de abril de 2026, que creó el umbral en UVB y el RMS.

¿SARLAFT o RMS? Depende de tus ingresos

Están obligados al SARLAFT los vigilados que, con corte al 31 de diciembre del año inmediatamente anterior, obtuvieron ingresos totales iguales o superiores a 142.206,50 UVB; los de ingresos inferiores implementan el RMS. Con la UVB de 2026, el umbral equivale a unos COP 1.722 millones (cálculo propio).

Para definir sus riesgos, el sujeto obligado debe analizar el tipo de negocio, la operación, el tamaño, las áreas geográficas donde opera y su contexto interno y externo. Una transportadora de carga con rutas hacia zonas de frontera tendrá un perfil distinto al de una empresa de transporte especial urbano en Medellín.

Obligaciones por tipo de vigilado

(Fuente: elaboración propia con base en la Resolución 4607 de 2026 y los lineamientos de SARLAFT, RMS y PTEE publicados por la Superintendencia de Transporte, 2026).

Recursos oficiales para el sector

• El portal SARLAFT y PTEE de la Supertransporte, con la Resolución 4607 de 2026, los documentos metodológicos de la segmentación y la Resolución 7038 de 2026.
• La Circular Externa 20265330000054 del 6 de mayo de 2026, que fijó la política de supervisión del SARLAFT y del RMS y el primer reporte obligatorio con fecha límite del 10 de agosto de 2026.
• El listado de resoluciones generales de 2026 de la Supertransporte.

Si trabajas en una transportadora, el Politécnico Intercontinental tiene dos diplomados gratuitos pensados para tu sector: SARLAFT para el Sector Transporte y Oficial de Cumplimiento para Empresas de Transporte, que trabaja la matriz de riesgo del sector y la designación formal del oficial. También puedes explorar toda la escuela de transporte y logística.

¿Cómo se relaciona la ISO 37301 con el sistema de autocontrol?

La ISO 37301:2021 es la norma internacional que define los requisitos de un sistema de gestión de cumplimiento, y una organización puede certificarse con ella. No reemplaza el Sistema de Autocontrol que exige la regulación colombiana, pero le da una estructura de gestión ordenada: contexto, liderazgo, planificación, operación, evaluación y mejora continua.

La diferencia de fondo es de origen. El Capítulo IX es una obligación regulatoria: si tu empresa supera los umbrales, debe cumplirlo. La ISO 37301 es un estándar voluntario: la empresa decide adoptarlo para gestionar el cumplimiento de manera sistemática, incluidas obligaciones que van más allá del lavado de activos y la corrupción, como protección de datos, competencia o normas ambientales.

¿Qué es la ISO 37301:2021?

La ISO publicó la ISO 37301 en 2021 con el título Compliance management systems: Requirements with guidance for use. Reemplazó a la ISO 19600:2014, que era solo una guía y no era certificable. Sigue la estructura de alto nivel de las normas ISO de sistemas de gestión, así que se integra con facilidad con la ISO 9001 o con la ISO 31000.

¿Cuándo conviene certificarse?

Certificarse tiene más sentido cuando:

• La empresa exporta o es proveedora de multinacionales que exigen evidencia de un programa de cumplimiento.
• Participa en procesos de contratación donde el pliego reconoce este tipo de certificaciones.
• Ya tiene otras normas ISO certificadas y puede integrar las auditorías.

Lo que no conviene es asumir que certificarse cumple automáticamente el Capítulo IX. La certificación demuestra que el sistema de gestión existe; la Superintendencia evalúa si cumple las instrucciones específicas de la circular.

Si coordinas sistemas integrados de gestión y quieres llevar el cumplimiento al mismo lenguaje de la ISO 9001, el diplomado ISO 37301:2021, Sistema de Gestión de Cumplimiento trabaja la estructura, la operación y la mejora continua de la norma. Es gratuito, 100 % virtual y de 120 horas; el certificado es opcional y cuesta COP 80.000 o USD 25.

¿Qué riesgos y sanciones enfrenta una empresa que no cumple?

La Superintendencia de Sociedades puede imponer multas sucesivas o no, de hasta 200 salarios mínimos, con base en el numeral 3 del artículo 86 de la Ley 222 de 1995. Con la nueva circular, la tasación de sanciones pasa a expresarse en UVB. A eso se suman los riesgos reputacionales y contractuales.

Las resoluciones sancionatorias de la Superintendencia en materia de SAGRILAFT invocan esa facultad. «Sucesivas» significa que, si la empresa no corrige el incumplimiento, puede recibir una nueva multa. En las versiones públicas de esas resoluciones aparecen sanciones por no implementar el sistema con sus elementos mínimos, por implementarlo de forma tardía o por omitir lineamientos de diseño y aprobación, con multas del orden de decenas de millones de pesos por cargo, como una de COP 50 millones (Fuente: Superintendencia de Sociedades, resoluciones sancionatorias en versión pública).

Dos lecturas útiles de estos casos:

– No basta con tener el manual. Varios cargos se refieren a omisiones de diseño, aprobación o designación del oficial. Son fallas de forma que se evitan con una lista de chequeo y un acta bien hecha.

– El cálculo del tope cambió de unidad. Con el paso a la UVB, las sanciones se tasan en esa unidad, así que conviene revisar el monto vigente cada año.

Riesgos que no aparecen en la multa

• Riesgo contractual: grandes compradores y entidades financieras suelen pedir evidencia del sistema antes de vincular a un proveedor.
• Riesgo reputacional: una resolución sancionatoria es pública y queda asociada al nombre de la empresa.
• Riesgo personal: según el caso, las actuaciones pueden involucrar también al oficial de cumplimiento, al revisor fiscal o a los administradores.

Prevenir estas sanciones empieza por tener a alguien capacitado al frente. El diplomado de Oficial de Cumplimiento cubre las obligaciones, los reportes y la documentación que la Superintendencia revisa.

Diplomados de cumplimiento del Politécnico Intercontinental

El Politécnico Intercontinental, institución de educación para el trabajo con licencia de la Secretaría de Educación de Itagüí, ofrece una ruta de diplomados de cumplimiento 100 % virtuales y gratuitos, de 120 horas cada uno. Solo pagas si quieres el certificado: COP 80.000 o USD 25.

(Fuente: fichas de los diplomados en politecnicointercontinental.com, 2026). Son educación informal y no conducen a título ni a certificado de aptitud ocupacional (Decreto 1075 de 2015, art. 2.6.6.8).

Puedes ver la oferta completa en la ruta de diplomados de auditoría y cumplimiento o en el catálogo de diplomados virtuales gratis.

Preguntas frecuentes

¿Qué es SAGRILAFT en Colombia?
SAGRILAFT es el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos y Financiación del Terrorismo que la Superintendencia de Sociedades exige a empresas del sector real que superan ciertos umbrales. Desde la Circular Externa 100-000020 del 2 de julio de 2026 se integró con el PTEE en el Capítulo IX de la Circular Básica Jurídica, bajo el nombre de Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST.

¿SAGRILAFT sigue vigente en 2026?
Sus obligaciones siguen vigentes, pero con otra estructura. La Circular Externa 100-000020 de 2026 derogó la Circular 100-000016 de 2020, que regulaba el SAGRILAFT, y trasladó sus reglas al Capítulo IX junto con las del PTEE. Las empresas que ya tenían el sistema pueden mantenerlo durante la transición, pero deben ajustarlo al nuevo capítulo a más tardar el 31 de mayo de 2027.

¿Qué empresas están obligadas a implementar SAGRILAFT en 2026?
Las sociedades, empresas unipersonales y sucursales de sociedades extranjeras vigiladas por la Superintendencia de Sociedades cuyos ingresos o activos, al 31 de diciembre del año anterior, igualen o superen 4.929.017 UVB, unos COP 59.690 millones en 2026. Algunos sectores tienen umbrales más bajos, y el Régimen de Medidas Mínimas aplica desde 369.676 UVB en ingresos o 616.127 UVB en activos.

¿Cuál es el plazo para ajustarse a la Circular 100-000020 de 2026?
Las empresas que ya tenían SAGRILAFT, PTEE o Régimen de Medidas Mínimas tienen hasta el 31 de mayo de 2027 para ajustar su sistema al Capítulo IX. Durante la transición los sistemas existentes conservan su validez, pero el ajuste exige aprobar una política integrada y designar al oficial principal y al suplente ante la junta directiva, así que conviene empezar con meses de anticipación.

¿Cuál es la diferencia entre SAGRILAFT y PTEE?
Hasta julio de 2026, SAGRILAFT gestionaba el riesgo de lavado de activos y financiación del terrorismo, y el PTEE el de corrupción y soborno transnacional, con manuales y matrices separados. La Circular Externa 100-000020 de 2026 los unificó en un solo sistema para los vigilados de la Superintendencia de Sociedades. En el sector transporte, la Supertransporte mantiene un PTEE propio.

¿Cuál es la diferencia entre SARLAFT y SAGRILAFT?
La diferencia principal es el supervisor. SAGRILAFT, hoy integrado en el Capítulo IX, aplica a empresas del sector real vigiladas por la Superintendencia de Sociedades. El SARLAFT aplica a las entidades vigiladas por la Superintendencia Financiera y, con reglas propias, a los vigilados de otros supervisores, como la Superintendencia de Transporte. Primero identifica quién te vigila: ese supervisor define tu sistema.

¿Qué requisitos debe cumplir un oficial de cumplimiento en 2026?
Bajo el Capítulo IX, el oficial de cumplimiento debe tener título profesional, al menos un año de experiencia en cumplimiento y gestión de riesgos LA/FT/FP y C/ST, formación formal o diplomados de mínimo 90 horas en la materia, actualización de conocimientos al menos cada tres años y domicilio en Colombia. La empresa debe designar además un suplente con los mismos requisitos.

¿Qué empresas de transporte deben implementar SARLAFT?
Los vigilados por la Superintendencia de Transporte que, al 31 de diciembre del año anterior, tuvieron ingresos totales iguales o superiores a 142.206,50 UVB, unos COP 1.722 millones en 2026. Los vigilados con ingresos inferiores deben aplicar el Régimen de Medidas Simplificadas (RMS), según la Resolución 4607 de 2026 de la Superintendencia de Transporte.

¿La ISO 37301 reemplaza a SAGRILAFT?
No. La ISO 37301:2021 es un estándar internacional voluntario y certificable para sistemas de gestión de cumplimiento. El Sistema de Autocontrol del Capítulo IX es una obligación regulatoria para las empresas que superan los umbrales. La ISO 37301 puede dar una estructura de gestión útil, pero certificarse no demuestra por sí solo que la empresa cumple las instrucciones de la Superintendencia de Sociedades.

¿Cuál es la multa por no implementar SAGRILAFT?
La Superintendencia de Sociedades puede imponer multas sucesivas o no, de hasta 200 salarios mínimos, según el numeral 3 del artículo 86 de la Ley 222 de 1995, y con la nueva circular la tasación se expresa en UVB. En resoluciones publicadas se han impuesto multas del orden de decenas de millones de pesos por cargo.

Tu siguiente paso

El Capítulo IX cambió las reglas para miles de empresas y para quienes trabajan en cumplimiento. Si estás empezando, o si ya ejerces el cargo y necesitas ponerte al día, la mejor inversión es formarte en los dos frentes del nuevo sistema y verificar siempre las cifras contra la fuente oficial.

Empieza hoy el diplomado gratuito de Oficial de Cumplimiento: 120 horas, 100 % virtual, a tu ritmo. Solo pagas si quieres el certificado.