El reto del SAGRILAFT 2026 no es solamente tener un manual actualizado o cumplir con una lista de requisitos formales. Para el oficial de cumplimiento, la prioridad debe ser reducir la exposición real de la empresa frente a riesgos de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva, conocidos como LA/FT/FPADM.
En un entorno regulatorio más exigente, el cumplimiento efectivo se demuestra con controles vivos, trazabilidad, monitoreo continuo y evidencia verificable. La Superintendencia de Sociedades mantiene como referencia el régimen SAGRILAFT y el Régimen de Medidas Mínimas, además de los requerimientos asociados al Informe 75 y al Informe 58 para oficiales de cumplimiento.
Qué cambia en SAGRILAFT 2026
Uno de los temas más relevantes para 2026 es el proyecto de unificación de SAGRILAFT y PTEE en un solo sistema de autocontrol y gestión de riesgos que integraría LA/FT/FPADM con corrupción y soborno transnacional. Este punto debe tratarse como una evolución normativa en seguimiento, no como un simple cambio operativo.
De acuerdo con análisis especializados sobre el proyecto de circular, la obligatoriedad migraría hacia umbrales expresados en Unidades de Valor Básico —UVB—, con una referencia general de 4.929.017 UVB, equivalente aproximadamente a $59.690 millones para 2026. También se proyecta una ampliación del alcance para ciertos sectores y tipos de entidades.
Para el oficial de cumplimiento, esto implica una conclusión práctica: 2026 debe gestionarse como un año de transición, actualización y fortalecimiento documental. La empresa no debería esperar al cierre del periodo para revisar si está obligada, sino anticiparse con una matriz de riesgos, revisión de contrapartes y soportes actualizados.
1. Priorizar terceros, proveedores y contrapartes
La primera línea de exposición está en las relaciones de negocio. Clientes, proveedores, contratistas, aliados, distribuidores, empleados, accionistas y beneficiarios finales pueden convertirse en fuentes de riesgo si no son evaluados correctamente.
La debida diligencia no debe limitarse al momento de vinculación. En SAGRILAFT 2026, el oficial de cumplimiento debe exigir monitoreo periódico, actualización de información y revisión por nivel de riesgo. Un proveedor de bajo riesgo no requiere el mismo tratamiento que una contraparte con operaciones internacionales, estructuras societarias opacas, pagos inusuales o exposición a jurisdicciones sensibles.
El control mínimo debería incluir:
- Identificación plena de la contraparte.
- Consulta en listas restrictivas, sancionatorias y de control.
- Verificación de antecedentes judiciales, disciplinarios y fiscales cuando aplique.
- Identificación de beneficiarios finales.
- Clasificación de riesgo.
- Evidencia de aprobación, rechazo o escalamiento.
- Reconsulta periódica según criticidad.
Aquí es donde una plataforma como Validiti puede aportar valor: no solo en la consulta inicial, sino en la trazabilidad de cada validación y en la capacidad de demostrar qué se revisó, cuándo se revisó y con qué resultado.
2. Ir más allá del proveedor directo
Uno de los errores más frecuentes es revisar únicamente al proveedor contratado y olvidar los eslabones secundarios. En sectores como transporte, construcción, manufactura, comercio exterior, tecnología o servicios tercerizados, el riesgo puede estar en subcontratistas, operadores, intermediarios o distribuidores.
El oficial de cumplimiento debe preguntarse: ¿quién ejecuta realmente el servicio?, ¿quién recibe los pagos?, ¿quién controla la operación?, ¿existen terceros no visibles dentro de la cadena?
Este enfoque es especialmente importante cuando la empresa depende de proveedores críticos o de cadenas de suministro extensas. La debida diligencia debe extenderse cuando el riesgo lo justifique.
3. Beneficiario final: el control que no se puede omitir
Identificar el beneficiario final no es un trámite accesorio. Es una de las medidas más relevantes para entender quién está detrás de una contraparte. Una empresa puede tener una razón social limpia, pero estar controlada por personas naturales con antecedentes, sanciones, exposición política o estructuras de riesgo.
El oficial de cumplimiento debe validar accionistas, controlantes, representantes legales y personas naturales que ejercen control efectivo. Cuando la estructura societaria es compleja, extranjera u opaca, el caso debe escalarse a debida diligencia intensificada.
La recomendación práctica es no aprobar contrapartes críticas si no existe claridad suficiente sobre su estructura de propiedad y control.
4. Empleados en cargos críticos
SAGRILAFT no debe mirar únicamente hacia afuera. El riesgo también puede estar dentro de la organización. Áreas como compras, tesorería, comercial, logística, cartera, contratación, vinculación de proveedores y alta dirección requieren controles más robustos.
La debida diligencia de empleados debe ser proporcional al cargo y al nivel de exposición. No se trata de invadir la privacidad, sino de proteger a la empresa mediante procesos documentados, autorizados y consistentes.
Un buen control interno incluye validaciones al ingreso, actualizaciones periódicas, declaración de conflictos de interés, canales de denuncia y revisión de señales de alerta.
5. Evidencia: lo que no se documenta, no se puede defender
En una auditoría o requerimiento, el oficial de cumplimiento no solo debe decir que consultó listas o evaluó señales de alerta. Debe demostrarlo.
La Superintendencia de Sociedades estableció que la responsabilidad del diligenciamiento, contenido y fidelidad del Informe 75 SAGRILAFT, RMM y PTEE recae sobre administradores y oficiales de cumplimiento del sujeto obligado. Además, el informe debe remitirse anualmente según los dos últimos dígitos del NIT.
Por eso, la trazabilidad documental debe incluir:
- Resultado de consultas en listas.
- Fecha, hora y fuente consultada.
- Usuario responsable.
- Señales de alerta identificadas.
- Análisis realizado.
- Decisión adoptada.
- Aprobaciones internas.
- Soportes de actualización de datos.
- Reportes generados.
La evidencia es la defensa del oficial de cumplimiento y de la administración.
6. Reportes: Informe 75 e Informe 58
El Informe 75 integra información relacionada con SAGRILAFT, RMM y PTEE. Para 2026, el calendario oficial de información no financiera de la Superintendencia de Sociedades establece fechas de presentación en julio según los dos últimos dígitos del NIT, entre el 15 y el 29 de julio de 2026.
El Informe 58, por su parte, aplica a novedades relacionadas con designación, cambio, remoción o renuncia del oficial de cumplimiento. La Circular Externa 100-000002 de 2025 indica que, por designación o cambio, debe presentarse máximo dentro de los quince días hábiles siguientes a la novedad.
Esto exige que el oficial no trabaje solo con calendario anual. Debe tener alertas internas para reportes, cambios societarios, nombramientos, actualizaciones de junta y modificaciones relevantes del sistema.
7. Automatización con control humano
La debida diligencia manual puede funcionar en empresas pequeñas, pero se vuelve insuficiente cuando hay cientos o miles de terceros. El riesgo no está solo en no consultar, sino en consultar tarde, consultar mal o no dejar evidencia.
La automatización permite reducir tiempos, centralizar consultas, detectar coincidencias, generar soportes y disminuir errores operativos. Sin embargo, la tecnología no reemplaza el criterio del oficial de cumplimiento. Las alertas deben analizarse con contexto, enfoque basado en riesgo y supervisión humana.
El objetivo no es automatizar por automatizar. Es tener un sistema que ayude a priorizar casos críticos y liberar tiempo para análisis de mayor valor.
8. Controles que deben monitorearse de forma continua
El oficial de cumplimiento debería mantener seguimiento permanente sobre:
- Contrapartes nuevas y existentes.
- Cambios en beneficiarios finales.
- Pagos inusuales o transacciones en efectivo.
- Proveedores críticos.
- Empleados en cargos sensibles.
- Personas políticamente expuestas.
- Señales de alerta por jurisdicción, actividad económica o comportamiento transaccional.
- Denuncias internas.
- Capacitación anual.
- Reportes a junta directiva y administración.
El cumplimiento efectivo no depende de tener más documentos, sino mejores controles, mejor evidencia y decisiones oportunas.
Conclusión
El SAGRILAFT 2026 exige que el oficial de cumplimiento pase de una gestión formal a una gestión preventiva, documentada y basada en riesgo. La prioridad debe estar en conocer mejor a terceros, proveedores, empleados, contrapartes y beneficiarios finales; conservar evidencia verificable; monitorear señales de alerta y cumplir oportunamente con los reportes exigidos.
En este contexto, Validiti ayuda a fortalecer la debida diligencia, centralizar consultas, reducir carga operativa y conservar trazabilidad para que el oficial de cumplimiento pueda tomar decisiones con mayor seguridad.
Preguntas frecuentes sobre SAGRILAFT 2026
Debe priorizar la debida diligencia de terceros, proveedores, empleados, contrapartes y beneficiarios finales; la trazabilidad de evidencias; el monitoreo de señales de alerta; y la presentación oportuna de reportes como el Informe 75 y el Informe 58 cuando aplique.
Porque permite identificar, verificar y clasificar el riesgo de clientes, proveedores, empleados, accionistas, beneficiarios finales y demás contrapartes. Su objetivo es reducir la exposición de la empresa frente a riesgos LA/FT/FPADM.
Debe conservar soportes de consultas en listas, fecha y hora de validación, fuentes consultadas, usuario responsable, señales de alerta identificadas, análisis realizado, decisiones adoptadas, aprobaciones internas y actualizaciones de información de contrapartes.
Es un reporte de información no financiera ante la Superintendencia de Sociedades relacionado con SAGRILAFT, Régimen de Medidas Mínimas y PTEE. Su presentación se realiza según el calendario oficial y los últimos dígitos del NIT.
Ayuda a automatizar consultas, centralizar validaciones, reducir errores operativos, generar trazabilidad y priorizar alertas. Sin embargo, el análisis final debe mantenerse bajo criterio humano y enfoque basado en riesgo.
