SARLAFT 2026: por qué ya dejó de ser un tema exclusivo de bancos
Las reformas recientes al SARLAFT exigen datos auditables y un Oficial de Cumplimiento con más responsabilidad. Esto es lo que cambia y quién debe prepararse.
Durante años, hablar de SARLAFT era hablar casi exclusivamente de bancos y aseguradoras. Esa idea ya no corresponde a la realidad regulatoria colombiana. En los últimos meses, distintas superintendencias han extendido y endurecido las exigencias de administración del riesgo de lavado de activos y financiación del terrorismo hacia sectores que tradicionalmente se sentían fuera del radar: transporte, cooperativas, fondos de empleados e institutos de fomento y desarrollo, entre otros.
Para los equipos de riesgo y cumplimiento, esto tiene una implicación directa: el margen para gestionar el SARLAFT con hojas de Excel dispersas y controles manuales se está cerrando.
Qué está cambiando
1. De lo documental a lo verificable. Los reguladores ya no se conforman con que exista un manual de SARLAFT en un cajón. Piden evidencia auditable: trazabilidad de las consultas a listas restrictivas, control de versiones de las matrices de riesgo y registros que puedan sustentarse ante una visita de inspección.
2. Un Oficial de Cumplimiento con perfil reforzado. Las reformas recientes elevan las expectativas sobre quién ocupa este rol: mayor capacitación, mayor autonomía frente a la administración y mayor responsabilidad sobre la calidad de los datos que sustentan el sistema.
3. Extensión a sectores no financieros tradicionales. Circulares recientes han fijado plazos diferenciales para que entidades vigiladas por superintendencias distintas a la Financiera —como la de Transporte— actualicen su SARLAFT bajo los nuevos lineamientos, con sanciones económicas severas para quienes incumplan.
A esto se suma un cambio de fondo: la Superintendencia Financiera ha anunciado el uso de inteligencia artificial en sus propias labores de supervisión para detectar patrones de lavado de activos. Una supervisión más automatizada, del lado del regulador, presiona a que la gestión del riesgo del lado de la entidad también lo sea.
Qué significa esto para tu entidad
Si tu organización administra, capta o presta recursos de terceros —sin importar si es un banco, una cooperativa, un instituto de fomento o una empresa de otro sector regulado— vale la pena hacerse tres preguntas:
● ¿Podemos demostrar, con evidencia y no solo con un manual, cómo se vincula y monitorea a un cliente?
● ¿Nuestras matrices de riesgo tienen control de versiones y trazabilidad, o viven en un Excel que cualquiera puede editar sin dejar rastro?
● ¿Nuestro Oficial de Cumplimiento tiene la información consolidada a tiempo, o la arma manualmente antes de cada comité?
Cuando la respuesta a alguna de estas preguntas genera dudas, es una señal de que el sistema de gestión del riesgo LA/FT necesita evolucionar de un enfoque documental a uno basado en datos.
Cómo ayuda el módulo SARLAFT de Risk Solution
El módulo SARLAFT de Risk Solution centraliza la vinculación de clientes, la consulta a listas restrictivas y la trazabilidad de cada decisión en una sola plataforma, sobre la misma base de datos que el resto de los módulos de riesgo de la entidad. Esto significa que la información que revisa el comité de riesgo, la que reporta el Oficial de Cumplimiento y la que se presenta ante una eventual visita de inspección proviene siempre de la misma fuente, con historial auditable.
¿Quieres evaluar en qué punto está tu entidad frente a los nuevos lineamientos? Agenda una reunión con nuestro equipo.
Este artículo tiene fines informativos y no constituye asesoría legal. Para la interpretación oficial de la normativa vigente, consulta directamente las circulares de la Superintendencia Financiera de Colombia o de la superintendencia que corresponda a tu sector.