H1: SARLAFT 4.0 para Fintechs en Colombia: Guía Práctica de Implementación
H2: Qué es el SARLAFT y qué cambió en la versión 4.0
El SARLAFT — Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo — es el marco regulatorio que la Superintendencia Financiera de Colombia (SFC) impone a las entidades que supervisa para prevenir el lavado de activos y el financiamiento del terrorismo.
La versión 4.0, formalizada mediante la Circular Externa 027 de 2020, fue la actualización más significativa del sistema en una década. Sus cambios principales:
- Ampliación del universo de sujetos obligados: incluye explícitamente a las Sociedades Especializadas en Depósitos y Pagos Electrónicos (SEDPE) y otras fintech con autorización SFC
- Mayor énfasis en monitoreo transaccional: no alcanza con verificar al cliente en el onboarding — el SARLAFT 4.0 exige monitoreo continuo de las transacciones
- Segmentación de riesgo obligatoria: las entidades deben clasificar a sus clientes por nivel de riesgo (Bajo, Medio, Alto) y aplicar diligencia diferenciada
- Refuerzo del debida diligencia para PEPs: personas expuestas políticamente y sus familiares directos requieren diligencia ampliada
H2: A quiénes aplica el SARLAFT 4.0
Todas las entidades vigiladas por la SFC. Para el ecosistema fintech colombiano, eso incluye principalmente:
- SEDPE (Sociedades Especializadas en Depósitos y Pagos Electrónicos): billeteras digitales como Nequi, Daviplata, y sus competidores
- Sociedades de Financiamiento Comercial con oferta fintech
- Cooperativas financieras con operaciones digitales significativas
- Entidades en proceso de autorización SFC que necesitan demostrar controles KYC/AML antes de obtener licencia
¿Tu fintech opera bajo licencia SFC o está en proceso de obtenerla? El SARLAFT 4.0 aplica.
H2: Los cinco elementos del SARLAFT 4.0 que toda fintech debe implementar
1. Identificación y conocimiento del cliente (KYC)
Antes de activar cualquier producto, tenés que verificar la identidad del cliente, obtener documentación de soporte, y evaluar el propósito de la relación comercial. Para clientes digitales, esto implica verificación de cédula contra la Registraduría + biometría para onboarding sin presencia física.
2. Cruce de listas de riesgo
Cada cliente debe cruzarse contra:
- Listas de la UIAF (Unidad de Información y Análisis Financiero)
- Listas de la Fiscalía General
- OFAC (SDN list y otras)
- Listas ONU y FATF
- Bases de PEPs colombianos y extranjeros
El cruce inicial se hace al onboarding, pero el SARLAFT exige cruce periódico y cruce ante cambios en las listas.
3. Segmentación del riesgo
Cada cliente recibe un nivel de riesgo: Bajo, Medio o Alto. La clasificación debe basarse en factores objetivos: tipo de cliente, sector económico, geografía, volumen de operaciones esperado, y PEP status.
El nivel de riesgo determina la diligencia aplicable:
- Riesgo Bajo: verificación estándar, monitoreo regular
- Riesgo Medio: verificación estándar + información adicional del propósito de la relación
- Riesgo Alto / PEP: diligencia ampliada, verificación de fuente de fondos, aprobación manual
4. Monitoreo transaccional continuo
El SARLAFT 4.0 exige monitorear las transacciones de los clientes activos para detectar patrones inusuales. Esto incluye alertas automáticas ante:
- Transacciones que superan umbrales definidos por la entidad
- Patrones inconsistentes con el perfil de riesgo del cliente
- Transacciones con contrapartes en países de alto riesgo FATF
5. Reporte de Operaciones Sospechosas (ROS)
Cuando se detecta una operación que no tiene justificación económica aparente o es inconsistente con el perfil del cliente, la entidad debe reportarla a la UIAF dentro de las 24 horas de la detección.
H2: Sanciones por incumplimiento del SARLAFT 4.0
Las multas por incumplimiento del SARLAFT pueden alcanzar hasta 200,000 SMMLV (Salarios Mínimos Mensuales Legales Vigentes), lo que en 2024 equivale a varios miles de millones de pesos colombianos. Pero las consecuencias van más allá de las multas:
- Suspensión de la autorización de operación
- Inhabilidad para los directivos responsables
- En casos graves con complicidad activa: responsabilidad penal
- Daño reputacional que afecta las relaciones con corresponsales y proveedores internacionales
La SFC no solo multa: también publica los casos de sanción en su sitio web, lo que tiene impacto directo en la confianza de los usuarios.
H2: Cómo implementar el SARLAFT 4.0 sin paralizarte
El error más común que vemos en fintechs colombianas: intentar implementar el SARLAFT con un equipo legal interno y procesos manuales. No es escalable y deja huecos.
La alternativa que funciona a escala:
Paso 1 — Mapeá tus obligaciones específicas
Las obligaciones varían según tu tipo de licencia y producto. Una SEDPE no tiene exactamente los mismos requerimientos que una sociedad de financiamiento comercial. Consultá con un abogado regulatorio colombiano para definir tu alcance exacto.
Paso 2 — Automatizá el KYC del onboarding
Verificación de cédula contra la Registraduría + cruce de listas UIAF + biometría. Esto elimina el trabajo manual del equipo de compliance en el 85% de los casos (los que pasan sin incidencias).
Paso 3 — Configurá la segmentación de riesgo automática
Definí las variables que determinan el nivel de riesgo en tu contexto y configurá reglas automáticas. El 80% de tus clientes probablemente caiga en riesgo bajo, lo que libera al equipo para enfocarse en los casos complejos.
Paso 4 — Implementá el monitoreo transaccional
Para una SEDPE en crecimiento, el monitoreo transaccional es donde la mayoría falla. Las alertas necesitan ser configurables, basadas en el perfil del cliente, y con flujos de investigación definidos.
Paso 5 — Establecé el proceso de ROS
Cada alerta que no se puede justificar internamente debe tener un camino claro hacia la UIAF. El proceso tiene que ser rápido (24 horas) y dejar registro de cada decisión.
H2: SARLAFT 4.0 con LegalTalent.ai
LegalTalent.ai automatiza los pasos 2 y 3 del flujo anterior: KYC del onboarding con verificación contra Registraduría, cruce de listas UIAF/OFAC, segmentación de riesgo automática, y expediente de auditoría exportable para inspecciones SFC.
El monitoreo continuo (pasos 4 y 5) se puede integrar a través de webhooks de alerta hacia tu sistema de gestión de compliance.
👉 Ver cómo funciona el KYC para Colombia →
H2: Preguntas Frecuentes — SARLAFT 4.0 para Fintechs
¿Cuándo entró en vigencia el SARLAFT 4.0?
La Circular Externa 027 de 2020 de la SFC fue la base normativa del SARLAFT 4.0. La implementación progresiva se completó durante 2021-2022 dependiendo del tipo de entidad.
¿Las fintech que no están supervisadas por la SFC necesitan implementar SARLAFT?
Las entidades no supervisadas por la SFC no están obligadas al SARLAFT específicamente, pero pueden tener obligaciones similares bajo la Unidad de Información y Análisis Financiero (UIAF) si son consideradas sujetos obligados por la Ley 526/1999 y sus modificaciones.
¿Qué documentación pide la SFC en una inspección de SARLAFT?
Expedientes de cada cliente con: identificación verificada, resultado del cruce de listas, nivel de riesgo asignado y justificación, y registro de operaciones monitoreadas. Todo con timestamps y trazabilidad del proceso.
¿Puedo externalizar el SARLAFT a un proveedor externo?
Podés automatizar partes del proceso (verificación, cruce de listas) con un proveedor tecnológico. Pero la responsabilidad regulatoria no es transferible — la entidad supervisada sigue siendo responsable ante la SFC.
¿Cuánto personal de compliance necesita una fintech para el SARLAFT?
Depende del volumen y complejidad del negocio. Con automatización correcta, una fintech de 50,000 clientes activos puede operar con 1-2 personas dedicadas a compliance enfocadas en casos de riesgo alto y reportes a la UIAF.
Notas para el editor humano:
- Verificar que la cifra de multas (200,000 SMMLV) es la correcta para el tipo de infracción más grave — puede variar según la categoría de la entidad
- Actualizar el año de referencias regulatorias si hay novedades de la SFC posteriores a 2024
- Considerar agregar un ejemplo concreto de caso de sanción pública de la SFC para mayor credibilidad