Validación de terceros en Colombia: SARLAFT, SAGRILAFT y debida diligencia

Vincular a un cliente, contratar a un proveedor o seleccionar a un empleado parece un trámite comercial o de recursos humanos. Para la normativa colombiana de prevención del lavado de activos, es además una decisión de riesgo: la empresa debe saber con quién se relaciona antes de hacerlo, y poder demostrarlo. A ese proceso se le llama validación de terceros.

Esta guía reúne el panorama completo: qué es validar a un tercero, qué son SARLAFT y SAGRILAFT, a quién hay que validar, qué se consulta, qué pasa cuando aparece una alerta y qué dice la normativa hoy. Al final encontrarás los artículos de la guía que profundizan en cada punto.

¿Qué es la validación de terceros?#

Es el proceso de consultar a una persona o empresa en fuentes oficiales antes de vincularla —y de volver a hacerlo mientras dura la relación— para saber si tiene antecedentes, sanciones, inhabilidades o vínculos de riesgo. Su resultado es una decisión sobre la relación: vincular, vincular con controles adicionales, o no vincular.

La normativa llama contraparte a cualquier persona natural o jurídica con la que la empresa tenga vínculos comerciales, de negocios, contractuales o jurídicos de cualquier orden: asociados, empleados, clientes, contratistas y proveedores.

¿Por qué importa?#

Porque una empresa puede ser utilizada, sin saberlo, como medio para el lavado de activos o la financiación del terrorismo. La forma de reducir ese riesgo es conocer bien a quienes entran en su operación. Además, para las empresas obligadas, la validación no es opcional: es parte de la debida diligencia que exige la Superintendencia de Sociedades, y su ausencia puede derivar en sanciones y en daño reputacional.

SARLAFT y SAGRILAFT: dos sistemas, un mismo propósito#

SARLAFT es el sistema de administración del riesgo de lavado de activos y financiación del terrorismo para el sector financiero, vigilado por la Superintendencia Financiera. SAGRILAFT es el sistema para las empresas del sector real vigiladas por la Superintendencia de Sociedades que cumplan ciertas condiciones. Ambos exigen conocer a las contrapartes y consultar listas; cambia quién vigila y a quién aplica. En el artículo sobre SARLAFT y SAGRILAFT los comparamos.

¿Qué se consulta al validar?#

Una validación completa combina varias consultas: la identidad de la persona o empresa, su beneficiario final cuando es una persona jurídica, si es una persona expuesta políticamente (PEP), y su presencia en las listas vinculantes y restrictivas, además de antecedentes y sanciones. El detalle está en los artículos sobre listas y sobre debida diligencia.

¿Qué pasa si aparece una alerta?#

Depende de cuál sea. Si una contraparte aparece en las listas vinculantes para Colombia, el oficial de cumplimiento debe actuar de inmediato, con reporte a la UIAF y a la Fiscalía. Si es un PEP o un tercero de alto riesgo, se aplica una debida diligencia intensificada. Y si hay una operación sospechosa, procede el reporte de operaciones sospechosas (ROS) ante la UIAF. Lo recorremos en el artículo sobre señales de alerta.

¿Qué dice la normativa hoy?#

La Superintendencia de Sociedades expidió el 2 de julio de 2026 la Circular Externa 100-000020, que adopta una nueva Circular Básica Jurídica. En ella, SAGRILAFT y el programa de transparencia y ética empresarial (PTEE) se unifican en el Capítulo IX, un solo sistema de autocontrol y gestión de riesgos. La circular da plazo hasta el 31 de mayo de 2027 para ajustar los sistemas.

Este artículo te dio el panorama general. Si quieres profundizar, la guía incluye contenidos sobre las diferencias entre SARLAFT y SAGRILAFT, quiénes están obligados, las listas restrictivas y vinculantes, la debida diligencia de terceros, el beneficiario final y los PEP, las señales de alerta y el reporte a la UIAF, la normativa vigente, los errores más comunes y cómo Kiai Verify puede ayudarte.

Conclusión#

Validar a los terceros dejó de ser una buena práctica para convertirse, en muchas empresas, en una obligación que se debe poder demostrar. Entender qué se valida, con qué fuentes y con qué evidencia es el primer paso para que el cumplimiento sea parte natural de la operación y no un trámite de último momento.

¿Todavía validas a tus clientes y proveedores consultando fuente por fuente? Con Kiai Verify puedes consultar más de 100 fuentes oficiales, recibir una decisión clara y conservar la evidencia de cada consulta. Regístrate gratis en Kiai.

Preguntas frecuentes#

¿Qué es la validación de terceros?

Es el proceso de consultar a una persona o empresa en fuentes oficiales antes de vincularla, para saber si tiene antecedentes, sanciones o vínculos de riesgo y decidir si se establece la relación.

¿A quién debo validar?

A tus contrapartes: clientes, proveedores, contratistas, empleados y asociados, según la política de tu empresa y el nivel de riesgo.

¿Validar a un tercero es lo mismo que hacer debida diligencia?

La validación es una parte de la debida diligencia: la consulta en fuentes. La debida diligencia incluye además conocer el propósito de la relación y monitorearla en el tiempo.

¿Es obligatorio validar a mis terceros?

Para las empresas obligadas por la normativa de SAGRILAFT o SARLAFT, sí. Para las demás es una práctica recomendable de gestión de riesgos.

¿Cada cuánto debo repetir la validación?

Con la periodicidad que defina la política de la empresa, y con más frecuencia para las contrapartes de mayor riesgo. No basta con validar solo al vincular.