O que é SAGRILAFT e a quais empresas se aplica?
SAGRILAFT é o sistema de autocontrole e gestão integral do risco de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação de armas de destruição em massa que a Superintendência de Sociedades exige das sociedades do setor real na Colômbia. A obrigatoriedade depende de limites de receita ou de ativos e do setor em que a empresa opera. Em 2026 a Superintendência expediu uma nova Circular Básica Jurídica (Circular Externa 100-000020, de 2 de julho de 2026) que unifica em um único capítulo as obrigações do SAGRILAFT e do Programa de Transparência e Ética Empresarial e mudou a unidade de medida dos limites. Confirme os valores vigentes no texto oficial da Superintendência antes de definir se sua empresa está obrigada.
Qual é a diferença entre SAGRILAFT e SARLAFT?
São regimes paralelos com supervisores distintos. SARLAFT é o sistema de administração do risco de lavagem de dinheiro e financiamento do terrorismo da Superintendência Financeira, aplicável às entidades que ela fiscaliza —bancos, seguradoras, administradoras fiduciárias, corretoras—. SAGRILAFT é o regime da Superintendência de Sociedades para as sociedades do setor real. Outras superintendências adotaram ainda esquemas SARLAFT setoriais para seus fiscalizados. Escrevê-los como se fossem uma única norma é um erro frequente e leva a exigir de um fornecedor requisitos que não se aplicam a ele.
O que acontece se um fornecedor no México não tiver REPSE vigente?
Dois efeitos simultâneos. O trabalhista: o artigo 1004-C da Lei Federal do Trabalho prevê multa de 2.000 a 50.000 vezes a UMA, e a aplica tanto a quem presta o serviço sem registro quanto a quem se beneficia dele, de modo que a empresa contratante é sujeito direto da sanção. O fiscal: sem registro vigente os pagamentos por serviços especializados não têm efeitos de dedução nem de creditamento, conforme o artigo 15-D do Código Fiscal da Federação, e o contratante deve verificar o registro no momento do pagamento e reunir os comprovantes de folha, retenções e recolhimentos para poder deduzir. O cadastro do REPSE é público, então a verificação é gratuita e leva um minuto.
Uma empresa privada é obrigada a pedir ao fornecedor a opinião do 32-D do SAT?
Não por esse artigo. O artigo 32-D do Código Fiscal da Federação proíbe a Administração Pública Federal —e não as empresas privadas entre si— de contratar com particulares que não estejam em dia com suas obrigações fiscais. Exigir a opinião de cumprimento em uma relação B2B é uma prática de controle muito razoável e bastante difundida, mas se sustenta no contrato e na política interna de compras, não em um mandato legal. Vale fazer a distinção: apresentá-la como obrigação legal a um fornecedor enfraquece o resto das suas exigências quando alguém verifica.
Como verifico se um fornecedor peruano está "Habido" na SUNAT e o que acontece se não estiver?
Consulta-se o RUC gratuitamente no portal público da SUNAT. Observe dois campos distintos: o estado do contribuinte deve ser Ativo e a condição do domicílio fiscal deve ser Habido. Se a condição for Não habido, o efeito claro e escrito na lei é que a despesa amparada em comprovantes emitidos enquanto ele tinha essa condição não é dedutível para o Imposto de Renda, salvo se até 31 de dezembro do exercício ela tiver sido levantada (artigo 44, inciso j, da Lei do Imposto de Renda). Sobre o crédito fiscal do IGV convém ser mais prudente: o texto vigente do artigo 19 da Lei do IGV não estabelece a perda automática por essa causa e a jurisprudência do Tribunal Fiscal não é uniforme, embora a contingência exista e se agrave se a operação não estiver bem comprovada.
O que o Chile exige de uma empresa em relação aos seus fornecedores?
O Chile não tem um registro habilitante como o REPSE mexicano, então o controle vive no contrato e em três frentes. Primeiro, a Lei 20.393 de responsabilidade penal da pessoa jurídica, aplicável com as modificações da Lei 21.595 desde 1º de setembro de 2024, que ampliaram o catálogo de delitos e elevaram o padrão do modelo de prevenção. Segundo, o regime de subcontratação: a empresa principal responde solidariamente pelas obrigações trabalhistas e previdenciárias do contratado, e essa responsabilidade cai para subsidiária apenas se ela exercer os direitos de informação —o certificado F30-1 da Direção do Trabalho— e de retenção de pagamentos. Terceiro, a proteção de dados pessoais: a Lei 21.719 entra em plena vigência em 1º de dezembro de 2026 e cria uma agência com poder sancionatório, então convém atualizar antes dessa data as cláusulas com fornecedores que tratem dados.
De quanto em quanto tempo é preciso atualizar a due diligence de um fornecedor?
Depende do nível de risco atribuído a ele, e é justamente por isso que se segmenta. Para fornecedores de risco baixo —bens padronizados, valores pequenos, sem acesso a dados nem a instalações— uma revisão anual ou por renovação de contrato costuma bastar. Para risco médio, semestral. Para risco alto —acesso a sistemas ou dados, criticidade operacional, vínculos com pessoas politicamente expostas, setores regulados— a revisão documental deveria ser ao menos semestral e o cruzamento em listas restritivas, contínuo. Além da periodicidade há gatilhos: uma mudança de representação legal, de beneficiário final ou de composição acionária reabre a análise sem esperar a data.
Dá para automatizar o compliance de fornecedores?
Dá para automatizar a parte mecânica, que é a maior parte do trabalho e quase todo o erro: a solicitação de documentos ao fornecedor, a leitura dos dados do documento, o controle de vigências, o bloqueio do cadastro quando falta um requisito obrigatório, o cruzamento em listas restritivas e o alerta quando algo muda. O que não se automatiza é o julgamento: classificar o risco de um terceiro, analisar uma coincidência que sobrevive à validação de identidade e aprovar uma exceção continuam sendo decisões do seu oficial de compliance. Um sistema bem montado não substitui essas decisões, organiza-as e deixa o rastro que depois vão pedir.
