¿Qué es SAGRILAFT y a qué empresas aplica?
SAGRILAFT es el sistema de autocontrol y gestión del riesgo integral de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva que exige la Superintendencia de Sociedades a las sociedades del sector real en Colombia. La obligación depende de umbrales de ingresos o activos y del sector en que opera la empresa. En 2026 la Superintendencia expidió una nueva Circular Básica Jurídica (Circular Externa 100-000020 del 2 de julio de 2026) que unifica en un solo capítulo las obligaciones de SAGRILAFT y del Programa de Transparencia y Ética Empresarial, y que cambió la unidad de medida de los umbrales. Confirme los valores vigentes en el texto oficial de la Superintendencia antes de definir si su empresa está obligada.
¿Cuál es la diferencia entre SAGRILAFT y SARLAFT?
Son regímenes paralelos con supervisores distintos. SARLAFT es el sistema de administración del riesgo de lavado de activos y financiación del terrorismo de la Superintendencia Financiera, aplicable a las entidades que ella vigila —bancos, aseguradoras, fiduciarias, comisionistas—. SAGRILAFT es el régimen de la Superintendencia de Sociedades para las sociedades del sector real. Otras superintendencias han adoptado además esquemas SARLAFT sectoriales para sus vigilados. Escribirlos como si fueran una sola norma es un error frecuente y lleva a exigirle a un proveedor requisitos que no le aplican.
¿Qué pasa si un proveedor en México no tiene REPSE vigente?
Dos efectos simultáneos. El laboral: el artículo 1004-C de la Ley Federal del Trabajo prevé una multa de 2.000 a 50.000 veces la UMA, y la aplica tanto a quien presta el servicio sin registro como a quien se beneficia de él, así que la empresa contratante es sujeto directo de la sanción. El fiscal: sin registro vigente los pagos por servicios especializados no tienen efectos de deducción ni de acreditamiento, conforme al artículo 15-D del Código Fiscal de la Federación, y el contratante debe verificar el registro al momento del pago y recabar los comprobantes de nómina, retenciones y aportaciones para poder deducir. El padrón del REPSE es público, así que la verificación es gratuita y toma un minuto.
¿Una empresa privada está obligada a pedirle a su proveedor la opinión del 32-D del SAT?
No por ese artículo. El artículo 32-D del Código Fiscal de la Federación le prohíbe contratar con particulares que no estén al corriente en sus obligaciones fiscales a la Administración Pública Federal, no a las empresas privadas entre sí. Exigir la opinión del cumplimiento en una relación B2B es una práctica de control muy razonable y bastante extendida, pero se sostiene en el contrato y en la política interna de compras, no en un mandato legal. Vale la pena hacer la distinción: presentarla como obligación legal ante un proveedor debilita el resto de sus exigencias cuando alguien la revisa.
¿Cómo verifico si un proveedor peruano está "Habido" en SUNAT y qué pasa si no lo está?
Se consulta gratis el RUC en el portal público de SUNAT. Fíjese en dos campos distintos: el estado del contribuyente debe ser Activo y la condición de su domicilio fiscal debe ser Habido. Si la condición es No habido, el efecto claro y escrito en la ley es que el gasto sustentado en comprobantes emitidos mientras tenía esa condición no es deducible para el Impuesto a la Renta, salvo que al 31 de diciembre del ejercicio la haya levantado (artículo 44, inciso j, de la Ley del Impuesto a la Renta). Sobre el crédito fiscal del IGV conviene ser más prudente: el texto vigente del artículo 19 de la Ley del IGV no establece la pérdida automática por esa causal y la jurisprudencia del Tribunal Fiscal no es uniforme, aunque la contingencia existe y se agrava si la operación no está bien sustentada.
¿Qué le exige Chile a una empresa respecto de sus proveedores?
Chile no tiene un registro habilitante como el REPSE mexicano, así que el control vive en el contrato y en tres frentes. Primero, la Ley 20.393 de responsabilidad penal de la persona jurídica, aplicable con las modificaciones de la Ley 21.595 desde el 1 de septiembre de 2024, que ampliaron el catálogo de delitos y elevaron el estándar del modelo de prevención. Segundo, el régimen de subcontratación: la empresa principal responde solidariamente por las obligaciones laborales y previsionales del contratista, y esa responsabilidad baja a subsidiaria solo si ejerce los derechos de información —el certificado F30-1 de la Dirección del Trabajo— y de retención de pagos. Tercero, la protección de datos personales: la Ley 21.719 entra en plena vigencia el 1 de diciembre de 2026 y crea una agencia con potestad sancionatoria, así que las cláusulas con proveedores que traten datos conviene actualizarlas antes de esa fecha.
¿Cada cuánto hay que actualizar la debida diligencia de un proveedor?
Depende del nivel de riesgo que se le haya asignado, y esa es justamente la razón de segmentar. Para proveedores de riesgo bajo —bienes estandarizados, montos pequeños, sin acceso a datos ni a instalaciones— una revisión anual o por renovación de contrato suele bastar. Para riesgo medio, semestral. Para riesgo alto —acceso a sistemas o datos, criticidad operativa, vínculos con personas políticamente expuestas, sectores regulados— la revisión documental debería ser al menos semestral y el cruce en listas restrictivas, continuo. Además de la periodicidad hay disparadores: un cambio de representación legal, de beneficiario final o de composición accionaria reabre el análisis sin esperar a la fecha.
¿Se puede automatizar el compliance de proveedores?
Se puede automatizar la parte mecánica, que es la mayor parte del trabajo y casi todo el error: la solicitud de documentos al proveedor, la lectura de los datos del documento, el control de vigencias, el bloqueo del alta cuando falta un requisito obligatorio, el cruce en listas restrictivas y la alerta cuando algo cambia. Lo que no se automatiza es el juicio: clasificar el riesgo de un tercero, analizar una coincidencia que sobrevive a la validación de identidad y aprobar una excepción siguen siendo decisiones de su oficial de cumplimiento. Un sistema bien puesto no reemplaza esas decisiones, las ordena y deja el rastro que después le van a pedir.
