Alcance normativo · Versión 1.4

Explicación de listas de consulta

Qué listas consulta MéTRIK Valida, bajo qué fundamento legal, con qué tratamiento diferenciado y qué queda fuera del perímetro. Documento auditable para soportar el alcance ante supervisor y auditor.

Última actualización: 10 de septiembre de 2026Audiencia: oficial de cumplimiento, auditor SARLAFT

Descargar PDF

1. Introducción

MéTRIK Valida es una herramienta tecnológica de validación automatizada contra las listas vinculantes y de referencia que el marco SARLAFT colombiano exige o reconoce para la prevención del lavado de activos, la financiación del terrorismo y la financiación de la proliferación de armas de destrucción masiva (LA/FT/FP). Para garantizar defensa normativa ante supervisor (SFC, Supersociedades, Supertransporte) y auditor, cada lista que Valida consulta tiene un fundamento legal específico y un tratamiento diferenciado según su carácter vinculante.

Este documento explica:

Qué listas se consultan
Quién las emite (autoridad oficial)
Cuál es el fundamento legal colombiano de su consulta
Qué tratamiento debe darle el sujeto obligado
Qué queda explícitamente fuera del alcance SARLAFT de Valida

Validación normativa

El contenido de este documento fue clasificado por la especialista en compliance LA/FT/FP de MéTRIK contra fuentes oficiales (gestornormativo Función Pública, Superfinanciera, Supersociedades, Supertransporte, UIAF, Corte Constitucional) y ratificado por el equipo legal de MéTRIK.

2. Clasificación en tiers

Valida consulta seis (6) listas activas, clasificadas en tres tiers operativos según su vinculancia legal en Colombia: dos vinculantes (ONU y CSN Colombia), una obligatoria de construir (PEP Colombia) y tres de referencia no vinculante (OFAC SDN, Unión Europea y US State Dept FTO). La clasificación afecta directamente la consecuencia jurídica de un hallazgo y, por tanto, el tratamiento que debe darle el oficial de cumplimiento.

Tier	Naturaleza	Listas incluidas	Consecuencia legal
Tier 1 · Vinculante	Listas internacionalmente vinculantes implementadas en Colombia.	ONU Consolidated, CSN Colombia	Bloqueo de la operación + ROS UIAF
Tier 2 · Obligatoria construir	Listas obligatorias sin fuente única — el sujeto obligado debe construir su registro.	PEP Colombia (SIGEP)	Debida diligencia ampliada (Decreto 830/2021)
Tier 3 · No vinculante	No vinculantes en Colombia — estándar de gestión de riesgo.	OFAC SDN, EU Consolidated Sanctions, US State Dept FTO	Política interna del sujeto obligado

Nota sobre Tier 4 — Valida Diligencia (módulo aparte, en servicio)

El alcance del módulo SARLAFT de Valida cubre los tres tiers descritos y se limita a listas de sancionados LA/FT/FP y PEP. El Tier 4 es una capa separada de debida diligencia con fuentes públicas nacionales que no son SARLAFT (naturaleza disciplinaria o contractual). Esa capa se llama Valida Diligencia, está en servicio en fase beta con endpoint propio (POST /v1/diligencia), disclaimer propio y cobro aparte del paquete SARLAFT. Opera con dos fuentes: el registro de antecedentes disciplinarios de la Procuraduría General de la Nación (SIRI, dato abierto) y el registro de multas y sanciones de SECOP II. Sus resultados llevan el sello «Referencia · decisión del cliente». Un hallazgo de Diligencia no es un hallazgo SARLAFT: no entra en la consulta de validación, no figura en las listas consultadas, no sale en el reporte PDF ni en la certificación mensual de actualización, y no genera severidad SARLAFT. Presentarlo ante un supervisor como sanción LA/FT/FP es un error de fondo del sujeto obligado. Contratar el módulo SARLAFT no habilita Diligencia: son alcances distintos y se contratan por separado.

Diferenciación visual obligatoria

En todo reporte PDF, panel de resultado y página de verificación, Valida muestra el tier de cada coincidencia con código de color (rojo vinculante, naranja obligatoria Colombia, gris referencia). El sujeto obligado puede aplicar políticas distintas según el tier. Equivalencia de vocabulario: lo que Valida sella como «Referencia no vinculante» (OFAC SDN, Unión Europea y US State Dept FTO) corresponde a lo que la UIAF llama «listas restrictivas» en su material de debida diligencia; «Vinculante» corresponde a «listas vinculantes». Ninguna lista restrictiva es de consulta obligatoria por norma colombiana.

3. Tier 1 — Listas vinculantes

Obligación legal explícita de consulta. Un match exacto en estas listas implica que el sujeto obligado debe reportarlo de manera inmediata a la UIAF y a la Fiscalía General de la Nación (Res. 2328/2025 art. 5.6.11.2 lit. f; C.E. 100-000016/2020 num. 5.3.1) y abstenerse de vincular — no es discrecional.

ONU Consolidated Sanctions

Tier 1

Emisor

Consejo de Seguridad de las Naciones Unidas

Fundamento legal Colombia

Ley 1121/2006 Art. 20

Descripción

Lista consolidada que incluye sanciones contra individuos y entidades vinculados a Al Qaeda (desde 15-oct-1999), Taliban (desde junio-2011) y conexas. Cumple con Resoluciones del Consejo de Seguridad.

Obligación / tratamiento

Sector financiero (SFC): consulta previa y obligatoria antes de vincular. Sector real (Supersociedades) y transporte (Supertransporte): consulta permanente y obligatoria.

Volumen aproximado

≈ 1.000 entradas vigentes

Fuente oficial

https://main.un.org/securitycouncil/en/content/un-sc-consolidated-list

Lista CSN Colombia

Tier 1

Emisor

Consejo de Seguridad Nacional de Colombia

Fundamento legal Colombia

Decisión CSN 17-ene-2020

Descripción

Lista nacional compuesta por 101 personas y organizaciones, combinando designaciones ONU + EE.UU. (OFAC) + Unión Europea relevantes para Colombia. Implementación local de las obligaciones internacionales.

Obligación / tratamiento

Mismos sectores que ONU. La consulta es obligatoria en cualquier régimen SARLAFT/SAGRILAFT/SIPLAFT del país.

Volumen aproximado

101 entradas

Fuente oficial

Consejo de Seguridad Nacional · Decreto reglamentario

4. Tier 2 — Listas obligatorias de construir

No hay una lista oficial unificada — el sujeto obligado debe construir su propio registro a partir de fuentes oficiales y declaración del cliente.

PEP Colombia (Personas Expuestas Políticamente)

Tier 2

Emisor

Función Pública (SIGEP) + declaración del cliente

Fundamento legal Colombia

Decreto 830/2021

Descripción

Lista de personas que ejercen funciones públicas destacadas en Colombia: cargos electos, altos funcionarios, magistrados, embajadores, oficiales superiores, directores de entidades públicas, etc. La normativa exige debida diligencia ampliada sobre PEP y sus familiares y allegados cercanos.

Obligación / tratamiento

Aplicable a todo sujeto obligado. Si hay match: debida diligencia ampliada obligatoria con aprobación de instancia superior, origen de fondos reforzado y monitoreo intensificado.

Volumen aproximado

≈ 37.000 entradas vigentes (SIGEP + servidores públicos)

Fuente oficial

https://www.funcionpublica.gov.co/web/sigep

5. Tier 3 — Listas no vinculantes (estándar de facto)

No son vinculantes legalmente en Colombia — la entidad decide cómo tratarlas (Concepto SFC 2011041962-001). Se consultan como estándar de gestión de riesgo y por exposición a corresponsalía internacional. En la terminología de la UIAF son «listas restrictivas». Valida no recomienda acción sobre estas coincidencias. Diferenciadas visualmente en todos los reportes.

OFAC SDN (Lista Clinton)

Tier 3

Emisor

Office of Foreign Assets Control · U.S. Treasury

Fundamento legal Colombia

Concepto SFC 2011041962-001 (confirma que NO es vinculante en Colombia)

Descripción

Lista de personas y entidades especialmente designadas por el gobierno estadounidense por actividades de narcotráfico, terrorismo, sanciones, etc. Aunque no es vinculante en Colombia, es estándar de facto por exposición a corresponsalía bancaria en USD.

Obligación / tratamiento

Decisión interna del sujeto obligado. Habitualmente entidades con exposición USD lo tratan como bloqueante por riesgo de pérdida de corresponsalía.

Volumen aproximado

≈ 18.000 entradas

Fuente oficial

https://sanctionssearch.ofac.treas.gov/

EU Consolidated Financial Sanctions

Tier 3

Emisor

Consejo de la Unión Europea

Fundamento legal Colombia

No vinculante en Colombia — referencia internacional

Descripción

Lista consolidada de sanciones financieras emitidas por la Unión Europea. Relevante para entidades con contraparte europea, financiación internacional o operaciones de comercio exterior con jurisdicciones bajo sanción UE.

Obligación / tratamiento

Decisión interna del sujeto obligado. Recomendable para entidades con exposición europea.

Volumen aproximado

≈ 5.000 entradas

Fuente oficial

https://www.sanctionsmap.eu/

US State Dept Foreign Terrorist Organizations (FTO)

Tier 3

Emisor

Departamento de Estado de los Estados Unidos

Fundamento legal Colombia

No vinculante en Colombia — referencia internacional (Immigration and Nationality Act, sección 219)

Descripción

Organizaciones extranjeras designadas como terroristas por el Secretario de Estado conforme a la sección 219 de la Immigration and Nationality Act. Solo designaciones VIGENTES: la tabla de organizaciones retiradas que publica la misma página no se ingiere, porque marcar a un tercero por una designación levantada es un falso positivo. Contiene únicamente organizaciones, ninguna persona natural. Incluye cuatro organizaciones colombianas.

Obligación / tratamiento

Decisión interna del sujeto obligado, igual que OFAC SDN y Unión Europea.

Volumen aproximado

99 organizaciones vigentes

Fuente oficial

https://www.state.gov/foreign-terrorist-organizations/

Por qué se consulta si OFAC SDN ya la cubre

Se consulta de forma deliberadamente redundante con OFAC SDN. Al 2026-09-10 las 99 designaciones FTO vigentes están también en OFAC SDN, pero esa coincidencia es de hecho y no de derecho: ninguna norma obliga al Departamento del Tesoro a replicar cada designación del Departamento de Estado. Consultarla en su propia fuente hace que la cobertura no dependa de esa coincidencia.

6. Lo que NO está dentro del alcance SARLAFT

Las siguientes fuentes se consultan en otros contextos (contractual, tributario, licitaciones, disciplinario), pero no forman parte del módulo SARLAFT de Valida. Las cubre el módulo aparte «Valida Diligencia», que está en servicio en fase beta con alcance, disclaimer y cobro propios, y que hoy opera con el registro disciplinario SIRI de la Procuraduría y el registro de multas y sanciones de SECOP II, ambos con sello «Referencia · decisión del cliente» y fuera del reporte SARLAFT. Que una fuente esté disponible en Diligencia no la incorpora al alcance SARLAFT de este documento. Tampoco forma parte del Servicio la lista INTERPOL Red Notices: no es vinculante ni la exige norma SARLAFT alguna, y sus términos de uso no permiten su consulta automatizada con fines comerciales; el sujeto obligado puede consultarla por su cuenta directamente en la fuente oficial.

Lista	Por qué no está en el módulo SARLAFT
RUNFT	No existe con ese nombre en la normativa colombiana consultada (sept 2026). Eliminado.
FATF high-risk jurisdictions	Lista de países, no de personas. Insumo de riesgo geográfico, se aplica como factor «jurisdicción» en la matriz de segmentación, no como cotejo de listas.
BM / FMI debarred firms	Sancionados por organismos multilaterales en licitaciones internacionales. Materia contractual, no SARLAFT.
SECOP / DNP inhabilitados	Inhabilitación en contratación pública (Ley 80, Ley 1150). No es LA/FT/FP. Disponible en el módulo aparte Valida Diligencia, fuera del reporte SARLAFT.
Paraísos fiscales DIAN / OCDE	Régimen tributario (Decreto 1357/2024). Se aplica como factor «jurisdicción» en la matriz, no como lista SARLAFT.
Procuraduría — antecedentes disciplinarios (SIRI)	Sanción disciplinaria, no LA/FT/FP. Disponible en el módulo aparte Valida Diligencia, fuera del reporte SARLAFT.

Razón de separación

Las listas excluidas tienen naturaleza jurídica distinta a SARLAFT, son consumidas por áreas distintas dentro del cliente (jurídica/licitaciones vs cumplimiento) y la cadena de daño ante un reclamo es legalmente diferente. Mezclarlas en un mismo producto SARLAFT expondría al cliente a riesgo de mala defensa ante supervisor.

7. Marco legal colombiano aplicable

Las siguientes normas constituyen el fundamento legal de la operación de Valida y de las obligaciones de consulta que el sujeto obligado debe cumplir.

Norma	Aplicación a Valida
Ley 1121/2006 Art. 20	Obligación de consulta de listas internacionalmente vinculantes (ONU).
Ley 1581/2012	Protección de datos personales. Valida es Responsable del Tratamiento frente a personas consultadas. SIC como autoridad.
Ley 1480/2011 Art. 43	Cláusulas abusivas ineficaces. Valida opera B2B estricto con sujetos obligados (no consumidores).
Decreto 830/2021	Régimen PEP Colombia. Define obligación de debida diligencia ampliada y la lista oficial vía SIGEP.
Circular Básica Jurídica SFC C.E. 006/25	SARLAFT sector financiero — vigente Parte I Título IV Cap. IV.
Circular Externa 100-000016/2020 Supersociedades	SAGRILAFT sector real — umbral de aplicación 40.000 SMLMV.
Resolución 2328/2025 Supertransporte	SARLAFT sector transporte. Modificada por Resolución 16615/2025, plazo extendido al 6-may-2026.
Concepto SFC 2011041962-001	Confirma expresamente que OFAC NO es lista vinculante por norma colombiana — fundamenta la clasificación Tier 3.
Sentencia Corte Constitucional C-1008/10	Aplicación de la limitación de responsabilidad — excluye dolo y culpa grave (Código Civil Art. 63).

8. Actualización de las listas

MéTRIK ejecuta procesos automatizados de scraping diario contra las fuentes oficiales de cada lista. Para listas vinculantes (Tier 1), el desfase entre la publicación oficial y la disponibilidad en Valida es de máximo 24 horas hábiles.

Cada actualización queda registrada en bitácora con hash de versión y timestamp.
El historial de versiones es auditable — el sujeto obligado puede demostrar contra qué versión exacta de cada lista se hizo una consulta histórica.
El reporte PDF de cada consulta indica la fecha de última actualización de cada lista consultada en ese momento.
Si una fuente oficial cambia su estructura y Valida no logra parsearla, se genera alerta interna inmediata para que el equipo lo resuelva antes de que afecte consultas en producción.

Certificación de actualizaciones

Cada mes, Valida genera una certificación auditable de las actualizaciones realizadas durante el período. El sujeto obligado puede descargarla y archivarla como soporte ante auditor SFC, Supersociedades o Supertransporte.

Qué dicen las tres fechas

Por cada lista, Valida publica cuándo la verificó por última vez, cuándo cambió su contenido por última vez y cuándo la fuente declara haber publicado. Son hechos distintos. Una lista puede llevar meses sin cambiar porque la fuente no ha publicado nada nuevo, y eso no es una interrupción del Servicio: la verificación sigue corriendo y queda registrada en bitácora con hash de versión.

Desfase de la fuente en PEP Colombia

El listado del artículo 7 del Decreto 830 de 2021 lo publica la Función Pública en SIGEP. Valida lo consulta a diario y sirve el último corte que esa fuente ha publicado; la fecha exacta aparece en la ficha de la lista y en la certificación mensual. Cuando ese corte se distancia de la fecha de verificación, el sujeto obligado debe saberlo y obrar en consecuencia.

El listado no sustituye la identificación por cargo

La condición de PEP la determina el cargo, conforme al artículo 2 del mismo decreto, no la aparición en el listado. Una persona posesionada después del último corte publicado es PEP aunque no figure allí. El listado es un apoyo operativo y no sustituye los controles propios del sujeto obligado: la declaración de PEP en el formulario de vinculación, la identificación por cargo y la debida diligencia ampliada con monitoreo intensificado que exige el Decreto 830.

Valida no certifica que una persona no sea PEP: certifica contra qué versión exacta de qué lista se hizo la consulta.