Las empresas y demás sujetos vigilados del sector transporte deben implementar medidas para prevenir el lavado de activos, la financiación del terrorismo y la financiación de la proliferación de armas de destrucción masiva —LA/FT/FP—. Sin embargo, la obligación no es exactamente igual para todas las organizaciones.
La Resolución 2328 de 2025 estableció los lineamientos iniciales del SARLAFT para el sector transporte, pero posteriormente fue modificada por las resoluciones 16615 de 2025 y 4607 de 2026. La regulación vigente diferencia entre quienes deben implementar un SARLAFT completo y quienes deben aplicar un Régimen de Medidas Simplificadas, de acuerdo con sus ingresos totales y su condición de sujetos vigilados por la Superintendencia de Transporte.
Por eso, el primer paso para una empresa no debe ser copiar un manual genérico, sino determinar cuál régimen le corresponde, revisar sus fechas de cumplimiento y diseñar controles proporcionales a sus operaciones, contrapartes y nivel de exposición al riesgo.
¿Qué es el SARLAFT para el sector transporte?
El SARLAFT es el Sistema de Administración de Riesgos de Lavado de Activos, Financiación del Terrorismo y Financiación de la Proliferación de Armas de Destrucción Masiva.
Su finalidad es permitir que las organizaciones del sector identifiquen, evalúen, controlen y monitoreen los riesgos de LA/FT/FP relacionados con su actividad. Para ello, cada sujeto obligado debe analizar, entre otros factores:
- El tipo de negocio que desarrolla.
- El tamaño y complejidad de su operación.
- Los servicios que presta.
- Las áreas geográficas en las que opera.
- Sus clientes, proveedores, empleados, socios y demás contrapartes.
- Los canales, productos y modalidades mediante los cuales realiza sus operaciones.
- Su contexto interno y externo.
La regulación exige aplicar un enfoque basado en riesgos: cuanto mayor sea la exposición identificada, más rigurosos deberán ser los controles implementados.
¿Quiénes deben implementar el SARLAFT en el sector transporte?
La obligación aplica a los sujetos sometidos a inspección, vigilancia y control de la Superintendencia de Transporte conforme al artículo 4.1.1 de la Circular Única de Infraestructura y Transporte.
La Resolución 4607 de 2026 introdujo una clasificación basada en los ingresos totales obtenidos con corte al 31 de diciembre del año inmediatamente anterior:
| Clasificación | Nivel de ingresos | Obligación principal |
|---|---|---|
| SARLAFT completo | Iguales o superiores a 142.206,50 UVB | Diseñar, implementar y mantener el SARLAFT |
| Régimen de Medidas Simplificadas | Inferiores a 142.206,50 UVB | Implementar controles simplificados de prevención LA/FT/FP |
Para 2026, la Unidad de Valor Básico —UVB— fue fijada en $12.110. Como referencia, 142.206,50 UVB equivalen aproximadamente a $1.722 millones de pesos colombianos. Este cálculo debe revisarse cada año porque el valor de la UVB se actualiza anualmente.
No basta con verificar si la organización se identifica comercialmente como empresa de transporte terrestre, aéreo, fluvial o multimodal. También debe establecerse si tiene la calidad de sujeto vigilado y cuál fue el monto de sus ingresos totales al cierre del año anterior.
¿Qué es el Régimen de Medidas Simplificadas?
El Régimen de Medidas Simplificadas —RMS— está dirigido a los sujetos vigilados cuyos ingresos se encuentren por debajo del umbral establecido para el SARLAFT completo.
Aunque sus obligaciones son proporcionales a su tamaño y capacidad operativa, el RMS no significa ausencia de controles. Las empresas comprendidas en este régimen deben, entre otras acciones:
- Adoptar una política de prevención de riesgos LA/FT/FP.
- Aplicar procedimientos de debida diligencia.
- Capacitar al personal por lo menos una vez al año.
- Conservar registros y soportes de los controles ejecutados.
- Registrar al responsable de cumplimiento ante el SIREL.
- Reportar operaciones sospechosas a la UIAF.
- Contar con un manual de procedimientos.
- Responder los requerimientos de la Superintendencia de Transporte.
- Registrar la información correspondiente en el módulo SARLAFT de VIGIA 2.
En este régimen, el representante legal asume responsabilidades directas sobre la implementación y funcionamiento de las medidas de prevención.
¿Cuáles son los plazos vigentes en 2026?
Los plazos dependen de la situación particular de cada empresa.
Empresas existentes durante el periodo de transición
Las empresas que ya tenían el requisito habilitante o registro correspondiente debían implementar el SARLAFT o el Régimen de Medidas Simplificadas, según su clasificación, a más tardar el 6 de mayo de 2026.
Como esa fecha ya transcurrió, una organización que todavía no haya completado la implementación debería efectuar inmediatamente un diagnóstico de brechas, definir un plan de regularización y conservar evidencia de las acciones correctivas adelantadas.
Nuevos sujetos vigilados
Las empresas que adquieran posteriormente la calidad de nuevos sujetos vigilados y superen el umbral del SARLAFT cuentan con seis meses desde el otorgamiento del requisito habilitante o registro para implementar el sistema.
El mismo plazo de seis meses aplica para los nuevos sujetos que deban implementar el Régimen de Medidas Simplificadas.
Cambio de régimen por nivel de ingresos
Cuando una empresa pasa del Régimen de Medidas Simplificadas al SARLAFT completo por superar el umbral de ingresos, dispone de seis meses contados desde el cierre de la vigencia fiscal.
Cuando pasa del SARLAFT completo al Régimen de Medidas Simplificadas, dispone de tres meses desde el cierre de la vigencia fiscal para ajustar sus controles.
Primer reporte de cumplimiento del SARLAFT en 2026
Además de los reportes que deben presentarse ante la UIAF, la Superintendencia de Transporte estableció un reporte periódico de cumplimiento por medio de su módulo de supervisión.
El primer reporte de cumplimiento del SARLAFT debe presentarse a más tardar el 10 de agosto de 2026 e incluir la información correspondiente a mayo, junio y julio.
Después de este primer reporte, el calendario general es:
| Periodo informado | Fecha máxima |
|---|---|
| Enero, febrero y marzo | 10 de abril |
| Abril, mayo y junio | 10 de julio |
| Julio, agosto y septiembre | 10 de octubre |
| Octubre, noviembre y diciembre | 10 de enero |
Para el periodo con vencimiento el 10 de octubre de 2026 se reportará únicamente la información de agosto y septiembre, debido a que julio estará incluido en el primer reporte presentado en agosto.
La empresa debe garantizar que la información reportada sea veraz y disponer de los documentos que la soporten, ya que estos pueden ser solicitados durante las actividades de supervisión.
¿Qué debe incluir un SARLAFT para empresas de transporte?
El SARLAFT debe corresponder a la realidad de la organización. No es suficiente con adoptar un documento estándar o utilizar el manual de otra empresa.
Como mínimo, la implementación debe contemplar los siguientes componentes:
1. Política de administración de riesgos
La organización debe aprobar una política que establezca sus principios, responsabilidades, niveles de tolerancia y compromisos frente a los riesgos LA/FT/FP.
La política debe reflejar la actividad económica, el tamaño de la empresa, sus contrapartes, las zonas donde opera y la naturaleza de sus operaciones.
2. Manual de procedimientos
El manual debe describir de manera ordenada cómo se ejecutarán los controles del SARLAFT, quién será responsable de cada actividad, qué documentos deben conservarse y cómo se responderá ante señales de alerta.
La Resolución 2328 también exige incorporar un código de ética y conducta relacionado con la prevención de LA/FT/FP.
3. Metodología de identificación y evaluación de riesgos
La empresa debe identificar sus factores de riesgo, segmentarlos y valorar tanto el riesgo inherente como el riesgo residual después de aplicar los controles.
La matriz debe actualizarse cuando cambien las operaciones, los servicios, los canales, las zonas geográficas o las características de las contrapartes.
4. Conocimiento de las contrapartes
Los procedimientos de vinculación deben recopilar información suficiente sobre clientes, proveedores, asociados y demás contrapartes.
Para personas jurídicas, la regulación contempla datos como la razón social, NIT, certificado de existencia y representación legal, actividad económica, declaración de origen de fondos, composición accionaria e información financiera.
Para personas naturales se exige información de identificación, actividad económica, domicilio, origen de fondos y datos financieros, entre otros elementos.
Los usuarios finales del servicio público de transporte de pasajeros no se consideran automáticamente clientes para este procedimiento. No obstante, la empresa puede aplicar medidas de debida diligencia cuando su análisis de riesgos lo justifique.
5. Monitoreo y señales de alerta
La organización debe establecer mecanismos para detectar operaciones inusuales, validar su justificación y determinar cuándo una operación debe clasificarse como sospechosa.
Los controles deben adaptarse al volumen y naturaleza de las transacciones, rutas, pagos, contrataciones y demás características de la empresa.
6. Reportes a la UIAF
Las operaciones sospechosas deben reportarse de manera inmediata a través del Sistema de Reporte en Línea —SIREL— administrado por la UIAF.
El reporte de una operación sospechosa es reservado, no equivale a una denuncia penal y no exige certeza sobre la existencia de un delito. Cuando no se detecten operaciones sospechosas, deberán efectuarse los reportes de ausencia en la forma y periodicidad establecidas por la UIAF.
Estos reportes son diferentes de los informes periódicos de cumplimiento solicitados por la Superintendencia de Transporte.
7. Capacitación y conservación de evidencias
Los empleados y colaboradores que participan en procesos sensibles deben conocer las políticas, señales de alerta, canales internos y responsabilidades del sistema.
La empresa también debe conservar actas, formatos, matrices, soportes de consultas, registros de monitoreo, informes y evidencias de capacitación.
8. Auditoría y mejora continua
El sistema debe evaluarse periódicamente para identificar deficiencias, revisar la efectividad de los controles y definir planes de mejoramiento.
La junta directiva o el máximo órgano social debe analizar los informes sobre el funcionamiento del SARLAFT y garantizar los recursos humanos, técnicos y logísticos necesarios para mantenerlo.
Requisitos del oficial de cumplimiento
Las empresas obligadas al SARLAFT completo deben designar un oficial de cumplimiento principal y uno suplente.
Entre los principales requisitos establecidos en 2026 se encuentran:
- Estar domiciliado en Colombia, salvo las excepciones aplicables a determinadas aerolíneas extranjeras.
- Ser técnico, tecnólogo o profesional.
- Acreditar formación en riesgos LA/FT/FP mediante un diplomado de mínimo 90 horas o un posgrado.
- Acreditar al menos seis meses de experiencia relacionada.
- Contar con certificación de idoneidad expedida por un organismo acreditado por ONAC bajo ISO/IEC 17024.
- Realizar el curso virtual de la UIAF.
- No pertenecer a la administración, órganos sociales, revisoría fiscal o auditoría interna de la empresa.
- No ejercer simultáneamente como oficial de cumplimiento en más de diez empresas obligadas, salvo las reglas previstas para grupos empresariales.
- Ser nombrado mediante acta del máximo órgano social o junta directiva.
La designación del oficial principal y del suplente debe informarse a la Superintendencia de Transporte dentro de los diez días hábiles siguientes, a través del módulo SARLAFT de VIGIA 2.
Errores frecuentes en la implementación
Asumir que todas las empresas deben implementar el mismo sistema
La clasificación depende de la condición de sujeto vigilado y del nivel de ingresos. Algunas organizaciones deben implementar SARLAFT completo y otras el Régimen de Medidas Simplificadas.
Confundir SARLAFT con SAGRILAFT
Ambos sistemas buscan prevenir riesgos de lavado de activos y financiación del terrorismo, pero responden a autoridades, ámbitos de aplicación y requisitos diferentes.
El SARLAFT analizado en este artículo corresponde a las instrucciones de la Superintendencia de Transporte. El SAGRILAFT se utiliza principalmente en el ámbito de supervisión de la Superintendencia de Sociedades. Por tanto, un manual SAGRILAFT no debe trasladarse automáticamente al sector transporte.
Limitar la implementación a elaborar un manual
La efectividad del sistema depende de la ejecución de controles, la debida diligencia, el monitoreo, los reportes, las capacitaciones y la conservación de evidencias.
No diferenciar los reportes
Los ROS y reportes de ausencia se presentan ante la UIAF mediante SIREL. Los reportes de cumplimiento del SARLAFT se presentan ante la Superintendencia de Transporte siguiendo el calendario establecido.
No designar al oficial suplente
La Resolución 4607 de 2026 exige un oficial principal y un suplente para garantizar la continuidad del sistema.
No actualizar la matriz de riesgos
La matriz debe cambiar cuando se modifiquen las rutas, servicios, clientes, proveedores, medios de pago, zonas de operación o características del negocio.
Ruta recomendada para implementar o actualizar el sistema
Una empresa del sector transporte puede organizar su proceso en las siguientes etapas:
- Confirmar su condición de sujeto vigilado.
- Calcular sus ingresos y determinar el régimen aplicable.
- Realizar un diagnóstico de cumplimiento.
- Identificar y segmentar los factores de riesgo.
- Construir o actualizar la matriz de riesgos.
- Definir políticas, manuales y procedimientos.
- Designar los responsables y órganos de gobierno.
- Implementar procesos de debida diligencia.
- Configurar señales de alerta y monitoreo.
- Preparar los registros en SIREL y VIGIA 2.
- Capacitar al personal.
- Ejecutar revisiones periódicas y planes de mejoramiento.
La implementación debe producir evidencia verificable. No basta con que los documentos existan: la empresa debe demostrar que los controles se aplican y que sus responsables realizan seguimiento.
¿Cómo puede ayudarte Amézquita?
En Amézquita acompañamos a las empresas del sector transporte en la evaluación, implementación y fortalecimiento de sus sistemas de prevención de riesgos LA/FT/FP.
Nuestra experiencia en sistemas de gestión del riesgo LA/FT/FPADM permite estructurar controles adaptados a la operación, tamaño, contrapartes y nivel de exposición de cada organización, aplicando los requerimientos específicos de la Superintendencia de Transporte.
El acompañamiento puede incluir:
- Evaluación de aplicabilidad del SARLAFT o del Régimen de Medidas Simplificadas.
- Diagnóstico de brechas frente a la regulación vigente.
- Diseño y actualización de políticas y procedimientos.
- Elaboración del manual y matriz de riesgos.
- Construcción de formatos de conocimiento de contrapartes.
- Definición de señales de alerta y mecanismos de monitoreo.
- Orientación para la designación del oficial principal y suplente.
- Acompañamiento especializado de oficial de cumplimiento, cuando resulte aplicable.
- Capacitación de empleados y responsables.
- Preparación para reportes y requerimientos de la Superintendencia de Transporte.
- Auditoría del sistema y formulación de planes de mejora.
Amézquita combina conocimiento local, rigor técnico y experiencia en cumplimiento empresarial para ayudar a las organizaciones a fortalecer sus controles y responder de manera ordenada a las exigencias regulatorias. Este enfoque corresponde a las líneas de cumplimiento y servicios legales definidas como prioritarias para la firma.
Evalúa el estado actual de tu empresa
Si tu organización todavía no ha definido el régimen aplicable, no completó la implementación antes del 6 de mayo de 2026 o necesita prepararse para los reportes de supervisión, es recomendable efectuar una revisión inmediata.
Agenda una reunión con el equipo de Amézquita y recibe orientación para identificar brechas, establecer prioridades y fortalecer el cumplimiento de tu empresa.
Autor:
Oscar Ramos, Especialista de Cumplimiento.
Publicado el: 16 de Junio de 2025
Actualizado el: 14 de julio de 2026
Preguntas frecuentes sobre el SARLAFT para transporte
? ¿Todas las empresas de transporte deben implementar el SARLAFT completo?
No todas las empresas deben implementar el mismo nivel de controles. Los sujetos vigilados por la Superintendencia de Transporte con ingresos iguales o superiores a 142.206,50 UVB deben implementar el SARLAFT completo. Quienes se encuentren por debajo de ese umbral deben aplicar el Régimen de Medidas Simplificadas.
- Ejemplo: una empresa pequeña que se encuentre por debajo del umbral no queda exenta de controles, pero puede aplicar procedimientos proporcionales a su tamaño y nivel de exposición.
- Recomendación: confirme primero si la organización es sujeto vigilado y calcule sus ingresos totales con corte al 31 de diciembre del año anterior.
? ¿Cuál es la diferencia entre el SARLAFT completo y el Régimen de Medidas Simplificadas?
El SARLAFT completo exige una estructura más amplia de gobierno, administración de riesgos, oficial de cumplimiento, debida diligencia, monitoreo, reportes y evaluación del sistema. El Régimen de Medidas Simplificadas conserva controles esenciales, pero los adapta al tamaño y capacidad operativa de organizaciones con menores ingresos.
- Ejemplo: una empresa sometida al régimen simplificado debe contar con políticas, manuales, debida diligencia, capacitación, conservación de soportes y reportes, aunque su estructura sea menos compleja.
- Recomendación: no utilice un manual genérico. Documente por qué el régimen seleccionado corresponde a la situación financiera y regulatoria de la empresa.
? ¿Qué debe hacer una empresa que no implementó el sistema antes del plazo?
Las organizaciones que debían cumplir el periodo general de transición y todavía presentan brechas deberían iniciar una revisión inmediata. El proceso debe identificar las obligaciones pendientes, establecer responsables y dejar evidencia del plan de regularización.
- Ejemplo: si la empresa ya elaboró el manual, pero no ha implementado la debida diligencia ni el monitoreo, debe priorizar esos controles y documentar su puesta en funcionamiento.
- Recomendación: prepare un diagnóstico con actividades, responsables, fechas, evidencias y nivel de prioridad. Elaborar documentos sin ejecutar los controles no constituye una implementación completa.
? ¿Es obligatorio designar un oficial de cumplimiento principal y uno suplente?
Las empresas obligadas a implementar el SARLAFT completo deben designar un oficial de cumplimiento principal y uno suplente. Ambos deben cumplir los requisitos de formación, experiencia, independencia e idoneidad previstos en la regulación.
- Ejemplo: el contador, auditor interno o revisor fiscal de la empresa no debería asumir automáticamente esta función, debido a las restricciones de independencia y posibles conflictos de interés.
- Recomendación: verifique las certificaciones y soportes del candidato antes del nombramiento y comunique la designación mediante el módulo SARLAFT de VIGIA 2 dentro del plazo aplicable.
? ¿Los reportes a la UIAF son iguales a los reportes solicitados por SuperTransporte?
No. Los reportes de operaciones sospechosas y los reportes de ausencia se presentan ante la UIAF mediante el Sistema de Reporte en Línea, SIREL. Por otra parte, la Superintendencia de Transporte solicita reportes periódicos de cumplimiento mediante sus mecanismos de supervisión.
- Ejemplo: una empresa puede no haber detectado operaciones sospechosas y aun así estar obligada a presentar el reporte de ausencia y el reporte periódico de cumplimiento correspondiente.
- Recomendación: mantenga un calendario separado para cada autoridad, con responsables, fechas de corte, vencimientos y soportes de presentación.
? ¿Qué documentos debe conservar la empresa para demostrar el cumplimiento?
La organización debe conservar evidencias que demuestren tanto el diseño como la ejecución del sistema. Entre ellas se encuentran políticas, manuales, matrices de riesgo, actas de aprobación, formatos de vinculación, consultas en listas, registros de monitoreo, capacitaciones, reportes e informes de seguimiento.
- Ejemplo: contar con una política firmada no demuestra por sí solo que se realiza la debida diligencia. También deben conservarse los formularios, verificaciones y soportes utilizados con cada contraparte.
- Recomendación: organice un repositorio con control de versiones, responsables de actualización, fechas de aprobación y restricciones de acceso para información reservada.
? ¿Cuándo conviene solicitar acompañamiento especializado para implementar el SARLAFT?
El acompañamiento externo puede ser útil cuando la empresa no tiene claridad sobre el régimen aplicable, presenta retrasos, carece de personal especializado o necesita validar si sus controles funcionan realmente. También resulta conveniente antes de una auditoría, un reporte periódico o un requerimiento de la autoridad.
- Ejemplo: una revisión independiente puede detectar que la matriz de riesgos no corresponde a las rutas, medios de pago, proveedores o tipos de carga manejados actualmente por la organización.
- Recomendación: solicite primero un diagnóstico de brechas. Esto permite priorizar las acciones realmente necesarias antes de invertir en nuevos documentos, herramientas o procedimientos.
Amézquita puede apoyar este proceso mediante la evaluación del sistema, la actualización de matrices y manuales, la definición de controles y el acompañamiento especializado del oficial de cumplimiento, según las necesidades de cada organización.
