Los siete cambios más importantes en el Sagrlaft de la Supersociedades

La segmentación de factores de riesgo y la identificación de beneficiarios finales son algunos de los ajustes que cerca de 1000 empresas tuvieron que hacer a sus sistemas de autocontrol y gestión del riesgo de lavado de activos y financiación del terrorismo (Sagrlaft). Este artículo fue elaborado por Infolaft con base en la experiencia adquirida como prestador del servicio de listas restrictivas y de consultoría Sarlaft y Sagrlaft a cerca de 200 empresas del sector financiero, sector real, sector cooperativo, sector salud y de comercio exterior en Colombia y en varios países de Latinoamérica. Las listas vinculantes para Colombia El pasado primero de septiembre todas las empresas obligadas a implementar sistemas de autocontrol y gestión del riesgo de lavado de activos y financiación del terrorismo Sagrlaft tuvieron que tener lista la modificación de sus políticas internas para dar cumplimiento a las nuevas exigencias del capítulo 10 de la Circular Básica Jurídica de la Superintendencia de Sociedades. Los principales cambios se enuncian a continuación:

1. Elaboración de matrices y segmentación
2. Nuevas funciones del oficial de cumplimiento
3. Ajuste a definición de las PEP
4. Identificación del beneficiario final
5. Diferencias entre operaciones inusuales y sospechosas
6. Nuevas funciones del representante legal
7. Entrega de reportes de ausencia de operaciones sospechosas (Aros)

Listas restrictivas y habeas data

Elaboración de matrices y segmentación

Según lo estipulado en el capítulo 10, las empresas obligadas deberán diseñar una matriz de riesgo de LA/FT en la que se identifiquen los riesgos propios. Es decir, dicha matriz debe tener en cuenta características puntuales del negocio, tales como la operación, el tamaño y las áreas geográficas donde opera, entre otras. Dicho lo anterior, el Sagrlaft de la empresa debe contener la metodología con la cual se identificarán los riesgos y se realizará la segmentación de los factores que dan lugar a los riesgos identificados. Así mismo, el sistema debe establecer el método para medir la posibilidad o probabilidad de ocurrencia del riesgo, así como el impacto en caso de materializarse mediante los riesgos asociados. Con base en esto las empresas obtendrán el riesgo inherente por factor de riesgo, así como los riesgos relacionados. El Sagrlaft también debe contener la metodología para identificar las medidas de control que existen en la empresa para mitigar cada uno de los riesgos identificados por factor de riesgo, así como las medidas que se requieren para mejorar los controles existentes o las que sean necesarias diseñarlos. Es importante recordar que todos los factores de riesgo deben ser objeto de segmentación. En consecuencia, las empresas no podrán limitarse a aplicar este proceso a sus clientes, sino que tendrán que hacerlo sobre sus productos, canales de distribución y las jurisdicciones en las que tienen presencia. Según una cartilla elaborada por Infolaft para ayudar a los oficiales de cumplimiento del sector real a implementar el Sagrlaft, “como la norma no habla de alguna técnica específica, las empresas obligadas pueden usar tabulaciones cruzadas, análisis factorial, análisis de conglomerados (clúster), redes neuronales de Kohonen o árboles de clasificación, entre otras”.

Nuevas funciones del oficial de cumplimiento

De acuerdo con el nuevo capítulo 10, “el diseño del sistema estará bajo la supervisión y dirección del oficial de cumplimiento”, mientras que en la versión anterior esta tarea era responsabilidad del representante legal. El oficial también debe “rendir informes, tanto al representante legal como a la junta directiva o, en su defecto, al máximo órgano social, con la frecuencia y periodicidad que se establezca en el sistema”. Anteriormente el oficial solamente tenía que entregar informes al representante legal. Por otra parte, la norma exige establecer un régimen de incompatibilidades e inhabilidades del oficial de cumplimiento. De acuerdo con la cartilla de Infolaft para capacitar oficiales de cumplimiento –citando el Diccionario de la RAE– la inhabilidad se define como “el defecto o impedimento para obtener o ejercer un empleo u oficio’’, y la incompatibilidad se entiende como el ‘‘impedimento o tacha legal para ejercer una función determinada, o para ejercer dos o más cargos a la vez’’. Se define también que los oficiales de cumplimiento tienen la responsabilidad de realizar los reportes de operaciones sospechosas (ROS) a la Unidad de Información y Análisis Financiero.

Ajustes a la definición de las PEP

La definición de personas expuestas políticamente (PEP) también fue ajustada al interior del capítulo 10 de la Circular Básica. De acuerdo con la norma, las empresas solamente están obligadas a catalogar como PEP a aquellos titulares de los cargos públicos enunciados en el Decreto 1674 de 2016. No obstante, y si bien el Decreto señala que ‘‘la calidad de PEP sólo se conservará por un periodo de 2 años con posterioridad a la fecha en que el respectivo individuo haya dejado de desempeñar las funciones públicas destacadas o haya dejado de administrar o manejar recursos públicos’’, es aconsejable que sea la propia empresa a través de su política de prevención la que defina el periodo durante el cual una persona es catalogada como PEP. Una buena forma de gestionar este riesgo es contar con una lista de PEP que permita simplificar los procesos a los oficiales de cumplimiento.

Identificación del beneficiario final

Dentro del literal B –que hace referencia a los procedimientos de debida diligencia– la Superintendencia de Sociedades obligó a sus empresas vigiladas a conocer a los beneficiario reales y/o controlantes de sus contrapartes “por medio de las herramientas de que disponga”. Así mismo, en el literal d que fija pautas para el conocimiento de los asociados, la Supersociedades exige conocer al beneficiario real de las inversiones y a conocer el origen de los fondos de los nuevos inversionistas, esto con el fin de evitar que la empresa se vea perjudicada en caso de que los recursos tengan un origen ilegal. Respecto a dichos beneficiarios, la norma los define como las personas naturales que finalmente poseen o controlan a una contraparte o a la persona natural en cuyo nombre se realiza una operación o negocio. También incluye a “la(s) persona(s) que ejerce(n) el control efectivo final sobre una persona jurídica u otra estructura jurídica o es (son) titular(es) del 25% o más de su capital, en caso de tener naturaleza societaria”.

Diferencias entre operaciones inusuales y sospechosas

Otra de las modificaciones del capítulo 10 es el cambio en la definición de operación inusual y sospechosa. A simple vista, se puede pensar que el cambio es un simple tema de redacción de la definición; sin embargo, dicho cambio tiene un impacto importante en el procedimiento de análisis de la operación inusual. En la definición inicial de operación inusual se establecía que tales operaciones eran las que por su cuantía o características no guardaba relación con la actividad económica del cliente o que por su monto, las cantidades transadas se salen de los parámetros de normalidad establecidos por el sujeto obligado. Por su parte, la definición inicial de operación sospechosa señalaba que dicha operación era la que por su número, cantidad o características no se enmarcaba dentro de las prácticas normales de los negocios de una industria o un sector determinado y que además no ha podido ser razonablemente justificada teniendo en cuenta los usos y costumbres de la actividad que se trate. La modificación radica en que se le agregó a la definición de operación inusual una parte que se encontraba en la definición de operación sospechosa. Esta parte hace referencia a la comparación de la operación con las prácticas ordinarias de los negocios de un sector o una industria. Lo anterior implica que desde hoy, para determinar una operación inusual es necesario que en el proceso de análisis se verifique la transacción con las prácticas ordinarias de los negocios del sector o una industria, actividad que antes se realizaba para determinar si la operación era inusual.

Nuevas funciones del representante legal

Según el literal b de la norma, el representante legal “deberá disponer de las medidas operativas, económicas, físicas, tecnológicas, y de recursos que sean necesarias y requeridas para que el oficial de cumplimiento,
o quien haga sus veces, pueda poner en marcha el sistema y pueda desarrollar las labores de seguimiento y cumplimiento del mismo”. Adicionalmente, el representante legal será el encargado de nombrar al oficial de cumplimiento en aquellas empresas que no cuenten con junta directiva o con un máximo órgano social. También tiene la obligación de recibir los informes que el oficial de cumplimiento entregue acerca de la efectividad y eficiencia del sistema, y debe proponer las mejoras que se requieran. A su vez y si bien el oficial de cumplimiento es el responsable de diseñar el Sagrlaft, el representante legal tiene el deber de acompañar al oficial en la presentación de dicho sistema ante la junta directiva para su respectiva aprobación.

Entrega de reportes de ausencia de operaciones sospechosas (Aros)

Los oficiales de cumplimiento tendrán que presentar reportes de ausencia de operaciones sospechosas (Aros) cuando transcurra un trimestre sin que la empresa obligada a implementar el Sagrlaft realice reportes de operaciones (ROS). Dichos Aros tendrán que ser presentados dentro de los diez días calendario siguientes al vencimiento del respectivo trimestre por medio del Sistema de Reporte en Línea (Sirel) de la Unidad de información y Análisis Financiero. Por ejemplo, los oficiales tendrán que entregar un Aros en enero de 2018 siempre y cuando no entreguen ROS en el trimestre de octubre-diciembre de 2017. Esta es una obligación nueva que denota una gran responsabilidad. De acuerdo con la cartilla de capacitación de Infolaft para los oficiales de cumplimiento, es aconsejable que los reportes informen específicamente que en un determinado trimestre no se encontraron operaciones sospechosas. “Hay que evitar decir que en ese periodo no hubo operaciones sospechosas, ya que puede que estas sí tuvieran lugar pero no fueron detectadas por el sistema. Con lo cual se pueden reportar apenas se detecten”, recomienda la cartilla.

Lozano Consultores lo apoya en el cumplimiento del Sagrlaft

La firma Lozano Consultores, empresa asociada de Infolaft, ha apoyado a decenas de empresas del sector real a implementar sus sistemas de autocontrol y gestión del riesgo del lavado de activos y financiación del terrorismo (Sagrlaft), desde la primera emisión de esta norma a mediados de 2014. Lozano Consultores también evalúa los sistemas ya implementados por las empresas para determinar el cumplimiento del capítulo 10 de la Circular Básica Jurídica y lo acompaña para hacer los ajustes que se requieran con ocasión de visitas o requerimientos del supervisor. Para mayor información, puede comunicarse con nosotros a través del correo comunicaciones@infolaft.com