Prevención de lavado de activos: qué debe hacer un sujeto obligado
La obligación no consiste en detectar delitos. Consiste en conocer al cliente, vigilar lo que se aparta de su perfil y reportar sin avisarle. Incumplir cualquiera de las tres se sanciona por sí solo.
Quien trabaja en un sujeto obligado suele descubrir que la parte difícil de esta materia no es entender el delito, que se explica en la ficha sobre qué es el lavado de activos, sino sostener un sistema de control que se audita.
Las cuatro obligaciones centrales
Conocer al cliente. Identificarlo, verificar esa identidad con documentos, entender a qué se dedica y cuál es el propósito de la relación. De aquí nace el formulario que todo el mundo detesta.
Determinar el beneficiario final. En personas jurídicas, llegar hasta la persona natural que controla. Es la obligación que más esfuerzo consume, porque las estructuras societarias en capas están diseñadas precisamente para dificultarla.
Monitorear. Comparar la operación real contra el perfil declarado y detectar desviaciones. Una póliza modesta en una persona sin actividad económica declarada compatible es una señal; también lo son el fraccionamiento y el pago anticipado seguido de cancelación temprana.
Reportar. Comunicar a la unidad de análisis financiero las operaciones inusuales o injustificadas y las que superan umbrales, bajo reserva estricta.
Enfoque basado en riesgo
La norma no exige tratar a todos los clientes igual, exige clasificarlos. Un sistema razonable distingue tres niveles:
- Riesgo bajo: debida diligencia simplificada.
- Riesgo estándar: el procedimiento normal.
- Riesgo alto: debida diligencia reforzada, con aprobación de nivel superior y monitoreo intensificado.
En el tercer grupo entran habitualmente las personas expuestas políticamente, sus allegados, las estructuras con beneficiario final opaco y los clientes vinculados a jurisdicciones de mayor riesgo.
Clasificar mal no es un detalle: un cliente de alto riesgo tratado como estándar es exactamente el hallazgo que busca una auditoría.
La estructura interna que se exige
Cuatro elementos aparecen en cualquier revisión:
- Oficial de cumplimiento designado, con autonomía e independencia reales.
- Manual de prevención aprobado, actualizado y aplicado —no solo redactado—.
- Capacitación periódica del personal, documentada.
- Auditoría interna que revise la efectividad del sistema.
La distancia entre el manual y la práctica es donde se concentran las sanciones. Un manual impecable con expedientes incompletos no protege a nadie.
La prohibición de informar al cliente
Es una regla que incomoda y no admite matices: no se puede comunicar al cliente que fue objeto de un reporte, ni insinuarlo. La reserva protege el análisis posterior, y su violación es una infracción autónoma que se sanciona con independencia del resto.
En la práctica, esto obliga a entrenar al personal de atención para que no explique por qué se solicita información adicional en términos que revelen la existencia de un reporte.
Conservación de la información
Los expedientes de clientes y los registros de operaciones deben conservarse durante los plazos que fija la norma, en condiciones que permitan reconstruir cada operación. En una revisión, “no lo tenemos” y “no lo hicimos” producen el mismo resultado.
Cómo se organiza el sistema por dentro
Un sistema de prevención no es un manual: es un conjunto de procesos que funcionan a diario y que se auditan. Cinco piezas lo sostienen.
La política aprobada por el máximo órgano de gobierno. Sin esa aprobación formal el sistema carece de respaldo, y es lo primero que revisa cualquier supervisión.
El conocimiento del cliente. Identificación, verificación, determinación del beneficiario final y construcción del perfil transaccional esperado. Es la base de todo lo demás: sin perfil no hay forma de saber qué es inusual.
El monitoreo. Reglas y alertas que comparan la operación real contra ese perfil. Aquí la tecnología ayuda, pero la decisión sobre cada alerta es humana y debe documentarse.
El análisis y el reporte. El paso donde una alerta se descarta con fundamento o se convierte en reporte. Ambos resultados deben quedar documentados: un descarte sin sustento es tan observable como un reporte omitido.
La capacitación y la auditoría. Formación periódica de todo el personal y revisión independiente de que el sistema funciona como está escrito.
El error de enfoque más costoso
Muchas entidades organizan su prevención alrededor de montos: revisar lo que supera cierta cifra y dejar pasar el resto. Es el enfoque que la normativa moderna abandonó, y por buenas razones.
El enfoque basado en riesgo ordena los recursos según la exposición, no según el importe. Un cliente de bajo riesgo con una operación grande y coherente con su actividad puede requerir menos atención que uno de alto riesgo con movimientos pequeños y fragmentados.
Eso implica clasificar clientes, productos, canales y zonas geográficas por nivel de riesgo, y aplicar medidas reforzadas donde corresponde y simplificadas donde se justifica. Un sistema que trata a todos igual no está siendo prudente: está desperdiciando esfuerzo donde no hace falta y dejándolo faltar donde sí.
Qué le toca a una empresa que no es una entidad financiera
Varias actividades comerciales están alcanzadas por el régimen sin ser bancos ni aseguradoras, y suelen enterarse tarde.
Las obligaciones son proporcionales al riesgo de la actividad, pero el núcleo se repite: identificar al cliente y al beneficiario final, conocer el origen de los fondos en operaciones relevantes, conservar la documentación por el plazo establecido, capacitar al personal y designar a un responsable del cumplimiento.
Para una empresa mediana eso no significa montar un área: significa tener un procedimiento escrito, aplicarlo de forma consistente y poder demostrarlo. La diferencia entre una supervisión sin observaciones y una con ellas rara vez está en el tamaño del equipo; está en si el procedimiento existe y se cumple como está escrito.
Preguntas frecuentes
¿Quién es un sujeto obligado?
Las entidades que la norma designa para aplicar medidas de prevención: bancos, cooperativas, aseguradoras, casas de valores, y también actividades no financieras como inmobiliarias, notarías o comercio de vehículos y metales preciosos.
¿Qué es la debida diligencia?
El conjunto de medidas para identificar y verificar al cliente, entender el propósito de la relación y determinar el beneficiario final. Puede ser simplificada, estándar o reforzada según el riesgo.
¿Qué es un beneficiario final?
La persona natural que en última instancia controla o se beneficia de una persona jurídica, más allá de quien aparece firmando. Identificarlo es una obligación central y una de las más difíciles de cumplir.
¿El cliente se entera de que fue reportado?
No. El reporte está sujeto a reserva y existe una prohibición expresa de informar al cliente sobre su existencia. Avisarle constituye una infracción autónoma.
¿Se sanciona incluso si no hubo delito?
Sí. El incumplimiento de las obligaciones de prevención se sanciona por sí mismo, con independencia de que exista o no un delito previo. Son dos planos distintos.
¿A quiénes alcanza el régimen de prevención?
A los sujetos obligados que la normativa define, que van bastante más allá de los bancos: aseguradoras, cooperativas, casas de valores, notarías, inmobiliarias y varias actividades comerciales de riesgo. Cada uno con obligaciones proporcionales a su exposición.
¿Qué es una operación inusual y qué la distingue de una sospechosa?
Inusual es la que se aparta del perfil transaccional conocido del cliente. Sospechosa es la que, analizada, no encuentra explicación económica o legal razonable. La primera se detecta; la segunda se reporta.
¿El oficial de cumplimiento responde personalmente?
Tiene responsabilidades propias definidas por la normativa y debe contar con independencia y acceso directo al máximo órgano de gobierno. Su función no es firmar reportes ajenos sino dirigir el sistema de prevención de la entidad.