SARLAFT: el régimen de prevención del lavado de activos

El SARLAFT es el conjunto de políticas, procedimientos, controles, estructuras organizacionales y reportes que las entidades vigiladas por la Superintendencia Financiera deben adoptar para identificar, medir, controlar y monitorear el riesgo de ser utilizadas, directa o indirectamente, en operaciones de lavado de activos o de financiación del terrorismo y de la proliferación de armas de destrucción masiva (LA/FT/FPADM).

Su regulación central está en el Capítulo IV, Título IV, Parte I de la Circular Básica Jurídica de la SFC, que ha sido objeto de actualizaciones sucesivas en los últimos años. La versión vigente integra enfoque de gestión por riesgo, exigencias reforzadas de debida diligencia y obligaciones específicas de reporte ante la UIAF (Unidad de Información y Análisis Financiero).

Todas las entidades vigiladas por la Superintendencia Financiera deben implementar SARLAFT. Esto incluye, sin pretender exhaustividad:

• Establecimientos de crédito (bancos, compañías de financiamiento, cooperativas financieras).
• Sociedades fiduciarias y administradoras de fondos de inversión colectiva.
• Sociedades comisionistas de bolsa y otros intermediarios del mercado de valores.
• Compañías de seguros, reaseguradoras y sociedades de capitalización.
• Administradoras de fondos de pensiones y cesantías.
• Infraestructuras del mercado de valores (BVC, depósitos centralizados, cámaras de riesgo central de contraparte).
• Establecimientos especiales: almacenes generales de depósito, sociedades titularizadoras.

Para sectores fuera del perímetro de la SFC pero con régimen análogo, la SuperSociedades aplica el SAGRILAFT (Sistema de Autocontrol y Gestión del Riesgo Integral de LA/FT/FPADM) a empresas no financieras de cierto umbral, y la SuperSolidaria aplica un régimen propio a cooperativas grado 1. El concepto de fondo es el mismo; la denominación y los detalles operacionales cambian.

La regulación organiza el SARLAFT en cinco componentes articulados. No son secciones decorativas: cada uno tiene exigencias específicas verificables en supervisión.

1. Políticas y procedimientos

La entidad debe adoptar políticas escritas, aprobadas por su Junta Directiva, sobre conocimiento del cliente, conocimiento del mercado en el que opera, identificación de operaciones inusuales y sospechosas, y procesos de capacitación interna. Estas políticas no son declarativas: deben tener procedimientos operativos que las hagan ejecutables.

2. Gobierno corporativo y estructura organizacional

Designación obligatoria de un Oficial de Cumplimiento principal y un suplente, con autonomía, dedicación y soporte adecuados. La Junta Directiva tiene responsabilidades específicas en aprobación, monitoreo y rendición de cuentas. El Oficial de Cumplimiento reporta directamente a la Junta o al máximo órgano social, no al CEO ni al área comercial.

3. Identificación, medición y control del riesgo

Matriz de riesgo LA/FT documentada y actualizada. Segmentación de clientes, productos, canales y jurisdicciones por nivel de riesgo. Aplicación de debida diligencia simple, debida diligencia normal o debida diligencia reforzada según el perfil. Las personas expuestas políticamente (PEP), las jurisdicciones de alto riesgo y los productos sensibles exigen tratamiento reforzado.

4. Monitoreo y detección

Sistemas tecnológicos que monitorean transacciones contra señales de alerta predefinidas. Identificación de operaciones inusuales (las que se apartan del comportamiento esperado del cliente) y operaciones sospechosas (las que, además, no encuentran justificación legítima). El umbral de detección debe calibrarse: demasiado laxo, deja pasar; demasiado estricto, satura al equipo y empeora la calidad del reporte.

5. Reportes y reservas

Reporte de Operaciones Sospechosas (ROS) a la UIAF en los plazos regulatorios. Reporte de Operaciones en Efectivo (REO) por sobre el umbral. Reportes internos al Oficial de Cumplimiento y a la Junta. Conservación documental por los plazos exigidos por la normativa, generalmente cinco años desde la finalización de la relación con el cliente.

El incumplimiento del SARLAFT puede activar tres niveles de consecuencias, que no se excluyen entre sí:

1. Administrativas. La SFC puede imponer multas, requerimientos correctivos, suspensión de actividades, e incluso —en casos graves— revocatoria de la autorización para operar. Las sanciones son actos administrativos sujetos a recurso ante la jurisdicción contencioso administrativa.
2. Penales. Si los hechos exceden la mera infracción regulatoria y configuran omisión dolosa de control, los administradores y el Oficial de Cumplimiento pueden enfrentar responsabilidad penal individual (artículo 325 del Código Penal y normas conexas).
3. Reputacionales. Una sanción pública por incumplimiento SARLAFT erosiona la confianza del mercado y, en entidades cotizadas, puede traducirse en pérdida de valor patrimonial significativa. Para entidades en proceso de licenciamiento internacional o de búsqueda de socios estratégicos, la sombra reputacional es prolongada.

Cinco patrones recurrentes en los procesos sancionatorios SARLAFT que llegan a despacho:

• Manuales SARLAFT genéricos, plantilla con poca adaptación a la realidad operacional de la entidad. Producen hallazgos en cualquier visita de inspección.
• Oficial de Cumplimiento sin recursos: persona designada formalmente pero con carga de funciones que le impide ejercer el rol. Materializa el incumplimiento estructural.
• Matriz de riesgo desactualizada o desconectada de la operación real. Cuando los productos, canales o tipos de cliente evolucionan y la matriz se queda estática, la segmentación se vuelve ficticia.
• ROS deficitarios: reportes tardíos, sin la información mínima exigida, o sin trazabilidad documental. Generan sanción por sí mismos, independientemente del hecho subyacente.
• Capacitación reducida a un curso anual. La capacitación SARLAFT debe ser continua, diferenciada por rol y verificable en su efectividad.

Tres momentos donde la asesoría jurídica especializada en SARLAFT es prácticamente obligada: (a) en el diseño o rediseño del sistema, particularmente para entidades nuevas o tras cambios regulatorios relevantes; (b) ante el inicio de una visita de inspección o un requerimiento previo a sanción de la SFC; (c) cuando hay tensión entre el equipo de cumplimiento y el área comercial sobre la calificación de operaciones o el cierre de relaciones comerciales.

En cualquier escenario, la lectura estratégica del SARLAFT —no la formal— es la que protege a la entidad y a sus administradores. La pregunta correcta no es "qué dice la circular", sino "cómo se entiende mi operación efectiva bajo la circular y cómo se documenta esa interpretación".