SAGRILAFT y PTEE

La obligación depende de dos cosas: si la empresa supera los umbrales de activos o de ingresos que fija la Circular Básica Jurídica de la Superintendencia de Sociedades, y si pertenece a alguno de los sectores cubiertos con independencia de su tamaño. Esos umbrales y esa lista han cambiado en distintas versiones de la circular, así que la respuesta se verifica sobre los estados financieros del corte relevante y sobre la actividad real de la empresa. Entregamos esa conclusión por escrito.

Atienden riesgos distintos. El SAGRILAFT previene el lavado de activos, la financiación del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva, y se apoya en el conocimiento de las contrapartes. El PTEE previene el soborno transnacional, la corrupción y el fraude, y se apoya en el código de conducta, el canal de denuncias y la debida diligencia sobre intermediarios y socios de negocio. Una empresa puede estar obligada a uno, a los dos o a ninguno.

No. El SARLAFT es el sistema del sector financiero y lo exige la Superintendencia Financiera. El SAGRILAFT es el del sector real y lo exige la Superintendencia de Sociedades. La lógica de gestión de riesgo es parecida, pero el alcance, la autoridad que vigila y las obligaciones concretas son distintos, y un manual copiado del otro régimen suele generar más problemas de los que resuelve.

Debe ser una persona natural con conocimiento del riesgo, independencia funcional respecto de las áreas que controla y reporte directo al máximo órgano social. Su designación se documenta y se inscribe ante la Superintendencia. La función se ejerce desde dentro de la empresa, pero cuando el designado no tiene experiencia previa prestamos apoyo externo continuo: lo formamos, le entregamos el calendario de sus obligaciones y revisamos con él sus informes.

Depende de qué haya detrás. Un manual genérico, sin matriz de riesgo construida sobre la operación, sin procedimientos que el personal ejecute y sin registro de capacitación, es difícil de defender en una revisión. Lo que hacemos es una auditoría del programa contra la circular aplicable y contra cómo funciona la empresa en la práctica, y entregamos un informe de brechas con un plan de remediación priorizado por riesgo. En muchos casos se conserva la estructura y se corrige lo que falta.

La autoridad revisa documentación, entrevista al oficial de cumplimiento y verifica si el programa se aplica de verdad, no solo si existe en papel. Un requerimiento tiene un término para responder y lo que se radique condiciona la discusión posterior. Lo primero que hacemos es verificar la fecha de notificación y el término aplicable; a partir de ahí preparamos la respuesta y asumimos la defensa técnica en la investigación administrativa, que puede alcanzar a la sociedad y a sus administradores.

Un programa adoptado, no una carpeta. Eso incluye el diagnóstico de riesgo, la matriz documentada con el criterio de calificación de cada riesgo, el manual redactado sobre la operación de la empresa, el acta de aprobación del órgano competente, los procedimientos y formatos de debida diligencia, las señales de alerta con su ruta de escalamiento, el soporte de la designación del oficial de cumplimiento y el registro de las capacitaciones dictadas.

Cuando el análisis interno concluye que una operación es sospechosa, corresponde presentar el reporte ante la UIAF. La regla que conviene tener clara desde el principio es que a la contraparte reportada no se le avisa. Por eso el procedimiento debe definir por escrito quién analiza la alerta, quién decide y cómo se documenta la decisión, tanto cuando se reporta como cuando se concluye que no hay lugar al reporte.