Hoy mediante la Circular Externa No. 27 (02/09/20), la Superintendencia Financiera de Colombia publicó las modificaciones al Sarlaft, bajo la denominación de “Sarlaft 4.0”.

A continuación presento cuatro de las más relevantes novedades que trae esta reforma, las cuales habrán de generar cambios sustanciales en los sistemas y en la cultura de administración de riesgos de las entidades vigiladas.

1. Nuevos factores de riesgo Los accionistas, empleados, proveedores y vinculados se incorporan a la lista de factores de riesgo. En efecto, a partir de su entrada en vigencia (el 3 septiembre de 2020) el Sarlaft 4.0 también deberá incluir procedimientos y metodologías efectivas para que las entidades vigiladas se protejan de ser utilizadas a través de sus accionistas, empleados, proveedores y vinculados, como instrumento para el lavado de activos o para la canalización de recursos hacia la realización de actividades terroristas. Esto supone, aunque la norma no lo dice de manera expresa, que las entidades vigiladas deberán desarrollar procedimientos, adicionales a los de consulta de listas, para el efectivo conocimiento de sus accionistas, empleados y proveedores y para la detección y reporte de sus actuaciones sospechosas, toda vez que este es el único mecanismo de salida del sistema. Reto especial habrá de representar el diseño de procedimientos y metodologías efectivas para que las entidades vigiladas se protejan de ser utilizadas a través de sus vinculados como instrumento para el lavado de activos, o para la canalización de recursos hacia la realización de actividades terroristas. 2. Nuevas listas internacionales vinculantes para Colombia Además de las señaladas en determinadas resoluciones del Consejo de Seguridad de las Naciones Unidas, el SARLAFT 4.0 ordena tener en cuenta “cualquiera otra lista que se adopte en el país”. En consecuencia, atendiendo lo decidido por el Consejo de Seguridad Nacional de Colombia en su sesión del 17 de enero de 2020, las entidades vigiladas adicionalmente deberán tener en cuenta las listas de organizaciones terroristas y de personas catalogadas como terroristas de la Unión Europea y la lista de terroristas de los Estados Unidos de América, excluida la organización denominada “Revolutionary Armed Forces of Colombia (FARC)", por ser hoy un partido político. 3. Precisión en los alcances del conocimiento del beneficiario final A partir de la entrada en vigencia del Sarlaft 4.0 las entidades vigiladas quedan expresamente obligadas a determinar la identidad de aquellas personas facultadas para: (i) designar a la mayor parte de los integrantes de la junta directiva; (ii) emitir los votos constitutivos de la mayoría mínima decisoria en la junta directiva; (iii) tomar decisiones respecto de asuntos financieros, operativos y comerciales; (iv) usar los activos de propiedad del potencial cliente; o (v) ejercer de cualquier otra forma control o influencia dominante sobre éste. Reto especial habrá de ser el diseño de un procedimiento que contenga mecanismos e instrumentos adecuados para identificar estos eventos y para conocer la identidad de esas personas, particularmente considerando que no existe una base de datos pública sobre el particular y que las empresas guardan celosamente esta información, invocando la seguridad de sus accionistas y administradores y deberes de habeas data. 4. La entrevista pasa a ser un mecanismo exclusivamente para los clientes de mayor riesgo En aquellos casos en que el potencial cliente sea calificado como de alto riesgo, las entidades deberán emplear medidas intensificadas para: (i) obtener información acerca del origen de sus bienes; (ii) obtener información acerca de sus relaciones con otras entidades vigiladas; (iii) realizar una entrevista y/o visita y (iv) efectuar una revisión en bases de datos de entidades públicas. Adicionalmente, deberá adoptarse “cualquier otra medida intensificada que sea eficaz y proporcional a los riesgos identificados”. Respecto de las personas jurídicas complementariamente se ordena obtener información acerca del “nombre de clientes y nombre de proveedores”, revisar sus estados financieros, e identificar a sus administradores, a lo que se sumará con especial énfasis respecto de clientes de mayor riesgo, el cumplimiento de los deberes de conocimiento del beneficiario final ya mencionados. La norma no precisa el sentido, alcance y propósito de los deberes de obtener información acerca del “nombre de clientes y nombre de proveedores” y de la revisión de estados financieros. Finalmente, especial reto hará de representar el diseño de un procedimiento adecuado para discernir a cuales potenciales clientes se les habrá de calificar como de alto riesgo y por ende realizarles visita o únicamente entrevista. Conclusión Todas estas novedades habrán de suponer no solamente un ajuste en los procedimientos, sino también cambios en la cultura, esto es en la forma de comprender el Sarlaft y en la manera proceder de empleados, administradores y contrapartes al momento de administrar los riesgos LA/FT.