SFC - Sistema de administración de riesgo de lavado de activos y financiación del terrorismo- SARLAFT. Clientes de mayor riesgo. Acceso al sistema id2022186729

SISTEMA DE ADMINISTRACIÒN DE RIESGO DE LAVADO DE ACTIVOS Y FINANCIACIÒN DEL TERRORISMO-SARLAFT, CLIENTES DE MAYOR RIESGO, ACCESO AL SISTEMA FINANCIERO Concepto 2022186729-001 del 9 de diciembre de 2022 Sìntesis: Las entidades vigiladas son las llamadas a determinar el nivel de riesgo de sus clientes o potenciales clientes a partir de la evaluación que realicen de los factores de LA/FT, conforme a la metodología aprobada para tal fin por la Junta Directiva o el órgano que haga sus veces. La normativa no prevé respecto de aquellos clientes calificados como de mayor riesgo se deba limitar su acceso al sistema financiero, sino la implementación y ejecución de procedimientos más estrictos que le permitan a las entidades vigiladas administrar adecuadamente ese nivel de riesgo frente al ejercicio de sus operaciones autorizadas. «(…) solicita conocer “cuáles son la políticas, el perfil o actos impropios, que se establece para que una persona natural, en cuadre o se reportada dentro del sistema SARLAFT, como alto riesgo, por actividades relacionadas con lavado de activos y financiación del terrorismo previstos en el estatuto Orgánico del sistema financiero, en que se soporta para determinar la alerta sobre las actividades de una persona natural y la censura en el sistema financiero”. Con el fin de atender en debida forma su solicitud, le informamos que la Superintendencia Financiera de Colombia –SFC, es una autoridad administrativa que tiene a cargo la supervisión del sistema financiero colombiano con el objetivo de preservar su estabilidad, seguridad y confianza, así como promover, organizar y desarrollar el mercado de valores colombiano y la protección de los inversionistas, ahorradores y asegurados.

De esta manera, ejerce la inspección, vigilancia y control de quienes realizan legalmente la actividad financiera, bursátil, aseguradora y cualquier otra relacionada con el manejo o inversión de recursos recibidos (captados) del público, las cuales se denominan Entidades Vigiladas1. En relación con el riesgo de Lavado de Activos y Financiación del Terrorismo (en adelante, LA/FT), las funciones de esta Superintendencia se encuentran establecidas el Decreto 2555 de 20102 y se relacionan con el cumplimiento de las normas que regulan el Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo – “SARLAFT”3. Una vez hechas las anteriores precisiones sobre nuestras competencias y para dar respuesta a su petición, consideramos relevante aclarar varios temas: En primer lugar, resulta necesario explicar que el SARLAFT es el sistema de administración de riesgos que deben implementar las entidades financieras vigiladas por este ente de supervisión (de acuerdo con el ámbito de aplicación contenido en la norma4), de tal modo que mitiguen y gestionen los eventos de riesgo de LA/FT; a los que se ven expuestas en la ejecución de su objeto social y la prestación de los servicios y operaciones autorizadas. Lo anterior, nos permite aclarar que el SARLAFT no corresponde a un sistema en donde se reporten personas de alto riesgo, sino que, contiene una serie de instrucciones dispuestas para que las entidades vigiladas por la 1 Las funciones de la SFC están regladas en el Estatuto Orgánico del Sistema Financiero -EOSF, la Ley 964 de 2005 y en

el Decreto 2555 de 2010, normas que pueden ser consultadas en la página Web, www.superfinanciera.gov.co siguiendo los enlaces: Normativa/Normativa General. 2 Decreto 2555 de 2010 artículos 11.2.1.4.29, 11.2.1.4.30 y 11.2.1.4.31 3 Normatividad establecida en el Capítulo IV, Título IV de la Parte Primera de la Circular Básica Jurídica -CBJ de la SFC, en desarrollo del numeral 2 del artículo 102 del EOSF. 4 Numeral 2 Capítulo IV, Título IV de la Parte Primera de la Circular Básica Jurídica -CBJ SFC administren el riesgo de LA/FT, dentro de las cuales pueden existir ciertos reportes, como por ejemplo, los de operaciones sospechosas - ROS ante la Unidad de Información y Análisis Financiero - UIAF5. Este sistema se compone de dos fases, la primera, que corresponde a la prevención del riesgo y cuyo objetivo es prevenir que se introduzcan al sistema financiero recursos provenientes de actividades relacionadas con el lavado de activos o de la financiación del terrorismo, y la segunda, que concierne al control y cuyo propósito consiste en detectar y reportar las operaciones que se pretendan realizar o se hayan realizado, para intentar dar apariencia de legalidad a operaciones vinculadas al LA/FT. Dentro de la primera fase se encuentran elementos como la implementación de políticas, procedimientos, estructura organizacional, entre otros, por medio de los cuales se desarrollan las etapas de identificación, medición o evaluación, control, y monitoreo del riesgo de LA/FT. Así mismo, las entidades vigiladas deben implementar unos mecanismos efectivos que les permitan realizar un adecuado conocimiento del cliente,

conocimiento del mercado, la identificación y análisis de operaciones inusuales y la determinación y reporte de operaciones sospechosas. Para que estos mecanismos sean efectivos, eficientes y oportunos, se deben implementar instrumentos como las señales de alerta o alertas tempranas, la segmentación de los factores de riesgo, el seguimiento de operaciones, la consolidación electrónica de operaciones y la matriz de riesgos. Todo lo anterior nos conduce a explicar que, cuando una entidad financiera vigilada por esta Superintendencia establece relaciones contractuales o legales con un cliente para el suministro de un producto propio de su actividad, como por ejemplo, una cuenta de ahorros, para el caso de los bancos o un seguro en el caso de las aseguradoras, debe adelantar un procedimiento en virtud del cual pueda obtener un conocimiento efectivo, eficiente y oportuno de todos los clientes actuales y potenciales, así como verificar su información. En ejecución de este procedimiento, el Capítulo IV, Título IV de la Parte Primera de la Circular Básica Jurídica -CBJ6 (en donde se consolidan las instrucciones relativas al SARLAFT), ha establecido que las entidades vigiladas pueden aplicar los procedimientos de conocimiento del cliente de manera proporcional en atención a su análisis del riesgo LA/FT, en todo caso identificando y verificando su identidad, así como la de su beneficiario final (en el caso de que se trate de personas jurídicas) y entendiendo el propósito de la relación contractual, en cumplimiento de lo dispuesto en la norma indicada7. Así mismo, el Subnumeral 4.2.2.2.1.1. de la referida norma, señala que:

“No obstante lo anterior, en aquellos eventos en que hayan identificado que el perfil de riesgo de un potencial cliente esté calificado como de alto riesgo, las entidades vigiladas deben aplicar medidas intensificadas en los procedimientos de conocimiento del cliente. Dicha calificación debe tener en cuenta la valoración integral de los factores de riesgo. Las entidades vigiladas deben tener a disposición de esta Superintendencia los medios verificables a través de los cuales se demuestre la realización del análisis del riesgo de LA/FT, y que la metodología mediante la cual se realizó dicho análisis fue aprobada por la junta directiva o el órgano que haga sus veces”. En esa medida, para solucionar sus inquietudes, con base en lo previamente expuesto se precisa que:

1. Son las entidades vigiladas quienes deben entrar a calificar el nivel de riesgo de sus potenciales clientes, de conformidad a sus análisis del riesgo de LA/FT. 5 Numeral 4.2.2.2.4. Capítulo IV, Título IV de la Parte Primera de la Circular Básica Jurídica -CBJ 4.2.2.2.4. Determinación y reporte de operaciones sospechosas. 6 Subnumeral 4.2.2.2.1. del Capítulo IV, Título IV de la Parte I -CBJ Referente al Conocimiento del cliente. Ver en

https://www.superfinanciera.gov.co/descargas?com=institucional&name=pubFile1009815&downloadname=P1%20Tit%2 0IV%20Cap%20IV%20-%20SARLAFT.docx 7 Subnumeral 4.2.2.2.1.1. del Capítulo IV, Título IV de la Parte I -CBJ

2. La calificación que realicen las entidades vigiladas debe tener en cuenta en todo caso, la valoración integral

de los factores del riesgo, es decir, de aquellos agentes generadores del riesgo de LA/FT8 y que para efectos del SARLAFT corresponden, como mínimo a los siguientes: clientes y usuarios; productos; canales de distribución y jurisdicciones.

3. Las entidades vigiladas deben contar con una metodología para realizar el análisis de riesgo de LA/FT aprobada por la junta directiva o el órgano que haga sus veces, así como, tener a disposición de esta Superintendencia los medios verificables a través de los cuales se demuestre la realización de dicho del análisis.

4. Respecto de aquellos clientes que las entidades financieras vigiladas califiquen como de alto riesgo, deben aplicar medidas intensificadas en los procedimientos de conocimiento del cliente, con la finalidad de obtener la información necesaria del potencial cliente para adelantar una adecuada y efectiva gestión del riesgo LA/FT. Las medidas intensificadas para personas naturales pueden comprender9: a. “Obtener información adicional acerca del origen de sus bienes y/o fondos, su patrimonio y sus relaciones contractuales con otras entidades vigiladas;

b. Realizar una entrevista y/o visita; c. Efectuar una revisión en bases de datos de entidades públicas; para personas jurídicas, d. Cualquier otra medida intensificada que sea eficaz y proporcional a los riesgos identificados por entidad”. En segundo lugar, precisamos aclarar que el Estatuto Orgánico del Sistema financiero (en adelante EOSF) en su normatividad relacionada con la prevención de actividades delictivas contenida en los artículos 102 a 10710, no establece disposiciones tendientes a regular los criterios, políticas o perfiles para que una persona natural, sea considerada de alto riesgo por actividades relacionadas con LA/FT. Sin embargo, dicha normatividad que

es de obligatorio cumplimiento para las entidades financieras vigiladas les exige, estar en consonancia con los estándares internacionales en materia de prevención y administración del riesgo de LA/FT, (obligación que también fue incluida por la normatividad de la SFC11). Dentro de los estándares internacionales en materia de LA/FT están las 40 Recomendaciones del GAFI, que constituyen el marco básico de lucha estos delitos y han sido concebidas para una aplicación universal, abarcando el sistema jurídico penal y policial, el sistema financiero y su reglamentación, y la cooperación internacional. La Recomendación 10 se refiere específicamente a la debida diligencia del cliente -DDC, incluyendo las obligaciones de identificación y verificación de la identidad del cliente y su beneficiario final, así como, el deber de entender, el carácter de la relación comercial y realizar una debida diligencia continua de esta para asegurar que las transacciones que se realicen sean consistentes con el conocimiento que tiene la institución sobre el cliente, su actividad comercial y el perfil de riesgo, incluyendo, cuando sea necesario, la fuente de los fondos. 8 Subnumeral 1.15. del Capítulo IV, Título IV de la Parte I -CBJ, referente a la Definición de los factores de riesgo. 9 Subnumeral 4.2.2.2.1.1.3.4. del Capítulo IV, Título IV de la Parte I -CBJ 10 Decreto Ley 663 de 1993 Estatuto Orgánico del Sistema Financiero, ver en: http://www.secretariasenado.gov.co/senado/basedoc/estatuto_organico_sistema_financiero_pr003.html#102

11 Subnumeral 2 del Capítulo IV, Título IV de la Parte I -CBJ, Ámbito de Aplicación de la norma. “Corresponde a las entidades vigiladas diseñar e implementar un SARLAFT efectivo de acuerdo con los criterios y parámetros mínimos exigidos en este Capítulo, sin perjuicio de advertir que de acuerdo con el literal e. del numeral 2 del art. 102 del EOSF debe estar en consonancia con los estándares internacionales sobre la materia, especialmente los proferidos por el GAFI - GAFILAT.” Así mismo, la referida Recomendación 10 desarrolla el “Enfoque Basado en Riesgos” que para los fines acá dispuestos, establece que, en la medida que existan circunstancias en las que el riesgo de LA/FT sea mayor, se deben tomar medidas intensificadas de debida diligencia. Por lo que, dicho organismo internacional, al evaluar las amenazas de LA/FT relativas a los tipos de clientes, ha señalado algunos ejemplos de situaciones en que dicho riesgo se considera potencialmente alto (además de las plasmadas en las Recomendaciones 12 a 16 del GAFI), así12: “(…): • La relación comercial se realiza en circunstancias inusuales (ej.: distancia geográfica significativa entre la institución financiera y el cliente inexplicable). • Clientes no residentes. • Personas jurídicas o estructuras jurídicas que son vehículos de tenencia de activos personales. • Sociedades mercantiles que tienen accionistas nominales o acciones de tipo al portador. • Negocios que utilizan cuantías elevadas de efectivo. • La estructura de titularidad de la sociedad mercantil parece ser inusual o excesivamente compleja

dado el carácter de la actividad de la sociedad mercantil”. En esa medida, las entidades financieras vigiladas dentro de sus metodologías de análisis de riesgo de LA/FT, deben, además de evaluar el perfil de riesgo de sus clientes de acuerdo con los factores de riesgo (para lo cual pueden hacer uso de las situaciones señaladas por el GAFI) implementar las medidas de debida diligencia de acuerdo al riesgo que represente cada cliente en particular, en aplicación del referido enfoque basado en riesgos. En tercer lugar, vale la pena resaltar que respecto de la determinación de alertas sobre las actividades de un cliente, el SARLAFT incluye la obligación para las entidades vigiladas, de contar con instrumentos para que sus mecanismos operen de manera efectiva, eficiente y oportuna, entre los que se encuentran las señales de alerta, entendidas como los hechos, situaciones, eventos, cuantías, indicadores cuantitativos y cualitativos, razones financieras y demás información que la entidad determine como relevante, a partir de los cuales se puede inferir la posible existencia de un hecho o situación que escapa a lo que la entidad ha determinado como normal. Por lo tanto, estas alertas también deben ser aplicadas respecto de aquellas personas que son consideradas de alto riesgo por la entidad, cuando las circunstancias lo indiquen, para que ante la existencia de situaciones anormales, la entidad pueda verificar si se trata de operaciones inusuales o sospechosas, que deban o no ser reportadas ante las autoridades correspondientes. En cuarto y último lugar, respecto a su inquietud relativa a la “censura” de clientes o potenciales clientes que sean calificados como de mayor riesgo, es relevante reiterar que dicha calificación por parte de la entidad,

implica que se deben implementar medidas de debida diligencia mayores, como los procedimientos de conocimiento del cliente intensificados, pero en ningún caso, se obliga a limitar el acceso al sistema financiero, pues la normatividad relacionada, se circunscribe a la implementación y ejecución de procedimientos acordes con el riesgo que representan estas personas, con el fin de que las entidades financieras vigiladas realicen su correcta administración frente al ejercicio de sus operaciones autorizadas. 12 Nota interpretativa de la recomendación 10 (debida diligencia del cliente) Ver en: https://www.cfatfgafic.org/es/documentos/gafi40-recomendaciones/416-fatf-recomendacion-10-debida-diligencia-del-cliente Sin embargo, nuestro ordenamiento jurídico reconoce constitucionalmente a las entidades financieras vigiladas, el principio de la autonomía de la voluntad privada y libertad de contratación en desarrollo de su actividad13, otorgándoles, al igual que a todos los particulares, plena libertad para escoger y decidir libremente con quienes adelantar sus negocios y entablar relaciones jurídicas y comerciales. Sobre este aspecto, se ha pronunciado esta Superintendencia en lo que se refiere a la inclusión de una persona en las listas vinculantes o en aquellas que no lo son, a las cuales, las entidades acuden con el fin de desplegar una debida diligencia y un conocimiento ampliado de las personas y organizaciones con las que pretende entablar o continuar sus relaciones jurídicas y comerciales14: “En tal sentido, aclaramos que las listas son unas bases de datos que reflejan la información de personas que pueden presentar actividades sospechosas, investigaciones, procesos o condenas relacionados con LAFT, Financiación a la Proliferación de Armas de Destrucción Masiva, así como de

otras actividades que son consultadas por las entidades vigiladas por esta Superintendencia con el ánimo de realizar una debida diligencia dentro de su “SARLAFT”. Dentro de esas listas, encontramos las vinculantes que son aquellas que tienen reconocimiento legal en Colombia y toda entidad vigilada está en la obligación de consultar15. Además, existen otra serie de listas denominadas restrictivas16 que son aquellas que no están ratificadas por el Estado Colombiano, no hacen parte del Ordenamiento Jurídico, son emitidas por organismos privados o gobiernos extranjeros producto de un actuar autónomo, soberano y discrecional, ante las cuales las autoridades judiciales y administrativas de Colombia no pueden exigir su observancia, ni verificar su cumplimiento, por cuanto se carece de las facultades necesarias para requerir o actuar frente a sus efectos, como tampoco es posible, participar, ni emitir conceptos sobre los criterios de inclusión/exclusión aplicables. Igualmente, tenemos dentro de estos listados restrictivos, los definidos por la doctrina como de cautela, emitidos por distintas organizaciones públicas y privadas de carácter local, como las de personas relacionadas con actividades delictivas, la de responsables fiscales, de antecedentes disciplinarios o judiciales, contadores sancionados, entre otros”. En ese sentido, se debe tener en cuenta que por un lado, las entidades financieras pueden escoger libremente a sus clientes y por otro, toda relación jurídica y comercial que adelanten con sus clientes y usuarios, les implica necesariamente, la adopción de distintos sistemas de administración de riesgos, entre los cuales está el SARLAFT, para cuya implementación, están en libertad de efectuar las medidas que consideren más 13 Artículos 14, 38, 39, 58, 333 y 334 de la Constitución Política

14 Concepto 2022166414-001-000 (anexo a este escrito) 15 Las listas vinculantes son: Listas del Consejo de Seguridad de las Naciones Unidas: https://www.un.org/securitycouncil/es/content/un-sc-consolidated-list Lista de Terroristas de Europa y Lista de la Unión Europea de Organizaciones Terroristas: https://www.consilium.europa.eu/es/policies/fight-against-terrorism/terrorist-list/ Listas de Terroristas de los Estados Unidos de América: https://www.state.gov/foreign-terrorist-organizations 16 Algunos ejemplos de estas listas son: La lista OFAC, comúnmente llamada Lista Clinton: https://sanctionssearch.ofac.treas.gov/ Lista del Gobierno de Reino Unido: https://www.gov.uk/government/publications/the-uk-sanctions-list Lista de los más buscados de la Interpol: https://www.interpol.int/How-we-work/Notices/View-Red-Notices apropiadas y suficientes, dirigidas a protegerse de posibles eventos de riesgo o perdida, cuyos efectos podrían afectar la condición de cliente actual y potencial concedida por estas instituciones. Sin perjuicio de la libertad negocial mencionada, la Corte Constitucional se ha pronunciado de manera detallada sobre el acceso a los servicios ofrecidos por parte de las entidades vigiladas, a través de las Sentencias SU157, SU-166 y SU-167 de 1999, T-468 de 2003, T-763 de 2005 y T-585 de 201317, respecto de los alcances y limitaciones en desarrollo de su actividad contractual, en especial, en cuanto a la prohibición de afectar los derechos fundamentales de sus clientes o usuarios, en razón a que la actividad que desarrollan está catalogada por el artículo 335 de la Constitución Política como “de interés público”.

Adicional a los pronunciamientos jurisprudenciales, la Ley 1328 de 2009, en concordancia con lo señalado por las Reglas sobre Protección del Consumidor en materia de acceso a los servicios de entidades vigiladas, especialmente la contenida en el inciso 5 del Numeral 1.1 del Capítulo I, Título III de la Parte I de la Circular Básica Jurídica, ya referida, donde se señala lo siguiente: “…Cuando la prestación de un servicio no sea impuesta obligatoriamente por el régimen legal, la negativa para suministrarlo o su terminación unilateral debe basarse, en la evaluación de las condiciones objetivas del caso y los riesgos inherentes a las operaciones que se realizan o se realizarían con cada consumidor, de forma que la abstención de prestarlos esté plenamente justificada en criterios objetivos y razonables que deben ponerse en conocimiento del consumidor cuando éste lo solicite”. (Resaltado fuera de texto) En el anterior entendido, es menester resaltar que en el caso de una eventual “censura” o limitación al acceso a los servicios financieros prestados por las entidades vigiladas por esta Superintendencia, todas las personas cuentan con la posibilidad de dirigirse directamente y por escrito ante aquellas entidades que estén negando el acceso quienes, como se expuso previamente, están en la obligación de informar las razones objetivas de la negativa, con el fin de que éstas le den a conocer, por escrito, las razones que soportan la negativa para vincularlo. Si aquella persona no está de acuerdo con la motivación dada por la entidad financiera, puede en todo caso dirigirse al Defensor del Consumidor Financiero de la respectiva compañía; además, tiene la opción

de acudir ante esta Superintendencia y presentar la queja correspondiente ante la Delegatura para el Consumidor Financiero o acudir ante la justicia ordinaria, según el caso. Finalmente, lo invitamos a consultar la “Guía SARLAFT”, documento que consolida temas de interés en relación con su consulta, concernientes al riesgo de LAFTPADM, así como las competencias de esta Superintendencia. Acceda dando clic al siguiente vínculo: https://www.superfinanciera.gov.co/jsp/10086577 (…)» 17 Sentencia T-585/13 Ver en https://www.corteconstitucional.gov.co/relatoria/2013/t-585-13.htm