Imagen generada con IA
La integración del SAGRILAFT y el PTEE no consiste en juntar dos documentos ni en trasladar controles de un sistema a otro. El objetivo es construir un modelo común de gobierno y gestión que conserve las diferencias entre los riesgos de LA/FT/FP y los riesgos de C/ST.
Este fue uno de los principales mensajes del 5to Encuentro de Oficiales de Cumplimiento de Infolaft que se realizó el pasado 10 de septiembre y en el cual Alberto Lozano, presidente de Infolaft y Sergio Reyes, consultor senior de Lozano -Consultores presentaron once recomendaciones para adelantar el proceso de integración.
Aunque ambos sistemas pueden compartir responsables, metodologías, tecnología, información y estructuras de reporte, los riesgos que administran continúan siendo diferentes. Por esta razón, la integración debe permitir aprovechar recursos y eliminar duplicidades sin desconocer las tipologías, señales de alerta y controles específicos que requiere cada riesgo.
La integración de los sistemas SAGRILAFT y PTEE no comienza desde cero
La lectura conjunta de los dos sistemas tiene un antecedente en la unificación de los antiguos informes 50 y 52 de la Superintendencia de Sociedades, correspondientes a la prevención del lavado de activos y al Programa de Transparencia y Ética Empresarial. De ese proceso surgió el actual Informe 75.
La nueva regulación profundiza esa aproximación y exige revisar de manera integral el gobierno corporativo, el alcance de los riesgos, las metodologías, los procesos, la tecnología, los datos y las personas que participan en el sistema.
El reto consiste en llegar a un modelo aprobado, implementado y en funcionamiento. Mientras esto sucede, los sistemas actuales deben continuar operando y cumpliendo sus obligaciones hasta que la junta directiva o el máximo órgano social apruebe el nuevo sistema previsto en el capítulo IX.
Estas son las once recomendaciones presentadas durante el encuentro:
- Diagnosticar las brechas
El primer paso consiste en determinar qué tan lejos se encuentra la organización del modelo integrado. Este diagnóstico debe evaluar seis campos: I) gobierno, II) alcance de los riesgos, III) metodología, IV) procesos, V) tecnología; VI) datos, y personas.
La revisión debe identificar cuáles componentes ya existen en ambos sistemas, cuáles pueden aprovecharse, cuáles necesitan ajustes y cuáles deben construirse. También debe establecer si actualmente existen dos responsables, dos matrices, diferentes metodologías, varias líneas de reporte o herramientas tecnológicas separadas.
Conocer el punto de partida permite medir la distancia frente al resultado esperado y definir las actividades necesarias para llegar a una integración completa. - Adoptar las decisiones en la instancia competente
La integración requiere decisiones que no corresponden exclusivamente al oficial de cumplimiento. Algunas deben ser adoptadas por la junta directiva o por el órgano que haga sus veces y, por lo tanto, deben programarse con anticipación y quedar documentadas en las actas respectivas.
La organización debe elaborar un inventario de decisiones, identificar quién tiene la competencia para adoptarlas y verificar las fechas de las sesiones en las que deberán presentarse.
El oficial de cumplimiento puede liderar y coordinar el proyecto, pero no debe asumir facultades reservadas a los órganos de gobierno corporativo. Su función consiste en presentar las propuestas, sustentar las necesidades y hacer seguimiento a las decisiones pendientes. - Identificar y aprovechar las sinergias
La integración puede generar sinergias mediante la eliminación de actividades innecesarias, la reutilización de recursos, la agregación de información, la definición de una secuencia común y el uso de plataformas compartidas.
Por ejemplo, algunos materiales de capacitación pueden adaptarse para abordar los dos sistemas. También pueden compartirse herramientas de debida diligencia, líneas éticas, sistemas de alertas, bases de datos y estructuras de reporte, siempre que resulten adecuadas para los riesgos administrados.
Identificar estas oportunidades permite explicar a la junta directiva que la integración requiere recursos, pero también puede reducir cargas y mejorar la eficiencia del sistema. - Eliminar duplicidades sin confundir los riesgos
La integración debe evitar que la organización mantenga dos procedimientos, dos registros o dos controles que cumplen la misma finalidad sin aportar un valor adicional.
Para ello, el diagnóstico debe identificar las duplicidades y determinar cuáles componentes pueden consolidarse. Sin embargo, esta depuración no puede llevar a tratar como equivalentes riesgos que tienen causas, manifestaciones y consecuencias diferentes.
Los riesgos de corrupción y soborno transnacional no son iguales a los riesgos de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva. La integración comparte un marco de gobierno y gestión, pero conserva la individualidad de cada riesgo. Establecer un periodo de transición
El periodo de transición comenzó con la expedición de la circular y se extiende hasta el 31 de mayo de 2027. Durante este tiempo, las organizaciones deben continuar operando sus sistemas actuales mientras diseñan, aprueban y ponen en marcha el modelo integrado.
Esto implica que el oficial de cumplimiento deberá liderar el proyecto sin suspender los reportes, controles, procedimientos de debida diligencia y demás obligaciones vigentes.
La transición necesita un cronograma con etapas, responsables, entregables y fechas. No es suficiente señalar que el proyecto se encuentra en ejecución: debe establecerse qué se diagnosticará, qué se diseñará, qué deberá aprobarse y cuándo comenzará a operar cada componente.
- Conservar lo que funciona y descartar lo que no aporta valor
La integración es una oportunidad para evaluar la efectividad real de los controles y procedimientos existentes. Las organizaciones deben conservar los componentes que producen resultados y modificar o eliminar aquellos que permanecen por costumbre, pero no responden al contexto ni a la operación.
Un control no debe mantenerse únicamente porque fue diseñado por la organización o porque ha formado parte del sistema durante varios años. Es necesario verificar si continúa siendo pertinente frente a los riesgos actuales y a las exigencias del capítulo IX.
El sistema debe construirse a la medida de la empresa, a partir de su contexto interno y externo, sus procesos, su tamaño y la complejidad de sus operaciones. Una metodología demasiado simple puede ser insuficiente para una organización compleja, mientras que una metodología imposible de operar tampoco será efectiva. - Medir el avance con evidencia
Los porcentajes de ejecución deben estar respaldados por hitos y entregables verificables. Afirmar que el proyecto presenta un determinado avance no es suficiente si no puede demostrarse qué se ha completado.
Para realizar una medición objetiva, se propuso diferenciar cinco etapas: diagnóstico, diseño, construcción, aprobación y operación.
Una presentación puede contener el diagnóstico; un documento puede acreditar el diseño; una matriz configurada puede demostrar la construcción; un acta permite verificar la aprobación; y la evidencia de uso confirma que el sistema se encuentra operando.
La medición también debe desagregarse por componentes. De esta manera, la organización puede identificar si ha avanzado en las metodologías, pero continúa rezagada en tecnología, capacitación, gobierno corporativo o implementación de controles. - Involucrar a los grupos de interés
La integración afecta a tecnología, talento humano, compras, contratación, auditoría, revisoría fiscal, directivos, empleados, proveedores, contratistas y trabajadores vinculados mediante empresas temporales.
Estas áreas y grupos deben participar desde el diagnóstico y el diseño. Un control que modifica el proceso de compras, por ejemplo, difícilmente será efectivo si el área responsable no conoce su finalidad o considera que fue impuesto sin tener en cuenta la operación.
La comunicación también influye en la apropiación del proyecto. Presentarlo únicamente como una nueva norma o una obligación del oficial de cumplimiento puede generar resistencia y trasladar toda la responsabilidad a una sola persona.
Una alternativa es explicar que la organización está evolucionando hacia un modelo integrado de gestión, orientado a administrar los riesgos con mayor efectividad y eficiencia. - Utilizar la inteligencia artificial con método
Una de las primeras tentaciones puede ser cargar los dos manuales en una herramienta de inteligencia artificial y pedirle que los convierta en un solo documento. Aunque la IA puede apoyar la redacción, una unión automática sin diagnóstico ni diseño podría producir precisamente lo que se busca evitar: un sistema formal que no responde a la realidad de la empresa.
La inteligencia artificial puede utilizarse para analizar información, evaluar controles, diseñar alertas, apoyar auditorías, hacer seguimiento al proyecto y calcular indicadores. Su utilidad no se limita a los asistentes conversacionales, pues también existen modelos supervisados y no supervisados que pueden apoyar distintas etapas de la gestión.
En todo caso, el resultado debe ser revisado por una persona responsable, contrastado con la norma y evaluado frente al contexto de la organización. La herramienta puede apoyar el proceso, pero la responsabilidad continúa en cabeza de quienes diseñan, aprueban y operan el sistema. - Seleccionar la ruta de integración adecuada
No todas las organizaciones pueden seguir la misma ruta. Algunas cuentan con dos oficiales de cumplimiento; otras solo han implementado uno de los sistemas; algunas tienen herramientas tecnológicas duplicadas y otras todavía necesitan conseguir los recursos para comenzar.
También existen empresas que esperan tener el modelo funcionando antes de finalizar el año, mientras otras iniciarán posteriormente o necesitan definir primero quién asumirá la responsabilidad del sistema integrado.
Durante el encuentro se señaló que pueden identificarse por lo menos siete rutas de integración, dependiendo del nivel de madurez, los recursos, la estructura y las herramientas disponibles.
La matriz de riesgos fue propuesta como un posible punto de partida porque concentra el contexto, los eventos de riesgo, las causas, los controles, los procesos, las áreas y los responsables. Sin embargo, cada organización debe definir su propia ruta y establecer con claridad el resultado al que espera llegar. - Evitar el paper compliance
El último punto resume el propósito de todo el proceso: la integración debe producir un sistema efectivo, no una estructura que solo existe en el papel.
El paper compliance se presenta cuando una organización cuenta con manuales, políticas, presentaciones y otros documentos, pero los controles no operan, no se monitorean o no influyen en las decisiones.
Por esta razón, el resultado de la integración no puede limitarse a la elaboración de un manual unificado. La organización debe demostrar que sus metodologías fueron adoptadas, las matrices están actualizadas, los responsables conocen sus funciones, los controles operan y las decisiones se encuentran documentadas.
Durante el encuentro se indicó que la efectividad y la operatividad demostrable serán aspectos centrales de la supervisión. El análisis de contexto, la proporcionalidad de los controles y la coherencia entre riesgos y causas permitirán establecer si el sistema funciona realmente.
Cuál debe ser el resultado final
La ruta seleccionada debe conducir a un sistema completamente integrado, sin duplicidades innecesarias y sin paper compliance. Esto significa que el modelo debe estar aprobado, implementado y operando, no simplemente diseñado.
El sistema puede compartir reglas de gobierno, responsables, documentación, capacitación, tecnología y mecanismos de seguimiento. Al mismo tiempo, debe conservar las diferencias sustanciales entre riesgos, tipologías, señales de alerta y controles.
La integración puede tomar como referencia otros modelos de administración integral de riesgos, como el CIAR, que reúne dentro de un mismo marco distintos sistemas de riesgo sin eliminar sus particularidades.
El sector real avanza así hacia un modelo que articula la gestión del lavado de activos, la financiación del terrorismo, la corrupción y el soborno transnacional. El reto para las empresas será convertir esa integración en decisiones, controles y resultados que puedan demostrarse.
Infolaft empresa líder en la región en prevención de LA/FT/FPADM y C/ST cuenta con una plataforma para consultar listas y fuentes de información en procesos de debida diligencia. Permite verificar clientes, socios, empleados, proveedores y otras contrapartes. Reúne más de 7.800 fuentes consultadas en tiempo real y cuenta con la confianza de más de 900 empresas.
