Alexander Galindo Beltrán
Gerente de Soluciones en Cumplimiento
Introducción
La debida diligencia ya no es un simple requisito normativo ni un trámite previo a la vinculación de clientes. En el sector financiero y asegurador colombiano, constituye el eje central del Sistema de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo (SARLAFT) y un componente crítico para la estabilidad del sistema financiero, la protección reputacional y la sostenibilidad del negocio.
Bajo los estándares internacionales del GAFI -Recomendación 10- y las exigencias específicas de la Superintendencia Financiera de Colombia (SFC), las entidades vigiladas están llamadas a implementar modelos de debida diligencia robustos, proporcionales, documentados y dinámicos, que les permitan identificar, medir, controlar y monitorear el riesgo LA/FT de forma efectiva. La pregunta clave sigue siendo: ¿las entidades están gestionando el riesgo o simplemente cumpliendo la norma?
Debida diligencia y SARLAFT: una obligación estructural, no formal
El SARLAFT, regulado en la Circular Básica Jurídica – Parte I, Título IV, Capítulo IV, exige a las entidades financieras y aseguradoras implementar un sistema integral orientado a prevenir, detectar y reportar operaciones (sospechosas) relacionadas con el LA/FT. A diferencia de otros riesgos en la industria financiera, este sistema no busca asumir el riesgo, sino evitar (mitigar) que la entidad sea utilizada como instrumento para actividades ilícitas.
En este contexto, la debida diligencia se articula con las cuatro etapas del SARLAFT:
- Identificación del riesgo, al considerar clientes, productos, canales y jurisdicciones.
- Medición o evaluación, al determinar la probabilidad e impacto del riesgo inherente.
- Control, mediante políticas, procedimientos y controles efectivos.
- Monitoreo, para asegurar la detección temprana de desviaciones y operaciones inusuales.
La norma es clara en señalar que estas etapas deben revisarse como mínimo semestralmente, y ajustarse ante cambios en el perfil de riesgo, nuevos productos, tecnologías o mercados.
El enfoque basado en riesgo en el sector financiero y asegurador
El SARLAFT incorpora de manera expresa el Enfoque Basado en Riesgo (EBR) promovido por el GAFI. Esto implica que la debida diligencia no es homogénea: a mayor riesgo, mayores controles.
En la práctica, este enfoque se refleja en situaciones como: Vinculación de Personas Expuestas Políticamente (PEP) y sus asociados cercanos, operaciones con jurisdicciones catalogadas por el GAFI como de alto riesgo o no cooperantes y productos complejos, corresponsalía transnacional, transferencias internacionales o seguros con componente de ahorro e inversión.
En estos escenarios, la normativa colombiana exige medidas intensificadas, tales como aprobación de la alta gerencia, validación reforzada del origen de los recursos, monitoreo continuo y documentación exhaustiva. La ausencia de estas medidas no solo debilita el sistema, sino que puede ser calificada por la SFC como práctica insegura, con consecuencias sancionatorias relevantes.
Conocimiento del cliente y beneficiario final: el núcleo del SARLAFT
El SARLAFT dedica un desarrollo detallado al conocimiento del cliente, en el que establece que ninguna entidad puede iniciar una relación contractual sin haber identificado y verificado adecuadamente al cliente, su beneficiario final y el propósito de la relación.
En el sector asegurador, por ejemplo, la norma diferencia claramente: El conocimiento del tomador o suscriptor, previo a la celebración del contrato y la identificación de asegurados y beneficiarios, al momento de su individualización o del pago.
En el caso de personas jurídicas y estructuras sin personería jurídica, se refuerza la obligación de identificar al beneficiario final, conforme al Estatuto Tributario, con la aplicación de medidas razonables para verificar su identidad y consultarlo en listas de control e internacionales vinculantes para Colombia.
Un error frecuente en las entidades es limitar este proceso a declaraciones del cliente, sin realizar análisis estructurales, validaciones cruzadas o revisiones periódicas. El SARLAFT es enfático: la responsabilidad del conocimiento del cliente no se delega ni se presume, incluso cuando exista información previa dentro de un conglomerado financiero.
Monitoreo, operaciones inusuales y reporte: donde se prueba la efectividad
La verdadera prueba de un proceso de debida diligencia no está en la vinculación, sino en el monitoreo continuo de las operaciones. El SARLAFT exige a las entidades financieras y aseguradoras contar con metodologías, modelos e indicadores que permitan identificar operaciones que no guarden coherencia con el perfil del cliente o del mercado.
Estas operaciones deben ser: Detectadas oportunamente, analizadas con criterios objetivos, y reportadas a la UIAF (Unidad de Información y Análisis Financiero) cuando se determinen como sospechosas, sin necesidad de certeza sobre el delito subyacente.
La normativa protege expresamente a la entidad y a sus funcionarios frente al reporte de operaciones sospechosas, reforzando la idea de que reportar no es acusar, sino cumplir un deber legal.
Conclusiones y perspectivas: fortalecer el SARLAFT con criterio experto
La integración entre debida diligencia, GAFI y SARLAFT demuestra que el cumplimiento efectivo va mucho más allá de formatos y manuales. Las entidades financieras y aseguradoras que fortalecen su sistema son aquellas que: Aplican el enfoque basado en riesgo de manera real, entienden a sus clientes, beneficiarios y mercados, documentan cada decisión relevante e integran tecnología, análisis y criterio profesional.
En este escenario, los servicios especializados en diagnóstico de SARLAFT, diseño y fortalecimiento de modelos de debida diligencia, identificación de beneficiarios finales, evaluación de matrices de riesgo, acompañamiento en auditorías y capacitación especializada, como los que ofrece Risk Consulting Global Group, se convierten en un aliado estratégico para transformar el cumplimiento normativo en gestión efectiva del riesgo.
Porque en el sector financiero y asegurador, la regla es clara: el riesgo que no se conoce, no se puede controlar.
Fuentes:
Congreso de la República de Colombia. Ley 2195 de 2022, “Por medio de la cual se adoptan medidas en materia de transparencia, prevención y lucha contra la corrupción y se dictan otras disposiciones”.
DIAN – Dirección de Impuestos y Aduanas Nacionales. Estatuto Tributario Colombiano, artículo 631-5 Beneficiarios finales. Resolución 000164 de 2021. Resolución 000037 de 2022. Resolución 001240 de 2022. Reglamentación del Registro Único de Beneficiarios Finales (RUB).
GAFI – Grupo de Acción Financiera Internacional (2025). Las 40 Recomendaciones. Recomendación 1 – Enfoque Basado en Riesgos, Recomendación 10 – Debida Diligencia, Recomendación 22 – APNFD y Debida Diligencia. Disponible en www.fatf-gafi-org
SFC – Superintendencia Financiera de Colombia (2026). Circular Básica Jurídica. Parte I, Título IV, Capítulo IV, Sistema de Administración del Riesgo de Lavado de Activos y de la Financiación del Terrorismo – SARLAFT.
Superintendencia de Sociedades. Oficios relacionados con debida diligencia, beneficiario final y obligaciones de medio, entre ellos: Oficio 220-146026 de 2021. Oficio 220-057402 de 2022. Oficio 220-158863 de 2022 (Utilizados como referencia interpretativa para la aplicación práctica del enfoque basado en riesgo y la debida diligencia).
UIAF – Unidad de Información y Análisis Financiero. Lineamientos para el reporte de operaciones sospechosas (ROS) y obligaciones de las entidades vigiladas.
