El 3 de noviembre de 2023, mediante las resoluciones 2023-01-880062 y 2023-01-880696 (las “Resoluciones”), la Superintendencia de Sociedades (“SSC”) impuso sanciones a una reconocida empresa de domicilios, por un valor que asciende aproximadamente a la suma de COP$708 millones. La imposición de estas sanciones se fundamentó en el incumplimiento del Capítulo X y el Capítulo XIII de la Circular Básica Jurídica de dicha entidad (“CBJ”), que regulan el Sistema de Autocontrol y Gestión del Riesgo Integral de Lavado de Activos, Financiación del Terrorismo y Financiamiento de la Proliferación de Armas de Destrucción Masiva (“SAGRILAFT”) y el Programa de Transparencia y Ética Empresarial (“PTEE”), respectivamente. La SSC publicó las Resoluciones, permitiendo al público en general conocer a mayor profundidad los detalles y el trasfondo de la sanción. De ellas, se extraen tres lecciones relevantes para toda empresa obligada a la implementación de un SAGRILAFT y/o un PTEE.
Primera lección: Importancia de nombrar un oficial de cumplimiento suplente
Las Resoluciones impusieron una sanción por operar sin un oficial de cumplimiento para SAGRILAFT y PTEE entre el 1 de abril de y el 26 de mayo de 2023. El oficial de cumplimiento de la compañía sancionada habría presentado su renuncia con ocho (8) días de anticipación al 1 de abril; no obstante, para el 19 de abril, momento en que la SSC llevó a cabo una visita administrativa a dicha empresa, ésta no contaba con un nuevo oficial de cumplimiento nombrado para los mencionados sistemas. Al respecto, la SSC determinó que dicha compañía debió advertir la necesidad de designar un oficial de cumplimiento suplente cuando el oficial de cumplimiento principal presentó su renuncia, para así evitar una vacancia en el cargo.
Las Resoluciones enfatizan que el oficial de cumplimiento es el líder y administrador del SAGRILAFT y el PTEE, y que éste debe estar presente en todos los procesos, etapas y elementos de dichos sistemas. Por lo tanto, la vacancia de este cargo, así sea temporal, genera incertidumbre frente a la administración del SAGRILAFT y el PTEE y el monitoreo de los riesgos que estos buscan controlar en el día a día. Por ello, una primera lección que las Resoluciones dejan para toda empresa obligada a implementar un SAGRILAFT y/o un PTEE es la importancia de nombrar un oficial de cumplimiento suplente que pueda asumir el cargo y evitar cualquier vacancia en éste, especialmente ante ausencia y/o renuncia del oficial de cumplimiento principal.
Segunda lección: La matriz de riesgos debe cumplir con los requisitos de los Capítulos X y XIII de la CBJ
La SSC afirmó que, durante su visita administrativa, conoció un documento de Excel que se empleaba como matriz de riesgos para SAGRILAFT y PTEE. No obstante, determinó que dicho documento no cumplía con las características mínimas que una matriz de riesgos debe tener según lo establecido en los Capítulos X y XIII de la CBJ.
Las Resoluciones enfatizan que una matriz de riesgos que cumpla con los requisitos de dichos capítulos debe ser una herramienta que, bajo un uso práctico, evidencie la individualización, medición o evaluación los riesgos de lavado de activos, financiación del terrorismo y financiación de la proliferación de armas de destrucción masiva, y/o de corrupción y soborno transnacional. Adicionalmente, la matriz debe plantear medidas para el adecuado control de los riesgos en mención, evidenciar un examen del riesgo inherente y residual de cada uno, y asignar responsables de su gestión. Con ello en mente, la segunda lección que dejan las Resoluciones para toda empresa obligada a implementar un SAGRILAFT y/o un PTEE es la importancia de contar con una matriz de riesgos robusta que cumpla con la normatividad vigente en la materia.
Tercera lección: La rápida adopción de acciones correctivas conlleva a una reducción de la sanción
En el acta de visita administrativa, la SSC listó una serie de oportunidades de mejora respecto del SAGRILAFT y PTEE, así como dos (2) acciones correctivas que debían adoptarse en el menor tiempo posible: (i) el nombramiento de un oficial de cumplimiento, y (ii) la adopción de una matriz de riesgos. Si bien la compañía adoptó las medidas correctivas rápidamente, remitiendo a la SSC el acta de nombramiento del oficial de cumplimiento junto a la nueva matriz de riesgos el 8 de junio de 2023, en las Resoluciones se señaló que las sanciones eran inminentes. No obstante, la SSC consideró la rápida adopción de las medidas correctivas como un factor de graduación favorable al momento de tasar las sanciones. Por lo tanto, la tercera lección que dejan estas Resoluciones para aquellas empresas obligadas a implementar SAGRILAFT y/o PTEE y que puedan ser objeto de una visita administrativa de la SSC, es que cualquier acción correctiva que dicha entidad requiera debe ser adoptada a la mayor brevedad, pues de no hacerlo, la sanción será gravosa.
Cabe señalar que, a la fecha, son varias las empresas sancionadas en la materia de SAGRILAFT y/o PTEE por el incumplimiento de lo previsto en los Capítulos X y XIII. Así, en lo corrido de este año, la SSC ha impuesto cuatro (4) sanciones contra empresas por el incumplimiento de dicha normativa. Por lo tanto, toda empresa obligada a implementar SAGRILAFT y/o PTEE deberá velar por que sus sistemas de cumplimiento cumplan efectivamente con las obligaciones planteadas en los Capítulos X y XIII de la CBJ de la SSC.
