SARLAFT 4.0 Y PROTECCIÓN DE DATOS PERSONALES
Como consecuencia de la expedición de la Circular Externa 027 de 2020 por parte de la Superintendencia Financiera de Colombia o el denominado SARLAFT 4.0, se produjeron varios cambios en los sistemas de cumplimiento que afectaron otras variables de negocio, entre ellas, el tema de protección de datos personales.
Se acogieron en la Circular modificaciones que asumen un mejor entendimiento de las tendencias normativas actuales en materia de protección de derecho al habeas data y tratamiento de los datos desde esquemas de riesgos, sin olvidar las necesidades de los esquemas empresariales que desde la Banca exigen hoy en día un mayor y más rápido conocimiento del cliente.
Precisamente hoy en día, los retos que enfrenta la privacidad y la protección de datos personales están dados por la transformación digital y en este entorno digital, los medios y las plataformas tecnológicas, como nuevo modelo empresarial, modifican la forma en la que se hace efectivo el derecho a conocer, actualizar y rectificar todo tipo de información que se tiene sobre las personas en una base de datos.
Dentro de las modificaciones principales al sistema de cumplimiento, referido a la prevención del lavado de activos y la financiación del terrorismo, está la permisividad en cuanto al desarrollo de esquemas autorregulados y autónomos que respondan a la flexibilidad de los servicios digitales actuales que se refieran al conocimiento e identificación del cliente; desde este punto de vista, las entidades vigiladas, que son sujeto de esta nueva reglamentación, enfrentan el reto de informar al cliente de manera clara, oportuna y precisa, con anterioridad a la recolección del dato, el por qué y para qué se recoge el dato personal y los tratamientos a los cuales va a ser sometido. Frente a este reto, se responde actualmente con estructuras propias de lo que se ha denominado la privacidad por diseño por la que en aquellos eventos en los que se hace necesario ejecutar acciones de cumplimiento de la normatividad de habeas data, estos se ejecutan a la par con el desarrollo de los productos y servicios que se ponen a la orden del público en general.
Adicionalmente, la implementación de sistemas de big data e inteligencia artificial también supone retos que se relacionan con esta nueva normativa y que se relacionan con los esquemas de tratamiento de datos personales, la libertad en cuanto a conocimiento del cliente y el deslinde de esquemas de verificación clásicos y relacionados a las centrales de información, llevará a las entidades a formas innovadoras –más propias del mundo fintech– en las que el scoring se nutre de otras fuentes alternativas para dar resultados que responden a la rapidez de las transacciones propias de una economía digitalizada; en este sentido, la circular 027 estableció que “en el evento en que utilicen bases de datos externos, las entidades vigiladas deben realizar un análisis de riesgo asociado a dicha fuente, en el cual se evalúe la calidad de los datos, su confiabilidad y la pertinencia de la misma en la gestión del riesgo de LA/FT. Las entidades vigiladas deben tener a disposición de esta Superintendencia los medios verificables a través de los cuales se demuestre la realización de dicho análisis de riesgo”.
No se trata pues de un manejo de riesgos clásico, más bien se trata de la implementación de esquemas de riesgo dinámico que encuentran modificaciones constantes, dado su relacionamiento directo con sistemas de información que avanzan al compás de la economía y del mercado y por esto la importancia de actualizar estos esquemas por lo menos en la periodicidad sugerida por la norma.
En el procesamiento de fuentes de información externas que permiten la toma de decisiones y que permiten la recolección de datos personales, hay un tema que es importante no olvidar: los sistemas de gestión de protección de datos personales están guiados por normas rectoras que no permiten que las decisiones que afecten derechos de las personas sean tomadas de forma automatizada, sin una revisión previa que permita delimitar el riesgo que viene dado por la calidad de los datos y que puede llevar a las empresas a tomar decisiones sesgadas o producir resultados discriminatorios o violatorios del derecho al habeas data.
Por último, una consideración no menos importante y referida a la importancia de la minimización en la cantidad de datos recolectados; con anterioridad a la expedición de la Circular 027, las normas imponían esquemas de formularios con indicación de los datos a recolectar, ahora, implementada la libertad de conformar los sistema preventivos con los datos que se requieran de acuerdo a la necesidad del proceso desarrollado, debemos tener en cuenta que las normas nacionales y las buenas prácticas internacionales, en materia de privacidad y protección de datos, indican que los datos a recolectar deben ser los mínimos posibles y tan solo los necesarios para llevar a cabo nuestros procesos, sin dejar de lado que dichos procesos deben ser correctamente documentados como parte del sistema de gestión y protección de datos personales y los riesgos que los acompañan debidamente identificados en nuestras matrices.
Si tiene alguna duda o inquietud en temas de emprendimiento, creación de empresas, estructuración de modelos de negocio, dudas jurídicas relacionadas o quiere una revisión jurídica en temas de tecnología, ingrese a https://abogadotic.com o escríbanos al correo servicioalcliente@abogadotic.co
Por: Natalia Ospina, natalia.ospina@abogadotic.com
LAS OPINIONES COMPARTIDAS Y EXPRESADAS POR LOS PERIODISTAS Y CONTRIBUYENTES DE ESTE BLOG SON LIBRES E INDEPENDIENTES Y DE ELLAS SON RESPONSABLES SUS PROPIOS AUTORES. NO REFLEJAN NI COMPROMETEN LA RESPONSABILIDAD, LA OPINIÓN DE GRUPO D&P SAS, Y TAMPOCO CONSTITUYEN ASESORÍA O CONSULTORÍA LEGAL, POR LO CUAL NO PUEDEN SER INTERPRETADAS COMO RECOMENDACIONES EMITIDAS POR GRUPO D&P SAS.
4 cosas que debes tener en cuenta para implementar SARLAFT en tu organización
Mucho se ha hablado de los Sistemas de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo (SARLAFT) y la necesidad de implementarlos con el objetivo de evitar la interacción de las empresas con actividades relacionadas al lavado de activos o la financiación, sin embargo no existe una postura uniforme respecto al grado de controles, alertas o documentación con las que debe contar una empresa para considerar que su sistema SARLAFT es efectivo.
Es por eso que veremos algunos tips importantes que para puedas determinar el grado de SARLAFT que necesita tu organización.
1. Conoce bien el significado de la “Debida Diligencia”
La circular 100-000005/2014 del 17 de junio de 2014, actualizada por la circular externa 100-000006/2014 de agosto de 2016 establece que:
“En todo caso, se deberá disponer de todos los mecanismos, procedimientos y medidas que permitan el adecuado conocimiento de los clientes y demás Contrapartes, para prevenir y gestionar el Riesgo de LA/FT. Esto incluye el adecuado conocimiento de los mercados en que operan y de las actividades que desarrollan las Contrapartes, así como el conocimiento de los Beneficiarios Reales y/o controlantes de las respectivas Contrapartes, por medio de las herramientas de que disponga”
De lo anteriormente citado encontramos que resaltan dos aspectos esenciales de la debida diligencia, en primer lugar, el criterio proactivo ligado estrechamente a los procedimientos que nos permitan conocer a la contraparte (diligenciamiento de formularios, consulta de listas obligatorias y/o sugeridas) y en segundo lugar, un criterio subjetivo atado directamente a la toma de decisiones con base a la información recolectada.
Conocer el verdadero significado de la debida diligencia te ayudará a determinar el numero de actividades o filtros que la contraparte debe superar para disipar en la mayor cantidad posible cualquier duda relacionada al riesgo LA/FT.
2. Determina qué actuaciones son poco comunes en tu rama empresarial
Conocer el negocio implica tener claridad de lo que sucede cotidianamente en la organización, esto facilita detallar aquellas actividades que resultan anormales o que llevan consigo un fuerte indicio de una conducta asociada a un riesgo de Lavado de Activos y Financiación de Terrorismo.
Las conductas que generan mayor inquietud al tratarse de terceros recaen en la forma de pago de los servicios adquiridos, la renuencia a entregar información de soporte referente a su composición accionaria o incluso la misma imposibilidad de corroborar la información suministrada por este.
Si después de este estudio resultan muchas conductas inusuales lo mas recomendable es estructurar un manual en donde queden detalladas junto con las acciones a tomar en el evento que se presenten, esto ayudará a que tus empleados contribuyan con la mitigación del riesgo LA/FT en tu organización.
3. Designa un Oficial de Cumplimiento
La circular externa 100-000003 de 2016 ha definido a los oficiales de cumplimiento como: “la persona natural designada por los Altos Directivos para liderar y administrar el Sistema de Gestión de Riesgos de Soborno Transnacional. El mismo individuo podrá, si así lo deciden los órganos competentes de la Persona Jurídica, asumir funciones en relación con otros sistemas de gestión de riesgo, tales como los relacionados con el lavado de activos y el financiamiento del terrorismo, la protección de datos personales y la prevención de infracciones al régimen de competencia.”
Tal y como pudimos observar el rol del Oficial de Cumplimiento se atañe principalmente a una función de administración del Sistema de Riesgos, sin embargo, la Superintendencia de Sociedades abre la puerta a un margen discrecional que le permite a las empresas asignar funciones relacionadas a temas de protección de datos personales y prevención de infracciones al régimen de competencia.
Si bien esta es una práctica común, considero que antes de atribuir funciones adicionales a los Oficiales de Cumplimiento, es necesario verificar si está en capacidad de asumir la totalidad de estas labores o si es necesario contar con encargados específicos para tratar estos asuntos en la organización. Esto se debe a que en el caso de asignar demasiadas funciones a un mismo oficial se pierde en gran medida su función preventiva y administrativa, lo cual abre la puerta a validaciones erróneas, o incompletas, falla en la atención de requerimientos, entre otros.
4. Evalúa si puedes llevar la gestión de SARLAFT únicamente con tu Oficial de Cumplimiento o si requieres un soporte externo especializado.
En ciertos casos las organizaciones afrontan una gran necesidad de contar con procesos de SARLAFT extremadamente rápidos, eficientes, dinámicos y actualizables que le permitan realizar contrataciones seguras. Es por esta razón que la labor del Oficial de Cumplimiento puede resultar insuficiente e incluso puede ser tomada como una obstrucción para el funcionamiento de la empresa.
Es en estos escenarios que se empieza a percibir la necesidad de complementar la gestión del Oficial de Cumplimiento acudiendo al uso de herramientas automatizadas proporcionadas por agentes externos especializados, los cuales facilitan una rápida toma de decisiones y un excelente manejo de riesgos.
Tal y como se pudo observar, los Sistemas de Administración del Riesgo de Lavado de Activos y Financiación del Terrorismo (SARLAFT) son un fiel reflejo del modelo de negocio y para implementar un modelo eficaz se requiere un acucioso estudio de sus necesidades concretas, las capacidades del personal contratado y el volumen de tareas asociados a las actividades de cumplimiento.
Si tienes alguna duda o inquietud en temas de emprendimiento, creación de empresas, estructuración de modelos de negocio, dudas jurídicas relacionadas o quiere una revisión jurídica en temas de tecnología, ingrese a https://abogadotic.com o escríbanos al correo servicioalcliente@abogadotic.co
Por: Jhohan Sanabria, jsanabria@abogadotic.co
LAS OPINIONES COMPARTIDAS Y EXPRESADAS POR LOS PERIODISTAS Y CONTRIBUYENTES DE ESTE BLOG SON LIBRES E INDEPENDIENTES Y DE ELLAS SON RESPONSABLES SUS PROPIOS AUTORES. NO REFLEJAN NI COMPROMETEN LA RESPONSABILIDAD, LA OPINIÓN DE GRUPO D&P SAS, Y TAMPOCO CONSTITUYEN ASESORÍA O CONSULTORÍA LEGAL, POR LO CUAL NO PUEDEN SER INTERPRETADAS COMO RECOMENDACIONES EMITIDAS POR GRUPO D&P SAS.