Sujeto obligado
Quién tiene el deber de identificar clientes y reportar a la autoridad. Qué obligaciones concretas trae la condición, y por qué el mismo concepto se llama distinto en cada país de la región.
En síntesis
Un sujeto obligado es una persona o una organización a la que el régimen de prevención de lavado de activos y financiación del terrorismo le impone deberes propios: identificar a sus clientes, conservar la evidencia de esa identificación y reportar a la autoridad las operaciones que resulten sospechosas.
La condición no se elige ni se solicita: se tiene por la actividad que se realiza. Si la actividad está entre las que la norma alcanza, los deberes rigen desde el primer día, con independencia del tamaño de la organización.
Y no es una condición exclusiva de los bancos. En toda la región el alcance no se limita al sistema financiero: los catálogos incluyen fe pública, inmuebles, metales, juegos y servicios profesionales.
Qué obligaciones trae la condición
Los deberes varían en el detalle entre países y coinciden en la estructura. Son seis y funcionan como un sistema, no como una lista de tareas.
- Registrarse ante la autoridad — darse de alta ante el organismo que recibe los reportes, que según el país es la unidad de inteligencia financiera, el supervisor sectorial o la autoridad tributaria.
- Designar un responsable de cumplimiento — una persona identificada, con capacidad de decisión, que responde por el funcionamiento del sistema.
- Identificar y conocer al cliente — el deber central, y del que se desprende todo el proceso de KYC. Incluye identificar al beneficiario final cuando el cliente es una empresa.
- Aplicar debida diligencia según el riesgo — más escrutinio donde el riesgo es mayor, incluidos los clientes que califican como PEP.
- Conservar la documentación — por el plazo que fije cada norma, y en condiciones que permitan reconstruir una operación puntual años después.
- Reportar — las operaciones sospechosas y, en varios regímenes, también las que superan un umbral objetivo aunque no despierten sospecha.
Hay un séptimo deber implícito que no suele figurar en las enumeraciones y es el que más trabajo genera: poder demostrar los seis anteriores. Un sujeto obligado que hizo todo bien y no conserva el rastro está, frente a una inspección, en la misma posición que uno que no hizo nada.
El mismo concepto se llama distinto en cada país
Esta es la parte que un equipo regional necesita y que casi ninguna página resuelve. La figura existe en los cuatro mercados; el nombre, el supervisor y el criterio de alcance cambian.
- Argentina — el término legal es literalmente sujeto obligado, y la Unidad de Información Financiera es el organismo ante el que se registra y se reporta. Es el país donde la expresión entró al lenguaje corriente de los estudios contables y las escribanías.
- [México](/regulacion/mexico) — el equivalente conceptual son quienes realizan actividades vulnerables, un catálogo definido por la ley antilavado que alcanza a un universo amplio fuera del sistema financiero. Las entidades financieras responden por su propia normativa y ante otro supervisor.
- [Colombia](/regulacion/colombia) — las entidades vigiladas por la Superintendencia Financiera quedan bajo el SARLAFT. Las empresas del sector real que superan ciertos umbrales quedan bajo el SAGRILAFT, con la Superintendencia de Sociedades como supervisor.
- [Brasil](/pt/regulacao/brasil) — las pessoas obrigadas son las personas físicas y jurídicas alcanzadas por la Lei nº 9.613/1998 y su reglamentación. Deben cumplir las obligaciones de prevención de lavado de dinero y financiación del terrorismo y comunicar las operaciones correspondientes al COAF, la Unidad de Inteligencia Financiera de Brasil. Según el sector, la supervisión recae en su regulador específico o directamente en el COAF, que además de ser la UIF fiscaliza a los sectores que no tienen organismo propio.
El mapa de autoridades no es uniforme, y conviene no dar a entender que lo es:
- Argentina — Sujetos obligados. Autoridad: UIF. Foco de la evidencia: registro y reporte ante la UIF; conservación del legajo.
- México — Quienes realizan Actividades Vulnerables. Autoridad: SAT-SPPLD y UIF. Foco de la evidencia: avisos por actividad vulnerable; resguardo de la información soporte.
- Colombia — Entidades vigiladas (SARLAFT) o empresas obligadas (SAGRILAFT), según régimen. Autoridad: Superintendencia Financiera y Superintendencia de Sociedades, con reportes a la UIAF. Foco de la evidencia: sistema de gestión de riesgo documentado; reporte de operación sospechosa.
- Brasil — Pessoas obrigadas. Autoridad: COAF y reguladores sectoriales. Foco de la evidencia: identificación de clientes, mantenimiento de registros y comunicación de operaciones.
Cuatro nombres, un mismo mecanismo. Quien opera en varios países no tiene que aprender cuatro filosofías: tiene que saber, en cada uno, tres cosas. Quién supervisa, desde qué umbral y con qué plazo de conservación.
La condición depende de la actividad, no del rubro ni del tamaño
Dos malentendidos frecuentes se despejan juntos.
El primero: no hace falta ser una entidad financiera. En la región están alcanzados, según el país, escribanías y notarías, inmobiliarias, casas de cambio, comercializadoras de metales y piedras preciosas, plataformas de apuestas, empresas que otorgan crédito sin ser bancos, administradoras de fideicomisos y proveedores de servicios de activos virtuales, entre otros.
El segundo: ser sujeto obligado no implica ninguna sospecha. La norma no señala sectores por conducta, los señala por exposición. Una actividad queda alcanzada porque su operatoria es un canal útil para mover fondos de origen ilícito, no porque quienes la ejercen estén bajo cuestionamiento.
La pregunta que define la condición no es a qué se dedica una organización en términos generales, sino si realiza alguna de las actividades que la norma de su país enumera, y desde qué monto. Dos empresas del mismo rubro pueden estar en situaciones distintas si una supera el umbral y la otra no.
Preguntas frecuentes
Comparando la actividad concreta que realiza contra el listado de actividades alcanzadas en la norma de su país, y contra los umbrales que esa norma fija para cada una. No depende del tamaño de la empresa ni de su forma jurídica: depende de qué hace y, en varias actividades, desde qué monto. Ante una duda razonable la respuesta no se asume, se consulta con un asesor o directamente con el organismo supervisor, porque la condición trae deberes de registro y de reporte que corren desde que la actividad comienza.
Son la misma idea con distinto nombre y distinta jurisdicción. Sujeto obligado es el término del régimen argentino y designa a la persona o entidad sobre la que recaen los deberes. Actividad vulnerable es el término mexicano y designa la actividad que, al realizarse, genera esos deberes para quien la realiza. Una nombra al obligado, la otra nombra al hecho que obliga, y en la práctica describen el mismo mecanismo.
No. El deber de reporte alcanza a las operaciones sospechosas, que son las que no encuentran justificación económica o jurídica razonable a la luz del perfil del cliente. Varios regímenes agregan además reportes objetivos por encima de un umbral, que se presentan aunque no haya sospecha alguna. Lo que sí alcanza a todas las relaciones, sin umbral, es el deber de identificar al cliente y conservar la evidencia.
Queda expuesto al régimen sancionatorio de su país. Las consecuencias pueden incluir apercibimientos, multas, inhabilitaciones, suspensión o cancelación de autorizaciones, según la jurisdicción, el supervisor y el tipo de incumplimiento. La sanción no requiere que haya existido lavado: incumplir los deberes de identificación, conservación o reporte puede ser infracción por sí mismo.
La exposición no siempre termina en la organización. En Argentina, Colombia y Brasil el alcance puede llegar de forma directa a la persona designada como responsable de cumplimiento. En algunos regímenes esa responsabilidad personal se activa solo ante la ausencia o la irregularidad en la designación del responsable, y entonces se traslada a los administradores. Es una diferencia que conviene mirar por país antes de asumir que el esquema es el mismo en todos.
Depende del país, y el piso es alto. En Argentina y en México el estándar normativo exige conservar la evidencia de identificación por un mínimo de diez años. En Brasil el plazo mínimo es de cinco años, ampliable por decisión de la autoridad. Lo que casi siempre se subestima no es el plazo sino la forma: no alcanza con guardar el resultado final, aprobado o rechazado. La norma exige que el registro permita reconstruir la operación, es decir que un supervisor pueda seguir, paso a paso, qué documento se presentó, qué comparación se hizo y qué resultado arrojó cada control. Un legajo que solo guarda el veredicto cumple con el plazo y no con el deber.
