Qué es la Ley 23 de 2015
La Ley 23 de 27 de abril de 2015 es la norma que ordena el sistema panameño de prevención del blanqueo de capitales, el financiamiento del terrorismo y el financiamiento de la proliferación de armas de destrucción masiva. En el lenguaje del día a día se la llama simplemente "la Ley 23", y es el marco bajo el cual una empresa panameña descubre que tiene obligaciones de cumplimiento que quizá no sabía que tenía.
Su efecto práctico es sencillo de resumir: amplía de forma considerable el universo de empresas que deben conocer a sus clientes, documentar ese conocimiento y reportar lo que resulte sospechoso. Antes de ella, esa carga recaía casi por completo en la banca. Después de ella, alcanza a actividades que nunca se habían pensado como parte del sistema financiero.
Quién es "sujeto obligado"
La ley distingue dos grandes grupos, y la diferencia importa porque determina quién supervisa a cada quien.
Sujetos obligados financieros. Bancos, empresas fiduciarias, casas de valores, administradores de inversión, aseguradoras y reaseguradoras, cooperativas de ahorro y crédito, empresas de remesas y casas de cambio, entre otras. Los supervisan las superintendencias del sector: Bancos, Mercado de Valores, Seguros y Reaseguros, y el IPACOOP en el caso de las cooperativas.
Sujetos obligados no financieros. Aquí está la parte que suele tomar por sorpresa: promotoras y corredores de bienes raíces, empresas de la Zona Libre de Colón, casinos y juegos de suerte y azar, empresas de construcción, comerciantes de metales y piedras preciosas, casas de empeño, y quienes prestan servicios de constitución y administración de personas jurídicas. Su supervisión corresponde a la Intendencia de Supervisión y Regulación de Sujetos No Financieros.
A esos dos grupos se suman las actividades realizadas por profesionales sujetas a supervisión, cuando abogados y contadores ejecutan determinadas operaciones en nombre de un cliente.
Si su empresa está en cualquiera de esas categorías, las obligaciones que siguen no son opcionales ni graduales: aplican desde que la actividad se ejerce.
Las cuatro obligaciones centrales
1. Debida diligencia del cliente
Conocer a quién le está vendiendo o prestando un servicio, y poder demostrarlo con documentos. Implica identificar al cliente, verificar esa identidad con documentación confiable, entender el propósito de la relación comercial y —el punto que más fricción genera— identificar al beneficiario final: la persona natural que en última instancia controla o se beneficia de la operación, aunque en el papel aparezca una sociedad.
La ley contempla intensidades distintas. La diligencia simplificada aplica a relaciones de bajo riesgo. La ampliada es obligatoria cuando hay factores de riesgo elevado: personas expuestas políticamente, jurisdicciones de alto riesgo, estructuras societarias complejas u operaciones que no encajan con el perfil declarado del cliente.
2. Oficial de cumplimiento
La empresa debe designar a una persona responsable del programa de prevención, con acceso directo a la junta directiva y con independencia suficiente para hacer su trabajo. No es un título decorativo: es quien responde ante el supervisor.
3. Manual y política de prevención
Un documento aprobado por la junta directiva que describa cómo la empresa aplica en la práctica todo lo anterior: cómo identifica clientes, cómo evalúa riesgo, qué hace ante una alerta, cómo capacita a su personal y cada cuánto revisa el programa. Debe estar escrito, actualizado y ser aplicado — un manual que existe pero que nadie sigue es, ante una inspección, peor que no tenerlo.
4. Reporte a la UAF
La Unidad de Análisis Financiero es la entidad que recibe los reportes. Dos son los principales: el reporte de operación sospechosa (ROS), que se presenta cuando hay indicios de que una operación podría estar vinculada a blanqueo o financiamiento del terrorismo, y los reportes de operaciones en efectivo o cuasi efectivo por encima de los umbrales establecidos.
Un punto que conviene tener claro: el reporte de operación sospechosa no es una denuncia ni acusa a nadie. Es información que se remite a la autoridad para su análisis. Y quien reporta de buena fe está protegido por la propia ley.
El enfoque basado en riesgo
Este es el concepto que más se malinterpreta, y el que más ahorra trabajo cuando se entiende bien.
La ley no exige tratar a todos los clientes igual. Exige que la empresa evalúe su exposición —por tipo de cliente, producto, canal de distribución y jurisdicción— y concentre sus recursos donde el riesgo es mayor. Una matriz de riesgo bien construida permite aplicar diligencia simplificada donde corresponde y reservar el esfuerzo profundo para los casos que de verdad lo ameritan.
El error frecuente es el opuesto: aplicar el mismo procedimiento pesado a todo el mundo, agotar al equipo, y aun así no detectar lo que importaba porque nadie definió qué era lo importante.
Qué revisa un supervisor
Cuando llega una inspección, las preguntas tienden a repetirse:
- ¿Existe un manual aprobado y vigente, y el personal lo conoce?
- ¿Hay un oficial de cumplimiento designado formalmente?
- ¿Los expedientes de clientes están completos, incluida la identificación del beneficiario final?
- ¿La matriz de riesgo existe, está documentada y se aplica de verdad?
- ¿Hay evidencia de capacitación al personal y a la junta directiva?
- ¿Los reportes a la UAF se presentaron en tiempo?
La diferencia entre una inspección tranquila y una complicada casi nunca está en la intención de la empresa. Está en si puede demostrar con documentos lo que dice que hace.
Por dónde empezar
Si su organización acaba de descubrir que es sujeto obligado, el orden que menos fricción genera es este: primero un diagnóstico honesto de la brecha entre lo que exige la norma y lo que la empresa hace hoy; después la designación del oficial de cumplimiento y la redacción del manual; luego la matriz de riesgo y el ajuste de los expedientes de clientes; y por último la capacitación, que es lo que hace que el programa sobreviva a la rotación de personal.
Intentarlo en el orden inverso —comprar un manual genérico primero— produce documentos que no describen a la empresa y que un supervisor detecta en la primera lectura.