2022 Autoevaluacion de Riesgo - Formacion v3
2022 Autoevaluacion de Riesgo - Formacion v3
2022 Autoevaluacion de Riesgo - Formacion v3
riesgos de LA/FT
Contenidos
1 Presentación / Pág. 1
7 Conclusión / Pág. 22
1 |Presentación
Los sujetos obligados alcanzados por las Resoluciones UIF Nº 30/2017, 21/2018, 28/2018 y 76/2019 deben
cumplir con la realización de una Autoevaluación de Riesgos de la entidad y remitir un Informe Técnico a
esta Unidad de Información Financiera.
Del análisis de los informes recibidos han surgido una serie de hallazgos, por lo que ha resultado conducente
comunicar a los sujetos obligados, las fortalezas y debilidades identificadas en sus Autoevaluaciones de
Riesgos e Informes Técnicos, así como también entregar a los mismos recomendaciones que permitan
mejorar la suficiencia argumentativa, integridad y oportunidad de dichos informes; identificando buenas
prácticas para la elaboración de informes de calidad en relación a las autoevaluaciones que realizan.
En ese sentido, y a los efectos de brindar una devolución a cada sector acerca de las observaciones
identificadas en las autoevaluaciones y brindar recomendaciones en cada caso, se han desarrollado durante
los meses de mayo, junio y julio del 2022, las Jornadas de Retroalimentación sobre Autoevaluaciones de
Riesgos, dirigidas a los sujetos obligados, que han contado con una amplia asistencia por parte de quienes
son responsables de llevar adelante esta tarea. En dichas jornadas se han presentado los resultados
arribados, los cuales son ahora expuestos en el presente informe.
Objetivo
El objeto de esta publicación es exponer las principales observaciones detectadas en el análisis de los
Informes Técnicos (IT) de Autoevaluaciones de Riesgos (AER) presentados por los sujetos obligados ante la
Dirección de Supervisión de la Unidad de Información Financiera (UIF) con respecto al año 2021, así como
detallar las mejores prácticas relativas a la elaboración de las Autoevaluaciones de Riesgos y la remisión de
los respectivos Informes Técnicos.
1
Unidad de Información Financiera
2 |Estándares internacionales
El Grupo de Acción Financiera Internacional (GAFI o FATF, por su sigla en inglés) es una organización
intergubernamental que fija los estándares internacionales y promueve la efectiva implementación de
políticas, medidas legales, regulatorias y operativas para prevenir y combatir el Lavado de Activos, la
Financiación del Terrorismo y la Financiación de la Proliferación de Armas de Destrucción Masiva
(LA/FT/FPADM).
Para cumplir con sus objetivos, el GAFI emite una serie de Recomendaciones (con sus Notas Interpretativas)
sobre la Lucha contra el Lavado de Activos, la Financiación del Terrorismo, y la Financiación de la
Proliferación de Armas de Destrucción Masiva, que conforman las medidas para proteger el sistema
financiero internacional de usos indebidos.
Cuando los países identifiquen riesgos mayores, éstos deben asegurar que sus respectivos regímenes
ALA/CFT aborden adecuadamente tales riesgos. Cuando los países identifiquen riesgos menores, éstos
pueden optar por permitir medidas simplificadas para algunas Recomendaciones del GAFI bajo
determinadas condiciones.
Los países deben exigir a las instituciones financieras y actividades y profesiones no financieras designadas
(APNFD) que identifiquen, evalúen y tomen una acción eficaz para mitigar sus riesgos de lavado de activos,
financiamiento del terrorismo y financiamiento de la proliferación.
2
Nota Interpretativa de la Recomendación 1 del GAFI:
Respecto a las obligaciones y decisiones que deben llevar a cabo las instituciones financieras y las
Actividades y Profesiones no Financieras Designadas (APNFDs) en relación con los riesgos de Lavado de
Activos y Financiación del Terrorismo, las mismas deben tomar medidas apropiadas para identificar,
evaluar, monitorear y mitigar los riesgos asociados al LA/FT vinculados a sus clientes, países o áreas
geográficas, productos y servicios ofrecidos, y canales de distribución.
Las instituciones financieras y las APNFDs deben documentar esas evaluaciones para poder demostrar sus
bases, mantener sus evaluaciones actualizadas, y contar con los mecanismos apropiados para suministrar
información acerca de la evaluación del riesgo a las autoridades competentes. A su vez, deben contar con
políticas, controles y procedimientos que les permitan administrar y mitigar con eficacia los riesgos que se
hayan identificado. Por último, deberán monitorear la implementación de esos controles y que los
intensifiquen, de ser necesario.
Cuando se identifiquen riesgos mayores, las instituciones financieras y las APNFDs deberán ejecutar
medidas intensificadas para administrar y mitigar los riesgos; y que, por su parte, cuando los riesgos
identificados sean menores, puede permitirse la aplicación de medidas simplificadas. La naturaleza y el
alcance de las autoevaluaciones deben corresponderse con la naturaleza y la dimensión de la actividad
comercial.
3
Unidad de Información Financiera
3 |Marco Normativo
• Agentes de Negociación.
4
Autoevaluación de Riesgos (AER)
Las Resoluciones UIF Nº 30/2017, 21/2018, 28/2018 y 76/2019 disponen en el artículo 2º, la definición de
Autoevaluación de Riesgo:
DEFINICIÓN AER: Es el ejercicio de evaluación interna de Riesgos de LA/FT realizado por la Entidad para
cada una de sus líneas de negocio, a fin de determinar su perfil de riesgo, el nivel de exposición inherente
y evaluar la efectividad de los controles implementados para mitigar los riesgos identificados en relación,
como mínimo, a sus clientes, productos y/o servicios, canales de distribución y zonas geográficas .
La Autoevaluación de Riesgos incluirá, asimismo, la suficiencia de los recursos asignados, sumado a otros
factores que integran el sistema en su conjunto como la cultura de cumplimiento, la efectividad preventiva
demostrable y la adecuación, en su caso, de las auditorías y planes de capacitación.
Cada Entidad o APNFD deberá establecer políticas, procedimientos y controles aprobados por su órgano
de administración o máxima autoridad, que le permita identificar, evaluar, mitigar y monitorear sus riesgos
de LA/FT. Para ello deberá desarrollar una metodología de identificación y evaluación de riesgos acorde
con la naturaleza y dimensión de su actividad comercial, que tome en cuenta los distintos factores de
riesgo en cada una de sus líneas de negocio.
5
Unidad de Información Financiera
Si el sujeto obligado realiza más de una actividad regulada por parte de la UIF, deberá desarrollar la
evaluación de riesgos para cada una de ellas. Si lo considera conveniente, podrá elaborar un único Informe
Técnico, en un documento consolidado, que deberá reflejar en forma clara las particularidades de cada una
de las actividades, así como también sus riesgos y mitigantes en materia de prevención LA/FT.
Respecto a las características requeridas relacionadas con la Autoevaluación de Riesgos cabe aclarar que
la UIF no ha definido modelos preestablecidos para su formalización, debiendo cada entidad adoptar la
metodología de trabajo y herramientas que considere pertinentes, en tanto y en cuanto reflejen en forma
clara y precisa la información que se solicita, acorde a su envergadura y modelo de negocio.
Se espera que el documento que recepte dicha metodología describa el proceso utilizado para identificar,
evaluar, analizar y mitigar los riesgos a los cuales se encuentra expuesto el sujeto obligado de acuerdo con
la naturaleza y dimensión de su actividad comercial y los distintos factores de riesgo en cada una de sus
líneas de negocio.
6
Unidad de Información Financiera
• Se omite el desarrollo de evaluación de los cuatro (4) factores mínimos de LA/FT en aquellos casos
donde la Entidad realiza más de una actividad regulada por UIF (actividad secundaria). Los factores
mínimos de evaluación son: clientes, productos y/o servicios, canales de distribución y zonas
geográficas.
• No se determina la escala de calificación de niveles de probabilidad de ocurrencia y de impacto de
los diferentes indicadores, siendo los niveles de riesgo inherentes1 informados en la matriz de riesgo
como un mero dato.
• Se omite informar la ponderación que se le asigna a cada factor de riesgo y sus sub-factores, y la
lógica de tales asignaciones.
• Carencia de descripción de las acciones/controles mitigantes implementados para reducir los riesgos
identificados de LA/FT para cada factor de riesgo.
• Respecto a los riesgos residuales2 resultantes, no se determina un plan de acción cuyo objetivo sea
reducir, o bien mantener, los niveles de exposición al riesgo existente.
1
El riesgo inherente se refiere al nivel natural de riesgo, antes de introducir medidas para mitigar o reducir la probabilidad de que un actor explote
ese riesgo.
2 El riesgo residual se refiere al nivel de riesgo que permanece después del proceso de mitigación de riesgo. La comprensión del riesgo residual
permite a los países y a las empresas del sector privado determinar si están gestionando eficazmente los riesgos de Lavado de Activos y
Financiación del Terrorismo dentro de su jurisdicción u operaciones comerciales.
7
Unidad de Información Financiera
• No se brinda un análisis sobre la efectividad de las medidas de control y una justificación respecto de
la efectividad del sistema de control de la Entidad.
• Factor Geográfico: no se expone la evaluación realizada respecto de la ubicación desde donde o hacia
donde se realizan las operaciones canalizadas a través de la entidad. A su vez, no se considera la
ubicación de sus sucursales, representaciones y agentes comerciales, como tampoco el domicilio del
cliente, su lugar de residencia, su nacionalidad y el del lugar de la realización de las actividades de
éste.
• Factor productos/servicios: no se incluye una evaluación integral de todos los riesgos de LA/FT
derivados de la oferta de productos y/o servicios que posee/ofrece la entidad.
• Se omite distinguir para cada actividad regulada ante UIF los riesgos inherentes, las acciones
mitigantes y los riesgos residuales.
• Ausencia de evaluación del riesgo derivado de los recursos asignados al control del LA/FT sumado
a otros factores que integran el sistema en su conjunto, como la cultura de cumplimiento (por
ejemplo: tecnologías o sistemas utilizados).
En cuanto a la identificación, evaluación, control y monitoreo que deben llevar a cabo los sujetos obligados
respecto a la Financiación del Terrorismo, éstos deben realizarse sin importar el riesgo asignado a cada
cliente. Los controles y su monitoreo deben ser de carácter preventivos y detectivos para identificar
posibles operaciones y/o clientes/beneficiarios vinculados a financiar -directa o indirectamente- un
ataque, grupo u organización terrorista.
8
Unidad de Información Financiera
5| Buenas prácticas
En virtud de las observaciones surgidas del análisis de los Informes Técnicos enviados a la UIF por parte de
los sujetos obligados, se enuncian a continuación herramientas para mejorar la elaboración de las
Autoevaluaciones de Riesgos y para promover buenas prácticas en la aplicación de las medidas de
prevención del LA/FT.
Oportunidad de Presentación:
• Deviene pertinente que se incluya en el análisis el período irregular –en caso de corresponder- en
función del mes de inicio de actividades del sujeto obligado.
• Adicionalmente al periodo analizado, se sugiere detallar la fecha de finalización/suscripción del
informe y la fecha de presentación ante la máxima autoridad de la Entidad para su correcta
aprobación.
• Respecto a los sujetos obligados que tienen la posibilidad de realizar presentaciones bienales y
consideren que no existieron cambios relevantes en los factores de riesgos evaluados, el Oficial de
Cumplimiento podrá elaborar un documento informando tal situación a la UIF, el cual deberá
incluir la respectiva aprobación por parte de su órgano de administración o máxima autoridad.
• En aquellos casos que la entidad posea varias unidades de negocio y/o más de una actividad
regulada ante UIF, se recomienda indicar el riesgo de la Entidad por cada actividad regulada y el
riesgo global de la Entidad.
Líneas de Negocios:
• Resulta importante que se brinde información consistente y con el mismo nivel de detalle para
todas las líneas de negocio contempladas en el informe. Cada entidad debe indicar la ponderación
que se asigna a cada línea de negocio evaluada, indicando sucintamente su fundamento a efectos
de que se pueda determinar su razonabilidad.
• Se sugiere que los Informes Técnicos enviados contengan información básica de las diferentes
líneas de negocio, tal como cartera de clientes, cantidad de sucursales, cantidad de empleados,
distribución geográfica, principales productos, volúmenes operados, entre otros.
• Se sugiere incluir un análisis del impacto de aquellos cambios que afectan directamente la
evaluación de sus riesgos de LA/FT, entre ellos, fusiones y escisiones, cambios en las plataformas
tecnológicas que utilizan, lanzamientos de nuevos productos y/o servicios, apertura de nuevas
sucursales, cambio de la estrategia de negocios, cambios de empleados en la empresa en el área
de cumplimiento, entre otros. Como así también informar sobre el Plan de Negocios Proyectado
(compra/reemplazo de sistemas, nueva línea de negocios, nuevas jurisdicciones, entre otros).
9
Unidad de Información Financiera
• Factor de riesgo cliente: se sugiere que el análisis se realice contemplando los siguientes atributos:
nacionalidad, antigüedad laboral, persona humana y persona jurídica, condición de sujeto obligado
ante la UIF, condición de PEP (tanto para personas humanas como para personas jurídicas con
integrantes PEPs), personas jurídicas correspondientes al sector público, personas humanas y
jurídicas con actividades de alto riesgo, riesgo de concentración de montos por parte de clientes
que superen el promedio de saldos, entre otros. En este sentido, resulta indispensable que el
sujeto obligado indique la ponderación que le asigna a cada uno de tales atributos y su
fundamento.
• Es una buena práctica evaluar el Conozca a su Cliente (KYC) y Debida Diligencia, las políticas de
conocimiento de los empleados (KYE), requerimientos de reporte e información/organismos
reguladores, el sistema de monitoreo, la infraestructura tecnológica utilizada, los Reportes de
Operaciones Sospechosas, el sistema de capacitación, entre otros.
• Se sugiere incluir una evaluación del riesgo derivado de la identificación de beneficiarios finales de
estructuras jurídicas y el monitoreo de la evolución de su riesgo.
• Respecto a las ponderaciones asignadas a los factores de riesgo de LA/FT, se sugiere que sean
revisadas y/o actualizan periódicamente, no únicamente al momento de realizar el informe técnico
de autoevaluación de riesgo.
Controles Mitigantes:
• Se sugiere detallar en forma específica los controles mitigantes por factor de riesgo, incluyendo
una descripción de cada acción mitigante, considerando que cada acción mitigante cumpla con lo
siguiente:
- Mitigar el riesgo por factor de riesgo evaluado de manera específica;
- Tener una periodicidad definida para su implementación;
- Indicar quien es el responsable de su ejecución y monitoreo; y
- Que sea verificable, es decir, que esté documentado y se puedan evidenciar sus resultados.
• Es conveniente incluir una descripción de los controles mitigantes según su naturaleza (preventivo,
detectivo o correctivo), según su forma (automático, semiautomático o manual) y según su
frecuencia o periodicidad (continuo, periódico u ocasional).
• Indicar cómo se evalúa la efectividad de los controles mitigantes implementados.
• En relación con la determinación de la efectividad de los controles mitigantes, se sugiere hacer
referencia a los resultados de las tareas de control y supervisión realizadas por las áreas de
Auditoría Interna, Auditoría Externa, Revisor Externo Independiente, UIF y Órgano de Contralor
Específico, en caso de corresponder.
10
Unidad de Información Financiera
Riesgos residuales:
• Se sugiere detallar en forma específica el riesgo residual resultante de cada factor de riesgo
evaluado.
• Detallar el Plan de Acción a seguir en base a la determinación de los riesgos residuales , cuyo
objetivo sea reducir, o bien mantener, los niveles de exposición al riesgo existente.
11
Unidad de Información Financiera
12
Unidad de Información Financiera
Se exponen debajo los datos obtenidos en relación con la calidad de evaluación de los riesgos inherentes.
13
Unidad de Información Financiera
A continuación, los resultados del análisis en relación con la calidad de evaluación de los riesgos residuales.
Las estadísticas obtenidas indican una necesidad de mejora del sector respecto a los
siguientes aspectos de los Informes Técnicos:
• Presentación de la Política de aceptación de los Clientes de Riesgo Alto (que incluya descripción de
aquellos clientes con los que no se mantendrá relación comercial).
• El análisis por línea de negocio (en caso de corresponder). La realización de una comparación de
Riesgo de LA/FT respecto al IT AER inmediatamente anterior.
• La evaluación de la efectividad de los controles mitigantes implementados.
14
Unidad de Información Financiera
15
Unidad de Información Financiera
16
Unidad de Información Financiera
Sector Seguros
En los siguientes gráficos, pueden visualizarse los resultados obtenidos del análisis de la integridad, riesgos
inherentes y riesgos residuales de la remisión de Informes Técnicos de Autoevaluaciones de Riesgos
correspondiente al sector Seguros.
17
Unidad de Información Financiera
18
Unidad de Información Financiera
En los siguientes gráficos, pueden visualizarse los resultados obtenidos del análisis de la integridad, riesgos
inherentes y riesgos residuales de la remisión de Informes Técnicos de Autoevaluaciones de Riesgos
correspondiente al sector de tarjetas de crédito, y compra y emisores de cheque al viajero.
19
Unidad de Información Financiera
20
Las estadísticas obtenidas indican una necesidad de mejora del sector
respecto a los siguientes aspectos de los Informes Técnicos:
Conclusión
A lo largo de este documento se han expuesto herramientas que permiten la mejora de los procesos de
Autoevaluaciones de Riesgos, el perfeccionamiento en la elaboración de los correspondientes Informes
Técnicos y sus presentaciones ante la UIF, coadyuvando de este modo a elevar la calidad de los procesos
adoptados con un Enfoque Basado en Riesgos (EBR) y posibilitando el adecuado funcionamiento del sistema
de prevención en su conjunto.