Matriz de riesgo BC/FT/FPADM para abogados y agentes residentes en Panamá: cómo se construye y cómo se documenta

¿Qué es una matriz de riesgo BC/FT/FPADM?

Una matriz de riesgo BC/FT/FPADM es un método escrito para calificar a cada cliente según su exposición al blanqueo de capitales, al financiamiento del terrorismo y al financiamiento de la proliferación de armas de destrucción masiva. Combina factores, pesos y una escala, y da un nivel (bajo, medio o alto) que define qué debida diligencia aplicar.

Nace del enfoque basado en riesgo de la Recomendación 1 del GAFI: no todos los clientes merecen la misma diligencia. La guía de debida diligencia de la SSNF lo aplica así: al riesgo alto le corresponde debida diligencia ampliada o reforzada; al bajo, medidas simplificadas, salvo sospecha.

La matriz no reemplaza tu criterio profesional: lo deja por escrito. Dos analistas de la misma firma llegan al mismo resultado con la misma información, y un supervisor puede reconstruir por qué.

¿Quién está obligado en el sector legal en Panamá?

En Panamá, los abogados y las firmas de abogados son sujetos obligados no financieros cuando, en nombre o por cuenta de un cliente, realizan actividades sujetas a supervisión, entre ellas los servicios propios del agente residente. Los supervisa la Superintendencia de Sujetos no Financieros (SSNF), creada por la Ley 124 de 7 de enero de 2020.

La base es la Ley 23 de 27 de abril de 2015. Su artículo 23, subrogado por la Ley 254 de 2021, remite al artículo 40 de la Ley 124 de 2020, que incluye a abogados y contadores públicos autorizados cuando realizan, entre otras, estas actividades:

• Compraventa de inmuebles.
• Administración de dinero, valores, cuentas u otros activos del cliente.
• Creación, operación, administración o compraventa de sociedades, fundaciones de interés privado, fideicomisos y otras estructuras jurídicas.
• Actuar, o hacer que alguien actúe, como director, apoderado o accionista de una persona jurídica.
• Proveer domicilio registrado o comercial a una persona jurídica ajena.
• Los servicios propios del agente residente de personas jurídicas panameñas.

Según la guía de matriz de la SSNF, el profesional queda obligado si, y solo si, presta alguno de estos servicios; el Acuerdo JD-02-2022 de 28 de julio de 2022 detalla sus obligaciones. El artículo 26 de la Ley 23 le pide documentar su evaluación de riesgo y mantenerla actualizada.

¿Qué factores se evalúan en una matriz de riesgo?

La guía de la SSNF agrupa los factores en cuatro familias: cliente, producto o servicio, geografía y canal o transaccionalidad, y pide que los pesos sumen 100 %. Cada firma elige sus indicadores según su práctica. Para Sector Legal, Zelantix parte de 5 factores configurables: tipo de cliente, actividad económica, país, servicio legal y forma de pago.

Los pesos valen para persona natural y jurídica y cada organización puede cambiarlos en cualquier plan; las tablas de referencia (39 actividades económicas, 25 jurisdicciones, entre otras) se editan desde el plan Firma. Si prestas varios servicios a un cliente, la SSNF sugiere evaluar el de mayor riesgo.

¿Cómo se calcula el puntaje de riesgo de un cliente?

El puntaje se calcula multiplicando la calificación de cada factor (1 bajo, 2 medio, 3 alto) por su peso y sumando los resultados. Con pesos que suman 1.00, el puntaje va de 1.00 a 3.00. Luego se compara con la escala; en Sector Legal, por defecto: BAJO hasta 1.75, MEDIO de 1.76 a 2.25 y ALTO desde 2.26.

RCS es el puntaje de riesgo del cliente. Un factor puede tener subfactores con su propio peso; por defecto, en Sector Legal cada factor tiene uno solo, con peso 1.

Inversiones Punta Culebra, S.A., sociedad anónima panameña ficticia con actividad comercial, te pide estructurar su patrimonio con un fideicomiso y paga por transferencia desde una cuenta verificada a su nombre.

El RCS es 1.85: está entre 1.76 y 2.25, así que el nivel calculado es MEDIO. Un solo factor cambia la diligencia que corresponde: si el servicio fuera solo redactar contratos y opiniones, aportaría 0.20, el RCS bajaría a 1.45 y el nivel, a BAJO. Por eso cada calificación debe quedar justificada.

Valida la matriz antes de usarla: la guía de la SSNF la da por validada cuando califica clientes en el mínimo y el máximo posibles. Aquí, todo en 1 da 1.00 y todo en 3 da 3.00.

¿Qué son los disparadores y cuándo suben el riesgo a ALTO?

Un disparador es una condición que lleva al cliente a riesgo ALTO sin importar su puntaje. Sirve para los casos en que la norma o tu política ya decidieron el nivel. En Zelantix, Sector Legal trae dos por defecto: cliente marcado manualmente como persona expuesta políticamente (PEP) y coincidencia en listas de sanciones que no se haya descartado.

La guía de la SSNF lo llama clasificación por criterio objetivo, con el PEP como ejemplo de alto riesgo por defecto. El artículo 34 de la Ley 23 exige debida diligencia ampliada o reforzada para las personas expuestas políticamente, sean clientes o beneficiarios finales.

Si el beneficiario final de Inversiones Punta Culebra, S.A. fuera PEP, el RCS seguiría en 1.85, pero el nivel final sería ALTO. La evaluación debe mostrar ambos datos.

¿Contra qué listas se verifica a un cliente y qué hacer con una coincidencia?

Verifica al cliente, a su beneficiario final y a sus apoderados en la Lista Consolidada del Consejo de Seguridad de la ONU y en las listas SDN y Consolidada de la OFAC. Cada coincidencia se confirma o se descarta con una justificación escrita. Si se confirma en la lista de la ONU, aplica el artículo 49 de la Ley 23.

• Lista Consolidada del Consejo de Seguridad de la ONU: personas y entidades sujetas a sus sanciones.
• Lista SDN de la OFAC (Specially Designated Nationals and Blocked Persons), del Tesoro de Estados Unidos.
• Lista Consolidada de la OFAC: las listas de sanciones de la OFAC distintas de la SDN.

Con las listas del Consejo de Seguridad, el artículo 49 de la Ley 23 es tajante: ante una coincidencia, el sujeto obligado suspende las transacciones, congela preventivamente los fondos y notifica de inmediato a la Unidad de Análisis Financiero (UAF).

Muchas coincidencias son homónimos. Un procedimiento mínimo:

1. 1.Registra qué lista, qué registro y en qué fecha se consultó.
2. 2.Compara fecha de nacimiento, nacionalidad, documento y alias con los del registro listado.
3. 3.Confirma o descarta, y escribe la justificación con los datos que usaste.
4. 4.Si confirmas, aplica tu manual de prevención y, si es la lista de la ONU, el artículo 49.

¿Cada cuánto se revisa a un cliente?

Revisa a cada cliente con una frecuencia proporcional a su riesgo. La Ley 23 exige actualizar la debida diligencia de los clientes de alto riesgo como mínimo una vez al año, y con más frecuencia cuanto mayor sea el riesgo. Zelantix propone por defecto ALTO cada 6 meses, MEDIO cada 12 y BAJO cada 24, editables.

Revisa también cuando algo cambia: otro servicio, otro país, otro beneficiario final o una señal de alerta. Y recalibra la matriz al menos una vez al año, como sugiere la SSNF. Cada revisión es una evaluación nueva; la anterior queda en el historial.

¿Cómo se documenta la matriz de riesgo para la supervisión de la SSNF?

Documentar es poder reconstruir cada decisión: qué criterios usaste, con qué configuración, contra qué listas y en qué fecha verificaste, qué coincidencias revisaste y por qué decidiste lo que decidiste. La evidencia debe estar fechada, no poder alterarse y ser fácil de entregar. La ley exige conservarla al menos cinco años tras terminar la relación.

• La metodología en el manual de prevención: factores, pesos, escala y disparadores, con la razón de cada uno.
• La configuración usada en cada evaluación, aunque después cambies un peso o un umbral.
• Las listas consultadas, la fecha y el resultado, también cuando no hubo coincidencias.
• Cada decisión sobre una coincidencia, con su justificación y su autor.
• Puntaje calculado, disparadores y nivel final, uno al lado del otro, en evaluaciones que no se editan.
• Una bitácora de quién cambió qué y cuándo.

El plazo de cinco años sale del artículo 29 de la Ley 23. Un archivo que se puede editar después es difícil de defender.

¿Cuáles son los errores más frecuentes al armar una matriz de riesgo?

Los errores más comunes no son de fórmula, sino de evidencia: pesos sin justificar, umbrales que cambian sin registro, verificaciones en listas sin fecha, coincidencias descartadas sin explicación y evaluaciones sobrescritas. Todos tienen algo en común: impiden reconstruir por qué un cliente quedó en el nivel que quedó.

• Copiar una matriz genérica sin ajustarla a los servicios que la firma presta de verdad.
• Cambiar un umbral y reclasificar la cartera sin registrar el cambio ni su fecha.
• Tratar al PEP como un factor que el puntaje puede diluir, en lugar de un disparador.
• Verificar en listas solo al cliente y no a su beneficiario final.
• Sobrescribir la evaluación anterior en cada revisión y perder el historial.

¿Cómo lo resuelve Zelantix?

Zelantix es una plataforma de cumplimiento BC/FT/FPADM para abogados, firmas y agentes residentes en Panamá. Aplica la matriz de tu organización, verifica a cada cliente en la Lista Consolidada de la ONU y las listas SDN y Consolidada de la OFAC, exige justificación para cada coincidencia y guarda cada evaluación, sin cambios posibles, con la configuración usada.

• Listas actualizadas cada 6 horas. Si la verificación falla, la evaluación queda pendiente, sin nivel final y sin exporte, hasta que se reintenta.
• Lo descartado pasa a una lista blanca; revocarlo exige justificación y rol de propietario o administrador.
• PDF con la verificación y un anexo por lista, exportes en Excel y bitácora en todos los planes (en CSV desde el plan Firma).

Hoy está disponible el módulo Sector Legal, diseñado alrededor del marco de la SSNF y la UAF. La verificación de PEP y el módulo de Seguros (SSRP) llegarán próximamente. Mira los planes en precios o empieza tu prueba gratis: 14 días, sin tarjeta.