Una empresa puede tener un Manual de Prevención formalmente elaborado y, aun así, enfrentar dificultades para demostrar que sus procedimientos responden a la realidad de sus operaciones.
Esta situación adquiere especial relevancia con la nueva Guía Práctica de la Superintendencia de Sujetos No Financieros (SSNF), cuya entrada en vigencia está prevista para noviembre de 2026.
Más allá de la actualización normativa, la Guía plantea una reflexión importante para los sujetos obligados no financieros: ¿el Manual de Prevención representa realmente cómo funciona hoy la organización?
Las empresas evolucionan. Incorporan servicios, modifican procesos, adoptan tecnologías y reorganizan responsabilidades. Sin embargo, esos cambios no siempre se reflejan oportunamente en sus sistemas de prevención.
La consecuencia puede ser una desconexión entre lo que establece el documento y lo que efectivamente sucede en la operación diaria.
Un Manual actualizado no siempre es un Manual efectivo
La distinción entre actualización y efectividad resulta especialmente importante cuando una organización atraviesa varias etapas de crecimiento. Puede comenzar con una estructura pequeña, procedimientos simples y decisiones concentradas en pocas personas. Más adelante incorpora responsables comerciales, equipos administrativos, nuevas sucursales o proveedores especializados. El Manual original puede seguir describiendo correctamente las obligaciones generales, pero dejar de representar quién participa realmente en cada decisión. La brecha no siempre es visible en una lectura superficial. Aparece cuando se intenta reconstruir una operación concreta o identificar el responsable de un control que cambió de manos.
Consideremos, a modo ilustrativo, una empresa que ha trasladado parte de su vinculación de clientes a un canal digital. El Manual continúa indicando que determinados documentos se verifican presencialmente, mientras el equipo comercial trabaja con expedientes electrónicos y consultas remotas. Quizás exista una verificación adecuada mediante herramientas digitales; también es posible que determinadas validaciones hayan quedado sin responsable. El problema no se resuelve sustituyendo «presencial» por «digital» en varias páginas. La organización necesita comprender cómo se ejecuta ahora el proceso y si los controles continúan respondiendo a los riesgos identificados.
Esta situación permite observar por qué la revisión documental y la revisión operativa no son equivalentes. La primera puede comprobar la existencia de capítulos, políticas o anexos. La segunda intenta comprender si una persona que no participó en la redacción del Manual podría utilizarlo para ejecutar sus funciones y dejar evidencia suficiente. Ambas dimensiones son relevantes. Pero cuando se evalúan de manera independiente, el resultado puede ofrecer una imagen incompleta de la fortaleza del programa.
La Resolución S-037-2026, publicada en la Gaceta Oficial del 10 de agosto de 2026, adopta una Guía cuyo contenido constituye un estándar mínimo obligatorio para los sujetos obligados no financieros comprendidos en su ámbito de aplicación. La propia resolución establece su vigencia tres meses después de esa publicación. Esta referencia temporal es relevante para revisar la adecuación de los Manuales; no debe interpretarse, por sí sola, como una fecha universal de entrega de documentación ante la autoridad. El punto central del análisis consiste en reconocer el alcance regulatorio y valorar su impacto real en cada operación.
Uno de los principales desafíos del cumplimiento normativo consiste en evitar que el Manual de Prevención se convierta en un documento que únicamente se revisa cuando aparece una nueva disposición regulatoria.
La actualización documental es importante, pero no debería confundirse con la efectividad del sistema.
Una organización puede disponer de políticas formalmente aprobadas y, al mismo tiempo, presentar dificultades para identificar quién ejecuta determinados controles, cómo se gestionan ciertos riesgos o dónde se encuentra la evidencia de una actuación.
La nueva Guía SSNF enfatiza que el Manual debe guardar coherencia con la actividad, el tamaño, la complejidad y los riesgos de cada sujeto obligado.
Esto significa que no existe una solución documental idéntica para todas las organizaciones.
Dos empresas pertenecientes al mismo sector pueden presentar diferencias importantes en sus operaciones, clientes, estructuras y exposición al riesgo.
Por tanto, sus sistemas de prevención también deben responder a esas particularidades.
La pregunta relevante no es únicamente si el Manual está actualizado, sino si continúa siendo útil para gestionar los riesgos de la empresa.
Cuando la empresa cambia, también cambia su exposición al riesgo
La exposición al riesgo cambia incluso cuando el producto principal permanece igual. Un negocio puede comercializar el mismo servicio durante años y, sin embargo, atender nuevos perfiles de clientes, recibir instrucciones por canales distintos o modificar las modalidades de pago. Cada variación puede alterar la información disponible para conocer una relación comercial, la intervención de terceros o el momento en que se efectúan las comprobaciones correspondientes. Si la evaluación de riesgos sigue describiendo las condiciones anteriores, la organización pierde parte de la capacidad de interpretar su operación actual.
Pensemos en una empresa que antes gestionaba la mayoría de sus relaciones directamente y que comienza a trabajar con intermediarios o aliados comerciales. Desde una perspectiva comercial, la medida puede ampliar su alcance y mejorar la eficiencia. Desde cumplimiento, introduce preguntas diferentes: qué información recibe el sujeto obligado, cómo verifica su calidad, quién mantiene contacto con el cliente y de qué manera se atienden inconsistencias. Ninguna de esas preguntas supone que trabajar con intermediarios sea inapropiado. Lo que muestran es que la distribución de tareas modifica los puntos en los que resulta necesario ejercer control.
Algo similar ocurre con la tecnología. Una plataforma puede facilitar el registro documental, reducir tareas repetitivas y permitir un mejor seguimiento. Pero su adopción no garantiza, por sí misma, una evaluación de riesgo más precisa. Si los criterios de clasificación no se revisan o si los colaboradores desconocen cómo interpretar determinadas señales, la automatización podría reproducir debilidades que antes existían en un proceso manual. La herramienta ejecuta aquello para lo que fue configurada; la organización continúa siendo responsable de determinar si ese diseño responde a sus necesidades y obligaciones.
La reflexión empresarial tiene consecuencias directas. Cuando el cumplimiento participa oportunamente en decisiones de expansión, transformación digital o rediseño de procesos, puede ofrecer información útil antes de que los cambios se consoliden. Cuando interviene solamente al final, es más probable que deba adaptar procedimientos a una estructura ya establecida. La primera situación favorece una gestión integrada del riesgo. La segunda puede obligar a realizar ajustes adicionales, aunque la actividad comercial haya empezado a operar con normalidad.
Por ello, un Manual que evoluciona con la empresa no debe confundirse con un documento sometido a cambios constantes sin criterio. La actualización necesita responder a hechos relevantes: nuevas actividades, cambios de responsabilidades, modificaciones del perfil de riesgo o ajustes regulatorios aplicables. Lo importante es que exista una relación razonable entre la evolución del negocio y la evaluación de los controles que lo acompañan.
La transformación empresarial no siempre ocurre mediante grandes decisiones estratégicas.
En ocasiones comienza con cambios aparentemente pequeños: incorporar un canal digital, modificar la atención al cliente, ampliar una línea de servicios o redistribuir funciones entre colaboradores.
Estas decisiones pueden mejorar la eficiencia operativa, pero también modificar las condiciones bajo las cuales se identifican y gestionan los riesgos.
Cuando el sistema de prevención no evoluciona al mismo ritmo, pueden aparecer diferencias entre los controles documentados y los procedimientos que realmente se ejecutan.
Por ejemplo, una empresa puede haber digitalizado parte de su relación comercial mientras mantiene procedimientos diseñados para una operación predominantemente presencial.
El problema no reside necesariamente en la incorporación de tecnología, sino en que el cambio operativo no haya sido evaluado desde la perspectiva del riesgo.
La nueva Guía SSNF refuerza la importancia del enfoque basado en riesgo y de la proporcionalidad de los controles.
Para la Alta Gerencia, esto representa una oportunidad de revisar si el programa de cumplimiento acompaña las decisiones de crecimiento y transformación de la organización.
El cumplimiento no debería avanzar por detrás del negocio. Debe evolucionar junto a él.
El verdadero desafío: coherencia entre responsabilidades, riesgos y controles
La coherencia puede examinarse a partir de situaciones cotidianas. Si el área comercial identifica una inconsistencia durante la vinculación, ¿sabe a quién comunicarla? Si el responsable de cumplimiento solicita información adicional, ¿existe un mecanismo para obtenerla y registrar la decisión? Si la Alta Gerencia necesita conocer los asuntos relevantes del período, ¿recibe información suficiente para ejercer las funciones que le correspondan? Estas preguntas no se responden únicamente con un organigrama. Requieren observar cómo se comunican las áreas y cómo se ejecutan los procedimientos.
En organizaciones pequeñas, la concentración de tareas puede ser razonable por su escala, siempre dentro del marco aplicable. La proporcionalidad permite reconocer que una estructura reducida no necesita reproducir cada nivel jerárquico de una organización compleja. Sin embargo, no elimina la necesidad de definir responsabilidades, documentar actuaciones y conservar mecanismos de supervisión adecuados. En estructuras mayores, el desafío puede ser el contrario: demasiados puntos de intervención, transferencias informales y decisiones que quedan dispersas entre departamentos. En ambos casos, la claridad importa más que la apariencia del organigrama.
También existe una dimensión vinculada con la continuidad del conocimiento. Cuando un procedimiento depende de que una persona recuerde qué documentos revisar o cómo actuar ante una circunstancia concreta, la organización queda expuesta a interrupciones si esa persona se ausenta o cambia de función. Un Manual útil no pretende sustituir el criterio profesional; procura establecer una base compartida que permita mantener la consistencia de los procesos y comprender las decisiones adoptadas. La documentación bien diseñada aporta continuidad, mientras que la documentación desconectada de la práctica puede crear una falsa sensación de seguridad.
La Alta Gerencia necesita información que permita distinguir problemas de diseño de problemas de ejecución. No es lo mismo contar con un control apropiado que los equipos aplican de manera irregular, que ejecutar perfectamente un control que ya no responde a la exposición actual del negocio. El primer caso podría requerir revisar coordinación, capacitación o supervisión. El segundo invita a replantear la pertinencia del propio mecanismo. Confundirlos conduce a soluciones incompletas: más formularios donde se necesita claridad, o más capacitación donde lo que falta es una metodología coherente.
La revisión del Manual, por tanto, puede convertirse en una conversación estratégica sobre la organización. Permite identificar los puntos de conexión entre decisiones comerciales, responsabilidades de cumplimiento y mecanismos de control. Esa conversación no busca trasladar todas las decisiones a un departamento especializado. Busca que quienes participan en los procesos comprendan la naturaleza de sus responsabilidades y cuenten con información suficiente para cumplirlas.
Un sistema de prevención depende de múltiples elementos que deben funcionar de manera coordinada.
La estructura organizacional determina responsabilidades. La evaluación de riesgos permite reconocer exposiciones relevantes. Los procedimientos establecen cómo actuar y los controles contribuyen a gestionar esas exposiciones.
Cuando existe coherencia entre estos componentes, el Manual puede convertirse en una herramienta de gestión.
Pero cuando las responsabilidades son ambiguas, los procedimientos no corresponden con la operación o los controles carecen de seguimiento, el documento pierde parte de su utilidad.
Esta situación también puede afectar la continuidad del sistema.
¿Qué ocurre cuando cambia un colaborador responsable de una actividad importante? ¿Los procedimientos permiten mantener el control o dependen del conocimiento individual de quien habitualmente lo ejecuta?
Son preguntas que trascienden la redacción del Manual.
Se relacionan directamente con la capacidad de la organización para sostener su programa de cumplimiento a lo largo del tiempo.
Por eso, revisar el Manual también implica evaluar su relación con la gobernanza, la gestión de riesgos y la continuidad operativa.
La debida diligencia debe responder al riesgo, no convertirse en una formalidad
El conocimiento del cliente muestra con claridad la diferencia entre cumplimiento documental y gestión efectiva. Una carpeta puede contener formularios completos, identificaciones y registros de validación, pero resultar limitada para explicar por qué una relación fue considerada de determinado nivel de riesgo. En ese escenario, la información existe; lo que puede faltar es su interpretación. La debida diligencia adquiere valor cuando contribuye a comprender la naturaleza de la relación, las características relevantes de la contraparte y las circunstancias que podrían requerir atención adicional.
La proporcionalidad tampoco significa que una organización pueda reducir libremente cualquier exigencia. Las medidas aplicables dependen del marco normativo, del perfil de riesgo y de las situaciones específicas contempladas por los procedimientos. Por ello, conviene evitar dos extremos: tratar todas las relaciones como idénticas o asumir que una clasificación inicial constituye una autorización permanente para mantener el mismo nivel de revisión. Los perfiles pueden evolucionar, y el sistema necesita criterios razonables para reconocer cuándo una relación merece volver a evaluarse.
La identificación del beneficiario final, cuando corresponda, constituye otro ejemplo de por qué el procedimiento debe tener una finalidad clara. Conocer la denominación formal de una persona jurídica no equivale necesariamente a comprender quién ejerce su propiedad o control. En relaciones con estructuras societarias más complejas, la documentación puede requerir una lectura que vaya más allá de la identificación inicial. El objetivo no es incrementar de manera indiscriminada los documentos solicitados, sino disponer de información adecuada para comprender la relación y aplicar las medidas previstas en el régimen correspondiente.
También importa lo que ocurre después de la vinculación. Una clasificación de riesgo que permanece intacta pese a cambios relevantes en el comportamiento de la relación puede perder utilidad. Asimismo, un procedimiento que obliga a revisar todos los expedientes con exactamente la misma profundidad podría consumir recursos que deberían dirigirse a situaciones de mayor exposición. Ninguno de estos ejemplos ofrece una receta universal: cada organización necesita interpretar su realidad y diseñar mecanismos compatibles con sus obligaciones.
Para la Alta Gerencia, la debida diligencia no debería presentarse únicamente como un proceso de recopilación de información. Es una fuente de conocimiento para decidir con qué relaciones se trabaja, en qué condiciones y qué controles resultan adecuados. Cuanto más clara sea esa conexión, mayor será la capacidad del programa de prevención para respaldar decisiones consistentes y supervisables.
Otro aspecto fundamental es el conocimiento del cliente.
La debida diligencia constituye una parte esencial del sistema de prevención del blanqueo de capitales, financiamiento del terrorismo y financiamiento de la proliferación de armas de destrucción masiva.
Sin embargo, su efectividad no depende exclusivamente de la cantidad de documentos recopilados.
Depende también de que la información permita comprender la relación comercial y adoptar medidas proporcionales al riesgo identificado.
Una organización puede disponer de expedientes completos desde el punto de vista documental y, aun así, necesitar fortalecer la forma en que evalúa determinadas relaciones.
La nueva Guía SSNF destaca la importancia de conectar la evaluación de riesgo del cliente con las medidas de debida diligencia correspondientes.
Este enfoque permite comprender que el cumplimiento no consiste en aplicar indiscriminadamente los mismos controles a todas las relaciones, sino en utilizar criterios adecuados a la exposición identificada y al marco normativo aplicable.
Para las organizaciones, el reto está en conseguir que esta metodología tenga efectos reales en sus decisiones y no permanezca únicamente descrita dentro del Manual.
Una oportunidad para fortalecer la gestión empresarial
La revisión también puede revelar oportunidades que no son estrictamente regulatorias. Por ejemplo, procedimientos de vinculación dispersos entre varias áreas pueden generar solicitudes repetidas al cliente o dificultar la recuperación de información. Responsabilidades poco definidas pueden provocar retrasos en aprobaciones que afectan la experiencia comercial. Y un registro de decisiones incompleto puede complicar la continuidad de una relación cuando cambia el colaborador que la atiende. Mejorar la coherencia del programa de prevención puede contribuir a resolver estas fricciones, aunque su finalidad principal continúe siendo la gestión de los riesgos y el cumplimiento de las obligaciones aplicables.
Conviene evitar, sin embargo, una lectura exclusivamente operativa de la Guía. No se trata de convertir los requerimientos de prevención en una iniciativa genérica de eficiencia. El punto de partida sigue siendo la responsabilidad del sujeto obligado frente a los riesgos de blanqueo de capitales, financiamiento del terrorismo y financiamiento de la proliferación de armas de destrucción masiva. La eficiencia constituye un posible beneficio adicional cuando los controles se integran de manera razonable en los procesos. Reducir tareas sin evaluar su función preventiva podría generar el efecto contrario.
Una organización que conoce sus exposiciones, comprende sus controles y dispone de evidencia de su ejecución está mejor preparada para explicar sus decisiones. También puede identificar con mayor precisión dónde necesita fortalecer capacidades internas, revisar herramientas o mejorar la coordinación. La revisión del Manual permite abrir ese análisis sin asumir de antemano que todas las empresas requieren más personal, más tecnología o documentos más extensos. La respuesta depende de los riesgos y condiciones reales de cada una.
También resulta importante considerar cómo se comunica el sistema a los equipos. Si los procedimientos se presentan como un catálogo de obligaciones separadas del trabajo cotidiano, los colaboradores pueden tener dificultades para reconocer su finalidad. En cambio, cuando se explica qué riesgo pretende abordar cada control y qué información se necesita para aplicarlo, las responsabilidades adquieren un sentido más concreto. Esta diferencia no elimina la necesidad de capacitación formal, pero ayuda a que el cumplimiento se integre en la cultura organizacional de manera consistente con la actividad que se desarrolla.
La calidad del programa se pone a prueba en las decisiones ordinarias: una vinculación que requiere aclaración, una discrepancia entre documentos, un cambio de servicio o una solicitud que no corresponde con el perfil conocido. Son situaciones que no siempre justifican activar mecanismos extraordinarios, pero sí requieren que los equipos sepan cómo interpretar lo ocurrido y a quién acudir cuando surgen dudas. Un Manual coherente facilita esa respuesta sin pretender anticipar cada circunstancia posible. Su fortaleza está en proporcionar criterios claros, responsabilidades identificables y evidencia suficiente para que la organización pueda explicar las decisiones adoptadas.
La entrada en vigencia de la nueva Guía SSNF durante noviembre de 2026 representa una oportunidad para que los sujetos obligados no financieros evalúen la coherencia de sus sistemas de prevención.
No se trata únicamente de incorporar referencias normativas o modificar la estructura de un documento.
Se trata de comprobar si el Manual sigue representando adecuadamente la organización, sus riesgos y la manera en que se gestionan.
Esta revisión también puede aportar beneficios a la gestión empresarial: mayor claridad en las responsabilidades, mejor coordinación entre áreas y una comprensión más precisa de los controles que respaldan la operación.
El Manual de Prevención no debería entenderse como un documento separado del negocio.
Debe formar parte de la manera en que la organización toma decisiones, gestiona riesgos y demuestra su compromiso con el cumplimiento.
¿Su Manual refleja la empresa que tiene hoy?
En TP Panamá comprendemos que cada organización presenta características, desafíos y niveles de exposición diferentes.
Por ello, acompañamos a los sujetos obligados en la evaluación, revisión y actualización de sus programas de cumplimiento, con un enfoque orientado a la realidad operativa y a la gestión efectiva del riesgo.
Si su empresa ha experimentado cambios durante el último año o necesita evaluar la adecuación de su Manual frente a la nueva Guía SSNF, contar con asesoramiento especializado puede ayudarle a identificar oportunidades de fortalecimiento.
TP Panamá | Experiencia y compromiso con el cumplimiento normativo.
Tel. +507 6112-2906 / +507 389-8582 / 83 | www.tppanama.com