Las barbas del vecino: lo que la sanción a Bank of America les dice a las juntas directivas colombianas

Luis Fernando Cruz Araújo – 14 de octubre de 2026

El 13 de octubre, el Departamento del Tesoro de Estados Unidos impuso a Bank of America, el segundo banco más grande de ese país, sanciones por más de USD 1.210 millones por violar las normas contra el lavado de activos y los programas de sanciones económicas. Es la tercera sanción más alta en la historia del Tesoro y la mayor que ha impuesto la OCC (Office of the Comptroller of the Currency)

El paquete de sanciones se compone decUSD 1.200 millones de la Red de Control de Delitos Financieros (FinCEN), que acreditan dentro de esa suma los USD 750 millones impuestos por la OCC, y un acuerdo por USD 11,6 millones con la Oficina de Control de Activos Extranjeros (OFAC) por 475 aparentes violaciones a programas de sanciones.

Aprendimos hace muchos años aquel refrán: cuando las barbas de tu vecino veas cortar, pon las tuyas a remojar. Pocas veces ha sido tan pertinente.

Según la orden de FinCEN, las conductas se extendieron al menos entre enero de 2018 y julio de 2025. En ese periodo, el banco dejó de reportar a tiempo más de USD 5.000 millones en operaciones sospechosas. La autoridad concluyó que, a medida que surgían los problemas, el banco priorizó sus ingresos y minimizó el impacto sobre sus recursos de cumplimiento.

Bank of America admitió haber violado de forma deliberada (willfully) la Bank Secrecy Act de 1970.   A diferencia de lo que ocurre en nuestro país, en el régimen sancionatorio civil estadounidense, ese estándar se satisface con imprudencia temeraria o ceguera intencional, no exige probar la intención de infringir la ley. Ahí está la lección más punzante: no hace falta mala fe para llegar a una sanción de este tamaño. Basta con hacerse el de la vista gorda o mirar hacia otro lado.

Dice el secretario del Tesoro, Scott Bessent, que la sanción envía un mensaje claro: ni siquiera las instituciones financieras más grandes están por encima de la ley. A buen entendedor, pocas palabras; aquí deberían bastar incluso para que un mal entendedor se detenga a revisar su propia casa sobre todo cuando la entidad no se acerca al “too big to fail”.

Más que un caso de disciplina bancaria, este es un caso de gobierno corporativo. Tres hechos lo muestran:

• Reincidencia. Desde diciembre de 2024, el banco estaba bajo una orden de cese de la OCC para corregir su programa. Más de un año después, de manera inexplicable, seguía sin escalar actividades sospechosas a investigación.

• Alertas internas desatendidas. Las pruebas del propio banco mostraron durante años que su sistema de monitoreo fallaba. En el caso de un cliente, el área de cumplimiento recomendó cerrar la relación en 2022; el área comercial defendió mantenerla por su importancia, y la recomendación se retiró a cambio de un Plan de Acción que ni mitigó ni atacó el riesgo central.

• Detección tercerizada. Durante varios años, más de una tercera parte de las investigaciones del banco se originaron en requerimientos de autoridades, solicitudes de otras entidades o reportes manuales, y no en sus propios controles.

Me interesa darle a este caso una mirada local: el papel de las juntas directivas como máximas responsables de los sistemas de administración de riesgos, y la frontera, todavía difusa, entre un cumplimiento reactivo y un control proactivo que no se contente con manuales ni con sistemas de alertas simbólicos.

Aquí van cinco lecciones para juntas y comités de entidades vigiladas por superintendencias, no solo por la Superintendencia Financiera.

1. Para las juntas directivas: se acabó el "no me contaron". En Colombia, los miembros de junta son administradores, y la ley presume su culpa cuando se incumplen la ley o los estatutos (arts. 22 a 24 de la Ley 222 de 1995). Conviene dejar trazabilidad de las preguntas a la administración sobre la efectividad del SARLAFT o del SAGRILAFT (y, por extensión, del PTEE), y sobre todo de sus respuestas. No bastan las aprobaciones genéricas de presupuesto. Y cuando la junta aprueba un plan de acción, debe verificar que se ejecute: Bank of America firmó el suyo en 2024 y no lo cumplió. El propio Tesoro advirtió que documentar preocupaciones o prolongar revisiones internas sin acción correctiva no satisface las obligaciones.

2. Para los comités de riesgos y de auditoría: un mismo esfuerzo, varios resultados. Dejemos de tratar como silos la prevención, la detección y el reporte, las obligaciones de no hacer derivadas de listas restrictivas y los sistemas de calidad, seguridad de la información o control. El Tesoro lo dijo de forma expresa: los programas contra el lavado y los de sanciones deben estar integrados y reforzarse mutuamente. Con matrices y tableros integrados, las alertas se gestionan a tiempo y se evita al interior de las entidades una sobrecarga operativa inútil.

3. Para el comité de auditoría: la auditoría también puede fallar. La OCC encontró que la función de auditoría del banco no identificó problemas de larga data que después se descubrió en la investigación. La pregunta del comité no es solo indagar acerca de lo “que encontró” auditoría, sino “qué no encontró” y “por qué”. Contrastar sus hallazgos con los del supervisor, y asegurar que el equipo auditor tenga las capacidades técnicas para evaluar un sistema de monitoreo, es parte del trabajo.

4. Para la administración y los oficiales de cumplimiento: la detección no se terceriza. Las autoridades no pueden ser el sistema de alertas de la entidad. Cada vigilado, según su naturaleza, mercado y capacidades, debe destinar recursos a la detección propia, que es en sí misma un indicador de madurez. La debida diligencia tampoco puede ser un ejercicio de copiar y pegar: los perfiles de riesgo deben actualizarse y, cuando la información nueva eleva el riesgo, hay que actuar. No se trata de sobreactuar ni de crear redundancias, sino de focalizar dónde buscar las amenazas propias de cada actividad. Cada vez será más exigible una debida diligencia ampliada. Y cuando cumplimiento y negocio discrepan sobre un cliente, la decisión debe escalar y quedar documentada al nivel que corresponde.

5. Para las autoridades de supervisión: innovar no es excusa, pero tampoco sospecha. El Tesoro fue tajante: ninguna entidad puede desatender alertas sobre controles ineficaces bajo el pretexto de la innovación. Es una advertencia correcta. Pero la supervisión basada en riesgos que varias superintendencias aplican desde comienzos de la década pasada todavía no es un producto terminado. La interdependencia de los factores de riesgo hace difícil enfocar controles que no resten valor ni eleven los costos de transacción de las vigiladas. Una supervisión eficaz y preventiva no riñe con que las vigiladas asuman la iniciativa: de ellas se espera proactividad, y de las autoridades, una supervisión que no castigue la innovación per se, en ambientes de riesgo controlado.

Para juntas y comités, la conclusión es simple: tener un manual no es tener un programa. Se espera que los cuerpos colegiados puedan demostrar que sus programas de prevención, detección y reporte funcionan, y que no son apenas simbólicos. Las barbas del vecino ya están cortadas. Es hora de poner las nuestras a remojar.

Luis Fernando Cruz Araújo

Miembro Independiente de Boards y de Comités